Rabobank mocht persoonsgegevens registreren in het IR, EVR en IVR.

Gerechtshof Arnhem-Leeuwarden 7 november 2023, IT 4429; ECLI:NL:GHARL:2023:9394 (Rabobank tegen de klant) In deze zaak heeft de Rabobank de persoonsgegevens van de klant opgenomen in het intern verwijzingsregister (hierna: IVR), het incidentenregister (hierna: IR) en het extern verwijzingsregister (hierna: EVR). Voorts heeft de Rabobank de bankrelatie met de klant opgezegd. De klant heeft in dit kort geding verwijdering van zijn gegevens uit deze registers en herstel van de bankrelatie gevorderd. De voorzieningenrechter heeft deze vorderingen toegewezen. Met dit hoger beroep wil de Rabobank dat de toegewezen vorderingen van de klant alsnog worden afgewezen.

De eerste vraag die beoordeeld moet worden is of de Rabobank de persoonsgegevens van de klant in het IVR, IR en EVR mocht registreren. Omdat het in deze zaak om verwerking van persoonsgegevens gaat, moet er worden voldaan aan de eisen van de AVG en UAVG. Om te voldoen aan de AVG moet de Rabobank onder meer een doel en grondslag hebben om de persoonsgegevens van de klant in de registers te plaatsen. De Rabobank stelt dat ‘het voorkomen van veiligheidsrisico’s’ het doel van de registraties is. Voorts baseert de Rabobank zich op de verwerkingsgrondslag van artikel 6 lid 1 onder f AVG: ‘de verwerking is noodzakelijk voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke’. Ook zal de Rabobank de klant moeten informeren over deze verwerking van zijn persoonsgegevens. De Rabobank heeft de klant geïnformeerd in haar brief van 9 mei 2022. Hiermee komt het hof tot oordeel dat de Rabobank de persoonsgegevens in het EVR mocht registreren. Dit brengt ook mee dat de Rabobank de persoonsgegevens van de klant in het IVR en IR mocht opnemen, omdat de vereisten daarvoor minder streng zijn en de gevolgen voor de klant minder groot.

De tweede vraag die beoordeeld moet worden is of de registratie van de persoonsgegevens van de klant nu nog noodzakelijk is. Hierbij dient er gekeken te worden of de klant genoeg belang heeft bij het verwijderen van haar persoonsgegevens. De klant heeft de stelling van Rabobank dat zijn belangen op dit moment minder zwaar wegen dan het belang van de financiële sector om te worden gewaarschuwd voor de gedragingen van de klant, onvoldoende concreet onderbouwd. Door de klant is niet aangevoerd of en op welke wijze hij nu zou worden belemmerd door een registratie in het IVR, het incidentenregister of het EVR. Het hof is daarom van oordeel dat door Rabobank voldoende is onderbouwd dat er prevalerende dwingende gerechtvaardigde gronden bestaan voor de registraties. Op de mondelinge behandeling is door beide partijen toegelicht dat de relatie is verstoord. De klant heeft daarom geen belang meer bij instandhouding van de bankrelatie met de Rabobank. Het beroep van de Rabobank slaagt.

3.18. De registratie in het IVR, het incidentenregister en het EVR is een verwerking van persoonsgegevens, zodat voldaan moet worden aan de eisen van de AVG en UAVG. Om te voldoen aan de AVG moet Rabobank onder meer een doel en een grondslag hebben om de persoonsgegevens van [de klant] in de registers te plaatsen. Rabobank stelt dat ‘het voorkomen van veiligheidsrisico’s’ het doel van de registraties is. Dit is door [de klant] niet bestreden. Rabobank baseert zich op de verwerkingsgrondslag van artikel 6 lid 1 onder f AVG: ‘de verwerking is noodzakelijk voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke’. De opname van de persoonsgegevens van [de klant] in de registers moet noodzakelijk zijn voor genoemd doel en de gerechtvaardigde belangen van Rabobank en daarbij mag het belang van [de klant] niet zwaarder wegen (de beginselen van proportionaliteit en subsidiariteit). Ook zal Rabobank [de klant] moeten informeren over deze verwerking van zijn persoonsgegevens. Als Rabobank persoonsgegevens betreffende strafbare feiten (zoals het opzettelijke onttrekken van de BMW aan een pandrecht) verwerkt dan moet Rabobank daarvoor nog een wettelijke bevoegdheid hebben (artikel 10 AVG). Rabobank voert aan dat zij deze verwerking in het IVR baseert op artikel 33 lid 2 onder b UAVG en in het EVR op het PIFI. Uit het PIFI volgt dat de Autoriteit Persoonsgegevens (AP) voor de verwerking van strafrechtelijke persoonsgegevens een vergunning heeft verleend in de zin van artikel 33 lid 4 onder c UAVG in samenhang met artikel 33 lid 5 UAVG.

3.27. Uit de AVG en het PIFI volgt wel dat Rabobank [de klant] moet informeren over de registratie van zijn persoonsgegevens in de registers. Dat heeft Rabobank gedaan in haar brief van 9 mei 2022 (zie hiervoor in 3.15), wat ook niet door [de klant] wordt betwist. Tijdens de mondelinge behandeling in hoger beroep heeft Rabobank erkend dat de daarin genoemde datum niet juist is. Zijn persoonsgegevens zijn op een latere datum in de registers opgenomen. Voor het EVR is dat rond 4 mei 2022 geweest. [de klant] is door deze fout in de brief niet benadeeld, omdat daardoor ook de termijn van acht jaar eerder is gaan lopen en de einddatum van de registratie een aantal maanden eerder zal zijn dan als de juiste datum was vermeld.

3.30. Op de mondelinge behandeling in hoger beroep is door beide partijen toegelicht dat de relatie is verstoord en dat over en weer geen vertrouwen meer in elkaar bestaat. Ook heeft [de klant] verklaard dat hij niet zou weten wat op dit moment nog het probleem voor hem zou zijn als de bankrelatie met Rabobank wordt beëindigd. [de klant] heeft daarom geen belang meer bij instandhouding van de bankrelatie met Rabobank.