De Autoriteit Persoonsgegevens (AP) maakte op 6 juli bekend dat een hoge AVG-boete is opgelegd aan Stichting Bureau Krediet Registratie (BKR), het kredietregistratiebureau van de financiële instellingen in Nederland. De AP schrijft in het nieuwsbericht het volgende:

Boete voor BKR vanwege kosten bij inzage persoonsgegevens
Nieuwsbericht 6 juli 2020

Stichting Bureau Krediet Registratie (BKR) mag geen geld vragen aan mensen die digitaal hun persoonsgegevens willen inzien. En wanneer mensen per post inzage in hun persoonsgegevens bij BKR willen, moet dat eenvoudig en met redelijke tussenpozen mogelijk zijn. BKR wierp te hoge drempels op voor inzage. Dat mag niet volgens de privacywetgeving. Daarom heeft de Autoriteit Persoonsgegevens (AP) BKR een boete opgelegd van 830.000 euro. De AP kreeg klachten over de drempels die BKR opwierp wanneer mensen hun persoonsgegevens wilden inzien. Dit was voor de AP aanleiding om onderzoek te doen.

Inzage persoonsgegevens kredietregistraties
Aleid Wolfsen, voorzitter van de AP:

“Inzage in persoonsgegevens over kredietregistraties is heel belangrijk. Een negatieve kredietregistratie kan gevolgen hebben voor het krijgen van een lening of hypotheek. Het is dus belangrijk om makkelijk en snel te kunnen nagaan welke persoonsgegevens van jou worden verwerkt en of dit op een goede manier gebeurt.”

Wat was er aan de hand?
BKR vroeg vanaf mei 2018 een vergoeding voor het digitaal opvragen van persoonsgegevens. Ook konden mensen maar 1 keer per jaar (per post) zonder kosten hun gegevens inzien. Dat mag niet volgens de privacywetgeving. Daarom is een boete opgelegd van 830.000 euro.
BKR heeft na het onderzoek van de AP de werkwijze aangepast. Sinds april 2019 kunnen mensen gratis hun gegevens bij BKR digitaal inzien. Ook heeft BKR vanaf maart 2019 het aantal keer aangepast dat mensen per post hun persoonsgegevens kunnen inzien.

Hoe nu verder?
BKR is in deze zaak in beroep gegaan bij de rechter. Hierdoor is het besluit van de AP over de op te leggen boete nog niet definitief.

De AP legt BKR een boete op van 830.000 euro omdat mensen moesten betalen voor het inzien van hun persoonsgegevens. Dat is in strijd met de privacywetgeving. https://t.co/MWX0WwF3Ct #AVG #privacy pic.twitter.com/EYCyUcXqq9

— AutPersoonsgegevens (@toezicht_AP) July 6, 2020

BKR speelt de vermoorde onschuld in een filmpje op hun site. De bestuurder van BKR laat blijken niet veel van de AVG te snappen, want de AVG is meer dan alleen cybersecurity en gegevensdiefstal. Dat levert geen enthousiasme op:

De Autoriteit Persoonsgegevens, onze privacywaakhond, is er om mensen te beschermen.

In plaats van de vermeende onschuld spelen via nep interviews zouden organisaties die boetes krijgen opgelegd ook kritisch naar zichzelf kunnen kijken. https://t.co/nptQ5jkbxG

— Kees Verhoeven (@KeesVee) July 6, 2020

BKR vroeg vanaf mei 2018 een vergoeding voor het digitaal opvragen van persoonsgegevens. Ook konden mensen maar 1 keer per jaar (per post) zonder kosten hun gegevens inzien. Maar ze zijn zich van geen kwaad bewust https://t.co/leT8Pp4Csy

— Mathieu Paapst (@Paapst) July 6, 2020

Er is meer aan de hand met BKR
Met BKR is meer aan de hand: de stichting pretendeert onafhankelijk te zijn, maar is een niet-transparante organisatie, gefinancierd door financiële instellingen, die ook andere persoonsdata-diensten bij BKR afnemen. De regels die zij hanteren zijn niet openbaar, ongetoetst en maken een willekeurige indruk, zag ik eerder.

Eerder schreef ik voor dit blog Bureau Kredietregistratie is niet transparant en Bureau Kredietregistratie onder vuur. Lees ook Hoe staat het met de rechtsbescherming voor klanten van financiële instellingen? | Onderzoek naar private geschilleninstantie Kifid.

Meer informatie:

• Nieuwsbericht Autoriteit Persoonsgegevens: Boete voor BKR vanwege kosten bij inzage persoonsgegevens
• BKR: Vraagtekens bij boete Autoriteit Persoonsgegevens
• NOS: Geld vragen voor inzien dossier mag niet, boete voor Bureau Krediet Registratie, waarin wordt verwezen naar een eerder bericht: Juristen: BKR handelt in strijd met privacywet
• Alle berichten over BKR op dit blog.