De Hoge Raad heeft in een uitspraak prejudiciële vragen beantwoord over de verwerking van persoonsgegevens door Stichting Bureau Kredietregistratie (BKR) op verzoek van een financiële instelling. In de zaak werd geprocedeerd door een particulier (in de uitspraak aangeduid als ‘[verzoeker’]’) en een financiële instelling (Hoist Finance).

Het register dat BKR houdt heeft geen wettelijke basis. Het berust op zelfregulering door de financiële sector, die de wetgever heeft aanvaard. De gang van zaken is beschreven in een door BKR vastgesteld reglement, dat de verhouding met de zakelijke klanten van BKR regelt. Volgens het reglement is de AVG-grondslag van de verwerking door BKR de behartiging van de gerechtvaardigde belangen van het BKR en zijn zakelijke klanten (par. 3.1.8 uitspraak).

Een wettelijke grondslag als bedoeld in de AVG ontbreekt, zodat de verwerking is gebaseerd op ‘de gerechtvaardigde belangen’ van de verwerkingsverantwoordelijke [1]. Dit is van belang voor de particulier, omdat hij dan bezwaar kan maken tegen de verwerking en kan verzoeken om het wissen van zijn persoonsgegevens (wat overigens niet betekent dat hij machteloos is als er een wettelijke grondslag zou zijn [2]).

Zowel de financiële instelling als BKR zijn verwerkingsverantwoordelijke, wat in de uitspraak niet expliciet wordt besproken maar wel in de conclusie van PG E.B. Rank-Berenschot is vermeld [3].

—

[1] Zie par. 3.1.10 uitspraak. De Autoriteit Persoonsgegevens is die mening ook toegedaan, aldus een advies van 14 november 2019.

[2] Par. 3.2.4 uitspraak Hoge Raad: “Dit betekent niet dat de betrokkene in dat geval verstoken is van rechtsbescherming. Zo kan hij zich bij de burgerlijke rechter met een beroep op art. 6:162 BW, al dan niet in verbinding met art. 8 EVRM, verzetten tegen de verwerking van zijn persoonsgegevens (vgl. hetgeen hiervoor in 3.1.2 is overwogen).”

[3] Par. 3.3 conclusie: “Evenmin staat ter discussie dat zowel het BKR ¹⁶¹ als de kredietaanbieders (Hoist in dit geval) als verwerkingsverantwoordelijken in de zin van art. 4 onder 7 AVG hebben te gelden. (…) ¹⁶¹ Vgl. Vgl. over de positie van het BKR als verwerkingsverantwoordelijke Stichting BKR, Privacy Statement, juli 2020, p. 4 (par. 2).”

Meer informatie:

• Uitspraak Hoge Raad van 3 december 2021.
• De voorafgaande conclusie van E.B. Rank-Berenschot is hier te vinden.

Aanvulling 24 december 2021
Jeroen Terstegge constateert in een LinkedIn commentaar op de uitspraak dat de Hoge Raad het begrip ‘wettelijke grondslag’ restrictief uitlegt.