Welke gegevens moeten er worden verstrekt als iemand met een beroep op de AVG om alle persoonsgegevens vraagt die zijn gebruikt bij een Wwft-onderzoek? Over die vraag heeft de rechtbank Midden-Nederland zich onlangs gebogen in een zaak die een bankklant had aangespannen over de AVG-verplichtingen van ABN AMRO. De rechtbank oordeelt dat ABN AMRO in dit geval mocht volstaan met het verstrekken van een verwerkingsoverzicht aan de klant.
Uitspraak: ECLI:NL:RBMNE:2021:1355
Wwft-onderzoek
ABN AMRO doet in het kader van de Wet ter voorkoming van witwassen en financiering van terrorisme een klantonderzoek naar de in België woonachtige klant. Over de klant en zijn onroerend goed en bedrijven zijn berichten in de media geweest over onder andere illegale prostitutie, mensenhandel, overtredingen, gijzeling en een brute overval. Ook zijn er berichten over een inval bij een vrachtwagenbedrijf en de wederopbouw van een sexclub waar de bank opheldering over wil hebben.
AVG-verzoek
Op 29 april 2020 diende de bankklant een verzoek op grond van artikel 12 en 15 lid 1 van de Algemene verordening gegevensbescherming (AVG) bij ABN AMRO in. Daarmee wilde hij bereiken dat ABN AMRO met hem deelt welke gegevens van hem in het dossier zitten. Daarom verzocht hij ABN AMRO alle stukken uit het Wwft-onderzoek te verstrekken waarin zijn naam wordt genoemd. ABN AMRO verstrekte op 2 oktober 2020 een overzicht van zijn persoonsgegevens die in het kader van het Wwft-onderzoek waren verwerkt, met daarin beschreven waar die gegevens vandaan komen en of die met anderen worden gedeeld. De klant vond dat echter niet voldoende en stelde dat hij recht heeft op inzage in alle stukken waarin zijn naam is genoemd. Daarom verzocht hij de rechtbank om ABN AMRO te veroordelen tot afgifte van alle onderliggende stukken en de bijbehorende brongegevens van de persoonsgegevens die in het kader van het Wwft-onderzoek zijn verwerkt, op straffe van een dwangsom.
Omvang recht van inzage volgens artikel 15 AVG
De rechtbank is van oordeel dat het recht op inzage van persoonsgegevens als bedoeld in artikel 15 AVG in beginsel niet betekent dat de betrokkene zonder meer recht heeft op inzage in of kopieën van de stukken of bestanden als daarin zijn persoonsgegevens voorkomen. In welke materiële vorm de gegevens moeten worden verstrekt, is afhankelijk van de concrete omstandigheden. Er moet namelijk ook steeds worden bekeken of het mogelijk is om aan het inzageverzoek te voldoen met een andere vorm van verstrekking. Er bestaat dus geen absoluut recht op inzage in alle stukken. Maar er bestaat in ieder geval een recht op een volledig verwerkingsoverzicht (in begrijpelijke vorm) van alle persoonsgegevens. Dat wil zeggen in een vorm die de betrokkene in staat stelt kennis te nemen van zijn gegevens en te controleren of zij juist zijn en zijn verwerkt in overeenstemming met de AVG.
Als documenten niet alleen NAW-gegevens bevatten, maar ook feitelijke en waarderende gegevens over eigenschappen of gedragingen van een persoon lenen die gegevens zich niet altijd goed voor opname in een verwerkingsoverzicht. Volgens de Hoge Raad kan de betrokkene dan ook recht hebben op een (eventueel deels zwartgemaakte) kopie van de documenten waarin die gegevens zijn opgenomen, omdat dat de meest effectieve wijze is waarop voldaan kan worden aan de verplichting zo volledig en duidelijk mogelijk informatie te verschaffen aan de hand waarvan de rechtmatigheid en juistheid van de gegevens kan worden gecontroleerd.
De rechtbank merkt daarbij op dat het inzagerecht zich niet uitstrekt tot (delen van) interne notities die de persoonlijke gedachten van medewerkers van de verwerkingsverantwoordelijke bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad. Ook juridische analyses naar aanleiding van persoonsgegevens kunnen als zodanig niet worden gekwalificeerd als persoonsgegevens.
Volledig verwerkingsoverzicht; welke persoonsgegevens zijn opgenomen?
De rechtbank beoordeelt vervolgens eerst of kan worden aangenomen dat ABN AMRO een volledig verwerkingsoverzicht heeft verstrekt. Daarna wordt nog bekeken of de klant belang heeft bij zijn verzoek om de onderliggende stukken (brongegevens).
Het verwerkingsoverzicht van ABN AMRO bestaat uit een aantal onderdelen. Eerst geeft ABN AMRO een opsomming van de algemene persoonsgegevens van de klant zoals zijn naam, geboortedatum en -plaats, burgerlijke staat, BSN-nummer, adres, telefoonnummer, e-mailadres en de namen van de vennootschappen waarvan hij directeur-grootaandeelhouder is. De rechtbank gaat ervan uit dat de klant bekend is met deze informatie en dat hij de bronnen waarin die informatie is vastgelegd, zelf kan raadplegen.
Daarna noemt ABN AMRO de persoonsgegevens van de klant die zij heeft verwerkt in het kader van het Wwft-onderzoek. Een deel daarvan heeft ABN AMRO afgeleid uit de rekeninggegevens van de klant. Het gaat over transacties op de bankrekening van een B.V. en de daaropvolgende geldopnames in twee specifiek genoemde periodes. Het gaat ook over de wijze waarop de klant geld opneemt bij de bank en de wijze waarop de bankrekening van het autobedrijf en een handelsonderneming B.V. van de klant sinds september 2018 wordt gebruikt. De rechtbank gaat ervan uit dat de klant toegang heeft tot zijn bankrekeningen bij ABN AMRO. De brongegevens van deze persoonsgegevens zijn dus voor hem beschikbaar.
Ook meldt ABN AMRO welke informatie zij door internetonderzoek heeft gevonden. ABN AMRO noemt mediaberichten over de klant, zijn onroerend goed en bedrijven. De berichten gaan onder andere over illegale prostitutie, mensenhandel, overtredingen, gijzeling en een brute overval. Ook zijn er berichten over een inval bij een vrachtwagenbedrijf en de wederopbouw van een sexclub. ABN AMRO heeft in haar e-mail van 4 maart 2020 aan de klant gevraagd om een reactie op de mediaberichten. De links naar de vindplaatsen van de mediaberichten zijn daarbij genoemd. De mediaberichten zijn openbare informatie en bereikbaar via het internet. De rechtbank gaat ervan uit dat de klant daartoe ook toegang heeft. De brongegevens van deze persoonsgegevens zijn dus voor de klant beschikbaar.
ABN AMRO beschrijft in het verwerkingsoverzicht ook welke informatie zij uit de openbare registers heeft verzameld. Die informatie ziet op de eigendom van een terrein en een uitspraak van het gerechtshof Den Bosch van 4 maart 2014 waarvan ook de vindplaats is vermeld. De brongegevens van deze persoonsgegevens zijn openbaar en dus reeds voor de klant toegankelijk.
ABN AMRO geeft ook weer welke persoonsgegevens de klant zelf heeft verstrekt tijdens de gesprekken. Dit is (voor een deel) ook af te leiden uit de e-mail van ABN AMRO van 4 maart 2020 waarin zij een samenvatting geeft van het gesprek met de klant op 2 maart 2020. De klant heeft niet betwist dat hij die persoonsgegevens heeft verstrekt. De rechtbank gaat er daarom van uit dat hij bekend is met die gegevens en dat die van hem afkomstig zijn, zodat van nadere brongegevens geen sprake is.
ABN AMRO meldt ten slotte nog welke contractgegevens bij haar bekend zijn. Dit gaat om overeenkomsten die de klant met ABN AMRO heeft gesloten, zodat hij ook bekend moet worden geacht met die informatie en de onderliggende brongegevens.
Heeft ABN AMRO een volledig verwerkingsoverzicht verstrekt?
De klant voerde ook nog aan dat hij ervan overtuigd is dat ABN AMRO het ‘EVA’ heeft geraadpleegd (waarbij EVA inhoudt: externe verwijzingsapplicatie aan de hand waarvan banken die zijn aangesloten hij het Protocol Incidentenwaarschuwingssystemen Financiële Instellingen) en daardoor bekend is geraakt met het feit dat een andere bank de klant heeft geregistreerd in het EVR (externe verwijzingsregister). Er is niets over het EVA opgemerkt in het verwerkingsoverzicht, waardoor het volgens de klant incompleet zou zijn. ABN AMRO heeft gesteld dat zij in het kader van haar Wwft-onderzoek geen zogenaamde EVA-toets heeft gedaan en in dat kader dus geen persoonsgegevens van de klant heeft verwerkt. De kennelijke EVR-registratie was voor ABN AMRO niet de aanleiding voor het Wwft-onderzoek. Het is volgens ABN AMRO bovendien niet zo dat zij een melding krijgt als een andere bank een persoon in het EVR opneemt.
De rechtbank overweegt dat uit rechtspraak volgt dat degene die stelt dat er méér persoonsgegevens moeten zijn, nadat de verwerkingsverantwoordelijke onderzoek naar die persoonsgegevens heeft gedaan en niet ongeloofwaardig heeft medegedeeld dat er niet meer persoonsgegevens zijn, aannemelijk te maken dat er wel meer persoonsgegevens dienen te zijn. De rechtbank is, mede gelet op het verweer van ABN AMRO, van oordeel dat de klant dat niet aannemelijk heeft gemaakt. De aard van het onderzoek leidt er bovendien toe dat ABN AMRO ten aanzien van sommige informatie tot geheimhouding verplicht is. In artikel 23 lid 3 Wwft is namelijk bepaald dat een instelling (in dit geval ABN AMRO) rechten als bedoeld in artikel 15 AVG buiten toepassing kan laten voor zover dat noodzakelijk en evenredig is om de geheimhoudingsplicht over onder andere meldingen en inlichtingen in het kader van de Wwft na te leven.
Gelet op het voorgaande ziet de rechtbank geen grond voor de conclusie dat het verwerkingsoverzicht van ABN AMRO onvolledig is. Daarbij gaat de rechtbank ervan uit dat de klant heeft verzocht om de gegevens die ABN AMRO van hem heeft verwerkt in het kader van haar Wwft-onderzoek.
De klant kan al beschikken over de informatie die ten grondslag ligt aan het verwerkingsoverzicht omdat het verwerkingsoverzicht is gebaseerd op openbare informatie, informatie die voor hem toegankelijk is en informatie die de klant zelf heeft verstrekt. De rechtbank is van oordeel dat hij daardoor geen belang heeft bij zijn verzoek tot afgifte van de stukken die ten grondslag liggen aan het verwerkingsoverzicht van ABN AMRO.
De conclusie van de rechtbank is dat ABN AMRO in dit geval heeft kunnen volstaan met het verstrekken van het verwerkingsoverzicht. De rechtbank is van oordeel dat het verwerkingsoverzicht volledig is. Daar komt bij dat de klant al beschikt of – zonder tussenkomst van ABN AMRO – kan beschikken over de informatie die aan de verwerkte persoonsgegevens ten grondslag ligt. Het verzoek wordt daarom afgewezen.
Geef een reactie