Registratie persoonsgegevens door ING dient gerechtvaardigd belang

Rb. Amsterdam 18 september 2024, IT 4648; ECLI:NL:RBAMS:2024:5791 (Eisers tegen ING Bank). Eisers exploiteren een webshop in onder andere research chemicals. Ze hebben hun rekeningen bij ING. De ING heeft haar relaties met eisers wat betreft alle zakelijke rekeningen opgezegd vanwege de handel in research chemicals, zoals 3-CMC en 2F-Ketamine en het vermoeden dat deze middelen niet voor onderzoeksdoeleinden worden verkocht, maar voor consumptie aan consumenten als partydrugs. Bij opzegging heeft de ING de persoonsgegevens van eisers geregistreerd in haar gebeurtenissenadministratie en Interne Verwijzingsregister (IVR). Eisers vorderen dat de rechtbank verklaart dat beëindiging van de bankrelaties onaanvaardbaar is en dat de bank onrechtmatig jegens hen heeft gehandeld. Daarnaast vorderen ze dat de gegevens van eisers binnen maximaal twee dagen na het vonnis moeten worden verwijderd uit het IVR.

De rechtbank oordeelt dat onvoldoende omstandigheden zijn gebleken die het gebruik van de overeengekomen opzeggingsbevoegdheid van de bank in dit geval onaanvaardbaar maken. Met betrekking tot het verwerken van de persoonsgegevens van eisers oordeelt de rechtbank dat de bank voldoende heeft onderbouwd dat de registratie dient ter bescherming van de integriteit van de financiële sector en in het bijzonder de bank zelf. Dit is een gerechtvaardigd belang en registratie is noodzakelijk nu van een alternatieve methode niet is gebleken. Daarnaast is de gegevensverwerking proportioneel, omdat een inbreuk op de privacy van de belanghebbenden beperkt blijkt. De rechtbank wijst de vorderingen af.

4.17. Voor de verwerking van persoonsgegevens vereist artikel 6 AVG een verwerkingsgrondslag, waarbij het in dit geval aankomt op de f-grond van het eerste lid. Daaruit volgt dat de gegevensverwerking rechtmatig is als:

het tot doel heeft een gerechtvaardigd belang te dienen,

het noodzakelijk is voor de behartiging van dat gerechtvaardigde belang,

het daar tegenover staande privacybelang niet prevaleert.

4.18. De Bank heeft voldoende onderbouwd dat de registratie dient ter bescherming van de integriteit van de financiële sector, in het bijzonder de Bank zelf, zodat de Bank geen nieuwe relatie aan zal gaan met een (toekomstige) onderneming in research chemicals van [belanghebbende 1] en [belanghebbende 2] . Dit is een gerechtvaardigd belang en daarvoor is registratie noodzakelijk nu van een alternatieve methode niet is gebleken. De gegevensverwerking is proportioneel, omdat een inbreuk op de privacy van [belanghebbende 1] en [belanghebbende 2] beperkt blijft. De gebeurtenissenadministratie wordt namelijk gevuld en beheerd door de afdeling Veiligheidszaken van de Bank. Andere medewerkers van de Bank kunnen de registratie niet inzien. Zij krijgen slechts een hit- of geen hit-melding waarna contact kan worden opgenomen met de afdeling Veiligheidszaken. Buiten de Bank kan niemand inzien of en waarvoor [belanghebbende 1] en [belanghebbende 2] zijn geregistreerd. Verder is niet aangevoerd waarom de registratieduur van acht jaar conform het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen niet proportioneel zou zijn. Daarom wordt de registratietermijn niet verkort.