Op 2 april jl. is het wetsvoorstel Implementatiewet herziene richtlijn consumentenkrediet ingediend. Doel van de wijzigingen is meer rekening te houden met de digitale ontwikkelingen rondom het consumentenkrediet.

Elementen:

• Een grotere groep kredietverstrekkers wordt onder de regels gebracht. Ook uitstel van betaling, creditkaarten met uitgestelde debitering en huur- of leasingsovereenkomsten met een optie tot koop vallen onder de regels (behoudens enkele uitzonderingen).
• Alle kredieten moeten bij het Bureau Krediet Registratie (BKR) worden geregistreerd.
• Er gelden extra regels voor kredietverstrekking (zoals Buy Now Pay Later) aan minderjarigen.
• Personen die geld lenen moeten geïdentificeerd worden, zodat kan worden vastgesteld  of ze meerderjarig zijn [1].
• Het wordt verboden dat kredietverstrekker bij de kredietwaardigheidsbeoordeling gebruik maakt van bijzondere categorieën van persoonsgegevens of persoonsgegevens die via digitale sociale netwerken zijn verkregen. Onder ‘strikte voorwaarden’ kunnen wel bijzondere categorieën van persoonsgegevens worden verwerkt.
• Het lijkt toegestaan dat kredietverstrekkers in het kader van de kredietwaardigheidsbeoordeling mogen vragen om complete bankafschriften van de aanvragers, ook al staan daar persoonsgegevens van derden en bijzondere categorieën van persoonsgegevens in. De kredietverstrekker moet de ontvangen gegevens dan wel ‘schonen’ van niet-relevante gegevens. Hoewel daar niet over wordt gerept, zal waarschijnlijk in de toekomst toegang tot de bankrekeningen van de aanvragers worden gevraagd via de open finance regels (FIDA), waar de EU mee bezig is [2].

Geautomatiseerde besluitvorming bij beoordeling kredietwaardigheid
Hoe wordt omgegaan met geautomatiseerde besluitvorming in het kader van de kredietwaardigheidsbeoordeling werd mij uit de memorie van toelichting niet duidelijk. Er wordt wel gezegd dat dit geautomatiseerd kan gebeuren, maar niet waar de grondslag te vinden is en wat de waarborgen voor de consument zijn [3]. In het wetsvoorstel kom ik er niets over tegen. Eerder meldde ik hier de kritiek van het NJCM.

Regulering financiële datahandel nodig
Het is jammer dat er niets wordt gedaan aan het Wilde Westen van de datahandel in de financiële sector, met partijen als Experian, Schufa en dergelijke, die achter de rug van burgers om persoonsgegevens oogsten zonder aan de AVG te voldoen, die vervolgens voor kredietwaardigheidsbeoordeling worden gebruikt. Het is hoog tijd dat deze sector wordt gereguleerd door middel van een vergunningensysteem, met integriteitstoetsing en controle op de gegevensverwerking.

Meer informatie:

• Pagina Tweede Kamer over het wetsvoorstel
• Wetsvoorstel
• Memorie van toelichting
• Advies Afdeling advisering Raad van State en Nader rapport

Noten:

[1] Artikel 4:34b leden 2 en 3: “2. De aanbieder beschikt over adequate processen om, voorafgaand aan de totstandkoming van de overeenkomst, de door de consument opgegeven geboortedatum te verifiëren aan de hand van een betrouwbare bron, teneinde de werkelijke geboortedatum vast te stellen.
3. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld met betrekking tot de wijze van alsmede de veiligheids- en betrouwbaarheidsnormen ten aanzien van de verificatie van de geboortedatum van de consument.“. Zie in de memorie van toelichting de passage met de kop ‘Voorschriften inhoudende een minimumleeftijd en leeftijdsverificatie‘.

[2] Die toegang wordt nu al gevraagd door onder meer verhuurders en gokdienstenaanbieders via de huidige rekeninginformatiediensten (PSD2).
Zie in de memorie van toelichting ook de passage over het commentaar van de Autoriteit Persoonsgegevens: “De AP merkt op dat in de memorie van toelichting echter ervan wordt uitgegaan dat kredietgevers in het kader van een kredietwaardigheidsbeoordeling de daarbij behorende evenredigheidsafwegingen zelf kunnen en mogen maken. Dit zou ten onrechte zijn, aangezien het integraal opvragen van rekeningafschriften bij consumenten onder de huidige wetgeving al praktijk is en evident niet evenredig is. De AP wijst daarom op de mogelijkheid om kredietgevers aan te sporen een gedragscode op te stellen in de zin van artikel 40 AVG die door de AP wordt getoetst en waar een door de AP geaccrediteerd orgaan in de zin van artikel 41 AVG toezicht op houdt. In de gedragscode kan dan worden ingegaan op de soort persoonsgegevens die in zijn algemeenheid altijd of juist nooit nodig zullen zijn voor bepaalde categorieën kredietwaardigheidsbeoordelingen. Daar zou ook in moeten worden gewaarborgd dat persoonsgegevens die uit externe bronnen worden geraadpleegd juist zijn en zijn verkregen op een manier die rechtmatig en integer is.
Deze aanbeveling wordt opgevolgd. Artikel 4:34 Wft was en blijft ook na het implementeren van de richtlijn een open norm. Deze norm is met de implementatie ingekleed door evenredigheid naar ‘aard, duur, waarde en risico’s van het krediet’ toe te voegen aan, eerste lid, van de hiervoor genoemde bepaling. Ondanks dat de richtlijn verder geen nadere invulling geeft van de evenredigheid die vereist wordt, neemt dit niet weg dat de gegevens die kredietgevers in het kader van de kredietwaardigheidsbeoordeling kunnen opvragen breed, maar ook privacygevoelig kunnen zijn. Het opstellen van een gedragscode kan helpen. Dit initiatief zal in een separaat traject van dit wetsvoorstel worden onderzocht.“.
De passage over verkrijging van gegevens uit externe bronnen die “juist zijn en zijn verkregen op een manier die rechtmatig en integer is“, is ook relevant voor het betrekken van gegevens van datahandelaren.
In de memorie van toelichting wordt na bovenstaande passage besproken hoe moet worden omgegaan met banktransactiegegevens, onder het kopje ‘Beperking persoonsgegevens uit banktransacties‘.

[3] In de memorie van toelichting zie ik er summier iets over naar aanleiding van opmerkingen van de Consumentenbond en VFN: “De Consumentenbond wenst scherpere grenzen aan het gebruik van persoonsgegevens voor profilering en geautomatiseerde besluitvorming bij kredietverlening. De VFN geeft aan dat het niet helder is of er al sprake is van geautomatiseerde verwerking wanneer informatie elektronisch wordt opgevraagd in plaats van via papieren communicatie, of dat het begrip verder strekt. De regels inzake geautomatiseerde verwerking volgen voornamelijk uit artikel 13 van de richtlijn (dat geïmplementeerd is in artikel 7:60, vierde lid, BW) en uit artikel 18, achtste lid, van de richtlijn, dat zal landen in lagere regelgeving. Voor de bewoordingen van artikel 7:60, vierde lid, BW, wordt de richtlijntekst overgenomen van artikel 13 van de richtlijn. Er is geen ruimte voor lidstaten om striktere regels op te leggen aan partijen. Bij het opstellen van de lagere regelgeving zal gekeken worden naar de ruimte die artikel 18, achtste lid, van de richtlijn, biedt. Wat betreft de opmerking van de VFN moeten de regels inzake geautomatiseerde verwerking worden gelezen in het licht van de overwegingen in de preambule van de richtlijn. Zo volgt onder andere uit overweging 46 en 56 dat het vooral gaat om geautomatiseerde verwerking met artificiële-intelligentiesystemen en lijkt het onderscheid ‘elektronisch of op papier’ minder relevant.“