In juni deed het Gerechtshof Arnhem-Leeuwarden een interessante uitspraak over het Bureau Kredietregistratie (BKR), de omstreden stichting uit de financiële sector. Eerder stelde de Hoge Raad al vast dat BKR zelf verwerkingsverantwoordelijke in de zin van de AVG is en zich niet achter de financiële instellingen kan verschuilen waar ze voor werkt.

De uitspraak van het gerechtshof ligt in het verlengde daarvan. Zie met name overweging 2.11 (‘CKI’ is het kredietregister dat BKR bijhoudt):

2.11. Tussen partijen is niet in geschil dat BKR verwerkingsverantwoordelijke is voor de verwerking van persoonsgegevens in het CKI. Zoals uit het hiervoor aangehaalde artikel 21 AVG blijkt, rust op de verwerkingsverantwoordelijke de verplichting om een bezwaar van een betrokkene in behandeling te nemen en de verwerking te staken, tenzij aan een van de uitzonderingsgronden van artikel 21 AVG is voldaan. Bovendien dient de verwerkingsverantwoordelijke op grond van artikel 12 lid 2 AVG de uitoefening van de rechten van betrokkenen uit hoofde van artikel 15 tot en met 22 te faciliteren. Uit de hiervoor aangehaalde artikelen volgt dan ook dat BKR als verwerkingsverantwoordelijke is gehouden om een bezwaar van een betrokkene en een daaruit voortvloeiend verwijderingsverzoek in behandeling te nemen.
BKR heeft aangevoerd dat sprake is van ketenverantwoordelijkheid en dat zij om die reden zelf slechts een beperkte uitvoerende verantwoordelijkheid heeft. Haar verantwoordelijkheid is volgens haar beperkt tot het waarborgen van de volledigheid, de accuraatheid en beschikbaarheid van de kredietgegevens in het CKI (in die zin dat de kredietgegevens in het CKI worden weergegeven zoals kredietaanbieders die op doorlopende basis aanleveren overeenkomstig het daadwerkelijke verloop van de kredietovereenkomsten) en strekt zich niet uit tot de rechtmatigheidstoets van de verwerking van de persoonsgegevens in het CKI.
Het hof volgt BKR hier niet in. Ook als sprake is van ketenverantwoordelijkheid, is BKR verwerkingsverantwoordelijke voor de gegevens zoals weergegeven in het CKI. BKR en de kredietaanbieders zijn ieder afzonderlijk verantwoordelijk voor het geheel van de verwerking van persoonsgegevens in het CKI en dus de registratie van achterstands- en bijzonderheidscoderingen. (…)
Integendeel, van BKR kan juist gelet op haar verantwoordelijkheden, bevoegdheden en mogelijkheden verlangd worden dat zij als verwerkingsverantwoordelijke zich over een bezwaar of verwijderingsverzoek buigt, omdat de gegrondheid van het bezwaar of een toewijzing van het verzoek ertoe kan leiden dat de door BKR verwerkte persoonsgegevens in het CKI niet in stand kunnen worden gelaten.

De uitspraak maakt duidelijk dat het hoog tijd is dat de door de overheid verplichte kredietregistratie anders wordt ingericht. Op dit moment loopt een consultatie, die op 3 september a.s. sluit. Dat is een goede gelegenheid om aan te dringen op een volledig andere inrichting van het systeem.