HR over rechtsgrond verwerking persoonsgegevens door BKR

HR 3 december 2021, IT 3776; ECLI:NL:HR:1814 (Verzoeker tegen Hoist) Deze prejudiciële beslissing gaat over de vraag aan welke van de in art. 6 AVG genoemde gronden een registratie bij de Stichting Bureau Kredietregistratie (hierna: het BKR) moet worden getoetst. Vindt registratie bij het BKR plaats ter nakoming van een wettelijke plicht in de zin van art. 6 lid 1, onder c, AVG of ter behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde in de zin van art. 6 lid 1, onder f, AVG? Het antwoord op deze vraag is onder meer van belang voor de aanspraak van de kredietnemer op het wissen van zijn persoonsgegevens op grond van art. 17 AVG, en voor de mogelijkheid van de kredietnemer om bezwaar te maken tegen de verwerking van zijn persoonsgegevens op grond van art. 21 AVG. De HR oordeelt als volgt:

3.1.11 Het antwoord op de eerste prejudiciële vraag luidt dat art. 6 lid 1, aanhef en onder c, AVG niet kan dienen als grondslag voor de verwerking van persoonsgegevens in het CKI van het BKR en dat die verwerking moet worden getoetst aan het bepaalde in art. 6 lid 1, aanhef en onder f, AVG.

3.2.1 De tweede prejudiciële vraag stelt aan de orde of het antwoord op de eerste vraag betekent dat aan degene van wie de persoonsgegevens zijn geregistreerd (a) geen recht op gegevenswissing toekomt als bedoeld in art. 17 AVG en (b) dat diegene geen recht van bezwaar toekomt als bedoeld in art. 21 AVG.

3.2.2 Art. 21 lid 1 AVG bepaalt dat een betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van art. 6 lid 1, aanhef en onder e en f, AVG en dat de verwerkingsverantwoordelijke de verwerking van de persoonsgegevens dan staakt, tenzij deze dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering. 

Art. 17 lid 1, aanhef en onder c, AVG houdt in, voor zover voor de beantwoording van de prejudiciële vragen van belang, dat de verwerkingsverantwoordelijke op verzoek van de betrokkene verplicht is persoonsgegevens zonder onredelijke vertraging te wissen, onder meer indien de betrokkene overeenkomstig art. 21 lid 1 AVG bezwaar maakt tegen de verwerking, en er geen prevalerende dwingende gerechtvaardigde gronden zijn voor de verwerking.

3.2.3 Uit art. 17 en art. 21 AVG volgt dat de betrokkene van wie persoonsgegevens zijn verwerkt op grond van art. 6 lid 1, aanhef en onder f, AVG, het recht op gegevenswissing en het recht van bezwaar heeft. Uit de beantwoording van de eerste prejudiciële vraag volgt dat art. 6 lid 1, aanhef en onder f, AVG de grondslag vormt voor de verwerking door de verwerkingsverantwoordelijke van de persoonsgegevens van de betrokkene in het CKI van het BKR. Het antwoord op de tweede prejudiciële vraag luidt dan ook dat aan de betrokkene van wie persoonsgegevens zijn geregistreerd bij het BKR (a) het recht op gegevenswissing toekomt als bedoeld in art. 17 AVG en (b) dat die betrokkene het recht van bezwaar toekomt als bedoeld in art. 21 AVG.