Vragen van het lid Nijboer (PvdA) aan de ministers van Financiën en voor Rechtsbescherming over kredietwaardigheidsonderzoeken (ingezonden 1 oktober 2019).

Antwoord van Minister Hoekstra (Financiën), mede namens de Minister voor Rechtsbescherming (ontvangen 11 december 2019). Zie ook Aanhangsel Handelingen, vergaderjaar 2019–2020, nr. 490.

Vraag 1

Wat zijn kredietwaardigheidsonderzoeken en onder welke voorwaarden mogen bedrijven kredietwaardigheidsonderzoeken doen naar particulieren?

Antwoord 1

Door het doen van kredietwaardigheidsonderzoeken beogen bedrijven inzicht te krijgen in hoeverre potentiële klanten, consumenten of bedrijven, aan hun betalingsverplichtingen kunnen voldoen. Met dergelijke onderzoeken kunnen bedrijven in kaart brengen welke risico’s er zijn verbonden aan het aangaan van een overeenkomst. Voor het toetsen van kredietwaardigheid maken bedrijven vaak gebruik van gegevens die zijn verzameld door handelsinformatiebureaus. De Nederlandse Vereniging van Handelsinformatiebureaus (NVH) is de branchevereniging van bedrijven, gespecialiseerd in het maken van (kredietwaardigheid)profielen voor hun klanten.

Omdat bij kredietwaardigheidsonderzoeken sprake zal zijn van de verwerking van persoonsgegevens van consumenten is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Bedrijven die zijn aangesloten bij de NVH zijn ook gebonden aan de NVH-Gedragscode. Zie in dit verband ook de brief van 21 december 2018 met een reactie van de Staatssecretaris van Sociale Zaken en Werkgelegenheid op een onderzoek naar handel in betaalgegevens en privacy.¹

Deze kredietwaardigheidsonderzoeken moeten worden onderscheiden van beoordeling van de kredietwaardigheid van consumenten in het kader van kredietverstrekking in de zin van de Wet op het financieel toezicht (Wft). Hiervoor zijn in de Wft en onderliggende regelgeving regels opgesteld ter voorkoming van overkreditering van consumenten die een consumptief krediet of een hypotheek afsluiten.

Vraag 2

Van welke gegevens van particulieren mag gebruikgemaakt worden bij een kredietwaardigheidsonderzoek? Aan welke regels zijn dit soort bedrijven gebonden?

Antwoord 2

Wanneer bij een kredietwaardigheidsonderzoek naar consumenten persoonsgegevens worden verwerkt, is de AVG van toepassing. Op de website van de Autoriteit Persoonsgegevens (AP) is vermeld welke informatie handelsinformatiebureaus kunnen gebruiken ten behoeve van kredietwaardigheidsonderzoeken. Ook is navraag gedaan bij de NVH. Het kan gaan om informatie uit openbare bronnen zoals de Kamer van Koophandel, het Kadaster, het Landelijk Register Schuldsaneringen en het Centraal Insolventieregister. Verder worden genoemd algemene statistische gegevens over de woonomgeving van een consument, zoals het gemiddelde inkomen. Ook kunnen gegevens afkomstig zijn van niet-openbare bronnen zoals werkgevers of opdrachtgevers en andere derden die met de betrokkene een relevante financiële of zakelijke relatie onderhouden.² Deze derden mogen deze gegevens alleen verstrekken indien hiertoe een geldige grondslag bestaat waarbij de noodzaak van de verwerking wordt gemotiveerd en aangetoond. Dit kan als de betrokkene toestemming voor de verstrekking heeft gegeven. Deze toestemming moet voldoen aan de eisen van artikel 7 AVG (o.a. vrijelijk zijn gegeven).

Vraag 3

Klopt het dat er kredietwaardigheidsoordelen worden verstrekt die gebaseerd zijn op slechts algemene gegevens, zoals postcode, leeftijd en geslacht? Bent u het ermee eens dat dit onredelijk is, omdat mensen geen invloed hebben op deze gegevens en zo slachtoffer kunnen worden van willekeur of discriminatie?

Antwoord 3

Bij kredietwaardigheidsonderzoeken kan gebruik worden gemaakt van openbare bronnen en kan informatie worden opgevraagd. Zie ook het antwoord op vraag 2. Op de website van de AP is het voorbeeld te vinden dat een telecomaanbieder een gsm-abonnement mag weigeren bij een negatieve kredietscore op het adres van een klant. Een telecomaanbieder kan, aldus de AP, slechte ervaringen hebben op een bepaald adres en kan daarom een klant weigeren, ook als dit met de klant niets te maken heeft.³ Het is aan de bedrijven die kredietwaardigheidsonderzoeken laten verrichten om te bepalen op welke gegevens zij een risico op wanbetaling willen baseren. Bij de verwerking van persoonsgegevens moet de AVG worden nageleefd. Het gebruik van dergelijke informatie mag uiteraard niet leiden tot discriminatie.

Vraag 4

Worden er bij een kredietwaardigheidsonderzoek persoonsgegevens dan wel bijzondere persoonsgegevens verzameld of verstrekt? Zo ja, hoe verhoudt zich dat tot de bescherming van de persoonlijke levenssfeer zoals dat in de Algemene verordening gegevensbescherming (AVG) is vastgelegd?

Antwoord 4

Ik verwijs naar mijn antwoorden op de vragen 1, 2 en 3.

De verwerking van bijzondere persoonsgegevens is in beginsel verboden. Uitzonderingen op dit verbod zijn onder meer mogelijk wanneer de betrokkene uitdrukkelijk toestemming heeft gegeven of wanneer de persoonsgegevens kennelijk door de betrokkene openbaar zijn gemaakt, en de verwerking van deze gegevens ook noodzakelijk is voor het beoogde doel (zie paragraaf 3.1 Uitvoeringswet AVG). Behoudens deze uitzonderingen is het niet toegestaan om bijzondere persoonsgegevens te verwerken. Dat is niet anders bij kredietwaardigheidsonderzoeken.

Vraag 5

Zijn bedrijven verplicht aan mensen te melden dat er een kredietwaardigheidsonderzoek naar hen wordt uitgevoerd? Zo ja, op welke wijze? Zo nee, waarom niet?

Antwoord 5

Ja, personen moeten worden geïnformeerd over de verwerking van hun persoonsgegevens, zowel wanneer deze gegevens van de consument zelf als wanneer deze van een derde worden verkregen (vgl. artikelen 13 en 14 AVG). In beide gevallen moet de volgende informatie worden verschaft: welke gegevens er worden verwerkt en met welk doel, of de gegevens worden gedeeld, hoe lang de gegevens worden bewaard en wat de contactgegevens zijn van de verwerkingsverantwoordelijke. De wijze waarop dit dient te gebeuren hangt af van hoe de organisatie aan de gegevens komt, van de betrokkene zelf of van een derde, alsook van factoren zoals hoe groot de groep is die geïnformeerd moet worden. Het informeren is verder vormvrij. Wel eist de AVG dat deze informatie beknopt maar volledig is, in begrijpelijke taal is geschreven en gemakkelijk toegankelijk is (artikel 12 AVG).

Ook de NVH hanteert voorschriften omtrent het informeren van de betrokkene over de verwerking van persoonsgegevens en geeft aan dat dat in de praktijk bijvoorbeeld schriftelijk gebeurt in correspondentie of via een privacyverklaring.

Vraag 6

Deelt u de mening dat de uitkomst van een kredietwaardigheidsonderzoek eerst aan de desbetreffende persoon of onderneming voor het maken van opmerkingen of bezwaar moet worden voorgelegd voordat dat aan derden mag worden doorgespeeld? Zo ja, hoe is of wordt dit geregeld? Zo nee, waarom niet?

Antwoord 6

De AVG kent voorschriften over informatie die aan een consument moet worden verstrekt bij gegevensverwerking, een recht op inzage en voorziet in de mogelijkheid om onjuiste persoonsgegevens te corrigeren of de verwerking te beperken (artikelen 13–18 AVG).

Vraag 7

Wat moeten mensen doen die onterecht een negatief kredietwaardigheidsoordeel krijgen op basis van algemene gegevens? Is het mogelijk een recht om vergeten te introduceren, waarbij mensen niet later alsnog last krijgen van het inroepen van het recht op vergeten?

Antwoord 7

In artikel 17 van de AVG is het recht op vergetelheid (of gegevenswissing) opgenomen. De gronden waarop een verwerkingsverantwoordelijke verplicht is om persoonsgegevens te wissen zijn in de AVG opgenomen. Het «recht om vergeten» bestaat met andere woorden al.

Wanneer een bedrijf een consument afwijst als klant, kan de consument in overleg treden met het bedrijf over de afwijzingsgronden. Bij een klacht over een handelsinformatiebureau, bijvoorbeeld wanneer een consument het niet eens is met het uitgevoerde kredietwaardigheidsonderzoek, kan contact worden opgenomen met het handelsinformatiebureau. Wanneer dit niet tot overeenstemming leidt, kan de consument contact opnemen met de NVH als het handelsinformatiebureau bij deze branchevereniging is aangesloten. Ook kunnen consumenten een klacht indienen bij de AP wanneer zij menen dat in strijd met de AVG of Uitvoeringswet AVG is gehandeld. Ten slotte kan een consument zich tot de rechter wenden.

Vraag 8

Deelt u de mening dat mensen beschermd moeten worden tegen al dan niet op basis van algoritmes bepaalde besluiten die hen direct in het leven raken? Zo ja, hoe gaat u daarvoor zorgen; zo nee waarom niet?

Antwoord 8

Allereerst is in Nederland de AP als toezichthouder verantwoordelijk voor het toezicht op de verwerking van persoonsgegevens en daarmee ook op AI-toepassingen en algoritmes waarbij persoonsgegevens worden verwerkt. En er is een helder wettelijk kader dat organisaties en de privacytoezichthouder houvast biedt: de AVG. Zo moet bij het gebruik van algoritmes persoonsgegevens worden verwerkt in ieder geval worden voldaan aan een aantal basisvoorwaarden uit de AVG zoals de beginselen van rechtmatigheid, behoorlijkheid en transparantie. Daarnaast geldt onder meer dat ingevolge artikel 22 AVG, betrokkenen het recht hebben om niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor hen rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft. Geautomatiseerde individuele besluitvorming, zónder profilering, is volgens artikel 40 van de Uitvoeringswet AVG toegestaan indien de besluitvorming noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust of noodzakelijk is voor de vervulling van een taak van algemeen belang.

In de kabinetsbrief «Waarborgen tegen risico’s van data-analyses door de overheid» die op 8 oktober jl. aan uw Kamer is toegezonden, heeft mijn collega, de Minister voor Rechtsbescherming, aangegeven dat eventuele wettelijke waarborgen voor data-analyses door het bedrijfsleven beter op Europees dan op nationaal niveau kunnen worden vastgesteld.⁴ In dat kader heeft de Europese Commissie een externe AI High-Level Expert Group opgericht die ethische richtsnoeren voor AI heeft opgesteld.⁵ De Europese Commissie is in juni 2019 een pilotfase gestart voor bedrijven en publieke organisaties om te verkennen of de ethische richtsnoeren voor AI werkbaar zijn in de praktijk. Het kabinet spant zich met de Nederlandse AI-Coalitie in om zo veel mogelijk Nederlandse bedrijven en publieke organisaties actief deel te laten nemen aan deze pilotfase.

Tot slot heeft de markt zelf ook initiatieven ontplooid waarin besluitvorming op basis van algoritmes wordt geadresseerd, zoals de ethische code AI van Nederland ICT.

---

1 Kamerstuk 24 515, nr. 456, p. 4.

2 Vergelijk de informatie over kredietwaardigheid en handelsinformatiebureaus op de website van de AP https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/financien/kredietwaardigheid-en-inkomen.

3 https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/financien/kredietwaardigheid-en-inkomen.

4 Kamerstuk 26 643, nr. 641.

5 De Europese Commissie heeft in april 2018 een Europese strategie gepubliceerd voor Kunstmatige Intelligentie of Artificiële Intelligentie (COM (2018), 237). In december 2018 heeft de Commissie, samen met de lidstaten, een gecoördineerd actieplan AI opgesteld. Op 8 april 2019 zijn de door een Europese High-level Expert Group voorbereide Richtlijnen voor de ontwikkeling en het gebruik van AI (Ethics Guidelines for Trustworthy AI) gepubliceerd. Het Kabinet heeft de Kamer hier eerder over geïnformeerd (Kamerstuk 22 112, nr. 2758).