Vragen van de leden Kat en Van Ginneken (beiden D66) aan de Ministers voor Armoedebeleid, Participatie en Pensioenen en voor Rechtsbescherming over het artikel «Zo werd Myrthe Reuver de dupe van haar data: «Ze geloven in eerste instantie het systeem»» (ingezonden 4 april 2022).

Antwoord van Minister Weerwind (Rechtsbescherming), mede namens de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties (ontvangen 31 mei 2022). Zie ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 2512. Zie ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 2633.

Vraag 1

Bent u bekend met het artikel «Zo werd Myrthe Reuver de dupe van haar data: «Ze geloven in eerste instantie het systeem»»?¹

Antwoord 1

Ja.

Vraag 2

Klopt het dat zogenaamde handelsinformatiebureau’s op basis van algemene gegevens zoals leeftijd en postcode een kredietbeoordeling geven?

Antwoord 2

Naar mijn inschatting zal per organisatie en zelfs per verwerking verschillen welke gegevens worden verwerkt. Hoe op basis van die gegevens een handelsinformatiebureau tot een kredietbeoordeling komt kan ook verschillen. Daarbij moet wel worden opgemerkt dat het wat mij betreft niet in de rede ligt om aan de hand van algemene gegevens een kredietbeoordeling uit te voeren. Deze gegevens zeggen op zichzelf immers niets over de kredietwaardigheid van een persoon.

Vraag 3

In hoeverre wordt ook gebruik gemaakt van informatie afkomstig van social media, en hoe verhoudt dit zich tot de privacy van de onderzochte persoon?

Antwoord 3

Welke precieze bronnen door verschillende handelsinformatiebureaus worden geraadpleegd is mij niet bekend, dit zal naar mijn inschatting ook per geval kunnen verschillen.

Iedere verwerking van persoonsgegevens, ongeacht waar deze worden verzameld, moet voldoen aan de vereisten die in de Algemene Verordening Gegevensbescherming (AVG) worden gesteld. Dit betekent onder meer dat gegevens op een rechtmatige, behoorlijke en transparante wijze worden verwerkt², dat er niet meer gegevens worden verwerkt dan noodzakelijk om het doel van de verwerking te bereiken³ en dat de verwerkte gegevens «juist» zijn.⁴ Hierbij komt dat de verwerking terug te voeren moet zijn op een «rechtsgrondslag» uit artikel 6 lid 1 van de AVG. Partijen die kredietchecks uitvoeren baseren de daarmee gemoeide verwerking van persoonsgegevens doorgaans op het in artikel 6 eerste lid onder f AVG vastgelegde «gerechtvaardigd belang». De Autoriteit Persoonsgegevens (AP) heeft normuitleg verstrekt over wanneer zo’n gerechtvaardigd belang van de verwerkingsverantwoordelijke (het handelsinformatiebureau) zwaarder weegt dan die van een betrokkene.⁵ Omdat de verwerkingen van handelsinformatiebureaus in de regel gebaseerd zijn op het «gerechtvaardigd belang»⁶ brengt dit ook mee dat betrokkenen ingevolge artikel 21 AVG bezwaar kunnen maken tegen de profilering in kwestie.

Hierbij komt dat de informatieverplichtingen uit de AVG mede omvatten dat de verwerkingsverantwoordelijke om een transparante verwerking te borgen ook inzicht geeft in uit welke al dan niet openbare bronnen de gegevens over een betrokkene zijn verzameld.⁷

Het is aan de AP – of uiteindelijk aan de rechter – om een oordeel te vellen over of de persoonsgegevens rechtmatig worden verwerkt.

Vraag 4

Wie kan een dergelijke kredietbeoordeling aanvragen en voor welke doeleinden?

Antwoord 4

Op basis van informatie op de website van de Nederlandse Vereniging voor Handelsinformatiebureaus (NVH) concludeer ik dat bedrijven dergelijke beoordelingen aan kunnen vragen bij handelsinformatiebureaus om financiële risico´s te beperken.⁸

Vraag 5

Klopt het dat er hierbij een risico bestaat dat een negatieve kredietbeoordeling of zelfs een indicatie van fraude kan worden afgegeven die geen betrekking heeft op de persoon die onderzocht wordt, maar op een persoon die eerder op dat adres woonde?

Antwoord 5

Ja, dit blijkt ook uit de casus in het door u geciteerde bericht. In een dergelijk geval worden er incorrecte persoonsgegevens verwerkt. Dit verhoudt zich niet tot het principe van «juistheid van gegevens» uit artikel 5 eerste lid onder de AVG. De WP-29 werkgroep, de voorloper van de European Data Protection Boarddie normuitleg geeft over Europees gegevensbeschermingsrecht, heeft benadrukt dat de verwerkingsverantwoordelijke erop toe moet zien dat gegevens in alle stadia van een verwerkingsproces juist zijn.⁹ Het verwerken van foutieve persoonsgegevens om tot de score te komen is dan ook onrechtmatig.

Vraag 6

Is er inzicht in hoe vaak een foutieve kredietbeoordeling wordt afgegeven en hoe vaak mensen hiertegen in beroep zijn gegaan?

Antwoord 6

Dit wordt vanuit de rijksoverheid niet bijgehouden.

Vraag 7

Klopt het dat deze bedrijven in principe verplicht zijn het te melden aan mensen als zij een kredietwaardigheidsonderzoek naar hen uitvoeren?

Antwoord 7

De verplichtingen die uit artikelen 12, 13 en 14 van de AVG voortvloeien omtrent het informeren van betrokkenen over de verwerking van hun persoonsgegevens en de wijze waarop aan deze verplichtingen gevolg moet worden gegeven gelden ook voor de aanbieders van kredietchecks. In principe brengt dit zoals u terecht opmerkt mee dat betrokkenen moeten worden geïnformeerd, alhoewel er ook beperkte uitzonderingsgevallen in de AVG zijn opgenomen, zoals wanneer de betrokkene reeds over deze informatie beschikt.¹⁰

De informatieverplichting aan betrokkenen komt tevens aan de orde in de gedragscode die de Nederlandse Vereniging voor Handelsinformatiebureaus heeft opgesteld.¹¹

Daarbij vind ik het van belang nogmaals te benadrukken dat de AVG burgers in artikel 21 expliciet het recht geeft om bezwaar te maken tegen profilering welke wordt uitgevoerd op basis van het gerechtvaardigd belang van een verwerkingsverantwoordelijke.

Vraag 8

Zijn zij ook verplicht om, wanneer zij een negatieve kredietbeoordeling geven, dit eerst aan deze persoon voor te leggen en de mogelijkheid geven hier op te reageren alvorens zij dit delen met de aanvrager van de kredietbeoordelaar?

Antwoord 8

Een dergelijke specifieke verplichting vloeit niet voor uit de AVG. Wél kunnen betrokkenen op grond van de AVG inzage vorderen in de persoonsgegevens die de verwerkingsverantwoordelijke¹² van hen verwerkt¹³ en deze waar nodig laten rectificeren.¹⁴ Als gezegd kan de betrokkene op basis van artikel 21 AVG ook bezwaar maken tegen de verwerking, met inbegrip van de daarmee gemoeide profilering omdat kredietbeoordelaars die verwerking doorgaans baseren op hun «gerechtvaardigd belang».

Vraag 9

Is het mogelijk dat een kredietbeoordelaar een negatieve beoordeling of een beoordeling fraudeur afgeeft zonder dat de onderzochte persoon hier weet van heeft?

Antwoord 9

Ja, in ieder geval voor wat betreft een negatieve kredietbeoordeling blijkt dit ook uit de casus in het door u aangedragen bericht. Dat betekent overigens niet dat zulk handelen ook rechtmatig is. De informatieverplichtingen (artikels 12, 13 en 14) in combinatie met de verschillende rechten (artikels 15–22) uit de AVG leiden ertoe dat de betrokkene informatie moet krijgen in welke categorieën gegevens er worden verwerkt, met welk doel dit plaatsvindt en met welke partijen deze worden gedeeld. De betrokkene kan ook inzage vorderen in de gegevens en deze waar nodig laten rectificeren of verwijderen (bijvoorbeeld als de gegevens onrechtmatig zijn verwerkt omdat een informatieverplichting is geschonden). Dit alles betekent ook dat betrokkenen in de regel inzage moeten krijgen in bepaalde registraties.

Daarbij komt dat de totstandkoming van een negatieve beoordeling onrechtmatig kan zijn op basis van de AVG, bijvoorbeeld omdat dit op onjuiste gegevens is gebaseerd. In die gevallen kan de Autoriteit Persoonsgegevens handhavend optreden.

Vraag 10

Ziet u welke risico’s er bestaan voor personen wanneer een bedrijf zonder hun medeweten een negatieve kredietbeoordeling geeft, mogelijk op basis van gegevens die op hen geen betrekking hebben?

Antwoord 10

Ja en ik betreur wat er in voorliggende casus heeft plaatsgevonden dan ook. Een negatieve kredietbeoordeling kan impactvol zijn en het voor mensen onmogelijk maken bepaalde diensten af te nemen. Dit is al helemaal vervelend – en onrechtmatig – als het plaatsvindt op basis van incorrecte verwerkte persoonsgegevens. Uit het krantenartikel maak ik ook op dat er een klacht is ingediend bij de AP. Het is aan de AP om te bepalen of het een onderzoek naar deze praktijk instelt.

Vraag 11

Zijn er richtlijnen waarin is vastgelegd op welke wijze kredietbeoordelaars aan de onderzochte persoon de mogelijkheid moeten bieden om eventuele foutieve informatie te rectificeren?

Antwoord 11

Ja, de NVH heeft een gedragscode opgesteld waarbij ook de rectificatie van gegevens aan de orde komt.¹⁵ Dat hier door deze aanbieders van kredietchecks aandacht aan wordt besteed is ook noodzakelijk: artikel 12 tweede lid AVG bepaalt immers dat de verwerkingsverantwoordelijke de uitoefening van de AVG-rechten moet faciliteren. Dat impliceert dat een vorm van proactief handelen van verwerkingsverantwoordelijken vereist is om aan de wet te voldoen. De Autoriteit Persoonsgegevens houdt hier toezicht op.

Vraag 12

Hoe lang mag een handelsinformatiebureau een negatieve kredietbeoordeling registreren en hergebruiken voor nieuwe onderzoeken?

Antwoord 12

De basisregel uit de AVG is de «opslagbeperking» uit artikel 5 eerste lid onder e: bewaar gegevens niet langer dan nodig voor de verwezenlijking van het doel. Blijkens de eerdergenoemde gedragscode van de NVH wordt hiervoor een termijn van 8 jaar gehanteerd. Het is aan de Autoriteit Persoonsgegevens om hier al dan niet een onderzoek naar in te stellen.

Vraag 13

Bent u ook bekend met het artikel «Ook al ben je uit de schulden, voor BKR ben je nog altijd een probleemgeval»?¹⁶

Antwoord 13

Ja.

Vraag 14

Wat is de gedachte achter de termijn van vijf jaar waarin een kredietbeoordeling bij het Bureau Krediet Registratie (BKR) geregistreerd blijft staan, en zou dit teruggebracht kunnen worden naar bijvoorbeeld drie jaar?

Antwoord 14

Kredietverstrekkers zijn wettelijk verplicht om in het belang van de consument informatie in te winnen over diens financiële positie voordat zij krediet verstrekken om zo overkreditering tegen te gaan. Onderdeel daarvan is het raadplegen van een stelsel van kredietregistratie.¹⁷ Het BKR beheert het enige stelsel van kredietregistratie.

Er is geen wettelijke regeling over de vormgeving van het stelsel van kredietregistratie. De termijnen voor het bewaren van registraties zijn door BKR neergelegd in een reglement. Het BKR hanteert voor alle registraties eenzelfde bewaartermijn van vijf jaar.¹⁸

De bewaartermijn van de registraties zorgt ervoor dat een kredietverstrekker de informatie kan betrekken bij zijn beoordeling of het verstrekken van krediet verantwoord is. Inzicht in de betaalgeschiedenis heeft tot doel om betalingsproblemen in de toekomst te voorkomen. De termijn van vijf jaar wordt door het BKR noodzakelijk geacht om goed inzicht te geven in het betalingsgedrag van consumenten in het verleden, wat een indicatie is voor het betalingsgedrag in de toekomst. De bewaartermijn is niet bepalend voor de vraag of een krediet wordt verstrekt, die beoordeling ligt bij de kredietverstrekker. Ik zie op dit moment geen aanleiding om het BKR te vragen de registratietermijn te verkorten. Wel wijs ik op het wetsvoorstel dat het Ministerie van Financiën in voorbereiding heeft naar aanleiding van een advies dat de Autoriteit Persoonsgegevens op eigen initiatief heeft opgesteld over meer waarborgen bij kredietregistratie.¹⁹ De bewaartermijn van persoonsgegevens is onderdeel van het conceptwetsvoorstel.

Vraag 15

Welke mogelijkheden hebben personen om zelf bezwaar te maken tegen een BKR-registratie wanneer zij van mening zijn dat de omstandigheden waaronder de kredietbeoordeling tot stand zijn gekomen niet meer van toepassing zijn? Kunnen zij bijvoorbeeld een tussentijdse beoordeling aanvragen?

Antwoord 15

Consumenten kunnen bij het BKR gratis opvragen welke gegevens over hen bij BKR staan geregistreerd. De huidige praktijk is dat wanneer een consument zijn BKR-registratie wil laten aanpassen of verwijderen, hij contact opneemt met zijn kredietaanbieder. De kredietaanbieder maakt vervolgens een belangenafweging en beoordeelt of de registratie niet langer proportioneel is. Wanneer de consument en de kredietaanbieder er niet uitkomen, kan de consument een klacht indienen bij het Kifid.²⁰ De consument kan zelf beslissen wanneer hij zijn gegevens wil opvragen en of hij tot aanpassing daarvan wil verzoeken.

Ik ben bekend met de uitspraak van de rechtbank Gelderland van 14 januari jl. waaraan ook wordt gerefereerd in het krantenartikel. Daarin heeft de rechtbank kortgezegd bepaald dat de verzoeker zich rechtstreeks kan richten tot het BKR met zijn op artikel 21 AVG gerichte bezwaren tegen de verwerking van zijn persoonsgegevens en met het daaruit voortvloeiende verzoek tot verwijdering van registraties omtrent betalingsachterstanden. De rechtbank heeft het BKR bevolen de registraties omtrent betalingsachterstanden te verwijderen.²¹ Het Ministerie van Financiën heeft van het BKR vernomen dat tegen deze uitspraak beroep is ingesteld. Het Ministerie van Financiën zal de ontwikkelingen volgen, en indien van toepassing, betrekken bij het opstellen van het eerdergenoemde wetsvoorstel over kredietregistratie.

---

1 Trouw, 18 januari 2022, «Zo werd Myrthe Reuver de dupe van haar data: «Ze geloven in eerste instantie het systeem»», (https://www.trouw.nl/economie/zo-werd-myrthe-reuver-de-dupe-van-haar-data-ze-geloven-in-eerste-instantie-het-systeem~b17af53f/).

2 Artikel 5 eerste lid onder a AVG

3 Artikel 5 eerste lid onder c AVG

4 Artikel 5 eerste lid onder d AVG

5 Te raadplegen via:

https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/normuitleg_gerechtvaardigd_belang

6 Dat het gerechtvaardigd belang uit artikel 6 lid 1 onder f AVG als grondslag voor de verwerking dient blijkt uit de NVH gedragscode. Deze is te raadplegen via: https://www.nvhinfo.nl/htm/nvh_gedragscode.htm

7 Zie artikel 14 tweede lid onder f AVG

8 https://www.nvhinfo.nl

9 WP-29 werkgroep, richtsnoeren profilering en besluitvorming

10 Zie bijvoorbeeld in artikel 13 vierde lid AVG of artikel 14 vijfde lid AVG voor deze uitzonderingen.

11 https://www.nvhinfo.nl/htm/nvh_gedragscode.htm, artikel 11

12 De verwerkingsverantwoordelijke (artikel 4 zevende lid) is de partij die het doel en de middelen van de verwerking vaststelt. In voorliggend geval zal dit in de regel de kredietbeoordelaar zijn.

13 Artikel 15 AVG

14 Artikel 16 AVG

15 Te raadplegen via: https://www.nvhinfo.nl/htm/gedragscode

16 Trouw, 29 maart 2022, «Ook al ben je uit de schulden, voor BKR ben je nog altijd een probleemgeval», (https://www.trouw.nl/economie/ook-al-ben-je-uit-de-schulden-voor-bkr-ben-je-nog-altijd-een-probleemgeval~bd067d98/).

17 Artikel 4:34 Wft en artikelen 113–115 BGfo Wft.

18 https://www.bkr.nl/algemeen-reglement/

19 Kamerstukken II, 2019/20, 32 761, nr. 155.

20 Vgl. artikelen 27–31 van het Algemeen Reglement van het BKR en zie https://www.kifid.nl/geschillenregeling-bkr-gaat-over-naar-kifid/

21 ECLI:NL:RBGEL:2022:126.