Aangetoond dat de bank niet meer over persoonsgegevens beschikt

Hof Den Bosch 15 juli 2021, IT 3617; ECLI:NL:GHSHE:2021:2252 (betrokkene tegen de bank) Betrokkene is klant geweest bij de bank, maar heeft in 2012 zijn relatie met de bank opgezegd. In 2019 heeft hij een AVG-verzoek gedaan tot inzage in alle bij de bank verwerkte persoonsgegevens van betrokkene. De bank heeft een aantal persoonsgegevens naar betrokkene gestuurd en heeft tegelijkertijd in eerste aanleg voldoende onderbouwd, dat ze niet meer beschikt over de zogenaamde EVA-registratie. In hoger beroep eist betrokkene onder meer inzage in het interne veiligheidsonderzoek naar hem. De bank stelt zich op het standpunt dat de bewaartermijn inmiddels verlopen is. Het hof oordeelt dat dit inderdaad het geval is en stelt ook dat betrokkene te laat dit AVG-verzoek heeft gedaan. De bank heeft volgens het hof voldoende aangetoond dat ze niet meer beschikt over de betreffende gegevens. 

3.7.5. Het hof acht voorts voldoende aannemelijk dat al de gegevens die [de bank] voor en na de beschikking waarvan beroep aan [de betrokkene] heeft aangeleverd, ook datgene (en het enige) is qua verwerking van persoonsgegevens waarover [de bank] nog daadwerkelijk beschikt. De (overige) gegevens die [de betrokkene] heeft verzocht – kort gezegd betreffende de EVA-melding in het EVR en het interne veiligheidsonderzoek – dateren uit 2009 en/of 2011/2012. Het staat vast dat [de betrokkene] in 2009 een dienst is geweigerd vanwege de EVA-melding en [de betrokkene] heeft voorts onvoldoende weersproken dat het interne veiligheidsrapport dateert van 2012. Pas in 2019 heeft [de betrokkene] [de bank] voor het eerst om inzage van deze gegevens verzocht, terwijl hij daartoe veel eerder en op diverse momenten (2009 en 2011/2012 en ook 2016) de gelegenheid heeft gehad. Het hof acht het verzoek van [de betrokkene] in 2019 dan ook feitelijk te laat. Dit geldt ook indien [de betrokkene] – zoals hij ter zitting van dit hof heeft verklaard – pas in 2014 zou hebben kennis genomen van de registraties in 2009 en 2011/2012. Daarnaast had [de betrokkene] bij de beëindiging van de borgstelling in 2016 wéér een moment om [de bank] op grond van de Wbp-oud, als toen geldend, inzage in de ten aanzien van hem verwerkte persoonsgegevens te verzoeken, hetgeen hij toen niet heeft gedaan. Door de eerdere gelegenheden onbenut te laten en pas in 2019 in ‘actie’ te komen, heeft [de betrokkene] het risico genomen dat de gegevens – mede gelet op de onweersproken bewaartermijn van 7 jaar, als voortvloeiend uit onder meer artikel 2:10 lid 3 BW – thans niet meer beschikbaar zijn. Voorts is gesteld noch gebleken dat [de betrokkene] op enig moment de verwerkingsverantwoordelijke van het EVR heeft geraadpleegd om te kunnen achterhalen welke bank - niet zijnde [de bank] - de melding in 2009 heeft gedaan.