Hof: ING mocht strafrechtelijke gegevens in registers verwerken

Hof Amsterdam 18 oktober 2016, IT 2331; ECLI:NL:GHAMS:2016:4191 (Shortstay Booking en Shortstay Today tegen ING) Privacy. ING heeft persoonsgegevens van appellant gebruikt in het Incidentenregister en Extern Verwijzingsregister. De voorzieningenrechter heeft de vordering van appellanten met betrekking tot verwijdering van deze gegevens afgewezen. Opname in het Incidentenregister en het EVR geschiedt slechts in overeenstemming met de Wbp en het Protocol. Bij opname van strafrechtelijke gegevens moeten de concrete feiten en omstandigheden zodanig vaststaan, dat daarmee een bewezenverklaring gedragen kan worden. De bestaande verdenking jegens appellanten, te weten het feitelijk leiding geven aan het opzettelijk onttrekken van goederen aan een pandrecht door Plant Hosting, kan een bewezenverklaring dragen. Feiten zijn van voldoende ernst voor opname in registers.  Belangen en/of fundamentele rechten en vrijheden van appellant staan niet in de weg aan opname van zijn persoonsgegevens in de registers. Hof bekrachtigt vonnis.

3.7. Ten aanzien van wat [appellanten] voor het overige hebben aangevoerd, overweegt het hof als volgt. Niet te ontkennen valt dat opname in het Incidentenregister, en met name in het daaraan gekoppelde EVR, verstrekkende gevolgen kan hebben. Alle deelnemende financiële ondernemingen kunnen immers door toetsing in het EVR vaststellen dat er sprake is van opname in het Incidentenregister van (een) andere deelnemer(s). Vervolgens kunnen zij nadere informatie omtrent de reden van opname opvragen. Dit kan ertoe leiden dat niet alleen de deelnemer die tot opname in het Incidentenregister is overgegaan, maar ook andere deelnemers hun (financiële) diensten aan de opgenomen persoon zullen weigeren. Gelet hierop dienen hoge eisen te worden gesteld aan de grond(en) van ING voor opname van (de gegevens van) [appellanten] in de registers. Opname in het Incidentenregister en het EVR kan slechts geschieden indien zij in overeenstemming is met de Wet bescherming persoonsgegevens (hierna: Wbp) en het Protocol. Blijkens de Memorie van Toelichting bij het wetsvoorstel van de Wbp is daarbij gedacht aan gegevens in verband met strafbaar of hinderlijk gedrag, die tot de gevoelige gegevens behoren omdat de betrokkenen in verband worden gebracht met verwijtbaar gedrag. Het ziet op veroordelingen en op min of meer gegronde verdenkingen (Kamerstukken II 1997–1998, 25 892, nr. 3, p. 102 en 118; zie ook, in een verder verwijderd verband, de beantwoording van vraag 26, Kamerstukken II 1998–1999, 25 892, nr. 13, p. 13/14). Voor zover in het Protocol wordt gesproken over strafrechtelijke persoonsgegevens komt daaraan geen andere betekenis toe. Uit een en ander valt op te maken dat de te verwerken gegevens in voldoende mate moeten vaststaan. Onder strafrechtelijke gegevens moeten daarom zodanig concrete feiten en omstandigheden worden verstaan dat zij een als strafbaar feit te kwalificeren bewezenverklaring - in de zin artikel 350 Wetboek van Strafvordering (hierna: Sv) - kunnen dragen. Dit brengt mee dat een redelijk vermoeden van schuld aan een strafbaar feit, zoals dat kan blijken uit een aangifte onvoldoende is (vgl. HR 25 mei 2009, NJ 2009/243). Volledigheidshalve merkt het hof op dat daarnaast nog een belangenafweging overeenkomstig artikel 8 onder f Wbp dient te worden toegepast.

3.8. Op grond van het niet (voldoende) weersproken feitenmateriaal is, ook indien in aanmerking wordt genomen wat [appellanten] omtrent de jegens hen bestaande verdenking naar voren hebben gebracht, aannemelijk dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van schuld ter zake van het feitelijk leiding geven aan het opzettelijk onttrekken van goederen aan een pandrecht door Plant Hosting, zoals strafbaar gesteld in de artikelen 51 jo. 348 Wetboek van Strafrecht, en dat deze een bewezenverklaring als bedoeld in artikel 350 Sv kunnen dragen. De feiten zijn ernstig genoeg om in het Incidentenregister en het EVR te worden opgenomen. Het hof wijst in dit verband op de aangifte van ING waaruit volgt dat ING op dat Plant Hosting de IP-adressen van het bedrijf, die tot de aan ING verpande bedrijfsactiva behoorden, op 27 november 2012 heeft overgedragen aan Plant Holding GmbH in Zurich, Zwitserland, zonder berichtgeving aan en aflossing van ING. Ten tijde van de overdracht van de bedoelde IP-adressen stond [appellant sub 1] ingeschreven als bestuurder van Plant Hosting (met Plant Holding, waarvan [appellant sub 1] tevens als (enig) bestuurder stond ingeschreven). Uit het faillissementsverslag van de curator volgt dat de curator op het kantooradres van Plant Hosting aan de [adres 2] niemand heeft aangetroffen, dat dit kantoor slechts een klein kamertje bleek te zijn waar nooit is gewerkt door iemand, dus ook niet door iemand van Plant Hosting. Verder volgt uit het faillissementsverslag dat [appellant sub 1] in een verhoor door de rechter-commissaris heeft verklaard dat hij niet de feitelijke dagelijkse leiding had, maar op verzoek van een derde ( [D] ) als bestuurder van Plant Hosting stond ingeschreven in het handelsregister tegen een vergoeding van € 300 per maand en dat het kantooradres aan de [adres 2] slechts een “fopadres” betrof. Ter zitting in hoger beroep heeft [appellant sub 1] bevestigd dat niet hij, maar [D] de feitelijke dagelijkse leiding van Plant Hosting had en dat hij op verzoek van [D] als bestuurder van Plant Hosting stond ingeschreven, tegen een vergoeding van € 300 per maand waarvoor hij verder niets hoefde te doen. De door [appellanten] aangevoerde omstandigheden dat hij tegen betaling administratieve werkzaamheden voor Plant Hosting heeft verricht, dat hij jarenlang een persoonlijke band/vriendschap met [D] had en (daarom) geen reden zag te twijfelen aan de (goede) bedoelingen van [D] en dat, voordat hij bestuurder van Plant Hosting werd, een andere werknemer van Plant Hosting als bestuurder stond ingeschreven, leiden niet tot een andere conclusie. Het hof neemt voorts in aanmerking dat de belangen en/of de fundamentele rechten en vrijheden van [appellant sub 1] op zichzelf niet in de weg staan aan de opname van zijn persoonsgegevens in het Incidentenregister en het EVR. De grieven van [appellanten] falen derhalve ook in zoverre.