Bureau Kredietregistratie en de AVG | Hoge Raad 3 december 2021

De Hoge Raad heeft in een uitspraak prejudiciële vragen beantwoord over de verwerking van persoonsgegevens door Stichting Bureau Kredietregistratie (BKR) op verzoek van een financiële instelling. In de zaak werd geprocedeerd door een particulier (in de uitspraak aangeduid als ‘[verzoeker’]’) en een financiële instelling (Hoist Finance).

Het register dat BKR houdt heeft geen wettelijke basis. Het berust op zelfregulering door de financiële sector, die de wetgever heeft aanvaard. De gang van zaken is beschreven in een door BKR vastgesteld reglement, dat de verhouding met de zakelijke klanten van BKR regelt. Volgens het reglement is de AVG-grondslag van de verwerking door BKR de behartiging van de gerechtvaardigde belangen van het BKR en zijn zakelijke klanten (par. 3.1.8 uitspraak).

Een wettelijke grondslag als bedoeld in de AVG ontbreekt, zodat de verwerking is gebaseerd op ‘de gerechtvaardigde belangen’ van de verwerkingsverantwoordelijke [1]. Dit is van belang voor de particulier, omdat hij dan bezwaar kan maken tegen de verwerking en kan verzoeken om het wissen van zijn persoonsgegevens (wat overigens niet betekent dat hij machteloos is als er een wettelijke grondslag zou zijn [2]).

Zowel de financiële instelling als BKR zijn verwerkingsverantwoordelijke, wat in de uitspraak niet expliciet wordt besproken maar wel in de conclusie van PG E.B. Rank-Berenschot is vermeld [3].

[1] Zie par. 3.1.10 uitspraak. De Autoriteit Persoonsgegevens is die mening ook toegedaan, aldus een advies van 14 november 2019.

[2] Par. 3.2.4 uitspraak Hoge Raad: “Dit betekent niet dat de betrokkene in dat geval verstoken is van rechtsbescherming. Zo kan hij zich bij de burgerlijke rechter met een beroep op art. 6:162 BW, al dan niet in verbinding met art. 8 EVRM, verzetten tegen de verwerking van zijn persoonsgegevens (vgl. hetgeen hiervoor in 3.1.2 is overwogen).

[3] Par. 3.3 conclusie: “Evenmin staat ter discussie dat zowel het BKR 161 als de kredietaanbieders (Hoist in dit geval) als verwerkingsverantwoordelijken in de zin van art. 4 onder 7 AVG hebben te gelden. (…) 161 Vgl. Vgl. over de positie van het BKR als verwerkingsverantwoordelijke Stichting BKR, Privacy Statement, juli 2020, p. 4 (par. 2).

 

Meer informatie:

 


Aanvulling 24 december 2021
Jeroen Terstegge constateert in een LinkedIn commentaar op de uitspraak dat de Hoge Raad het begrip ‘wettelijke grondslag’ restrictief uitlegt.

Over Ellen Timmer, advocaat ondernemingsrecht @Pellicaan

Verbonden aan Pellicaan Advocaten, http://www.pellicaan.nl/, kantoor Rotterdam, telefoon 088-6272287, fax 088-6272280, e-mail ellen.timmer@pellicaan.nl ||| Weblogs: algemeen: https://ellentimmer.com/ || modernisering ondernemingsrecht: http://flexbv.wordpress.com/ ||| Motto: goede bedoelingen rechtvaardigen geen slechte regels
Dit bericht werd geplaatst in Financieel recht, onder meer Wft, Wtt, ICT, privacy, e-commerce en getagged met , . Maak dit favoriet permalink.

Geef een reactie

Vul je gegevens in of klik op een icoon om in te loggen.

WordPress.com logo

Je reageert onder je WordPress.com account. Log uit /  Bijwerken )

Google photo

Je reageert onder je Google account. Log uit /  Bijwerken )

Twitter-afbeelding

Je reageert onder je Twitter account. Log uit /  Bijwerken )

Facebook foto

Je reageert onder je Facebook account. Log uit /  Bijwerken )

Verbinden met %s