Banken mogen persoonsgegevens fraudeur niet automatisch acht jaar in register opnemen

De persoonsgegevens van consumenten die zich schuldig hebben gemaakt aan fraude of opzettelijke misleiding mogen door banken niet standaard zonder belangenafweging acht jaar in waarschuwingsregisters worden opgenomen. Dat heeft de Commissie van Beroep van financieel klachteninstituut Kifid geoordeeld in een zaak die tegen ABN Amro was aangespannen.  

ABN Amro had de persoonsgegevens van de man die de zaak aanspande voor een periode van acht jaar geregistreerd in interne en externe verwijzingsregisters. Dat gebeurde nadat hij de bank bij het afsluiten van een hypotheek niet bleek te hebben geïnformeerd over andere financiële verplichtingen. 

Duur van opname in registers

Banken mogen fraudeurs opnemen in een waarschuwingsregister, maar over de duur daarvan bestaat discussie. De geschillencommissie van Kifid oordeelde vorig jaar dat ABN Amro de persoonsgegevens van de man terecht heeft opgenomen in de interne en externe waarschuwingsregisters. De duur daarvan in het externe verwijzingsregister vond de commissie echter te lang en werd verkort tot vijf jaar.

Hoger beroep

ABN Amro ging echter in hoger beroep, omdat de bank van mening bleef dat het uitgangspunt voor de registratieduur in het externe verwijzingsregister standaard acht jaar is. Alleen bijzondere omstandigheden kunnen volgens ABN Amro maken dat het korter is. De bank verwijst daarbij naar de afspraken in het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI 2021) en een besluit van de Autoriteit Persoonsgegevens.

Belangenafweging

Het Kifid oordeelt nu dat een bank bij een registratie in waarschuwingsregisters steeds een op het concrete geval toegesneden belangenafweging moet maken. Daarbij moeten onder meer het belang bij registratie en de mogelijk negatieve gevolgen hiervan voor de consument worden betrokken. De uitkomst kan zijn dat een registratie van acht jaar proportioneel is, maar ook dat de registratieduur korter moet zijn.

In het besluit van de Autoriteit Persoonsgegevens en in het PIFI is weliswaar vermeld dat voor de duur van de registratie van persoonsgegevens in beginsel het uitgangspunt acht jaar is. Dezelfde bronnen benadrukken echter ook dat een dubbele proportionaliteitstoets nodig is voorafgaand aan de uiteindelijke registratie. De bank moet voor zowel ‘de registratie van persoonsgegevens’ als voor ‘de duur van de registratie’ nagaan of het belang van opname in een verwijzingsregister zwaarder weegt dan de mogelijk nadelige gevolgen voor de betrokken consument.

Acht jaar geen automatisme

De Commissie van Beroep concludeert dat registratie in het externe verwijzingsregister voor de duur van acht jaar geen uitgangspunt is en dat dit niet als automatisme kan worden aangenomen. Het gebruiken van een standaardtermijn is in strijd met de privacywet. De AVG (Algemene Verordening Gegevensbescherming) schrijft voor dat het opslaan van persoonsgegevens tot een minimum wordt beperkt.