Defam schendt privacyregels door onrechtmatige registratie

Hof Arnhem Leeuwarden 5 maart 2024, IT 4495; ECLI:NL:GHARL:2024:1639 (Appellanten tegen Defam B.V.). Defam B.V. (Defam) heeft in 2017 een kredietaanvraag ontvangen van betrokkene voor een persoonlijke lening van € 45.500,-. Na onderzoek en navraag bij de ING bank, heeft Defam ontdekt dat de gegevens (salarisbijschrijvingen) incorrect zijn. Ingevolge deze ontdekking heeft Defam betrokkene geregistreerd in het incidentenregister en het Extern Verwijzingsregister (hierna: EVR) en is een strafrechtelijke vervolging gestart die tot een veroordelend vonnis heeft geleid. Uiteindelijk is betrokkene vrijgesproken. Het vonnis had geleid tot blokkering van de betaalrekeningen van betrokkene bij de ING bank. Betrokkene doet aan de hand hiervan beroep op de onrechtmatige daad en vordert schadevergoeding wegens schending van de AVG door het onterecht registreren en/of het ten onrechte langer handhaven van de persoonsgegevens van betrokken en haar echtgenoot in het incidentenregister en/of het EVR. De bodemrechter heeft een afwijzende vonnis gewezen waartegen appellanten in hoger beroep zijn gegaan.

Het Gerechtshof Arnhem-Leeuwarden oordeelt dat Defam in strijd met artikel 5.2.1 van het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen 2013 heeft gehandeld omdat zij zonder nader onderzoek de persoonsgegevens van betrokkene in het EVR heeft geregistreerd. Wat betreft de echtgenoot stond zijn betrokkenheid evenmin voldoende vast. Dat Defam voldoende onderzoek had gedaan, is niet gebleken, waardoor registratie van de gegevens van de echtgenoot ook in strijd was met de geldende privacyregels. Defam heeft dus in strijd gehandeld met de destijds geldende Wbp en door onrechtmatige handhaving ervan ook in strijd met de AVG gehandeld. Het hoger beroep slaagt; Defam wordt aansprakelijk gesteld voor de schade voortvloeiend uit de privacyschending.

3.10. Het telefoongesprek tussen [de betrokkene] en een medewerker van de fraudeafdeling van Defam op 26 mei 2017 is daarvoor ook onvoldoende. Uit het transcript dat van gedeeltes van dit telefoongesprek is gemaakt en uit de opname van het telefoongesprek blijkt dat [de betrokkene] overvallen is door de vragen die hem gesteld werden en dat hij niet wist waarvoor hij en [de echtgenoot] geregistreerd waren. Uit het gesprek blijkt ook niet dat [de betrokkene] voorafgaand informatie werd verstrekt over het verwijt dat hem en [de echtgenoot] werd gemaakt. In de brief die hij en [de echtgenoot] hadden ontvangen over de registratie stond uitsluitend dat Defam een sterk vermoeden had dat zij betrokken waren bij “een incident”, zonder enige nadere toelichting. De medewerker van Defam heeft tijdens dat telefoongesprek gevraagd of [de betrokkene] en [de echtgenoot] samen de overeenkomst hebben ingediend. [de betrokkene] heeft daarop wel het antwoord “samen” gegeven, maar hem was toen nog steeds niet duidelijk gemaakt waar het “incident” betrekking op had. Verder is het enkele feit dat [de betrokkene] heeft geantwoord dat hij samen met [de echtgenoot] de overeenkomst heeft ingediend ook onvoldoende om de conclusie te rechtvaardigen dat in voldoende mate vaststaat dat [de echtgenoot] zich schuldig heeft gemaakt aan valsheid in geschrifte met het oog op het verkrijgen van een financiering. [de betrokkene] heeft namelijk ook gezegd dat zowel hij als [de echtgenoot] van niks wisten. Dat de betrokkenheid van [de echtgenoot] op een ander moment nog voldoende vast is komen te staan is door Defam niet gesteld en is ook niet gebleken. De aangifte door Defam tegen [de echtgenoot] heeft ook niet geleid tot vervolging. Door de persoonsgegevens van [de echtgenoot] in het EVR te registreren zonder dat zijn betrokkenheid in voldoende mate vast stond, heeft Defam in strijd met artikel 5.2.1 van het PiFi 2013 en dus in strijd met de geldende privacyregels en daarmee onrechtmatig gehandeld ten opzichte van [de echtgenoot].

3.13. Zelfs als ervan uit wordt gegaan dat het voor Defam op het moment van registratie op 23 mei 2017 en na het telefoongesprek van 26 mei 2017 voldoende vast stond dat [de betrokkene] betrokken was bij het verstrekken van de valse documenten, had Defam in ieder geval nader onderzoek moeten verrichten nadat [de betrokkene] bezwaar had gemaakt tegen zijn registratie. Op 30 juli 2017 hebben [appellanten] per e-mail bezwaar gemaakt tegen de registratie van hun persoonsgegevens. Daarin schrijven zij onder meer dat zij Alfam (Defam) niet kennen, geen aanvraag hebben gedaan en slachtoffer zijn van identiteitsfraude, waar zij aangifte voor hebben gedaan. Tijdens het telefoongesprek dat tussen een medewerker van Defam en [de betrokkene] vervolgens op 1 augustus 2017 is gevoerd, legt [de betrokkene] uit dat zijn privé mailaccount is gehackt. Hij ontkent in dat gesprek ook dat hij een krediet heeft aangevraagd. Het bezwaar per e-mail en dit telefonisch contact had aanleiding moeten zijn voor Defam om een nader onderzoek in te stellen. Dat heeft Defam niet gedaan, zoals zij ook op de mondelinge behandeling bij het hof heeft bevestigd. Defam heeft geen nader onderzoek ingesteld naar de handtekeningen van [appellanten] op de kredietovereenkomst, geen onderzoek naar het IP-adres van waaruit de aanvraag en de valse stukken zijn verstuurd en zij heeft geen nader onderzoek gedaan naar de (herkomst van) de valse bankafschriften of loonstroken. Dit klemt te meer, omdat in de strafzaak duidelijk werd dat in de kredietaanvraag een aan [appellanten] onbekend e-mailadres is vermeld waar Defam ook geen aanvullend onderzoek naar had gedaan. Dit onderzoek had wel in de rede gelegen, nu de gegevens uitsluitend digitaal waren aangeleverd en in een portaal van Defam zijn ge-upload. In tegenstelling tot wat Defam meermaals aanvoert, is het niet aan [de betrokkene] om te bewijzen dat hij niet betrokken was bij het verstrekken van de valse stukken, maar was het aan Defam om nader te onderzoeken of voldoende vast staat dat [de betrokkene] bij het verstrekken van valse stukken was betrokken. Gelet op de concrete betwisting van hun aanvraag stond het voor Defam in ieder geval op dat moment onvoldoende vast dat [appellanten] waren betrokken bij de verweten gedraging en was dus ook ten aanzien van [de betrokkene] niet voldaan aan het vereiste van artikel 5.2.1 onder b) PiFi 2013. Dat [de betrokkene] in juni 2018 wel door de politierechter is veroordeeld, maakt niet dat de registratie tot dan toe in overeenstemming was met de geldende privacyregels. Het nadere onderzoek van het gerechtshof te ’sHertogenbosch heeft er ook juist toe geleid dat [de betrokkene] is vrijgesproken van de aan hem ten laste gelegde poging tot oplichting en van valsheid in geschrifte, omdat het gerechtshof te ’sHertogenbosch niet kon vaststellen dat [de betrokkene] op of omstreeks 18 mei 2017 de in de tenlastelegging genoemde stukken heeft gezonden aan Alfam (Defam).

3.17. Het hoger beroep slaagt, voor zover dat ertoe strekt dat een verklaring voor recht wordt gegeven dat Defam de geldende privacyregels door het ten onrechte registreren en handhaven van persoonsgegevens van [appellanten] in het EVR en dat Defam daarom aansprakelijk is voor de daaruit voortvloeiende schade, nader op te maken bij staat.

Omdat Defam in het ongelijk zal worden gesteld, zal het hof Defam tot betaling van de proceskosten zowel in hoger beroep als bij de rechtbank veroordelen. Onder die kosten vallen ook de nakosten die nodig zijn voor de betekening van de uitspraak. Voor het overige wordt de vordering van [appellanten] afgewezen.