Uitspraken

Naar aanleiding van het arrest van 6 juni 2023 heeft op 5 september 2023 een mondelinge behandeling bij het hof plaatsgevonden. Daarvan is een verslag gemaakt dat aan het dossier is toegevoegd (het proces-verbaal). Hierna hebben partijen het hof gevraagd opnieuw arrest te wijzen.

Rabobank had de persoonsgegevens van [de klant] opgenomen in het intern verwijzingsregister (hierna: IVR), het incidentenregister en het extern verwijzingsregister (hierna: EVR) en de bankrelatie met [de klant] opgezegd. [de klant] was het daar niet mee eens.

[de klant] heeft in dit kort geding verwijdering van zijn gegevens uit deze registers en herstel van de bankrelatie gevorderd. De voorzieningenrechter heeft deze vorderingen toegewezen.

De bedoeling van Rabobank met dit hoger beroep is dat de toegewezen vorderingen van [de klant] alsnog worden afgewezen.

Het hof komt tot het voorlopige oordeel dat Rabobank de persoonsgegevens van [de klant] in het IVR, het incidentenregister en het EVR mocht registreren en dat [de klant] geen belang meer heeft bij instandhouding van de bankrelatie met Rabobank. Het hof zal hierna toelichten hoe het hiertoe komt.

Omdat in kort geding geen plaats is voor uitgebreide bewijslevering, oordeelt het hof op basis van de vraag of partijen hun standpunten aannemelijk hebben gemaakt. Alle hierna te geven oordelen zijn daarom voorlopige oordelen.

Het hof gaat uit van de feiten die in rechtsoverweging 2.1 tot en met 2.9 van het vonnis van de voorzieningenrechter van de rechtbank Midden-Nederland, locatie Utrecht, 1 zijn vastgesteld, met uitzondering van rechtsoverweging 2.5, omdat Rabobank daar bezwaren tegen heeft geuit. De volgende feiten zijn in hoger beroep van belang.

[de klant] ( [de eenmanszaak] ) heeft vanaf juni 2021 niet meer volledig voldaan aan zijn betalingsverplichtingen uit de leaseovereenkomst. Rabobank heeft [de eenmanszaak] op 24 juni 2021, 26 juli 2021, 27 september 2021 en 1 november 2021 aanmaningen gestuurd.

Op 9 november 2021 is telefonisch contact geweest tussen [de klant] en een medewerker van Rabobank waarbij [de klant] heeft verteld dat hij de BMW wil verkopen om daarmee zijn achterstand in te lopen. Aan [de klant] werd verteld dat hij om een afkoopvoorstel moest vragen. Dat heeft hij gedaan.

[de klant] heeft het afkoopvoorstel niet op tijd (met de opbrengst van de BMW) betaald.

Op dezelfde dag reageert [de klant] met de vraag of hij het bedrag “medio Q2” in één keer mag aflossen of dat er een mogelijkheid is om het bedrag om te zetten in een persoonlijke lening. Op 7 januari 2022 reageert de contactpersoon bij Rabobank dat hij geen verder uitstel van de volledige aflossing kan geven, omdat de BMW al is verkocht. Hij verwijst [de klant] naar zijn lokale bank voor een persoonlijke lening en geeft hem de tijd tot 14 januari 2022 om te betalen of te bevestigen dat hij een persoonlijke lening heeft verkregen.

[de klant] heeft ook dit afkoopvoorstel niet op tijd betaald.

Begin april 2022 heeft [de klant] de leaseovereenkomst voor de BMW volledig afgelost, wat Rabobank op 13 april 2022 aan hem ( [de eenmanszaak] ) heeft bevestigd.

Op 9 mei 2022 heeft Rabobank [de klant] per brief geïnformeerd dat zijn gegevens zijn opgenomen in het IVR, het incidentenregister van Rabobank en het bijbehorende EVR. Als reden staat vermeld “dat u een object onttrokken heeft aan het pandrecht ten laste van een financiering bij Rabo Lease B.V.” Ook staat er in de brief dat aangifte is gedaan bij de politie. In haar brief van 17 mei 2022 informeert Rabobank [de klant] dat zij de klantrelatie met hem per 18 juli 2022 beëindigt.

Per e-mail van 20 juni 2022 heeft [de klant] aan Rabobank verzocht om de beëindiging van de klantrelatie in te trekken. In een brief van 7 juli 2022 reageert Rabobank op het bezwaar van [de klant] , waarbij zij eveneens ervan uit gaat dat hij ook bezwaar maakt tegen de registratie van zijn persoonsgegevens in het IVR, het incidentenregister en het EVR. Rabobank wijst de bezwaren van [de klant] af.

De eerste vraag die voorligt is of Rabobank de persoonsgegevens van [de klant] in het IVR, het incidentenregister en het EVR mocht registreren. Volgens Rabobank heeft zij de persoonsgegevens van [de klant] in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG), de Uitvoeringswet op de AVG (UAVG) en het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen 2021 (hierna: PIFI) in deze registers geplaatst. [de klant] is het daar niet mee eens, omdat volgens hem de registratie geen betrekking heeft op het onttrekken van de BMW aan het pandrecht van Rabobank, wat Rabobank aan haar registraties ten grondslag heeft gelegd. Het gaat Rabobank alleen om het niet tijdig betalen van de restschuld en daarvoor zijn de registraties volgens [de klant] in ieder geval disproportioneel.

De registratie in het IVR, het incidentenregister en het EVR is een verwerking van persoonsgegevens, zodat voldaan moet worden aan de eisen van de AVG en UAVG. Om te voldoen aan de AVG moet Rabobank onder meer een doel en een grondslag hebben om de persoonsgegevens van [de klant] in de registers te plaatsen. Rabobank stelt dat ‘het voorkomen van veiligheidsrisico’s’ het doel van de registraties is. Dit is door [de klant] niet bestreden. Rabobank baseert zich op de verwerkingsgrondslag van artikel 6 lid 1 onder f AVG: ‘de verwerking is noodzakelijk voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke’. De opname van de persoonsgegevens van [de klant] in de registers moet noodzakelijk zijn voor genoemd doel en de gerechtvaardigde belangen van Rabobank en daarbij mag het belang van [de klant] niet zwaarder wegen (de beginselen van proportionaliteit en subsidiariteit). Ook zal Rabobank [de klant] moeten informeren over deze verwerking van zijn persoonsgegevens. Als Rabobank persoonsgegevens betreffende strafbare feiten (zoals het opzettelijke onttrekken van de BMW aan een pandrecht) verwerkt dan moet Rabobank daarvoor nog een wettelijke bevoegdheid hebben (artikel 10 AVG). Rabobank voert aan dat zij deze verwerking in het IVR baseert op artikel 33 lid 2 onder b UAVG en in het EVR op het PIFI. Uit het PIFI volgt dat de Autoriteit Persoonsgegevens (AP) voor de verwerking van strafrechtelijke persoonsgegevens een vergunning heeft verleend in de zin van artikel 33 lid 4 onder c UAVG in samenhang met artikel 33 lid 5 UAVG.

Het IVR is een intern register dat alleen door de medewerkers van Rabobank Groep kan worden geraadpleegd. Medewerkers kunnen niet de reden van de registratie zien. De afdeling Veiligheidszaken van Rabobank beslist of persoonsgegevens in het IVR worden geplaatst. Het incidentenregister is alleen toegankelijk voor de afdeling Veiligheidszaken van de Rabobank. Het EVR is een extern register en is toegankelijk voor medewerkers van de afdeling Veiligheidszaken van alle deelnemende financiële instellingen. In het PIFI - een door de Autoriteit Persoonsgegevens goedgekeurd protocol - is onder meer geregeld in welke gevallen een financiële instelling persoonsgegevens mag opnemen in het incidentenregister en het EVR. Op grond van artikel 3.1.1 PIFI mogen persoonsgegevens in het incidentenregister worden geregistreerd als sprake is van een incident in de zin van artikel 2 PIFI, namelijk een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de financiële sector als geheel in het geding (kunnen) zijn. Voor rechtmatige opname van persoonsgegevens in het EVR moet op grond van artikel 5.2.1 van het Protocol, voor zover hier relevant, worden voldaan aan de volgende (strengere) vereisten: (1) er moet sprake zijn van een gedraging van een (rechts)persoon die een bedreiging vormt voor de (financiële) belangen van een financiële instelling of de continuïteit en/of integriteit van de financiële sector, (2) het staat voldoende vast dat de betreffende (rechts)persoon betrokken is bij deze gedraging en (3) het proportionaliteitsbeginsel moet in acht worden genomen.

Vaststaat dat tijdens het telefoongesprek van 9 november 2021 met [de klant] is besproken dat hij een afkoopvoorstel moet vragen bij verkoop van de BMW. [de klant] heeft weliswaar een verkoopvoorstel aangevraagd, maar voordat hij deze had ontvangen, had hij de BMW al verkocht (zie hiervoor in 3.6 en 3.7). Uit de telefoonnotitie van dit gesprek volgt dat [de klant] heeft gezegd dat hij de BMW wilde verkopen om zijn betalingsachterstand in te lopen. Tijdens de mondelinge behandeling in hoger beroep heeft [de klant] ook toegelicht dat hij de BMW wilde verkopen om zijn schuld uit de leaseovereenkomst af te lossen in verband met het verkrijgen van een hypothecaire lening voor de aankoop van vastgoed. Ondanks deze telefonische mededeling en zijn kennelijke intentie, heeft [de klant] de opbrengst van de verkoop van de BMW niet gebruikt voor de betaling van het bedrag van het afkoopvoorstel. [de klant] heeft ook niet betaald nadat Rabobank hem op 25 november 2021 schreef dat zij vanwege de verkoop van de BMW het afkoopbedrag binnen vijf dagen op haar rekening wenste.

Dat [de klant] niet wist dat hij de auto niet mocht verkopen omdat hij de strekking van het pandrecht niet begreep, zoals hij aanvoert, berust op een rechtsdwaling die voor zijn eigen risico dient te blijven. Uit zijn stellingen volgt bovendien niet alleen dat hij de opbrengst van de BMW had willen, maar ook dat hij begreep dat hij die opbrengst had moeten gebruiken voor de afkoop van het leasecontract. Door de BMW te verkopen, maar het afkoopvoorstel niet te voldoen, heeft [de klant] de voorwaarden van de leaseovereenkomst geschonden en het financiële risico voor de betaling van de leaseovereenkomst volledig bij de bank gelegd. Het onderpand was immers door hem verkocht, waardoor de (enige vorm van) zekerheid die de bank had bedongen weg was.

Uit zijn bericht van 6 januari 2022 volgt ook dat [de klant] , ondanks dat Rabobank hem dat op 8 december 2021 had verzocht, niet heeft geïnformeerd over wanneer hij het afkoopvoorstel zou voldoen. [de klant] vraagt vervolgens om een omzetting in een persoonlijke lening of uitstel van betaling, waarop de medewerker van Rabobank antwoordt dat uitstel van betaling niet mogelijk is vanwege de verkoop van de BMW en dat hij de tijd krijgt tot 14 januari 2022 om een persoonlijke lening te regelen bij zijn lokale bank. Rabobank stuurt [de klant] dan op 14 januari 2022 een nieuw afkoopvoorstel toe met wederom het verzoek om dat binnen vijf dagen te betalen (zie hiervoor in 3.9 en 3.10). Uit deze communicatie volgt dat de stelling van [de klant] dat Rabobank zou hebben ingestemd met zijn voorstel om in het tweede kwartaal van 2022 te betalen niet klopt.

Dit brengt mee dat sprake was van een gedraging van [de klant] die een bedreiging vormde voor de financiële belangen van de Rabobank, waardoor voldaan is aan het eerste vereiste van artikel 5.2.1 PIFI voor de registratie in het EVR (zie hiervoor 3.19). Dat [de klant] betrokken was bij deze gedraging staat niet ter discussie, waardoor ook voldaan is aan het tweede vereiste.

Volgens Rabobank was opname in het EVR noodzakelijk voor de bescherming van de continuïteit en integriteit van de financiële sector, omdat andere financiële instellingen gewaarschuwd moesten worden over het strafbaar feit dat [de klant] had gepleegd. [de klant] betwist dat hij met de verkoop van de BMW strafbaar heeft gehandeld, omdat hij de BMW niet opzettelijk heeft onttrokken aan het pandrecht van Rabobank. Ongeacht of [de klant] strafbaar heeft gehandeld of niet, moet het hof beoordelen of Rabobank heeft voldaan aan het proportionaliteitsbeginsel. Of de verwerking van de persoonsgegevens van [de klant] in het EVR noodzakelijk was, moet worden getoetst aan de hand van een belangenafweging tussen de (privacy) belangen van [de klant] en de belangen van de financiële sector. Rabobank heeft op de mondelinge behandeling in hoger beroep toegelicht dat zij de registratie later heeft verricht, omdat zij eerst een extern bureau onderzoek heeft laten doen naar de toedracht van de verkoop van de BMW. De conclusie uit dat onderzoek was onder meer dat de auto in strijd met de overeenkomst is verkocht en dat [de klant] daarna geen of weinig medewerking had verleend inzake de betaling van de afkoopsom. Het onderzoek is in deze procedure niet overgelegd door Rabobank, maar [de klant] heeft wel beaamd dat hij wist dat een onderzoek heeft plaatsgevonden en hij dacht inderdaad een onderzoeker te hebben gesproken. De conclusie van het onderzoek, zoals Rabobank dat heeft toegelicht, strookt in ieder geval met de hiervoor weergegeven feiten en omstandigheden.

De belangen van [de klant] om niet in het EVR te worden geregistreerd waren groot, omdat deze registratie hem (ernstig) belemmerde in het verkrijgen van financiële producten en diensten. Daar tegenover stond het ook grote belang van bescherming van de continuïteit en integriteit van de financiële sector. Het hof is van oordeel dat de genoemde omstandigheden meebrengen dat de belangen bij registratie zwaarder wogen dan de belangen van [de klant] om niet te worden geregistreerd. Daarbij merkt het hof nog het volgende op. [de klant] voert aan dat hij geen gevaar voor de bankwereld was, omdat hij heeft aangekondigd de BMW te willen verkopen en heeft toegezegd de afkoopsom te betalen. Dat Rabobank op de hoogte was van zijn voornemen om de afkoopsom te betalen, volgt niet uit de feiten. Uit de feiten volgt juist dat [de klant] is overgegaan tot verkoop van de BMW zonder het afkoopvoorstel af te wachten, de opbrengst daarvan niet heeft gebruikt voor de afkoop van het leasecontract en keer op keer niet heeft voldaan aan verzoeken van Rabobank om te betalen. Ook heeft hij meermaals niet gereageerd op berichten van Rabobank, waardoor Rabobank niet kon weten dat hij het voornemen had om te betalen. Een vraag om uitstel van betaling, dan wel om een persoonlijke lening, kan niet beschouwd worden als een toezegging van zijn kant dat hij ook daadwerkelijk zijn schuld zou betalen. Bovendien staat in de brief van 9 februari 2022 van Rabobank “als u niet of niet op tijd kunt betalen vragen wij u om ons hierover direct te informeren” (zie hiervoor in 3.13). Ook dat heeft [de klant] niet gedaan. Dat [de klant] op het moment van registratie inmiddels had betaald maakt de belangenafweging niet anders. Rabobank heeft voldoende toegelicht dat zij eerst een extern onderzoek heeft gedaan om een zorgvuldige belangenafweging te kunnen maken. Het gevaar dat [de klant] opnieuw een onderpand zou verkopen zonder van die opbrengst de daarbij horende schuld te voldoen, was gelet op de handelwijze van [de klant] op het moment van registratie reëel. Daar komt nog bij dat Rabobank na opzegging van de leaseovereenkomsten met [de klant] ( [de eenmanszaak] ) een recherchebureau heeft moeten inschakelen om haar pandrecht op de bestelwagen, waarvoor [de klant] ook een leaseovereenkomst met Rabobank had gesloten, te kunnen uitwinnen.

[de klant] voert nog aan dat Rabobank hem had moeten waarschuwen dat zijn persoonsgegevens in het EVR geregistreerd zouden worden als hij de BMW verkocht en niet tijdig het afkoopvoorstel zou betalen. Een waarschuwingsplicht volgt niet uit de AVG of de UAVG en ook niet uit het PIFI. Bovendien is het niet zo dat Rabobank [de klant] helemaal niet zou hebben gewaarschuwd voor negatieve gevolgen indien hij het afkoopvoorstel niet tijdig zou betalen. Zo schrijft een medewerker van Rabobank in zijn e-mail van 6 januari 2022 dat hij per ommegaande bericht wil over de aflossing van de leaseovereenkomst, omdat Rabobank anders een melding moet maken van vervreemding (zie hiervoor in 3.9). In de brief van 9 februari 2022 van Rabobank staat dat als de betaling niet uiterlijk op 16 februari 2022 is ontvangen Rabobank genoodzaakt is maatregelen te nemen, waaronder het doen van aangifte wegens onttrekking aan een stil pandrecht. Ook wordt in die brief gewaarschuwd voor een melding aan het Bureau Krediet Registratie (zie hiervoor in 3.13).

Uit de AVG en het PIFI volgt wel dat Rabobank [de klant] moet informeren over de registratie van zijn persoonsgegevens in de registers. Dat heeft Rabobank gedaan in haar brief van 9 mei 2022 (zie hiervoor in 3.15), wat ook niet door [de klant] wordt betwist. Tijdens de mondelinge behandeling in hoger beroep heeft Rabobank erkend dat de daarin genoemde datum niet juist is. Zijn persoonsgegevens zijn op een latere datum in de registers opgenomen. Voor het EVR is dat rond 4 mei 2022 geweest. [de klant] is door deze fout in de brief niet benadeeld, omdat daardoor ook de termijn van acht jaar eerder is gaan lopen en de einddatum van de registratie een aantal maanden eerder zal zijn dan als de juiste datum was vermeld.

Het oordeel dat Rabobank de persoonsgegevens in het EVR mocht registreren brengt mee dat Rabobank de persoonsgegevens van [de klant] ook in het IVR en het incidentenregister mocht opnemen, omdat de vereisten daarvoor minder streng zijn en de gevolgen voor [de klant] minder groot. De belangen van Rabobank bij die registraties wogen daarom ook zwaarder dan de belangen van [de klant] dat zijn persoonsgegevens daar niet in werden opgenomen.

De tweede vraag die ter beoordeling voorligt is of de registratie van de persoonsgegevens van [de klant] in het IVR, incidentenregister en EVR ook nu nog noodzakelijk is (of eigenlijk zou zijn, omdat de registraties na de uitspraak van de voorzieningenrechter zijn verwijderd) voor het door Rabobank genoemde doel van het voorkomen van veiligheidsrisico’s en ter bescherming van de gerechtvaardigde belangen van Rabobank. Het verwijderingsverzoek van [de klant] is gebaseerd op artikel 17 lid 1 onder c AVG in samenhang met het recht van bezwaar uit artikel 21 lid 1 AVG. Rabobank dient op grond daarvan de persoonsgegevens te wissen, tenzij sprake is van dwingende gerechtvaardigde gronden voor Rabobank en andere financiële instellingen die zwaarder wegen dan de belangen, rechten en vrijheden van [de klant] . [de klant] heeft de stelling van Rabobank dat zijn belangen op dit moment minder zwaar wegen dan het belang van de financiële sector om te worden gewaarschuwd voor de gedragingen van [de klant] , onvoldoende concreet (bijvoorbeeld met stukken) onderbouwd. Door [de klant] is niet aangevoerd of en op welke wijze hij nu zou worden belemmerd door een registratie in het IVR, het incidentenregister of het EVR. Tijdens de zitting heeft hij erkend dat hij inmiddels bij een andere bank een (zakelijke) bankrekening heeft waardoor hij (ook) met zijn onderneming kan bankieren. Een andere reden waarom de registraties verwijderd moeten worden heeft [de klant] niet genoemd. Het hof is daarom van oordeel dat door Rabobank voldoende is onderbouwd dat er prevalerende dwingende gerechtvaardigde gronden bestaan voor de registraties. Rabobank heeft toegelicht dat de termijn van acht jaar is gebaseerd op de bevindingen uit haar eigen onderzoek en dat van het externe bureau. [de klant] heeft ook niets aangevoerd over deze termijn van de registraties. Het hof wijst [de klant] erop dat als hij op dit moment zou worden belemmerd door met name de EVR registratie hij op grond van artikel 17 en 21 AVG een nieuw bezwaar en verwijderingsverzoek kan indienen bij Rabobank. In dat geval zal Rabobank op dat moment een nieuwe belangenafweging moeten maken.

Op de mondelinge behandeling in hoger beroep is door beide partijen toegelicht dat de relatie is verstoord en dat over en weer geen vertrouwen meer in elkaar bestaat. Ook heeft [de klant] verklaard dat hij niet zou weten wat op dit moment nog het probleem voor hem zou zijn als de bankrelatie met Rabobank wordt beëindigd. [de klant] heeft daarom geen belang meer bij instandhouding van de bankrelatie met Rabobank.

Het hoger beroep slaagt. Omdat [de klant] in het ongelijk zal worden gesteld, zal het hof [de klant] tot betaling van de proceskosten zowel in hoger beroep als bij de rechtbank veroordelen. Onder die kosten vallen ook de nakosten die nodig zijn voor de betekening van de uitspraak.2

De veroordelingen in deze uitspraak kunnen ook ten uitvoer worden gelegd als een van partijen de beslissing van het hof voorlegt aan de Hoge Raad (uitvoerbaarheid bij voorraad).