Kifid: registratie van persoonsgegevens niet standaard 8 jaar

Maakt een consument zich schuldig aan fraude of opzettelijke misleiding, dan mag de bank de persoonsgegevens van deze consument registreren in waarschuwingsregisters. Over de duur van deze registraties lopen de meningen uiteen.

De Commissie van Beroep van Kifid oordeelt dat de bank bij registratie van persoonsgegevens niet standaard mag uitgaan van acht jaar. Bij een registratie in waarschuwingsregisters moet de bank steeds een op het concrete geval toegesneden belangenafweging maken. Daarbij moeten onder meer het belang bij registratie en de mogelijk negatieve gevolgen hiervan voor de consument worden betrokken. De uitkomst kan zijn dat een registratie van acht jaar proportioneel is, maar ook dat de registratieduur korter moet zijn.

In 2021 sluit een consument samen met een vriend een hypotheek af bij ABN AMRO voor de aankoop van een woning. In dezelfde periode hebben zij ook een andere woning gekocht met een hypotheek bij een andere geldverstrekker. Daarnaast heeft de consument nog een consumptief krediet. De consument heeft ABN AMRO niet geïnformeerd over deze andere financiële verplichtingen. Toen de bank van deze andere leningen kennis kreeg en bleek dat de consument verschillende, van elkaar afwijkende werkgeversverklaringen had verstrekt, heeft de bank de persoonsgegevens van de consument voor acht jaar geregistreerd in interne en externe verwijzingsregisters, de zogenoemde waarschuwingsregisters.

De consument vindt de registratie onterecht en niet proportioneel en heeft zich hierover beklaagd bij Kifid. De Geschillencommissie heeft in 2023 geoordeeld dat de bank de persoonsgegevens van deze consument terecht heeft opgenomen in de interne en externe waarschuwingsregisters. De duur van de registratie in het externe verwijzingsregister vond de Geschillencommissie echter te lang en is door haar verkort tot vijf jaar.

De bank is tegen de uitspraak in beroep gegaan bij Kifid. Zij blijft van mening dat het uitgangspunt voor de registratieduur in het externe verwijzingsregister standaard acht jaar is. Alleen bijzondere omstandigheden kunnen maken dat het korter is. De bank verwijst naar de afspraken in het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI 2021) en een besluit van de Autoriteit Persoonsgegevens.

In het besluit van de Autoriteit Persoonsgegevens en in het PIFI is vermeld dat voor de duur van de registratie van persoonsgegevens in beginsel het uitgangspunt acht jaar is. Dezelfde bronnen benadrukken echter ook dat een dubbele proportionaliteitstoets nodig is voorafgaand aan de uiteindelijke registratie. De bank moet voor zowel ‘de registratie van persoonsgegevens’ als voor ‘de duur van de registratie’ nagaan of het belang van opname in een verwijzingsregister zwaarder weegt dan de mogelijk nadelige gevolgen voor de betrokken consument.

De Commissie van Beroep concludeert dat registratie in het externe verwijzingsregister voor de duur van acht jaar geen uitgangspunt is en dat dit niet als automatisme kan worden aangenomen. Het gebruiken van een standaardtermijn is in strijd met de privacywet. De AVG (Algemene Verordening Gegevensbescherming) schrijft voor dat het opslaan van persoonsgegevens tot een minimum wordt beperkt. De bank moet bij elke voorgenomen registratie een op de individuele zaak toegesneden belangenafweging maken en zo komen tot een zo beperkt mogelijke duur van de registratie, zo is te lezen in de uitspraak.

De Commissie van Beroep concludeert evenals de Geschillencommissie dat de bank de persoonsgegevens van deze consument mocht opnemen in het externe verwijzingsregister. Voor de duur van de registratie is de uitkomst van de belangenafweging dat vijf jaar proportioneel is. De bank moet de duur van de registratie van persoonsgegevens van deze consument verkorten tot vijf jaar.