PROCUREUR-GENERAAL BIJ

HOGE RAAD

R NEDERLANDEN Nummer 21/00241 Zitting 15 september 2021 CONCLUSIE E.B. Rank-Berenschot In

zaak [verzoeker] tegen Hoist Finance AB In

ze zaak zijn prejudiciële vragen aan

Hoge Raad gesteld over

verwerking van persoonsgegevens in het kredietregistratiestelsel van het BKR.

voornaamste vraag betreft

rechtsgrond van

verwerking:

vraag of

ze plaatsvindt ter nakoming van een wettelijke verplichting van kredietaanbieders (als bedoeld in art. 6 lid 1 onder c AVG) dan wel ter behartiging van gerechtvaardigde belangen (als bedoeld in art. 6 lid 1 onder f AVG). In het verlengde hiervan zijn vragen gesteld over

rechtsgevolgen van

toepasselijke verwerkingsgrond:

vraag of kredietnemers aanspraak hebben op gegevenswissing (art. 17 AVG), of zij bezwaar kunnen maken tegen

verwerking (art. 21 AVG) en binnen welke termijn zij een procedure tegen

kredietaanbieder moeten instellen (art. 35 lid 2 UAVG). 1Feiten en procesverloop 1.1

voorzieningenrechter in

rechtbank Amsterdam is uitgegaan van

volgende feiten: (i) Eiser heeft een krediet afgesloten bij (een rechtsvoorganger van) gedaagde (hierna: Hoist). Vanwege een daarop ontstane betalingsachterstand heeft Hoist het krediet op 5 juli 2006 opgeëist. (ii)

Stichting Bureau Krediet Registratie (hierna: het BKR) beheert het Centraal Krediet Informatiesysteem (hierna: het CKI), een systeem waarin betalingsachterstanden of andere onregelmatigheden die ontstaan tijdens

looptijd van een kredietovereenkomst met bijzonderheidscoderingen worden vermeld. (iii) Op 8 mei 2006 is eiser ten aanzien van het krediet in het CKI onder zijn achternaam genoteerd met

bijzonderheidscode ‘A’.

ze codering betekent dat sprake is van een achterstand. (iv) Op 28 juni 2006 is aan eisers notering in het CKI een ‘2-codering’ (hierna tezamen met

A-codering:

BKR-registratie) toegevoegd, hetgeen inhoudt dat sprake is van een opgeëiste vordering. (v) Bij vonnis van 12

cember 2006 is eiser veroordeeld tot betaling aan (een rechtsvoorganger van) Hoist van € 5.000,-, vermeerderd met

overeengekomen kredietvergoeding over dit bedrag vanaf 7 november 2006 tot

dag van

algehele voldoening. (vi) Eiser is een betalingsregeling overeengekomen met NDA Incasso, aan wie Hoist

vordering uit handen had gegeven. (vii) Op 1 juni 2017 is aan

BKR-registratie een 3-codering toegevoegd, wat betekent dat een bedrag groter dan € 250 op het krediet moest worden afgeboekt. (viii) Bij brief van 27 juni 2017 heeft NDA Incasso aan eiser bericht dat

gehele vordering was voldaan. (ix) Bij e-mail van 17 juli 2020 heeft Hoist aan eiser bericht dat zij

3-codering in het CKI zou laten verwijderen, naar aanleiding van een door eiser daartoe gedaan verzoek. (x) Op 10 september 2020 heeft eisers advocaat namens eiser opnieuw een verzoek tot verwijdering van

BKR-registratie ingediend bij Hoist. Bij e-mail van 21 september 2020 heeft Hoist dit verzoek afgewezen. 1.2 In dit kort geding – ingeleid bij dagvaarding van 16

cember 2020 – heeft eiser gevorderd dat Hoist wordt bevolen

BKR-registratie te doen wijzigen, in die zin dat

bijzonderheidscodes 2 en A achter zijn naam worden verwijderd. Eiser heeft hiertoe aangevoerd dat hij als gevolg van

BKR-registratie geen hypotheek kan krijgen voor

woning die hij wil kopen (waarvan

levering op 15 januari 2021 stond gepland), dat hij sinds drie jaar schuldenvrij is en dat hij onevenredig veel nadeel ondervindt van

BKR-registratie. 1.3 Hoist verweert zich met

stelling dat eiser niet-ontvankelijk is in zijn vordering, omdat hij te laat heeft gereageerd op

afwijzende beslissing van 21 september 2020 op zijn (tweede) verwijderingsverzoek. In het verlengde hiervan betwist Hoist het spoedeisend belang van eiser bij zijn vordering. Inhoudelijk betoogt Hoist dat eiser onvoldoende heeft onderbouwd waarom zijn belang bij verwijdering van

BKR-registratie (die normaliter gedurende vijf jaren blijft bestaan) zwaarder moet wegen dan het belang bij behoud van

BKR-registratie. Dit laatste belang vloeit volgens Hoist voort uit het feit dat er bij eiser langere tijd sprake is geweest van een slechte financiële situatie. 1.4 Ter zitting van 24

cember 2020 heeft

voorzieningenrechter in

rechtbank Amsterdam voorlopig geoordeeld dat eiser niet-ontvankelijk is en het voornemen uitgesproken om prejudiciële vragen aan

Hoge Raad te stellen over

grondslag van BKR-registraties. Bij e-mails van 29

cember 2020, 5 januari 2021 en 11 januari 2021 hebben

advocaten van partijen op dit voornemen gereageerd. 1.5 Bij tussenvonnis van 21 januari 2021 heeft

voorzieningenrechter drie prejudiciële vragen aan

Hoge Raad gesteld (hierna besproken onder 3). Aan

ze beslissing heeft

voorzieningenrechter, samengevat en voor zover van belang,

volgende overwegingen ten grondslag gelegd. - Eiser heeft op 10 september 2020 bezwaar gemaakt tegen zijn BKR-registratie. Hoist heeft overeenkomstig art. 12 lid 3 van

Algemene verordening gegevensbescherming (AVG) binnen een maand, namelijk op 21 september 2020, op het bezwaar gereageerd. Ingevolge art. 35 lid 2 van

Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) moest eiser zich binnen zes weken daarna tot

rechtbank wenden. Dat heeft hij niet gedaan. Daarom is ter zitting voorlopig geoordeeld dat eiser niet-ontvankelijk is in zijn vordering (rov. 4.1). - Als eiser wel ontvankelijk zou zijn, zou

vordering inhoudelijk moeten worden beoordeeld. Beide partijen gaan ervan uit dat

coderingen 2 en A

stijds terecht in het CKI zijn opgenomen. In

rechtspraak is er onduidelijkheid over

vraag of Hoist als

elnemer aan dit stelsel van kredietregistratie heeft voldaan aan een wettelijke plicht als bedoeld in art. 6 lid 1 onder c AVG.

gerechtshoven hebben hierover verschillend geoordeeld (rov. 4.2). - Als meest recente voorbeelden kunnen worden genoemd

beslissingen van het gerechtshof

n Bosch van 6 augustus 2020, ECLI:NL:GHSHE:2020:2536, het gerechtshof

n Haag van 10 november 2020, ECLI:NL:GHDHA:2020:2068 en het gerechtshof Arnhem-Leeuwarden van 17

cember 2020, ECLI:NL:GHARL:2020:10564 (rov. 4.3-4.6). - Het oordeel van het gerechtshof

n Bosch wordt aldus verstaan dat, uitgaande van

toepasselijkheid van art. 6 lid 1 onder c AVG,

verzoeker geen aan

AVG ontleend recht heeft op het maken van bezwaar tegen

registratie. Dat brengt mee dat

in art. 35 lid 2 UAVG neergelegde termijn voor het instellen van een procedure bij

burgerlijke rechter niet van toepassing is. Overschrijding van die termijn leidt dan niet tot niet-ontvankelijkheid (rov. 4.4). - Als

toepasselijke verwerkingsgrond een ‘wettelijke plicht’ als bedoeld in art. 6 lid 1 onder c AVG zou zijn, rijst

vraag of, als verweer daartegen, het recht om vergeten te worden (art. 17 AVG) kan worden ingeroepen. Is dat niet het geval, dan moet

rechter het Santander-toetsingscriterium toepassen (HR 9 september 2011, ECLI:NL:HR:2011:BQ8097). Betoogd kan worden dat

ze toets ongunstiger is voor

gene wiens persoonsgegevens zijn verwerkt (rov. 4.7). -

voorzieningenrechter is voorshands van oordeel dat

lijn van het gerechtshof

n Haag moet worden gevolgd.

concrete registratie in het CKI wordt gedaan ter uitvoering van

wettelijke verplichting tot

elneming aan een stelsel van kredietregistratie (art. 4:32 Wft).

ze uitvoering is gegrond op het Algemeen Reglement CKI van het BKR. Dit reglement kan niet worden beschouwd als een wettelijke regeling als bedoeld in art. 6 lid 1 onder c AVG (rov. 4.8). - Dit voorlopig oordeel brengt mee dat

BKR-registratie van eiser kan worden getoetst aan art. 6 lid 1 onder f AVG, maar ook dat eiser te laat is met zijn vordering en niet-ontvankelijk moet worden verklaard (rov. 4.9). - Omdat

gerechtshoven verdeeld zijn, is onzeker of dit voorlopig oordeel juist is.

voorzieningenrechter acht daarom het stellen van prejudiciële vragen aan

Hoge Raad noodzakelijk. Een prejudiciële beslissing is van belang voor

beslechting of beëindiging van talrijke andere soortgelijke geschillen (rov. 4.10). 1.6

Hoge Raad heeft

vragen in behandeling genomen. Namens Hoist zijn schriftelijke opmerkingen ingediend door mr. Van Wijk als cassatieadvocaat. Eiser heeft afgezien van

indiening van schriftelijke opmerkingen. 2Inleidende beschouwingen Plan van behandeling 2.1 Het recht op bescherming van persoonsgegevens (ook wel ‘informationele privacy’ genoemd) wordt als grondrecht beschermd door art. 8 EVRM, art. 16 VWEU en art. 8 van het Handvest van

grondrechten van

Europese Unie (hierna: Handvest). In EU-verband is

bescherming van persoonsgegevens nader uitgewerkt in

Algemene verordening gegevensbescherming (hierna: AVG), die op 25 mei 2018

Richtlijn bescherming persoonsgegevens (hierna:

Richtlijn) heeft vervangen.

ze richtlijn was in Nederland geïmplementeerd in

Wet bescherming persoonsgegevens (hierna: Wbp). 2.2 Ik bespreek hierna het grondrechtelijke kader (alinea 2.3 e.v.), gevolgd door een behandeling van

relevante AVG-bepalingen, waar nodig in samenhang met het oude recht (alinea 2.7 e.v.). Aansluitend behandel ik

wet- en regelgeving op het gebied van het financieel toezicht die

elname aan en raadpleging van een stelsel van kredietregistratie voorschrijft (alinea 2.43 e.v.). Ten slotte bespreek ik hoe

ze wet- en regelgeving zich verhoudt tot

bescherming van persoonsgegevens onder

AVG (alinea 2.76 e.v.). Bescherming van persoonsgegevens als grondrecht 2.3 Hoewel het EVRM niet voorziet in een recht op bescherming van persoonsgegevens (‘data protection’) als zodanig, acht het EHRM die bescherming wel van fundamenteel belang voor

verwezenlijking van het door art. 8 EVRM beschermde recht op eerbiediging van het privé-, familie- en gezinsleven. Art. 8 lid 2 EVRM laat een inmenging in dit recht slechts toe, voor zover

ze (

1. i)voorzien bij wet (‘in accordance with the law’) en (
2. ii)noodzakelijk in een

mocratische samenleving (‘necessary in a

mocratic society’) is ter bescherming van (iii) één of meer van

in het artikellid genoemde rechtsbelangen (‘legitimate aims’).

eerste beperkingsvoorwaarde (‘lawfulness’) wordt door het EHRM in materiële zin opgevat:

inmenging behoeft niet in een wet in formele zin te zijn neergelegd, maar kan voortvloeien uit elk algemeen verbindend voorschrift, mits dit voorschrift voldoende toegankelijk en voorzienbaar is (‘accessibility and foreseeability’).

tweede beperkingsvoorwaarde (‘necessity’) omvat onder meer een proportionaliteitstoets. Het EHRM onderzoekt of

inmenging voorziet in een dringende maatschappelijke behoefte (‘a pressing social need’) en proportioneel is aan

nagestreefde doeleinden (‘proportionate to the legitimate aims pursued’). In dat kader kan van belang zijn of het beoogde doel ook met minder verstrekkende middelen kan worden bereikt. Dit laatste wordt ook wel

subsidiariteitstoets genoemd (ter onderscheiding van

proportionaliteitstoets waarvan

ze toets onderdeel uitmaakt). 2.4 Art. 16 lid 1 VWEU en art. 8 lid 1 Handvest bepalen dat eenieder recht heeft op bescherming van zijn persoonsgegevens. Art. 8 lid 2 Handvest bepaalt dat persoonsgegevens eerlijk moeten worden verwerkt, voor bepaalde doeleinden en met toestemming van

betrokkene of op basis van ‘een andere gerechtvaardigde grondslag waarin

wet voorziet’.

considerans van

AVG bevestigt dat

bescherming van natuurlijke personen bij

verwerking van persoonsgegevens ‘een grondrecht’ is. 2.5 In

Santander-beschikking uit 2011 heeft

Hoge Raad geoordeeld dat, gelet op art. 8 EVRM en

totstandkomingsgeschiedenis van

Wbp, elke verwerking van persoonsgegevens moet voldoen aan

beginselen van proportionaliteit en subsidiariteit. Ook als

gegevensverwerking in beginsel is toegestaan op een van

in art. 8 Wbp limitatief opgesomde verwerkingsgronden (vergelijk thans art. 6 lid 1 AVG), blijft

eis gelden dat

verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van

verwerking.

aanwezigheid van een wettelijke rechtvaardigingsgrond maakt

rhalve een belangenafweging aan

hand van

beginselen van proportionaliteit en subsidiariteit niet overbodig, aldus

Hoge Raad. Het ging in die zaak, evenals in

nu voorliggende zaak, om een kredietregistratie in het CKI van het BKR, waartegen

kredietnemer verzet had aangetekend op grond van art. 40 Wbp (vergelijk thans art. 21 AVG). Het hof had

vraag of

kredietregistratie berustte op

c-grond van art. 8 Wbp (nakoming van een wettelijke verplichting) dan wel op

f-grond (behartiging van een gerechtvaardigd belang) onbeantwoord gelaten, daartoe overwegende dat ongeacht

toepasselijke verwerkingsgrondslag een belangenafweging moest plaatsvinden.

Hoge Raad liet dat oordeel in stand en verwierp

daartegen gerichte klacht dat bij

toepassing van

c-grond geen belangenafweging vereist zou zijn. 2.6

grondrechtelijke status van het recht op bescherming van persoonsgegevens brengt dus mee dat elke gegevensverwerking aan

basisvereisten van art. 8 EVRM en art. 8 Handvest moet voldoen, waaronder

beginselen van proportionaliteit en subsidiariteit. Dit maakt een toetsing aan

AVG, waarin die basisvereisten zijn uitgewerkt, niet overbodig. Eerst zal moeten worden bezien of en in hoeverre

AVG een gegevensverwerking toestaat. Een aanvullende toetsing aan art. 8 EVRM en art. 8 Handvest kan als vangnet fungeren voor gevallen die

AVG-toets doorstaan, maar biedt

rechthebbende niet zonder meer een gelijkwaardig beschermingsniveau. Bescherming van persoonsgegevens onder

AVG en

UAVG 2.7

AVG is ingevoerd om

Europese gegevensbeschermingsregels verder te harmoniseren dan

Richtlijn bescherming persoonsgegevens al

ed.

materiële normen voor

verwerking van persoonsgegevens zijn in grote lijnen gelijk gebleven, maar

rechtspositie van

rechthebbenden is op verschillende punten versterkt, bijvoorbeeld door

invoering van het nog te bespreken recht op vergetelheid (art. 17 AVG). Wetssystematisch is een belangrijk verschil dat

AVG, als verordening, verbindend is in al haar onderdelen en rechtstreeks toepasselijk in elke lidstaat (art. 288 VWEU). Omzetting in nationale wetgeving is dus niet vereist, en in beginsel zelfs niet toegestaan. Niettemin laat

AVG op verschillende punten ruimte voor nadere uitwerking in nationale wetgeving. Zo bepaalt art. 6 lid 2 AVG, toegespitst op

verwerkingsgronden van art. 6 lid 1 onder c en e AVG (wettelijke verplichting en taak van algemeen belang), dat

lidstaten ‘specifiekere bepalingen’ kunnen handhaven of invoeren ter aanpassing van

manier waarop

AVG-regels met betrekking tot

ze verwerkingsgronden worden toegepast. Hiertoe kunnen

lidstaten een ‘nadere omschrijving’ geven van ‘specifieke voorschriften’ voor

verwerking en ‘andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen’. Tegen

ze achtergrond wordt

AVG ook wel een ‘directive in disguise’ genoemd. 2.8 Het vereiste van rechtmatigheid en

beginselen van proportionaliteit en subsidiariteit, zoals neergelegd in art. 8 lid 2 EVRM en art. 8 lid 2 Handvest, zijn nader uitgewerkt in art. 5 AVG, houdende ‘Beginselen inzake verwerking van persoonsgegevens’. Het gaat, voor zover hier van belang, om

beginselen van ‘rechtmatigheid, behoorlijkheid en transparantie’ (lid 1 onder a), ‘doelbinding’ (lid 1 onder b) en ‘minimale gegevensverwerking’ (lid 1 onder c). Laatstgenoemd beginsel houdt in dat

verwerking van persoonsgegevens beperkt moet blijven tot ‘wat noodzakelijk is voor

doeleinden waarvoor zij worden verwerkt’. Meer concreet betekent dit bijvoorbeeld dat

opslagperiode van persoonsgegevens tot een ‘strikt minimum’ moet worden beperkt. 2.9 Het vereiste van toestemming of een andere gerechtvaardigde grondslag, zoals neergelegd in art. 8 lid 2 Handvest, is nader uitgewerkt in art. 6 AVG, over ‘Rechtmatigheid van

verwerking’. In art. 6 lid 1 AVG zijn zes limitatieve verwerkingsgronden opgenomen, die overeenstemmen met

verwerkingsgronden van art. 7 van

Richtlijn en art. 8 Wbp.

ze verwerkingsgronden en hun onderlinge verhouding bespreek ik hierna in alinea 2.14 e.v. 2.10

Uitvoeringswet AVG (UAVG), die tegelijk met

AVG op 25 mei 2018 is ingevoerd, voorziet in regels ter uitvoering van het in

AVG bepaalde, bijvoorbeeld met betrekking tot

publiekrechtelijke handhaving van AVG-regels en

civielrechtelijke rechtsbescherming van

rechthebbende.

UAVG bouwt voort op het normenkader van

Richtlijn en

Wbp. Voor

ze zaak is art. 35 UAVG van belang, dat – voortbouwend op het in art. 79 AVG neergelegde recht op een ‘doeltreffende voorziening in rechte’ – voorziet in een civielrechtelijke rechtsingang met het oog op onder meer het doen verwijderen of het doen staken van

verwerking van persoonsgegevens (alinea 2.39 e.v.).

begrippen ‘verwerking’, ‘verwerkingsverantwoordelijke’ en ‘verwerker’ (art. 4 AVG) 2.11

voor

toepassing van

AVG relevante begrippen zijn gedefinieerd in art. 4 AVG. Onder persoonsgegevens wordt verstaan ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon’.

ze persoon,

rechthebbende, wordt in

AVG als betrokkene aangemerkt (art. 4 onder 1 AVG).

verwerking van persoonsgegevens is ruim omschreven als ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés’. Daaronder wordt behalve het ‘opslaan’ en ‘raadplegen’ van persoonsgegevens bijvoorbeeld ook het ‘wissen of vernietigen’ van persoonsgegevens verstaan (art. 4 onder 2 AVG). 2.12

materiële normen van

AVG zijn primair gericht tot

verwerkingsverantwoordelijke (‘controller’). Dat is

natuurlijke persoon of rechtspersoon die, alleen of samen met anderen, ‘het doel van en

middelen voor

verwerking van persoonsgegevens vaststelt’ (art. 4 onder 7 AVG). In

literatuur wordt

verwerkingsverantwoordelijke omschreven als

gene onder wiens verantwoordelijkheid

gegevensverwerking plaatsvindt. Indien twee of meer personen gezamenlijk

doeleinden en middelen van

verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken (art. 26 lid 1 AVG).

betrokkene kan zijn AVG-rechten dan met betrekking tot en jegens ieder van hen uitoefenen (art. 26 lid 3 AVG). 2.13 Worden persoonsgegevens verwerkt door een

rde die optreedt namens

verwerkingsverantwoordelijke, dan wordt die

rde als verwerker (‘processor’) aangeduid (art. 4 onder 8 AVG).

verwerking van persoonsgegevens door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling die

verwerker ten opzichte van

verwerkingsverantwoordelijke bindt (art. 28 lid 3 AVG).

verwerker bevindt zich buiten

organisatie van

verwerkingsverantwoordelijke en handelt overeenkomstig diens instructies. Een voorbeeld is het salarisadministratiebedrijf, dat in opdracht van werkgevers persoonsgegevens van werknemers verwerkt. Verwerkingsgronden (art. 6 AVG) 2.14 Art. 6 lid 1 AVG behelst zoals gezegd een limitatieve opsomming van

gronden waarop persoonsgegevens rechtmatig kunnen worden verwerkt. Het artikellid luidt als volgt: ‘

verwerking is alleen rechtmatig indien en voor zover aan ten minste een van

onderstaande voorwaarden is voldaan: a)

betrokkene heeft toestemming gegeven voor

verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b)

verwerking is noodzakelijk voor

uitvoering van een overeenkomst waarbij

betrokkene partij is, of om op verzoek van

betrokkene vóór

sluiting van een overeenkomst maatregelen te nemen; c)

verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op

verwerkingsverantwoordelijke rust; d)

verwerking is noodzakelijk om

vitale belangen van

betrokkene of van een andere natuurlijke persoon te beschermen; e)

verwerking is noodzakelijk voor

vervulling van een taak van algemeen belang of van een taak in het kader van

uitoefening van het openbaar gezag dat aan

verwerkingsverantwoordelijke is opgedragen; f)

verwerking is noodzakelijk voor

behartiging van

gerechtvaardigde belangen van

verwerkingsverantwoordelijke of van een

rde, behalve wanneer

belangen of

grondrechten en

fundamentele vrijheden van

betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer

betrokkene een kind is.

eerste alinea, punt f), geldt niet voor

verwerking door overheidsinstanties in het kader van

uitoefening van hun taken.’ 2.15 Het limitatieve karakter van

opsomming blijkt uit het woord ‘alleen’.

woorden ‘voor zover’ bevestigen het beginsel van minimale gegevensverwerking (art. 5 lid 1 onder c AVG): indien slechts een gedeelte van

verwerking of slechts een gedeelte van

verwerkte gegevens onder het bereik van

toepasselijke verwerkingsgrond(en) valt, is

verwerking slechts in zoverre rechtmatig, en voor het overige verboden.

woorden ‘ten minste’ maken duidelijk dat één en

zelfde verwerking onder het bereik van meer dan één verwerkingsgrond kan vallen.

verwerkingsgronden kunnen elkaar in die zin overlappen, maar

toepasselijkheid van één verwerkingsgrond volstaat voor het aannemen van rechtmatigheid. 2.16

verwerkingsgronden worden in

literatuur aangemerkt als equivalent, oftewel als gelijkwaardige alternatieven. Hierbij is van belang dat het toepassingsbereik en

rechtsgevolgen van

verwerkingsgronden verschillen. Een toestemming (

a-grond) kan bijvoorbeeld te allen tijde worden ingetrokken (art. 7 lid 3 AVG), terwijl tegen een gegevensverwerking uit hoofde van een taak van algemeen belang (

e-grond) of

behartiging van gerechtvaardigde belangen (

f-grond) te allen tijde bezwaar kan worden gemaakt (art. 21 lid 1 AVG).

ze voorbehouden gelden niet als

gegevensverwerking berust op een wettelijke verplichting (

c-grond), maar daarvoor is een basis in het Unierecht of het nationale recht vereist, die aan bepaalde randvoorwaarden moet voldoen (art. 6 lid 3 AVG, hierna besproken in alinea 2.20). Gezien

ze verschillen is het van belang om

verwerkingsgronden van elkaar te onderscheiden, ook al geldt uiteindelijk dat elke gegevensverwerking moet voldoen aan

eerder besproken basisvereisten van art. 8 EVRM en art. 8 Handvest. 2.17

verwerkingsgronden b tot en met f hebben gemeen dat zij

gegevensverwerking slechts toestaan indien en voor zover die ‘noodzakelijk’ is met het oog op

genoemde doeleinden. Dit vereiste van noodzakelijkheid correspondeert met

eerder besproken beginselen van proportionaliteit en subsidiariteit. Uit

rechtspraak van het HvJEU blijkt dat het begrip ‘noodzakelijk’ (zoals eertijds gebruikt in art. 7 onder e van

Richtlijn) in

ze context een autonome Unierechtelijke betekenis heeft.

Nederlandse wetgever heeft bij

totstandkoming van

UAVG het begrip noodzakelijkheid, toegespitst op

c-grond, aldus nader omschreven dat naleving van

wettelijke verplichting zonder

gegevensverwerking ‘redelijkerwijs niet goed mogelijk’ moet zijn. Diezelfde terminologie werd gebruikt in

memorie van toelichting bij

Wbp, met

toevoeging dat er ‘een evident verband [moet] bestaan tussen

gegevensverwerking en

(uitvoering van

) wettelijke verplichting’.

ze omschrijvingen kunnen behulpzaam zijn bij

feitelijke invulling van het noodzakelijkheidsvereiste.

juridische inkadering ervan is, gelet op het voorgaande, voorbehouden aan het HvJEU. Nakoming van een wettelijke verplichting (art. 6 lid 1 onder c AVG) 2.18 In

ze zaak speelt

verwerkingsgrond van art. 6 lid 1 onder c AVG een centrale rol.

ze betreft gevallen waarin

gegevensverwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op

verwerkingsverantwoordelijke rust. In

literatuur wordt aangenomen dat

ze verwerkingsgrond een restrictief karakter heeft. Niet voldoende is dat

verwerkingsverantwoordelijke wettelijk bevoegd is om persoonsgegevens te verwerken of dat

gegevensverwerking nuttig is voor

naleving van een wettelijke verplichting.

gegevensverwerking moet daadwerkelijk noodzakelijk zijn – in

zojuist besproken zin – om te kunnen voldoen aan een op

verwerkingsverantwoordelijke rustende wettelijke verplichting. 2.19 Het restrictieve karakter van

c-grond is onder het regime van art. 7 sub c van

Richtlijn benadrukt door

‘Artikel 29-Groep’, een werkgroep bestaande uit vertegenwoordigers van

nationale toezichthoudende autoriteiten, wier aanbevelingen niet bindend maar wel gezaghebbend zijn. In haar ‘Legitimate interest opinion’ uit 2014 schreef

ze werkgroep dat

c-grond ‘strikt afgebakend’ is en alleen van toepassing is wanneer

verplichting ‘bij wet wordt opgelegd (en niet, bijvoorbeeld, in een contractuele regeling)’. In

opinie worden als voorbeelden van gegevensverwerkingen op

c-grond genoemd:

wettelijke verplichting van werkgevers om salarisgegevens van hun werknemers door te geven aan

Belastingdienst,

wettelijke verplichting van financiële instellingen om verdachte transacties te melden aan autoriteiten die belast zijn met

handhaving van wetgeving ter voorkoming van witwassen en

gegevensverwerking door lokale overheden met het oog op

afwikkeling van parkeerboetes. Zoals uit

ze voorbeelden blijkt, kan

c-grond zowel door private partijen als door overheidsinstanties worden ingeroepen. 2.20 Een belangrijk element van

c-grond is, naast

al besproken noodzakelijkheidseis, het vereiste van een wettelijke grondslag van

verplichting (‘legal obligation’). Dit vereiste is uitgewerkt in art. 6 lid 3 AVG, dat bepaalt dat

‘rechtsgrond’ van

verplichting (en van

taak van algemeen belang als bedoeld in lid 1 onder e) moet worden vastgesteld bij Unierecht of lidstatelijk recht dat op

verwerkingsverantwoordelijke van toepassing is. Dit recht moet het ‘doel van

verwerking’ vaststellen en kán daarnaast ‘specifieke bepalingen’ bevatten met betrekking tot

toepassing van

AVG-regels, bijvoorbeeld ‘algemene voorwaarden inzake

rechtmatigheid van verwerking door

verwerkingsverantwoordelijke’. Bij dit alles stelt het

rde lid als randvoorwaarden dat

rechtsgrond moet beantwoorden aan een ‘doelstelling van algemeen belang’ en ‘evenredig’ moet zijn met het nagestreefde gerechtvaardigde doel.

wettelijke verplichting moet dus, evenals

daarop gebaseerde gegevensverwerking, aan het noodzakelijkheidsvereiste voldoen (inclusief

daaruit voortvloeiende beginselen van proportionaliteit en subsidiariteit). 2.21

verordening eist niet dat

wettelijke verplichting in een wet in formele zin is neergelegd, zo expliciteert

considerans. Dit betekent dat in beginsel ieder algemeen verbindend voorschrift kan fungeren als grondslag van een wettelijke verplichting in

zin van

c-grond. Volgens

memorie van toelichting bij

UAVG kan in dit verband worden aangesloten bij

algemene leerstukken van het bestuurlijk organisatierecht, zoals attributie, mandaat en

legatie. 2.22 Niet geheel duidelijk is of een wettelijke verplichting in

zin van

c-grond haar rechtsgrond kan vinden in een algemeen geformuleerde wetsbepaling die niet specifiek op gegevensverwerking is toegespitst (zoals in dit geval een zorgplicht in

Wet op het financieel toezicht). Enerzijds vermeldt

considerans, conform

in alinea 2.3 besproken rechtspraak van het EHRM, dat

rechtsgrond ‘duidelijk en nauwkeurig’ moet zijn en

toepassing ervan ‘voorspelbaar’ voor

genen op wie

ze van toepassing is. Anderzijds vermeldt

considerans dat

AVG níet voorschrijft ‘dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is’: er kan worden volstaan met ‘wetgeving die als basis fungeert voor verscheidene verwerkingen’. Dit sluit aan bij art. 6 lid 3 AVG, dat zoals gezegd slechts vereist dat

rechtsgrond het ‘doel van

verwerking’ vaststelt. 2.23

memorie van toelichting bij

UAVG is op dit punt ook niet eenduidig. Enerzijds vermeldt zij dat

rechtsgrond ‘niet noodzakelijkerwijs [behoeft] te bestaan uit een expliciete verplichting om (bepaalde) persoonsgegevens te verwerken’.

verwerking kan ook een basis vinden in ‘een ruimer geformuleerde zorgplicht of wettelijke verplichting’, met dien verstande dat

verwerkingsverantwoordelijke dan een ‘grotere eigen verantwoordelijkheid’ heeft bij

beoordeling van

noodzakelijkheid van

verwerking. Anderzijds vermeldt

memorie van toelichting dat met

wettelijke grondslag voor een publieke taak of verplichting níet steeds ook

wettelijke grondslag voor

gegevensverwerking is gegeven. Uit art. 8 EVRM vloeit voort dat een ‘voldoende precieze wettelijke grondslag’ is vereist.

wetgever acht het ‘niet toelaatbaar’ dat een verplichting tot gegevensverstrekking ‘uitsluitend wordt afgeleid uit

totstandkomingsgeschiedenis van of

samenhang tussen wettelijke bepalingen of wordt verondersteld omwille van

effectiviteit van een wettelijke regeling’. 2.24 Een aannemelijke lezing lijkt, mede gezien art. 8 EVRM, dat

wettelijke verplichting weliswaar algemeen geformuleerd mag zijn, maar dat zij ten aanzien van

voorgeschreven gegevensverwerking wel moet voldoen aan

eisen van duidelijkheid, nauwkeurigheid en voorspelbaarheid.

ze lezing wordt bevestigd door

Artikel 29-Groep in haar eerder genoemde ‘Legitimate interest opinion’.

Volgens

ze opinie mag

verwerkingsverantwoordelijke ‘geen keuze’ hebben om wel of niet te voldoen aan

verplichting en moet

verplichting ook ‘voldoende duidelijk zijn wat

vereiste verwerking van persoonsgegevens betreft’.

c-grond is dus van toepassing op basis van ‘wetsbepalingen die expliciet verwijzen naar

aard en het voorwerp van

verwerking’.

verwerkingsverantwoordelijke mag ‘geen ongepaste beoordelingsmarge hebben wat betreft

wijze waarop hij aan

wettelijke verplichting voldoet’. In voorkomende gevallen kan

wetgever volstaan met het vaststellen van een ‘algemene doelstelling’, terwijl ‘meer specifieke verplichtingen op een ander niveau worden vastgesteld, bijvoorbeeld in secundaire wetgeving of in een bindend besluit van een overheidsinstantie in een concreet geval’. Zulke specifieke verplichtingen kunnen vallen onder

c-grond, ‘mits

aard en het voorwerp van

verwerking goed is gedefinieerd en er een adequate rechtsbasis voor bestaat’. Indien een regelgevende instantie ‘slechts algemene beleidsrichtlijnen en voorwaarden vaststelt waaronder zij kan overgaan tot het gebruik van [haar] handhavingsbevoegdheden’, moet

verwerking worden beoordeeld op basis van art. 7 onder f van

Richtlijn, en kan zij pas gerechtvaardigd worden geacht na een ‘aanvullende belangenafweging’.

Artikel 29

-Groep noemt in dit verband als voorbeeld ‘regelgevende richtsnoeren voor financiële instellingen over bepaalde due-diligencenormen’. 2.25 Ook in

literatuur wordt aangenomen dat een algemene wettelijke verplichting niet in alle gevallen kan dienen als rechtsgrond voor gegevensverwerking. Toegespitst op

wettelijk gereguleerde kredietregistratie door banken ten behoeve van een kredietwaardigheidstoetsing wordt betoogd dat het hier gaat om ‘the exercise of a legal right to which the controller is entitled’ en dat ‘there is no way data processing can be seen as an obligation in these contexts’. Dit betoog is niet specifiek toegespitst op

Nederlandse wet- en regelgeving. Uiteindelijk zal door uitleg van die wet- en regelgeving moeten worden vastgesteld of sprake is van een wettelijke verplichting in

zin van art. 6 lid 1 onder c AVG, die voldoet aan

voornoemde eisen van duidelijkheid, nauwkeurigheid en voorspelbaarheid. 2.26 Volledigheidshalve merk ik nog op dat voor toepassing van

c-grond is vereist dat

wettelijke verplichting op

verwerkingsverantwoordelijke rust (art. 6 lid 1 onder c AVG). Rust

verplichting op iemand anders, bijvoorbeeld

verwerker, dan moet

gegevensverwerking op een andere grondslag worden gebaseerd, zoals

nu te bespreken f-grond. Behartiging van gerechtvaardigde belangen (art. 6 lid 1 onder f AVG) 2.27 Art. 6 lid 1 onder f AVG betreft gevallen waarin

verwerking noodzakelijk is voor

behartiging van

gerechtvaardigde belangen van

verwerkingsverantwoordelijke of een

rde. Kenmerkend voor

ze verwerkingsgrond is het open karakter ervan. Toepassing van

f-grond noopt

verwerkingsverantwoordelijke (en in rechtsgeschillen

rechter) tot een belangenafweging. Dit blijkt uit het vervolg van onderdeel f (na ‘behalve’), waar is bepaald dat

f-grond toepassing mist indien

belangen of

grondrechten en

fundamentele vrijheden van

rechthebbende ‘zwaarder wegen’ dan

gerechtvaardigde belangen van

verwerkingsverantwoordelijke of

rde in kwestie. Bij

ze belangenafweging speelt

‘redelijke privacyverwachting’ van

rechthebbende een centrale rol. Getoetst moet worden of

rechthebbende op het tijdstip en in het kader van

verzameling van

persoonsgegevens ‘redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden’.

uitkomst van

ze toetsing is afhankelijk van

omstandigheden van het geval. 2.28 Gerechtvaardigde belangen in

zin van

f-grond kunnen blijkens

considerans aanwezig zijn wanneer sprake is van ‘een relevante en passende verhouding tussen

betrokkene en

verwerkingsverantwoordelijke, in situaties waarin

betrokkene een klant is of in dienst is van

verwerkingsverantwoordelijke’. Een veel genoemd voorbeeld is het geval waarin een bedrijf persoonsgegevens van klanten verwerkt ten behoeve van ‘direct marketing’.

Artikel 29

-Groep noemt ook

‘Verificatie van

gegevens van een klant vóór

opening van een bankrekening’ als voorbeeld van gegevensverwerking op

f-grond, overigens met

kanttekening dat ook

c-grond van toepassing kan zijn ‘voor zover

toepasselijke wetgeving

genomen maatregelen specifiek vereist’. ‘Kredietcontroles voorafgaand aan

verstrekking van een lening’ kunnen volgens

Artikel 29

-Groep op

f-grond berusten, maar in geval van ‘een wettelijke verplichting van banken om een officiële lijst van geregistreerde schuldenaars te raadplegen’ komt ook

c-grond voor toepassing in aanmerking.

Autoriteit Persoonsgegevens noemt het belang om ‘zorgplichten na te komen voor werknemers en/of klanten’ als voorbeeld van een gerechtvaardigd belang in

zin van

f-grond. 2.29

ingevolge art. 6 lid 1 onder f AVG af te wegen belangen zijn geen gelijke grootheden. Tegenover

‘gerechtvaardigde belangen’ van

verwerkingsverantwoordelijke staan ‘

belangen of

grondrechten en

fundamentele vrijheden’ van

rechthebbende. In

ze formulering valt op dat

belangen van

rechthebbende niet van

kwalificatie ‘gerechtvaardigde’ zijn voorzien, terwijl behalve die belangen ook ‘

grondrechten en

fundamentele vrijheden’ van

rechthebbende gewicht in

schaal leggen. Tegen

ze achtergrond, en mede gelet op het voorschrift dat

gerechtvaardigde belangen van

verwerkingsverantwoordelijke ‘zwaarder’ moeten wegen, wordt aangenomen dat

f-grond een ruime bescherming biedt aan

rechthebbende en een uitgebreide motiveringsplicht oplegt aan

verwerkingsverantwoordelijke. 2.30

f-grond wordt, vanwege zijn open karakter, ook wel als ‘restgrond’ betiteld.

gedachte is dat een casuïstische belangenafweging als voorgeschreven in art. 6 lid 1 onder f AVG achterwege kan blijven als een andere, meer categorisch omschreven verwerkingsgrond (bijvoorbeeld

c-grond) voor toepassing in aanmerking komt. Volgens

Artikel 29

-Groep is bij

f-grond een ‘specifieke test nodig voor gevallen die niet passen in

vooraf gedefinieerde scenario's onder a) tot en met e)’. Zo bezien bevat

f-grond ‘aanvullende waarborgen’. Daarom mag

f-grond niet worden beschouwd als ‘

zwakste schakel’ of een ‘open

ur om alle activiteiten op het gebied van gegevensverwerking die niet onder een van

andere rechtsgronden vallen te rechtvaardigen’.

f-grond is, aldus

Artikel 29-Groep, geen ‘voorkeursoptie’, maar ook geen ‘laatste redmiddel’.

Een en ander bevestigt het equivalente karakter van

verwerkingsgronden (alinea 2.16). 2.31 Een belangrijke beperking van het toepassingsbereik van

f-grond schuilt in

tweede alinea van art. 6 lid 1 AVG. Daarin is bepaald dat

f-grond niet geldt voor

verwerking van persoonsgegevens door overheidsinstanties.

achterliggende gedachte is, blijkens

considerans, dat het aan

wetgever is om een rechtsgrond te creëren voor dit type gegevensverwerking. Door

ze uitsluiting is

f-grond uitsluitend van toepassing op gegevensverwerking in

private sector. Recht van bezwaar en gegevenswissing (art. 21 en 17 AVG) 2.32

verwerkingsgronden van art. 6 lid 1 AVG verschillen niet alleen in materieel opzicht, maar ook in procedurele zin, met betrekking tot

rechtsmiddelen die

rechthebbende ten dienste staan. Voor

ze zaak zijn het recht van bezwaar (art. 21 lid 1 AVG) en het recht van gegevenswissing na bezwaar (art. 17 lid 1 onder c AVG) van belang. 2.33 Art. 21 lid 1 AVG bepaalt, voor zover hier van belang, dat

rechthebbende te allen tijde het recht heeft om bezwaar te maken tegen een gegevensverwerking op

e- of

f-grond, vanwege redenen die verband houden met zijn ‘specifieke situatie’. Maakt

rechthebbende bezwaar, dan staakt

verwerkingsverantwoordelijke

gegevensverwerking, tenzij hij ‘dwingende gerechtvaardigde gronden’ voor

verwerking aanvoert die ‘zwaarder wegen’ dan

belangen, rechten en vrijheden van

rechthebbende. Een bezwaar noopt

verwerkingsverantwoordelijke dus (opnieuw) tot een belangenafweging. In vergelijking met

initiële belangenafweging die bij

toepassing van

f-grond moet plaatsvinden (alinea 2.27) is

ze hernieuwde belangenafweging specifieker van aard en bovendien meer toegespitst op

actuele omstandigheden waarin

rechthebbende verkeert.

gedachte is dat die eerdere belangenafweging, hoe zorgvuldig ook, een enigszins algemeen karakter heeft, zodat niet valt uit te sluiten dat

belangenafweging – al dan niet vanwege nieuwe feitelijke ontwikkelingen – in het individuele geval anders moet uitvallen. In

lagere rechtspraak wordt voor

ze hernieuwde belangenafweging aansluiting gezocht bij

in alinea 2.5 besproken Santander-beschikking en

daarin genoemde beginselen van proportionaliteit en subsidiariteit. 2.34

belangenafweging vertrekt niet vanuit een neutraal uitgangspunt. Ingevolge art. 21 lid 1 AVG moet een gegevensverwerking op

e- of f-grond waartegen bezwaar wordt gemaakt in beginsel gestaakt worden, tenzij dwingende gerechtvaardigde gronden aan

zijde van

verwerkingsverantwoordelijke daartegen pleiten. Volgens

considerans betekent dit dat

verwerkingsverantwoordelijke moet ‘aantonen’ dat zijn dwingende gerechtvaardigde belangen zwaarder wegen dan

belangen of

grondrechten en

fundamentele vrijheden van

betrokkene. In

Santander-beschikking is

Hoge Raad (in

context van

door art. 8 lid 2 EVRM voorgeschreven belangenafweging) omwille van

‘praktische hanteerbaarheid’ van

Wbp uitgegaan van een verdeling van stelplicht en bewijslast die inhoudt dat het in eerste instantie aan

rechthebbende is om ‘nadere gegevens’ te verschaffen die tot een hernieuwde belangenafweging kunnen leiden. Mijns inziens heeft hetzelfde te gelden in

context van art. 21 lid 1 AVG, nu die bepaling spreekt over een recht van

betrokkene om ‘vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken’ tegen

gegevensverwerking. Hierin ligt besloten dat

betrokkene specifieke redenen voor zijn bezwaar zal moeten aanvoeren (en zo nodig aantonen), waarna het aan

verwerkingsverantwoordelijke is om aan te voeren (en zo nodig aan te tonen) dat dwingende gerechtvaardigde gronden aan zijn zijde voor afwijzing van het bezwaar pleiten. 2.35 Maakt

rechthebbende overeenkomstig art. 21 lid 1 AVG bezwaar tegen

verwerking, dan heeft hij ingevolge art. 17 lid 1, aanhef en onder c, AVG tevens recht op wissing van

hem betreffende persoonsgegevens (ook wel het ‘recht op vergetelheid’ genoemd). Het recht op gegevenswissing na bezwaar geldt alleen als er ‘geen prevalerende dwingende gerechtvaardigde gronden voor

verwerking’ zijn (een variant van

zojuist besproken tenzij-formule van art. 21 lid 1 AVG). 2.36 Het recht op bezwaar bestaat ingevolge art. 21 lid 1 AVG alleen bij een verwerking op

e- of f-grond. Een verwerking op

c-grond (nakoming van een wettelijke verplichting) is dus niet vatbaar voor bezwaar. Ter rechtvaardiging hiervan is in

memorie van toelichting bij

Wbp opgemerkt dat een wettelijke verplichting tot gegevensverwerking ‘in

regel zo weinig beoordelingsruimte voor

verantwoordelijke over[laat] dat in

rgelijke gevallen een recht van verzet van

betrokkene niet zinvol is’. 2.37 Het recht op gegevenswissing na bezwaar (art. 17 lid 1 onder c AVG) is gelet op het voorgaande eveneens uitsluitend van toepassing bij een verwerking op

e- of f-grond. Art. 17 lid 1 AVG noemt nog meer situaties waarin een recht op gegevenswissing bestaat, bijvoorbeeld wanneer

gegevens niet langer nodig zijn voor het doel van

verwerking (sub a) of wanneer

rechthebbende een eerder gegeven toestemming intrekt (sub b). Ingevolge art. 17 lid 3 onder b AVG mist het recht op gegevenswissing evenwel toepassing als

gegevensverwerking nodig is voor het nakomen van een in het Unierecht of het lidstatelijke recht neergelegde ‘wettelijke verwerkingsverplichting die op

verwerkingsverantwoordelijke rust’.

ze uitzondering correspondeert met

verwerkingsgrond van art. 6 lid 1 onder c AVG (nakoming van een wettelijke verplichting). Bij een verwerking op

c-grond bestaat er dus naar

letter van

AVG noch een recht op bezwaar, noch een recht op gegevenswissing. Beslistermijnen en rechtsmiddelen na bezwaar (art. 12 lid 3 AVG en art. 35 UAVG) 2.38 Art. 12 lid 3 AVG regelt

beslistermijnen in geval van een verzoek krachtens

artikelen 15 tot en met 22 AVG, waaronder een verzoek om gegevenswissing (art. 17 AVG) en een verzoek tot staking van

gegevensverwerking uit hoofde van bezwaar (art. 21 AVG).

verwerkingsverantwoordelijke verstrekt

rechthebbende onverwijld en in ieder geval binnen één maand na ontvangst van het verzoek informatie over het gevolg dat daaraan is gegeven, onder opgave van

redenen daarvoor.

ze beslistermijn kan indien nodig met nog eens twee maanden worden verlengd. 2.39 Wordt het verzoek geweigerd, of heeft

rechthebbende anderszins gronden om te menen dat zijn rechten uit hoofde van

AVG zijn geschonden, dan heeft hij ingevolge art. 79 lid 1 AVG het recht om een ‘doeltreffende voorziening in rechte’ in te stellen. Ter uitwerking hiervan is in art. 34 UAVG bepaald dat een schriftelijke beslissing op een verzoek krachtens

artikelen 15 tot en met 22 AVG (zoals een beslissing op bezwaar en/of op een verzoek om gegevenswissing) heeft te gelden als een besluit in

zin van

Algemene wet bestuursrecht (Awb), voor zover die beslissing is genomen door een bestuursorgaan. In dat geval zijn

rechtsmiddelen en

termijnen uit

Awb van toepassing, waaronder

in art. 6:7 Awb neergelegde termijn van zes weken voor het instellen van beroep bij

bestuursrechter. 2.40 Is

beslissing genomen door een private partij, dan kan

rechthebbende ingevolge art. 35 lid 1 UAVG een verzoekschriftprocedure bij

rechtbank instellen, waarin hij veroordeling van

verwerkingsverantwoordelijke verzoekt om alsnog te voldoen aan het verzoek als bedoeld in

artikelen 15 tot en met 22 AVG. Art. 35 lid 2 UAVG bepaalt, naar analogie van

bestuursrechtelijke beroepstermijn, dat het verzoekschrift binnen zes weken na ontvangst van het antwoord van

verwerkingsverantwoordelijke moet worden ingediend. Indien

verwerkingsverantwoordelijke niet binnen

in art. 12 lid 3 AVG genoemde beslistermijn van in beginsel één maand heeft geantwoord, is

indiening van het verzoekschrift niet aan een termijn gebonden, zo vervolgt art. 35 lid 2 UAVG. 2.41 In

praktijk worden geschillen over

verwerking van persoonsgegevens, met name waar het bezwaren tegen een kredietregistratie betreft, vaak aan

voorzieningenrechter in kort geding voorgelegd. Volgens vaste jurisprudentie staat

bijzondere rechtsingang van art. 35 lid 1 UAVG (een verzoekschriftprocedure) hieraan niet in

weg. Wel oordelen

meeste rechters in kort geding, evenals

voorzieningenrechter in

ze zaak, dat

eiser niet-ontvankelijk moet worden verklaard, indien

gevraagde voorziening strekt tot staking van

verwerking van persoonsgegevens en

dagvaarding is uitgebracht ná het verstrijken van

in art. 35 lid 2 UAVG genoemde termijn. Het gerechtshof Amsterdam heeft

ze lijn in een principieel gemotiveerd arrest bevestigd, met

kanttekening dat

eiser ingevolge art. 21 lid 1 AVG ‘te allen tijde’ – en

rhalve ‘meermalen’ (aldus het hof) – bezwaar kan instellen tegen

gegevensverwerking. Na het verstrijken van

in art. 35 lid 2 UAVG genoemde termijn zal

eiser daarom volgens het hof in beginsel eerst opnieuw bezwaar moeten maken, dan wel zijn spoedeisend belang in kort geding moeten onderbouwen ‘tegen

achtergrond van het stelsel van artikel 21 AVG en 35 UAVG’. Volledigheidshalve teken ik hierbij aan dat in

rechtspraak van het HvJEU nog niet is uitgemaakt of (c.q. in hoeverre) op grond van art. 21 lid 1 AVG inderdaad ‘meermalen’ eenzelfde verzoek tot staking van een gegevensverwerking kan worden ingediend. 2.42 In alinea 2.36 e.v. bleek al dat bij toepassing van

c-grond geen recht op bezwaar of gegevenswissing bestaat. Dit betekent dat ook

termijn van art. 35 lid 2 UAVG dan strikt genomen toepassing mist, zoals

voorzieningenrechter in rov. 4.4 van het tussenvonnis in

ze zaak heeft aangenomen. Hiervan uitgaande zou een gegevensverwerking op

c-grond tot in lengte van jaren kunnen worden aangevochten (al dan niet in kort geding). Sommige auteurs betogen echter dat

termijn van art. 35 lid 2 UAVG steeds zou moeten gelden, ongeacht

toepasselijke verwerkingsgrondslag.

ze discussie illustreert opnieuw het belang van het onderscheid tussen

verschillende verwerkingsgronden. Wettelijk kader kredietregistratie (art. 4:32 / 4:34 Wft en art. 114 BGfo) 2.43 Tot zover inventariseerde ik het Europeesrechtelijke kader van

AVG en

aanverwante regelgeving. In

ze zaak gaat het om

vraag hoe

nationale wet- en regelgeving inzake kredietregistratie inpasbaar is in dat Europeesrechtelijke kader. Meer concreet is

vraag of

uit

Wet op het financieel toezicht (Wft) en

aanverwante regelgeving voortvloeiende verplichting van kredietaanbieders om

el te nemen aan een stelsel van kredietregistratie en om in voorkomende gevallen dat stelsel te raadplegen, als een wettelijke verplichting in

zin van art. 6 lid 1 onder c AVG is aan te merken. Met het oog op

beantwoording van die vraag inventariseer ik hierna

wet- en regelgeving op het gebied van het financieel toezicht, gevolgd door een bespreking van

bijbehorende wetsgeschiedenis, een en ander voor zover relevant voor

ze zaak. 2.44 Art. 4:32 lid 1 Wft verplicht kredietaanbieders om

el te nemen aan een stelsel van kredietregistratie.

bepaling luidt als volgt: ‘Een aanbieder van krediet neemt

el aan een stelsel van kredietregistratie dat aan alle aanbieders van krediet die gevestigd zijn in een lidstaat toegang biedt onder

zelfde voorwaarden.' Een vergelijkbare bepaling was eertijds opgenomen in art. 14 lid 2 van

Wet op het consumentenkrediet (Wck) en art. 52 van

Wet financiële dienstverlening (Wfd). Beide bepalingen zijn inmiddels vervallen, maar

hierna te bespreken totstandkomingsgeschiedenis ervan is mede van belang voor een goed begrip van art. 4:32 lid 1 Wft. 2.45 Art. 4:34 lid 1 Wft verplicht aanbieders van consumentenkrediet om, ter voorkoming van overkreditering van

consument, informatie in te winnen over

financiële positie van

consument en te beoordelen of

beoogde kredietverlening verantwoord is. Dit wordt ook wel

zorgplicht ter voorkoming van overkreditering genoemd.

bepaling luidt als volgt: ‘Voor

totstandkoming van een overeenkomst inzake krediet, of een belangrijke verhoging van

kredietlimiet, dan wel

som van

bedragen die op grond van een bestaande overeenkomst inzake krediet aan

consument ter beschikking zijn gesteld, wint een aanbieder van krediet in het belang van

consument informatie in over diens financiële positie en beoordeelt hij, ter voorkoming van overkreditering van

consument, of het aangaan van

overeenkomst onderscheidenlijk

belangrijke verhoging verantwoord is.’ Een soortgelijke bepaling was eertijds opgenomen in art. 28 Wck en art. 51 Wfd. 2.46

zorgplicht ter voorkoming van overkreditering is (op

grondslag van art. 4:34 lid 3 Wft) uitgewerkt in art. 114 van het Besluit Gedragstoezicht financiële ondernemingen Wft (BGfo).

ze bepaling luidt als volgt: ‘Alvorens met een consument een overeenkomst inzake krediet aan te gaan waarvan het totale kredietbedrag meer dan € 250 bedraagt, raadpleegt een aanbieder van krediet

bij het stelsel van kredietregistratie waaraan hij

elneemt geregistreerde gegevens over reeds aan

consument verleende kredieten.’ 2.47 Art. 4:34 lid 2 Wft bevat een op het eerste lid voortbouwende bepaling, inhoudende dat een consumentenkrediet of een belangrijke verhoging daarvan moet worden geweigerd indien het krediet respectievelijk

verhoging met het oog op overkreditering van

consument onverantwoord is.

ze zogenaamde weigeringsplicht is uitgewerkt in art. 113 lid 1 BGfo, dat bepaalt: ‘Een aanbieder van krediet gaat met een consument geen overeenkomst inzake krediet aan waarvan het totale kredietbedrag meer dan € 1000 bedraagt, indien hij niet beschikt over voldoende schriftelijke of op een andere duurzame drager vastgelegde informatie aangaande

financiële positie van

consument om, ter voorkoming van overkreditering, te kunnen beoordelen of het aangaan van

overeenkomst verantwoord is.’ 2.48 Volledigheidshalve wijs ik nog op art. 115 BGfo, waarin is bepaald dat een kredietaanbieder, ter voorkoming van overkreditering van

consument,

criteria vastlegt en toepast die hij ten grondslag legt aan

beoordeling van een kredietaanvraag van een consument (lid 1).

aan te leggen inkomenscriteria worden bij ministeriële regeling bepaald (lid 3). 2.49

zorgplicht ter voorkoming van overkreditering heeft mede een Europeesrechtelijke achtergrond. Art. 8 lid 1 van Richtlijn 2008/48/EG (hierna:

Richtlijn consumentenkrediet) bepaalt dat lidstaten ervoor zorgen dat

kredietaanbieder vóór het sluiten van

kredietovereenkomst

kredietwaardigheid van

consument beoordeelt, op basis van toereikende informatie die is verkregen van

consument en, waar nodig, op basis van raadpleging van ‘het

sbetreffende gegevensbestand’. Art. 9 regelt

toegang tot zulke ‘gegevensbestanden’, in

richtlijn ook ‘gegevensbanken’ genoemd. Het artikel eist niet dat lidstaten kredietaanbieders verplichten tot

elname aan gegevensbanken, maar wel dat

gegevensbanken toegankelijk zijn voor kredietaanbieders uit alle lidstaten, onder voorwaarden die niet discriminerend zijn (art. 9 lid 1). Het artikel doet geen afbreuk aan

toepassing van

Richtlijn bescherming persoonsgegevens (art. 9 lid 4), thans

AVG. Soortgelijke bepalingen zijn opgenomen in art. 18 en 21 van Richtlijn 2014/17/ЕU inzake hypothecair krediet. Wetsgeschiedenis over het BKR als stelsel van kredietregistratie 2.50 Uit het voorgaande blijkt dat kredietaanbieders wettelijk verplicht zijn tot

elname aan ‘een stelsel van kredietregistratie’ (art. 4:32 lid 1 Wft) en dat zij, als uitvloeisel van hun wettelijke zorgplicht ter voorkoming van overkreditering (art. 4:34 lid 1 Wft), in voorkomende gevallen ook verplicht zijn tot raadpleging van

gegevens die zijn opgenomen in het stelsel van kredietregistratie waaraan zij

elnemen (art. 114 BGfo). In

wet- en regelgeving is niet bepaald welk stelsel van kredietregistratie als zodanig in aanmerking komt. Uit

hierna te bespreken wetsgeschiedenis blijkt echter dat

wetgever primair het oog heeft gehad op het door het BKR aangeboden stelsel (het CKI), dat tot op heden het enige in Nederland aangeboden stelsel is dat voldoet aan

eisen van art. 4:32 lid 1 Wft in samenhang met art. 9 van

Richtlijn consumentenkrediet. Wet op het consumentenkrediet 2.51 In art. 14 lid 2 Wck (oud) was bepaald dat aan

voor kredietverlening vereiste vergunning het voorschrift kon worden verbonden dat

kredietaanbieder zich aansloot bij ‘een stelsel van kredietregistratie’ (vgl. thans art. 4:32 lid 1 Wft). In art. 28 lid 2 Wck (oud) was bepaald dat

kredietaanbieder, indien hij ingevolge bedoeld vergunningvoorschrift

elnam aan een stelsel van kredietregistratie, verplicht was

in dat kader geregistreerde gegevens over

consument te raadplegen, alvorens een krediet te verlenen van tweeduizend gulden of meer (vgl. thans art. 114 BGfo). 2.52 In

memorie van toelichting bij

Wck is

ontwikkeling van

kredietregistratie in Nederland geschetst. Met het belangrijker worden van

kredietverlening aan consumenten in

jaren ’60 van

twintigste eeuw, werd door kredietaanbieders in toenemende mate

behoefte gevoeld aan een ‘centrale informatiebron’, waarin gegevens over ‘reeds verleende kredieten en eventuele reeds bestaande betalingsproblemen’ zouden zijn opgenomen, met het oog op

‘acceptatiebeslissing’. Een en ander leidde in 1965, op initiatief van

financiële sector, tot

oprichting van het BKR, een stichting die volgens

wetgever ‘zeker niet uitsluitend het eigen belang’ diende.

toets bij het BKR omtrent

daar geregistreerde verplichtingen van

kredietaanvrager is in

memorie van toelichting aangemerkt als een ‘belangrijk onderdeel van het inwinnen van

nodige inlichtingen’. Het paste volgens

wetgever in

toenmalige opvattingen over

verhouding tussen

private en

publieke sector om ‘niet tot overheidsingrijpen over te gaan indien een privaatrechtelijke stichting – het BKR – goed functioneert’. Het bepaalde in art. 28 lid 2 Wck (oud) werd in

memorie van toelichting als volgt geparafraseerd: ‘Ingevolge het tweede lid dient

BKR-toets te worden verricht indien

kredietgever ingevolge vergunningvoorschrift is aangesloten bij het BKR.’ 2.53 In

memorie van antwoord is herhaald dat het BKR ‘zeker niet uitsluitend het eigen belang dient’. Met

ze formulering is volgens

regering bedoeld ‘dat

zelfregulering met betrekking tot het BKR door

overheid gezien wordt als een bewijs voor

stelling dat het betrokken bedrijfsleven zijn maatschappelijke verantwoordelijkheid serieus neemt. Een goed functionerende kredietregistratie is immers niet alleen een kredietgevers- maar ook een consumenten- en een algemeen belang.’

vraag ‘of

zelfregulering niet te vrijblijvend benaderd is’, werd door

regering ontkennend beantwoord. In antwoord op een vraag over

rechtsgevolgen van een eventuele weigering om

el te nemen aan het BKR is namens

regering opgemerkt dat het BKR ‘een privaatrechtelijke rechtspersoon is, die geen overheidstaak uitoefent en zelfstandig haar beleid kan bepalen’. Wet financiële dienstverlening 2.54 In art. 51 lid 1 Wfd (oud) was bepaald dat

kredietaanbieder, voorafgaand aan

totstandkoming van een kredietovereenkomst, informatie inwint over

financiële positie van

consument en ter voorkoming van overkreditering van

consument beoordeelt of het aangaan van

overeenkomst verantwoord is (vgl. thans art. 4:34 lid 1 Wft). In art. 52 Wfd (oud) was bepaald dat

kredietaanbieder

elneemt aan ‘een stelsel van kredietregistratie’ (vgl. thans art. 4:32 lid 1 Wft). 2.55 In

memorie van toelichting bij

Wfd is benadrukt dat inzicht in

kredietpositie van

consument een ‘belangrijk onderdeel [is] van

zorgplicht die een kredietverstrekker jegens zijn wederpartij heeft’. Dit inzicht helpt ‘invulling te geven aan zijn verantwoordelijkheid voor het adviseren van het juiste product dat bij

kredietpositie van

consument past’. ‘Een systeem van kredietregistratie is hiervoor belangrijk’, aldus

wetgever. Met betrekking tot

in art. 51 lid 1 Wfd (oud) neergelegde zorgplicht ter voorkoming van overkreditering is vermeld dat

ze in lagere regelgeving zal worden uitgewerkt en in bepaalde gevallen ertoe zal leiden dat voorafgaande aan het sluiten van een kredietovereenkomst ‘

databank van een stelsel van kredietregistratie moet worden geraadpleegd’. Met betrekking tot

in art. 52 Wfd (oud) neergelegde verplichting tot

elname aan een stelsel van kredietregistratie is opgemerkt: ‘

verplichting uit het eerste lid is overgenomen uit artikel 14, tweede lid, van

Wck. Op grond van dat artikel was

elname aan een stelsel van kredietregistratie een voorschrift verbonden aan

vergunning. Tot

taken van een stelsel van kredietregistratie behoren in ieder geval het verzamelen, vastleggen, ordenen en het ter beschikking stellen aan

elnemers van gegevens, van belang bij

beoordeling van

financiële draagkracht van

consument, met inachtneming van een zo groot mogelijke bescherming van

persoonlijke levenssfeer.

Stichting Bureau Krediet Registratie voldoet op dit moment aan

ze vereisten. Het is echter niet uitgesloten dat in

toekomst ook andere kredietregistratiebureau's als een stelsel van kredietregistratie in

zin van het wetsvoorstel kunnen worden aangemerkt.’ 2.56 Bij het wetsvoorstel behoorde ook een ontwerp Besluit financiële dienstverlening (Bfd). In art. 60 van dat besluit was

zorgplicht ter voorkoming van overkreditering nader uitgewerkt met het voorschrift dat

kredietaanbieder, alvorens een kredietovereenkomst met een consument aan te gaan ten bedrage van € 1.000 of meer,

in het stelsel van kredietregistratie waaraan hij

elneemt geregistreerde gegevens over reeds aan

consument verleende kredieten dient te raadplegen (vgl. thans art. 114 BGfo).

minister heeft dat voorschrift als volgt geparafraseerd: ‘Bij het verstrekken van krediet onder

€ 1000 geldt in het u voorgelegde concept Bfd onder andere geen verplichte toets bij een stelsel van kredietregistratie, feitelijk het BKR.’ Wet op het financieel toezicht en BGfo 2.57

relevante bepalingen uit

Wft en het BGfo zijn hiervoor geïntroduceerd in alinea 2.44 e.v. Zoals gezegd bouwen die bepalingen voort op

zojuist besproken bepalingen uit

Wck, respectievelijk

Wfd en het Bfd. 2.58 In

toelichting bij het ontwerp van art. 4:32 Wft, houdende

verplichting voor kredietaanbieders om

el te nemen aan een stelsel van kredietregistratie, is opgemerkt dat het BKR ‘op dit moment voldoet’ aan

eisen die aan een

rgelijk stelsel kunnen worden gesteld.

wetgever acht het ‘niet uitgesloten dat in

toekomst ook andere kredietregistratiebureau’s’ als een stelsel van kredietregistratie in

zin van

Wft kunnen worden aangemerkt. Met betrekking tot

in art. 4:34 lid 1 Wft neergelegde zorgplicht ter voorkoming van overkreditering is opgemerkt dat

ze in lagere regelgeving zal worden uitgewerkt en in bepaalde gevallen ertoe zal leiden dat voorafgaande aan het sluiten van een kredietovereenkomst ‘

databank van een stelsel van kredietregistratie moet worden geraadpleegd’. Een en ander stemt overeen met

in alinea 2.55 geciteerde passages uit

memorie van toelichting bij

Wfd. 2.59 Bij

behandeling van het wetsvoorstel zijn Kamervragen gesteld over ‘het registreren van kredieten vanaf een bepaald bedrag en het toetsen bij Stichting BKR voordat een krediet verstrekt wordt’.

minister heeft hierop geantwoord dat ‘het bedrag waarboven het voor een kredietverstrekker verplicht wordt om informatie in te winnen bij een stelsel van kredietregistratie’ is verlaagd van € 1.000 naar € 250. 2.60 Bij het wetsvoorstel behoorde ook een ontwerp BGfo, met bijbehorende nota van toelichting. In

ze nota van toelichting is benadrukt dat het BKR niet noodzakelijkerwijs het enige stelsel van kredietregistratie in Nederland is.

door

Nederlandse Vereniging van Handelsinformatiebureau’s (NVH) geuite zorg ‘dat alleen het BKR als stelsel van kredietregistratie wordt genoemd’, noemde

minister ‘ongegrond’. Uit art. 4:32 Wft blijkt volgens

minister ‘duidelijk dat niet één bepaald stelsel is beoogd’. In dit verband wees

minister op ‘het lopende marktinitiatief om tot een uitbreiding van schuldenregistratie te komen’. Ook in

toelichting bij art. 112 van het ontwerp-BGfo (dat het voorschrift bevatte om in een kredietprospectus te vermelden aan welk stelsel van kredietregistratie

aanbieder

elnam) is benadrukt dat ‘niet één bepaald stelsel’ is beoogd. Implementatiewet Richtlijn consumentenkrediet 2.61

relevante bepalingen uit

Richtlijn consumentenkrediet zijn hiervoor geïntroduceerd in alinea 2.49. Met het oog op

implementatie daarvan zijn art. 4:32 Wft, inzake

verplichte

elname aan een stelsel van kredietregistratie, en art. 4:34 Wft, inzake

zorgplicht ter voorkoming van overkreditering, enigszins aangepast. 2.62 In

memorie van toelichting bij het implementatievoorstel is opgemerkt dat, door handhaving van art. 4:32 Wft, gebruik is gemaakt van

door

richtlijn geboden mogelijkheid ‘om het vereiste te behouden dat

aanbieder van krediet

kredietwaardigheid beoordeelt op basis van

raadpleging van een gegevensbestand, zoals thans ingevuld door Stichting Bureau Kredietregistratie (BKR) te Tiel als stelsel van kredietregistratie’.

wetgever merkte hierbij op dat het BKR ‘nu ook al’ voldoet aan

door

richtlijn gestelde eis dat

toegang tot het stelsel niet discriminerend mag zijn. Ook met betrekking tot

ingevolge art. 4:34 lid 1 Wft uit te voeren kredietwaardigheidstoets voorzag

wetgever geen wijziging van

Nederlandse praktijk. 2.63 Bij

behandeling van het implementatievoorstel heeft

minister opgemerkt dat in Nederland het BKR

functie vervult van een gegevensbank die wordt gebruikt om

kredietwaardigheid van consumenten te beoordelen, als bedoeld in art. 9 van

richtlijn consumentenkrediet. In antwoord op Kamervragen over

implementatie van

kredietwaardigheidstoets als voorgeschreven in art. 8 van

richtlijn, merkte

minister op dat Nederland

ze verplichting al kende en dat bij

ze implementatie ‘geen nieuw beleid’ werd voorgesteld. In reactie op een verzoek om ‘nadere informatie over

registratie van telecomschulden’ zette

minister het Nederlandse stelsel van kredietregistratie op grond van

Wft uiteen.

minister benadrukte in dit verband dat ‘kredietregistratie bij BKR een belangrijk middel ter invulling van

kredietwaardigheidstoets’ is. Met het oog op een ‘zo volledig mogelijke kredietregistratie’ moeten kredietaanbieders aangesloten zijn bij ‘een stelsel van kredietregistratie’, aldus

minister, die in dit verband tussen haakjes toevoegde dat het BKR ‘op dit moment het enige stelsel van kredietregistratie [is] dat in Nederland bestaat’.

minister constateerde dat telecombedrijven tot 1 januari 2011 op vrijwillige basis waren aangesloten bij het BKR en juichte toe dat zij in overleg met het BKR

mogelijkheden verkenden om tot ‘alternatieve registratie’ te komen. Verwerking van persoonsgegevens op grond van het CKI-reglement 2.64 Uit

hiervoor besproken wetsgeschiedenis blijkt dat

wetgever

inrichting van het stelsel van kredietregistratie (als bedoeld in art. 4:32 lid 1 Wft en art. 114 BGfo) welbewust ‘aan

markt’ heeft overgelaten. Omdat het BKR vooralsnog

enige Nederlandse aanbieder is van een stelsel van kredietregistratie dat aan

wettelijke eisen voldoet, komt

op kredietaanbieders rustende wettelijke verplichting tot

elname aan en raadpleging van ‘een stelsel van kredietregistratie’ in

praktijk neer op een verplichting tot

elname aan en raadpleging van het BKR (meer bepaald het CKI van het BKR). 2.65 Uit

wet- en regelgeving en

wetsgeschiedenis blijkt niet welke gegevens in het BKR geregistreerd mogen of moeten worden en evenmin onder welke voorwaarden

gegevensverwerking door het BKR en

daarbij aangesloten kredietaanbieders plaatsvindt, bijvoorbeeld hoelang

geregistreerde gegevens mogen of moeten worden bewaard en in welke gevallen zij mogen of moeten worden gewist. Wel blijkt uit

wet en

wetsgeschiedenis met welk doel

elname aan en raadpleging van het CKI plaatsvindt, namelijk ten behoeve van het inwinnen van informatie over

financiële positie van

consument, zulks ter voorkoming van overkreditering van

consument. Dat is

doelstelling die ook uitdrukkelijk in art. 4:34 lid 1 Wft is genoemd.

zelfde doelstelling komt ook tot uitdrukking in onderdeel 26 van

Richtlijn consumentenkrediet, waar wordt gesproken over het belang ‘dat kredietgevers zich niet inlaten met onverantwoorde leningpraktijken of kredieten toestaan zonder

kredietwaardigheid vooraf te hebben beoordeeld’. 2.66 Het BKR heeft het door hem aangeboden stelsel van kredietregistratie nader vormgegeven door

vaststelling van het ‘Algemeen reglement CKI’ (hierna: het CKI-reglement). Dit is een contractuele regeling die

verhouding tussen het BKR en

daarbij aangesloten ‘zakelijke klanten’ (

kredietaanbieders) beheerst (art. 2). Volgens het CKI-reglement verwerkt het BKR persoonsgegevens ter bevordering van een ‘maatschappelijk verantwoorde dienstverlening’.

ze doelstelling is tweeledig. Enerzijds wil het BKR ‘consumenten behoeden voor overkreditering en andere financiële problemen’. Anderzijds levert het BKR voor haar zakelijke klanten ‘een bijdrage aan het beperken van

financiële risico’s bij kredietverlening en aan het voorkomen en bestrijden van misbruik en fraude’ (art. 3 lid 1). 2.67

gegevensverwerking in het CKI vindt volgens het reglement haar rechtmatige grondslag in art. 6 lid 1 onder f van

AVG, ‘omdat

verwerking noodzakelijk is voor

behartiging van

gerechtvaardigde belangen van Stichting BKR en haar zakelijke klanten’ (art. 3 lid 4).

inleiding bij het CKI-reglement vermeldt (op pagina 3, zonder onderbouwing) dat het melden van leningen aan het BKR een ‘wettelijke verplichting’ voor kredietverstrekkers in Nederland is. 2.68 In het CKI-reglement is omschreven welke persoonsgegevens het BKR verwerkt, welke gegevens zakelijke klanten moeten melden bij het BKR en binnen welke termijn dat moet gebeuren (art. 9 e.v.). Ook is gespecificeerd wanneer persoonsgegevens uit het CKI worden verwijderd (art. 14). Daarbij geldt als uitgangspunt dat gegevens van afgelopen kredietovereenkomsten vijf jaren na

einddatum worden verwijderd (art. 14 lid 1), terwijl achterstanden, herstelmeldingen en bijzonderheidscoderingen met betrekking tot lopende overeenkomsten vijf jaren na

registratiedatum, respectievelijk na

herstelmelding worden verwijderd (art. 14 leden 3 e.v.). Het is

zakelijke klant (

kredietaanbieder) niet toegestaan om een contract, achterstand, herstelcode en/of bijzonderheidscodering uit het CKI te verwijderen, tenzij er sprake is van (a) een onterechte registratie, (b) een terechte registratie die onder

gegeven omstandigheden disproportioneel blijkt of (c) een rechterlijke uitspraak of uitspraak van een geschillencommissie die tot verwijdering dwingt (art. 14 lid 10). Wettelijke basis voor verwerking van persoonsgegevens door het BKR? 2.69 Blijkens het voorgaande berust

verwerking van persoonsgegevens door het BKR niet op een wettelijke grondslag, maar op het CKI-reglement, een vorm van zelfregulering die weliswaar uitdrukkelijk is aanvaard door

wetgever (vgl. alinea 2.53), maar die geen expliciete basis heeft in

wet- en regelgeving. 2.70 Bij brief van 14 november 2019 heeft

Autoriteit Persoonsgegevens (

in Nederland aangewezen toezichthoudende autoriteit in

zin van art. 51 AVG; hierna AP) aan

minister van Financiën bericht dat naar haar mening geen toereikende wettelijke grondslag bestaat voor

verwerking van persoonsgegevens in het kader van

kredietregistratie. Volgens

AP bevat

Wft voor kredietaanbieders weliswaar concrete verplichtingen om

el te nemen aan een stelsel van kredietregistratie en om dat stelsel te raadplegen, maar zijn

ze verplichtingen ‘met betrekking tot

verwerking van persoonsgegevens (…) niet verder uitgewerkt’. Zo ontbreken regels over ‘

vormgeving, bewaartermijnen en waarborgen van het register’. Ook is onduidelijk wie dat register mag raadplegen, wanneer dat mag en onder welke voorwaarden, alsmede hoe lang

geregistreerde gegevens mogen worden bewaard.

(hiervoor in alinea 2.55 geciteerde) wetsgeschiedenis refereert weliswaar aan

verwerking van persoonsgegevens en

bescherming van

persoonlijke levenssfeer, maar dit is tot op heden ‘niet verder uitgewerkt in concrete wetgeving’. Het gevolg hiervan is volgens

AP dat

‘onvrijwillige verwerkingen die noodzakelijk zijn om invulling te kunnen geven aan die [op kredietaanbieders rustende] zorgplichten’ enkel gebaseerd kunnen worden op

f-grond van art. 6 lid 1 AVG. Dit betekent dat ‘steeds per verwerking en per cliënt dient te worden beoordeeld of

verwerking noodzakelijk is en blijft en zwaarder weegt dan

bescherming van

persoonsgegevens van

betrokkene’. 2.71

AP signaleert in dit verband dat het BKR zelf geen beroep kan doen op

zorgplichten in

Wft (als grondslag voor

gegevensverwerking), aangezien die zorgplichten ‘enkel rusten op

kredietaanbieders’. Het AP adviseert

minister om wetgeving tot stand te brengen waarbij (i)

inbreuk op

grondrechten van betrokkenen expliciet wordt afgewogen tegen het betrokken algemene belang (voorkoming van overkreditering), (ii) het beheer van het stelsel van kredietregistratie als wettelijke taak of verplichting aan een bepaalde beheerder wordt opgedragen en (iii) wordt voorzien in duidelijke waarborgen voor

betrokkenen en voor een goede taakuitoefening. 2.72 Bij brief van 12

cember 2019 heeft

minister van Financiën aan

Tweede Kamer bericht het advies van

AP ter harte te nemen.

minister onderschreef in

ze brief het belang van een zorgvuldige verwerking van persoonsgegevens in het kader van

kredietregistratie. Om ervoor te zorgen dat ‘een goed, betrouwbaar systeem van kredietregistratie voor nu en voor

toekomst wettelijk geborgd is’, zou

minister in overleg met stakeholders ‘bezien hoe het stelsel kan worden verbeterd en welke waarborgen daarbij passen’. Hij streefde ernaar om voor het einde van 2020 een conceptwetsvoorstel in internetconsultatie te brengen. 2.73 Bij brief van 27 oktober 2020 schreef

minister, onder verwijzing naar zijn brief van 12

cember 2019, dat het aangekondigde overleg met stakeholders had plaatsgevonden en dat het beoogde ‘Wetsvoorstel kredietregistratie’ binnen enkele maanden in consultatie zou worden gebracht. 2.74 Eind april 2021 heeft

minister van Sociale Zaken en Werkgelegenheid, mede namens

minister van Financiën, Kamervragen beantwoord over een eerder namens

regering gedane toezegging om met het BKR in gesprek te gaan over ‘

lengte van

registratietermijn, met daarbij specifieke aandacht voor mensen wier registratie gerelateerd is aan corona’. In dat verband heeft

minister opgemerkt dat uit art. 4:34 Wft en

artikelen 113 tot en met 115 BGfo volgt dat kredietverstrekkers, met het oog op

beoordeling of het aangaan van een kredietovereenkomst met een consument verantwoord is, ‘kredietovereenkomsten [moeten] registreren in een stelsel van kredietregistratie’ en dat zij in het kader van die beoordeling ‘verplicht [zijn] het stelsel van kredietregistratie te raadplegen’. Raadpleging van het BKR is volgens

minister ‘een belangrijk instrument om inzicht te krijgen in welke kredieten een consument al heeft’. Inzicht in

‘betaalgeschiedenis’ heeft tot doel om ‘betalingsproblemen in

toekomst te voorkomen’.

termijnen voor het bewaren van kredietregistraties zijn momenteel geregeld in

reglementen van het BKR.

minister heeft in dit verband het eerder aangekondigde Wetsvoorstel kredietregistratie gememoreerd en medegedeeld dat het streven is om dit wetsvoorstel rond

zomer van 2021 in consultatie te brengen. Verder heeft

minister nog opgemerkt dat hij vooralsnog geen aanleiding ziet om het BKR te vragen om verkorting van

gehanteerde registratietermijn, aangezien daarmee ‘een bescherming tegen overkreditering’ zou vervallen. 2.75 Volledigheidshalve vermeld ik dat

wetgever in een specifieke context, namelijk die van

bekende ‘Toeslagenaffaire’, heeft voorzien in een wettelijke regeling op grond waarvan kredietregistraties van gedupeerde ouders die in aanmerking komen voor een forfaitaire tegemoetkoming ‘per omgaande verwijderd [worden] uit het stelsel van kredietregistratie’. Op dit specifieke punt voorziet

wet dus in een grondslag voor

verwerking (meer bepaald

verwijdering) van persoonsgegevens in het BKR. Kredietregistratie en

bescherming van persoonsgegevens 2.76 Sinds

inwerkingtreding van

AVG (medio 2018) is in

lagere rechtspraak ter discussie komen te staan op welke van

in art. 6 lid 1 AVG genoemde verwerkingsgronden

kredietregistratie in het CKI van het BKR berust. Onder het regime van

op dit punt gelijkluidende Wbp leek hierover geen discussie te bestaan.

memorie van toelichting bij

Wbp vermeldde met zoveel woorden dat kredietregistratie op

f-grond plaatsvond: ‘Ingevolge

Wet op het Consumentenkrediet (Stb. 1990, 395) dient in bepaalde gevallen – voordat consumptieve kredieten kunnen worden verstrekt –

schuldenpositie van

kredietaanvrager te worden getoetst.

Stichting Bureau Kredietregistratie toetst

ze kredietwaardigheid van particulieren.

gegevensverwerkingen die voortvloeien uit

ze toetsingstaak gelden weliswaar als zijnde noodzakelijke precontractuele stappen teneinde een kredietovereenkomst met

betrokkene te kunnen aangaan maar kunnen bezwaarlijk worden aangemerkt als handelingen die op verzoek van

betrokkene worden verricht.

ze handelingen be[o]gen meer het gerechtvaar[d]igd belang van

bank te dienen enige informatie te hebben over

financiële positie van

betrokkene alvorens met hem bepaalde overeenkomsten te sluiten.

gegevensverwerkingen die in het kader van

ze handelingen plaatsvinden worden daarom ook gerechtvaar[d]igd door artikel 8, onder f.

handelingen moeten voorts noodzakelijk zijn teneinde

overeenkomst te kunnen sluiten.

formulering van het voorschrift is aangepast overeenkomstig het advies van

Registratiekamer.’ 2.77 Hiervoor bleek al dat

Autoriteit Persoonsgegevens (alinea 2.70) en het BKR zelf (alinea 2.67) eveneens uitgaan van toepasselijkheid van

f-grond. Ook

Artikel 29

-Groep (alinea’s 2.24 en 2.28) en

eerder geciteerde buitenlandse literatuur (alinea 2.25) verwijzen voor kredietregistraties primair naar

f-grond, zij het niet specifiek in

Nederlandse context. In

nationale literatuur heb ik geen uitgesproken standpunten over

toepasselijke verwerkingsgrondslag aangetroffen. 2.78 In

gepubliceerde lagere rechtspraak over

AVG-toetsing van kredietregistraties lijken verwijzingen naar

f-grond

boventoon te voeren. Ik telde twaalf uitspraken waarin kredietregistraties op

f-grond werden beoordeeld, hetgeen in

meerderheid van die gevallen leidde tot een (gedeeltelijke) toewijzing van

vordering of het verzoek. In negen zaken trof ik verwijzingen naar

c-grond aan (soms in combinatie met

f-grond). In bijna al die zaken werd

vordering of het verzoek afgewezen.

lagere rechtspraak lijkt dus ruimhartiger voor

rechthebbende in

context van

f-grond dan in

context van

c-grond. Dat sluit aan bij

systematiek van

AVG, die alleen ten aanzien van gegevensverwerkingen op

e- en f-grond voorziet in een recht van bezwaar (alinea 2.36). 2.79 Inmiddels hebben alle gerechtshoven zich uitgesproken over

materie. Er zijn vier lijnen in

appelrechtspraak waarneembaar, die ik hierna in vogelvlucht zal behandelen. Vier lijnen in

appelrechtspraak 2.80 Het gerechtshof

n Bosch heeft in een uitvoerig gemotiveerd arrest van 6 augustus 2020

c-grond toepasselijk geoordeeld (

eerste lijn). Volgens het hof vloeit uit het ‘systeem van kredietregistratie’, dat zowel Unierechtelijk (ingevolge

Richtlijn consumentenkrediet) als nationaalrechtelijk (ingevolge art. 4:32 en 4:34 Wft) is voorgeschreven, dat er niet alleen gegevens worden geregistreerd, maar ook dat

geregistreerde gegevens gedurende een zekere termijn worden bewaard. Dit laatste is volgens het hof ‘inherent aan het voorgeschreven systeem’, met het oog op

beoogde voorkoming van overkreditering (rov. 3.5.13.1). Het hof

elt niet

visie van

AP, dat

kredietregistratie uitsluitend op

f-grond zou berusten. Dit zou immers betekenen ‘dat er enerzijds een verplicht systeem is van raadplegen van kredietregistratie en

rhalve een verplichting tot meewerken aan het instandhouden van dat systeem’, terwijl anderzijds ‘zelfs

meest voor

hand liggende uitvoeringshandelingen binnen dit systeem’ niet onder

noodzakelijke verwerking ter uitvoering van een wettelijke verplichting zouden vallen. Een

rgelijk onderscheid acht het hof ‘niet alleen voorshands onwerkbaar in het kader van een adequate en wettelijk verplichte kredietregistratie, maar evenmin nodig om

belangen van

betrokkene conform

AVG adequaat te beschermen’ (rov. 3.5.14). Het hof neemt hierbij in aanmerking dat

verwerking te allen tijde (ook bij toepassing van

c-grond) moet worden getoetst aan

beginselen van proportionaliteit en subsidiariteit, als bedoeld in

Santander-beschikking (rov. 3.5.15). Dat een wettelijke regeling als door

AP bepleit ‘evidente voordelen’ heeft, doet volgens het hof aan het voorgaande niet af (rov. 3.5.16). Het hof concludeert dat banken ter uitvoering van hun ‘wettelijke plicht tot

elname aan een kredietregistratiesysteem (en alles wat daar noodzakelijk bij hoort)’ persoonsgegevens ‘mogen laten verwerken’ door het BKR op grond van art. 6 lid 1 onder c AVG (rov. 3.5.17). 2.81 Het gerechtshof

n Haag heeft bij beschikking van 8 september 2020 uitsluitend

f-grond toepasselijk geoordeeld (

tweede lijn, waarbij

voorzieningenrechter zich in rov. 4.8 van het tussenvonnis in

ze zaak heeft aangesloten). Dat

verwerking van persoonsgegevens in kredietregistraties noodzakelijk is om te voldoen aan een wettelijke verplichting van

verwerkingsverantwoordelijke, acht het hof ‘niet aannemelijk’. Art. 4:32 lid 1 Wfz behelst immers slechts een verplichting tot

elname aan een stelsel van kredietregistratie. Volgens het hof kan niet gezegd worden dat

kredietaanbieder niet aan die ‘

elnemingsverplichting’ voldoet als zij

gegevens van

verzoekster niet in het CKI verwerkt. Het hof gaat er dan ook van uit dat

kredietregistratie op

f-grond berust en dat

verzoekster op grond van art. 21 lid 1 AVG het recht van bezwaar toekomt. Bij beschikking van 10 november 2020 heeft het hof

ze redenering herhaald, met

kanttekening dat het voor

toepasselijkheid van

proportionaliteits- en subsidiariteitstoets ‘geen wezenlijk verschil’ maakt of

verwerking op

c-grond of

f-grond berust, aangezien die toets bij alle in art. 6 lid 1 AVG genoemde grondslagen moet worden uitgevoerd. Volledigheidshalve wijs ik nog op

beschikkingen van 24 september 2019 en 18 mei 2021, waarin het Haagse hof een kredietregistratie aan art. 21 AVG toetste, hetgeen doet vermoeden dat het hof ook in die beschikkingen (stilzwijgend) van toepasselijkheid van

f-grond is uitgegaan. 2.82 Het gerechtshof Amsterdam heeft bij beschikking van 9 februari 2021 zowel

c-grond als

f-grond toepasselijk geoordeeld (

rde lijn). Volgens het hof biedt art. 6 lid 1 onder f AVG ‘in ieder geval een grondslag’ voor

BKR-registratie. Voor zover

kredietaanbieder als verwerkingsverantwoordelijke in

zin van

AVG is te beschouwen, biedt ‘ook artikel 6 lid 1 onder c AVG een grondslag’. Aan

wettelijke verplichting tot

elname aan en raadpleging van een stelsel van kredietregistratie (art. 4:32 en 4:34 Wft in verbinding met art. 114 BGfo) is volgens het hof ‘inherent dat met consumentenkredieten verband houdende persoonsgegevens worden verwerkt in een kredietregistratiesysteem en gedurende een bepaalde termijn beschikbaar worden gehouden’.

(handhaving van

) registratie van gegevens in het CKI is daarom volgens het hof noodzakelijk om te voldoen aan

ze wettelijke verplichtingen. Evenals het Haagse hof oordeelt het Amsterdamse hof overigens dat

grondslag van

verwerking ‘niet ter zake’ doet voor

toepassing van

proportionaliteits- en subsidiariteitstoets. Niettemin voert het hof twee afzonderlijke toetsingen uit, één op basis van

c-grond (

Santander-toets) en één op basis van

f-grond (

toets aan art. 21 AVG). Volledigheidshalve wijs ik nog op een beschikking van 16 februari 2021, waarin het Amsterdamse hof zijn beslissing heeft aangehouden in afwachting van

beantwoording van

nu voorliggende prejudiciële vragen door

Hoge Raad. 2.83 Het gerechtshof Arnhem-Leeuwarden heeft bij beschikking van 17

cember 2020

zienswijze van het Bossche hof onderschreven (

eerste lijn), en die van het Haagse hof verworpen. Bij arrest van 3

cember 2019 had dit hof ook al toepassing gegeven aan

c-grond, daartoe overwegende (i) dat kredietaanbieders op grond van art. 4:32 lid 1 Wft verplicht zijn

el te nemen aan een stelsel van kredietregistratie, (ii) dat het CKI het enige in Nederland bestaande stelsel van kredietregistratie is en (iii) dat

elnemers aan het CKI gebonden zijn aan het CKI-reglement. Registratie van persoonsgegevens bij het BKR vindt daarom volgens het hof plaats op grond van een wettelijke plicht als bedoeld in art. 6 lid 1 onder c AVG. Bij beschikking van 14 januari 2020 heeft hetzelfde hof (in een andere samenstelling) toepassing gegeven aan art. 21 AVG, daarmee impliciet suggererend dat

f-grond toepasselijk zou zijn. Bij beschikking van 23 februari 2021 heeft dit hof wederom toepassing gegeven aan art. 21 AVG, nochtans uitgaande van toepasselijkheid van

c-grond. In dat kader overwoog het hof dat het CKI, om een ‘zinvolle invulling’ te kunnen geven aan

zorgplicht ter voorkoming van overkreditering, gegevens zal moeten bevatten over

kredieten die kredietaanbieders aan consumenten hebben verstrekt. Het melden van betalingsachterstanden aan het BKR is daarom volgens het hof ‘noodzakelijk’ om aan

verplichtingen van art. 4:32 en 4:34 Wft te kunnen voldoen. Tegen

ze achtergrond verwierp het hof

stelling van

verzoeker, dat

kredietregistratie ‘uitsluitend gebaseerd kan zijn op artikel 6 lid 1 onder f AVG’. Al met al tendeert het gerechtshof Arnhem-Leeuwarden in

richting van

c-grond, al lijkt in dit ressort geen sprake te zijn van een eenduidige lijn. 2.84 Volledigheidshalve merk ik nog op dat er ook feitenrechters zijn die

grondslag van

gegevensverwerking in het midden laten en enkel een belangenafweging uitvoeren aan

hand van

beginselen van proportionaliteit en subsidiariteit. Dat is een vierde lijn, die aansluit bij

pragmatische benadering die

Hoge Raad eertijds in

Santander-beschikking heeft gekozen (alinea 2.5). 3Bespreking van

prejudiciële vragen Vraag 1: onder welke AVG-verwerkingsgrondslag valt kredietregistratie in het CKI? 3.1

eerste prejudiciële vraag betreft

toepasselijke verwerkingsgrondslag, het voornaamste discussiepunt in

ze zaak.

ze vraag luidt als volgt: ‘1. Moet

verwerking van concrete persoonsgegevens door een kredietinstelling, door middel van een individuele registratie in het systeem van

BKR, worden getoetst aan het bepaalde in artikel 6 lid 1, aanhef en onder c, AVG, of aan artikel 6 lid 1 aanhef en onder f AVG, of aan beide bepalingen?’ 3.2 Bij

bespreking van

ze vraag stel ik het volgende voorop. Niet ter discussie staat dat kredietregistratie een verwerking van persoonsgegevens in

zin van art. 4 onder 1 en 2 AVG inhoudt. Beide partijen in

ze zaak gaan daarvan uit, evenals het BKR in onder meer art. 3, 9 en 14 van het CKI-reglement. In

besproken lagere rechtspraak vormt dit ook geen discussiepunt. In

Santander-beschikking werd een CKI-registratie ook reeds als een verwerking van persoonsgegevens in

zin van

Wbp aangemerkt. Of alle in het CKI geregistreerde gegevens onder

reikwijdte van

AVG vallen, kan in het midden blijven. 3.3 Evenmin staat ter discussie dat zowel het BKR als

kredietaanbieders (Hoist in dit geval) als verwerkingsverantwoordelijken in

zin van art. 4 onder 7 AVG hebben te gelden. Art. 7 lid 4 van het CKI-reglement merkt

kredietaanbieders met zoveel woorden als verwerkingsverantwoordelijken aan. Ook

lagere rechtspraak gaat daarvan uit. Aangenomen dat (naar ik begrijp) kredietaanbieders zelfstandig kredieten en kredietgegevens in het CKI registreren en zelfstandig beslissen om die gegevens in voorkomende gevallen al dan niet voor bepaalde doeleinden te raadplegen (respectievelijk te wijzigen, te verwijderen of anderszins te verwerken), kunnen

kredietnemers mijns inziens inderdaad worden aangemerkt als

genen die, tezamen met het BKR als beheerder van het CKI, ‘het doel van en

middelen voor

verwerking van persoonsgegevens’ vaststellen (in

zin van art. 4 onder 7 AVG). Hun rol lijkt, hiervan uitgaande, minder goed vergelijkbaar met die van een ‘verwerker’ als bedoeld in art. 4 onder 8 AVG, zijnde een louter administratief betrokken

rde die namens en onder verantwoordelijkheid van

verwerkingsverantwoordelijke (in dit geval het BKR) persoonsgegevens verwerkt. Het voorgaande is van belang omdat art. 6 lid 1 onder c AVG vereist dat

wettelijke verplichting op

verwerkingsverantwoordelijke rust, en het BKR in elk geval niet wettelijk verplicht is tot kredietregistratie. 3.4 Ter afbakening merk ik verder op dat

mogelijke toepasselijkheid van

f-grond op gegevensverwerkingen in het CKI geen discussiepunt vormt. In alle besproken rechtspraak wordt

f-grond als een potentieel ‘vangnet’ (zo niet als enige toepasselijke verwerkingsgrondslag) voor CKI-registraties beschouwd. Dat met

registratie van kredietgegevens in het CKI ‘gerechtvaardigde belangen’ in

zin van art. 6 lid 1 onder f AVG kunnen worden gediend, staat met andere woorden buiten kijf. 3.5 Gelet op het voorgaande strekt

prejudiciële vraag ertoe te vernemen of

c-grond toepasselijk is op kredietregistraties in het CKI. Zo ja, dan heeft

kredietregistratie in beginsel als rechtmatig te gelden, zonder dat hiervoor (op voorhand) een belangenafweging door

betrokken kredietaanbieders is vereist. In dat geval hebben

betrokken kredietnemers ook geen recht van bezwaar en geen recht van gegevenswissing op grond van art. 17 en 21 AVG (alinea 2.36 e.v.).

kredietnemers moeten dan ‘terugvallen’ op

grondrechtelijke proportionaliteits- en subsidiariteitstoetsing als bedoeld in

Santander-beschikking (alinea 2.5). Indien

c-grond daarentegen toepassing mist, moet

kredietregistratie op

f-grond worden gebaseerd. Dit betekent dat elke gegevensverwerking in het CKI op een individuele belangenafweging moet berusten en dat kredietnemers ten aanzien van elke CKI-registratie bezwaar kunnen maken en gegevenswissing kunnen vragen.

feitelijke uitkomst van

beide benaderingswijzen behoeft niet te verschillen, maar duidelijk is wel dat

juridische inkadering – en daarmee in potentie ook

uitkomst – wezenlijk verschilt (vgl. alinea 2.6). 3.6

vraag of art. 6 lid 1 onder c AVG toepasselijk is op CKI-registraties, is niet primair een Unierechtelijke vraag, maar in

eerste plaats een vraag van uitleg van

Nederlandse wet- en regelgeving.

vraag is of die wet- en regelgeving een op kredietaanbieders rustende verplichting tot verwerking van persoonsgegevens in het kader van een kredietregistratie behelst, en of die verplichting voldoet aan

door

AVG gestelde eisen van duidelijkheid, nauwkeurigheid en voorspelbaarheid (alinea 2.20 e.v.). 3.7 Als wettelijke grondslag voor een

rgelijke verplichting komt enerzijds art. 4:32 lid 1 Wft in aanmerking (

wettelijke verplichting tot

elname aan een stelsel van kredietregistratie) en anderzijds art. 4:34 lid 1 Wft (

wettelijke zorgplicht ter voorkoming van overkreditering), zoals nader uitgewerkt in art. 114 BGfo (

verplichting om bij kredieten van meer dan € 250 het stelsel van kredietregistratie te raadplegen). Tezamen behelzen

ze bepalingen een op kredietaanbieders rustende verplichting tot

elname aan en raadpleging van een stelsel van kredietregistratie (alinea 2.44 e.v.). 3.8 Mijns inziens bevatten

voornoemde bepalingen geen voldoende duidelijke, nauwkeurige en voorspelbare verplichting tot verwerking van persoonsgegevens in het kader van een kredietregistratie. Weliswaar blijkt uit

wetsgeschiedenis voldoende duidelijk welk stelsel van kredietregistratie is bedoeld, namelijk het CKI van het BKR (alinea 2.50 e.v.), en ook met welk doel

elname aan en raadpleging van het CKI plaatsvinden, namelijk ten behoeve van het inwinnen van informatie over

financiële positie van

consument, zulks ter voorkoming van overkreditering (alinea 2.65). Maar met betrekking tot

vereiste verwerking van persoonsgegevens is het wettelijk kader onvoldoende uitgewerkt, zoals ook

Autoriteit Persoonsgegevens heeft geconstateerd in haar door

minister onderschreven advies (alinea 2.70 e.v.).

Wft en het BGfo maken met name niet duidelijk welke gegevens in het CKI geregistreerd mogen of moeten worden en onder welke voorwaarden

gegevensverwerking in het CKI plaatsvindt. Een en ander is uitgewerkt in het CKI-reglement van het BKR. Dat is echter een contractuele regeling waarvoor geen wettelijke basis bestaat (alinea 2.66 e.v.).

parallel die Hoist trekt met private regulering op wettelijke grondslag gaat reeds daarom niet op. Volledigheidshalve merk ik hierbij op dat het CKI-reglement ook geen gedragscode is als bedoeld in art. 40 AVG. 3.9 In navolging van het gerechtshof

n Bosch, het gerechtshof Amsterdam en het gerechtshof Arnhem-Leeuwarden (alinea 2.80 e.v.) zou men kunnen tegenwerpen dat gegevensverwerking in het CKI inherent is aan het wettelijke systeem en/of noodzakelijk om te kunnen voldoen aan

wettelijke verplichting tot

elname aan en raadpleging van een stelsel van kredietregistratie. Inderdaad hebben

elname aan en raadpleging van het CKI weinig zin, als er geen relevante en toereikende kredietgegevens in het CKI geregistreerd worden. Bovendien geldt dat het ‘raadplegen’ van het CKI, zoals in voorkomende gevallen voorgeschreven op grond van art. 114 BGfo, reeds een gegevensverwerking in

zin van art. 4 onder 2 AVG oplevert. Zo beschouwd kan men zeggen dat enigerlei vorm van gegevensverwerking, namelijk in elk geval het registreren van sommige gegevens en in voorkomende gevallen ook het raadplegen daarvan, besloten ligt in het wettelijk voorgeschreven systeem van kredietregistratie. 3.10 Mijns inziens biedt

ze benadering echter geen uitkomst, omdat zij

vervolgvraag doet rijzen welke gegevensverwerking inherent is aan het wettelijke systeem, respectievelijk noodzakelijk om te voldoen aan

wettelijke

elname- en raadplegingsverplichting. Op díe vraag geven

Wft en het BGfo geen antwoord.

ze regelingen staan in het teken van

regulering van (het toezicht op)

financiële sector.

bijbehorende wetsgeschiedenis geeft er geen blijk van dat

wetgever in dat kader een afweging heeft gemaakt van

beoogde voorkoming van overkreditering van consumenten enerzijds en

met kredietregistratie gepaard gaande privacyaantasting bij consumenten anderzijds.

wetgever heeft

regulering van

privacyaspecten overgelaten aan

financiële sector, die daarin heeft voorzien door middel van het CKI-reglement. Zoals gezegd heeft dat reglement niet

status van een wet in materiële zin en berust het ook niet op een wettelijke grondslag. 3.11 Gelet op het voorgaande is niet voldaan aan

door art. 6 lid 3 AVG gestelde eis van een rechtsgrond in het Unierecht of het lidstatelijke recht, en aan

sbetreffende eisen van duidelijkheid, nauwkeurigheid en voorspelbaarheid (als bedoeld in onderdeel 41 van

considerans). Voor zover toch gezegd zou kunnen worden dat een voldoende duidelijke, nauwkeurige en voorspelbare verplichting tot gegevensverwerking besloten ligt in het wettelijk voorgeschreven systeem van kredietregistratie, voldoet die verplichting mijns inziens niet aan het noodzakelijkheidsvereiste van art. 6 lid 3 (slot) AVG, te weten dat

verplichting beantwoordt aan een doelstelling van algemeen belang en evenredig is met het nagestreefde gerechtvaardigde doel. Het betreft dan immers een niet geclausuleerde, impliciete wettelijke verplichting, waaraan geen kenbare afweging van

betrokken privacyaspecten door

wetgever ten grondslag ligt. 3.12

in art. 14 van het CKI-reglement neergelegde bewaartermijn van vijf jaren is illustratief voor het tekort aan een adequate rechtsbasis. Stel dat het CKI zou besluiten om die termijn te verdubbelen (een scenario dat praktisch uitgesloten maar juridisch mogelijk lijkt), dan zou daarmee het verwerkingsregime aanzienlijk worden verzwaard ten laste van

kredietnemers, zonder dat daaraan een keuze van

wetgever ten grondslag ligt. Voor zulke situaties, waarin met betrekking tot

concrete naleving van een wettelijke verplichting een beoordelingsmarge bestaat (die in dit geval zelfs neerkomt op een ‘carte blanche’ voor het BKR bij

regulering van

privacyaspecten in het CKI-reglement), is

verwerkingsgrond van art. 6 lid 1 onder c AVG niet bedoeld (alinea 2.24). 3.13 Afgezien van

ze principiële argumenten pleiten mijns inziens ook praktische overwegingen voor toepassing van

f-grond in plaats van

c-grond op kredietregistraties in het CKI.

grondrechtelijke status van het recht op gegevensbescherming brengt mee dat elke gegevensverwerking in het CKI (uiteindelijk) moet worden getoetst aan

beginselen van proportionaliteit en subsidiariteit als bedoeld in

Santander-beschikking.

f-grond biedt voor die toetsing mijns inziens een logischer beoordelingskader dan

c-grond, althans zolang specifieke wet- en regelgeving omtrent

privacyaspecten van kredietregistraties ontbreekt. Bij gebreke daarvan moet

c-grond ‘casuïstisch’ worden toegepast, door van geval tot geval te onderzoeken welke gegevensverwerking onder

gegeven omstandigheden noodzakelijk was met het oog op

nakoming van

zorgplicht ter voorkoming van overkreditering. Daarmee dwingt het grondrechtelijke kader tot een belangenafweging die minder goed past bij

c-grond, en juist kenmerkend is voor

f-grond. 3.14 Bij het voorgaande komt dat

f-grond in

AVG is gekoppeld aan een stelsel van rechtsbescherming dat

c-grond ontbeert. Het recht van gegevenswissing (art. 17 AVG) en het recht van bezwaar (art. 21 AVG) zijn naar

letter van

verordening niet van toepassing indien

gegevensverwerking op

c-grond berust (alinea 2.36 e.v.). Ook

in art. 35 lid 2 UAVG neergelegde termijn voor het entameren van een civiele procedure mist in dat geval strikt genomen toepassing. Analoge toepassing van

ze bepalingen in

context van

c-grond lijkt weliswaar niet uitgesloten (alinea 2.42), maar is uiteraard minder voor

hand liggend als

f-grond voor toepassing in aanmerking komt. 3.15 Een andere praktische complicatie die bij toepassing van

c-grond rijst, is dat zoals gezegd enkel

kredietaanbieders daarvan kunnen profiteren, en niet het BKR, omdat

zorgplicht ter voorkoming van overkreditering enkel op

kredietaanbieders rust. Hiervoor bleek al dat zowel het BKR als

kredietaanbieders verwerkingsverantwoordelijken in

zin van

AVG zijn. Ingevolge art. 26 lid 3 AVG kan

rechthebbende zijn rechten uit hoofde van

verordening met betrekking tot en jegens ieder van

verwerkingsverantwoordelijken uitoefenen. Gezien

ze ‘hoofdelijke aansprakelijkheid’ van het BKR en

kredietaanbieders, lijkt

toepassing van verschillende verwerkingsgrondslagen op elk van beiden zowel systematisch als praktisch ongelukkig. 3.16 Bij dit alles merk ik nog op dat

f-grond in art. 3 lid 4 van het CKI-reglement uitdrukkelijk is aangewezen als

toepasselijke verwerkingsgrondslag en dat het BKR richtlijnen heeft uitgevaardigd voor

toepassing daarvan. Een en ander wijst erop dat toepassing van

f-grond, die ook onder het regime van

Wbp gemeengoed was en zelfs met zoveel woorden is genoemd in

memorie van toelichting bij

Wbp (alinea 2.76),

praktijk niet voor onoverkomelijke problemen zal stellen. Hieraan doet niet af dat een wettelijke regeling van kredietregistraties, zoals aangekondigd door

wetgever (alinea 2.72), vanuit een oogpunt van praktische hanteerbaarheid uiteraard voordelen kan hebben. 3.17 Gelet op het voorgaande kom ik tot

volgende beantwoording van vraag 1. Mijns inziens moet

verwerking van persoonsgegevens door een kredietinstelling, door middel van een registratie in het CKI van het BKR, worden getoetst aan het bepaalde in artikel 6 lid 1, aanhef en onder f, AVG. Het bepaalde in art. 6 lid 1, aanhef en onder c, AVG leent zich mijns inziens bij

huidige stand van

wet- en regelgeving niet voor toepassing op

verwerking van persoonsgegevens in het CKI van het BKR. Vraag 2: heeft

betrokkene het recht van gegevenswissing en bezwaar? 3.18

tweede prejudiciële vraag stelt, voortbouwend op vraag 1, ter discussie welke rechtsmiddelen

rechthebbende op grond van

AVG ten dienste staan in geval van kredietregistratie in het CKI van het BKR.

ze vraag luidt als volgt: ‘2. Betekent het antwoord op vraag 1 a. dat aan

gene van wie

persoonsgegevens zijn geregistreerd, geen beroep toekomt op het recht van gegevenswissing als bedoeld in artikel 17 AVG? b. dat aan diegene geen recht van bezwaar toekomt als bedoeld in artikel 21 AVG?’ 3.19 Uit mijn beantwoording van

eerste vraag volgt dat het antwoord op

beide subvragen ontkennend luidt. Uitgaande van

f-grond als toepasselijke verwerkingsgrondslag, beschikt

rechthebbende over het recht van bezwaar (art. 21 lid 1 AVG) en het recht van gegevenswissing na bezwaar (art. 17 lid 1 onder c AVG). Bij toepassing van

c-grond staan

ze rechtsmiddelen

rechthebbende (althans naar

letter van

AVG) niet ten dienste. Vraag 3: welke rol speelt art. 35 UAVG? 3.20

rde prejudiciële vraag stelt, voortbouwend op vraag 2b, aan

orde binnen welke termijn

rechthebbende een gerechtelijke procedure uit hoofde van bezwaar tegen een gegevensverwerking in het CKI van het BKR kan instellen.

ze vraag luidt als volgt: ‘3. Indien het antwoord op vraag 2.b. meebrengt dat bij een BKR-registratie geen recht op bezwaar als bedoeld in artikel 21 AVG bestaat, leidt dat er dan toe dat artikel 35 UAVG in

gerechtelijke procedure tot verwijdering van die registratie geen rol speelt?’ 3.21

ze vraag is gesteld voor het geval dat het antwoord op vraag 2b bevestigend luidt.

ze vraag veronderstelt, met andere woorden, dat

rechthebbende géén recht van bezwaar toekomt als bedoeld in art. 21 AVG. Uitgaande van

door mij verdedigde toepasselijkheid van

f-grond is die veronderstelling onjuist en behoeft

vraag geen beantwoording. Voor een nadere bespreking van art. 35 UAVG verwijs ik naar alinea 2.38 e.v. 4Conclusie

conclusie strekt tot beantwoording van

prejudiciële vragen als vermeld onder 3.17, 3.19 en 3.21.

Procureur-Generaal bij

Hoge Raad

r Nederlanden A-G Zie rov. 2.1 tot en met 2.8 van het tussenvonnis van 21 januari 2021 (ECLI:NL:RBAMS:2021:174). Prod. 3 bij brief d.d. 22

cember 2020 namens Hoist.

voorzieningenrechter spreekt over ‘

BKR’ (doelend op

stichting). Ik spreek hierna, conform

Dikke Van Dale, over ‘het BKR’ (doelend op het bureau). Prod. 1 bij inleidende dagvaarding. Prod. 2 bij inleidende dagvaarding. Prod. 1 bij brief d.d. 22

cember 2020 namens Hoist. Prod. 2 bij brief d.d. 22

cember 2020 namens Hoist. Rb. Amsterdam (vzr.) 21 januari 2021, ECLI:NL:RBAMS:2021:174, JOR 2021/93, m.nt. C.E.F. van Waesberge; JIN 2021/83, m.nt. D.S. Volleberg.

voorzieningenrechter vermeldt abusievelijk 8 september 2020 als datum van

ze beslissing. Zie nader over het Santander-toetsingscriterium alinea 2.5 hierna.

voorzieningenrechter verwijst in dit verband naar C.E.F. van Waesberge, JOR 2020/10. Zie ook alinea 2.6 hierna. Zie nader over dit reglement alinea 2.66 hierna. Bij brief van 30 april 2021 heeft eisers advocaat (niet zijnde cassatieadvocaat) verwezen naar hetgeen door eiser is aangevoerd ten overstaan van

voorzieningenrechter. Verordening (EU) 2016/679 van het Europees parlement en

Raad van 27 april 2016 betreffende

bescherming van natuurlijke personen in verband met

verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU L 119/1 d.d. 4 mei 2016.

Nederlandse vertaling is op ondergeschikte punten gerectificeerd in PbEU L 74/35 d.d. 4 maart 2021. Richtlijn 95/46/EG van het Europees Parlement en

Raad van 24 oktober 1995 betreffende

bescherming van natuurlijke personen in verband met

verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG L 281/31 d.d. 23 november 1995. Wet van 6 juli 2000, houdende regels inzake

bescherming van persoonsgegevens (Wet bescherming persoonsgegevens), Stb. 2000/302 (vervallen per 25 mei 2018). Zie over art. 8 EVRM (toegespitst op gegevensbescherming) H.R. Kranenborg en L.F.M. Verhey,

Algemene Verordening Gegevensbescherming in Europees en Nederlands perspectief (MM SBR),

venter: Kluwer 2018, p. 33 e.v. (met verdere verwijzingen). Zie ook (meer in algemene zin) J.H. Gerards, General Principles of the European Convention on Human Rights, Cambridge University Press 2019, p. 198 e.v. (over het legaliteitsvereiste) en p. 229 e.v. (over het noodzakelijkheidsvereiste). Zie over art. 16 VWEU en art. 8 Handvest Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 46 e.v. (met verdere verwijzingen). Zie onderdeel

considerans. Vgl. ook art. 1 lid 2 AVG:

AVG beschermt

grondrechten en

fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens. Zie MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p. 8 e.v. en 80 e.v. HR 9 september 2011, ECLI:NL:HR:2011:BQ8097, NJ 2011/595, m.nt. E.J. Dommering (Santander), rov. 3.3 onder (

1. a)en (c). HR 9 september 2011, ECLI:NL:HR:2011:BQ8097, NJ 2011/595, m.nt. E.J. Dommering (Santander), rov. 3.3 onder (
2. a)en (
3. c)en rov. 3.4.1-3.4.2. Vgl. rov. 4.7 van het tussenvonnis van 21 januari 2021 (ECLI:NL:RBAMS:2021:174). Vgl. ook alinea’s 2.16, 2.32 en 2.42 hierna, over het belang van het onderscheid tussen

verwerkingsgronden van art. 6 lid 1 AVG. Zie onderdeel

considerans:

doelstellingen en beginselen van

Richtlijn ‘blijven overeind’, maar verdere harmonisatie is nodig in verband met ‘verschillen in

uitvoering en toepassing’ ervan. Zie MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 5. Zie nader over

verschillen tussen

Richtlijn en

AVG Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 66 e.v. Zie in gelijke zin

onderdelen

considerans. Zie G.J. Zwenne en H.R. Kranenborg, T&C Privacy- en gegevensbeschermingsrecht

zelfde bescherming als

ermee corresponderende EVRM-bepalingen. Zie onderdeel

considerans. Wet van 16 mei 2018, houdende regels ter uitvoering van Verordening (EU) 2016/679 van het Europees Parlement en

Raad van 27 april 2016 betreffende

bescherming van natuurlijke personen in verband met

verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119) (Uitvoeringswet Algemene verordening gegevensbescherming), Stb. 2018/144 (iwtr. Stb. 2018/145). Zie MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 4. Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 130.

oorspronkelijke vertaling sprak van verwerking ‘ten behoeve van’

verwerkingsverantwoordelijke. In

gerectificeerde vertaling in PbEU L74/35 d.d. 4 maart 2021 zijn

ze woorden vervangen door ‘namens’. Zie G.J. Zwenne, T&C Privacy- en gegevensbeschermingsrecht

begrippen verwerkingsverantwoordelijke en verwerker bijv. Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 130 e.v.; M. Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/

1. Post-Reform Personal Data Protection in the European Union (European Monographs 107), Alphen: Kluwer Law International 2019, p. 179 e.v.; European Data Protection Board (EDPB), Guidelines 07/2020 on the concepts of controller and processor in the GDPR. Version 2.
2. Adopted on 07 July 2021 (beschikbaar via <https://edpb.europa.eu>). Zie over het limitatieve karakter van art. 8 Wbp en art. 6 lid 1 AVG resp. MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p. 80 e.v. en MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 33 e.v. Zie ook Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 141 e.v. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p.

1. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p.
2. Vgl. ook p. 13 van

hierna besproken Legitimate interest opinion van

Artikel 29

-Groep, waar wordt opgemerkt dat

tekst van art. 7 van

Richtlijn geen ‘hiërarchie tussen

gronden’ suggereert. Vgl. ook alinea 2.30 hierna, over

kwalificatie van

f-grond als ‘restgrond’. Zie W. Kotschy, ‘Article 6: Lawfulness of Processing’, in: C. Kuner e.a. (red.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press 2020, p. 339-340. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 144. Zie HvJEG 16

cember 2008, C-524/06, ECLI:EU:C:2008:724, EHRC 2009/23, m.nt. E. Brems (Huber/Duitsland), rov. 47-

1. MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p.
2. MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p.
3. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 84-
4. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 52.

Artikel 29

-Groep is opgevolgd door het Europees Comité voor gegevensbescherming (European Data Protection Board; EDPB), dat wel bindende beslissingen kan nemen (a.w. p. 68). Vgl. ook MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 34, waar wordt gewezen op

verplichting van banken om gegevens van hun rekeninghouders aan

Belastingdienst te verstrekken.

ze verplichting is neergelegd in art. 10.8 Wet IB 2001 jo. art. 22 Uitvoeringsbesluit IB 2001. Groep gegevensbescherming artikel 29, Advies 06/2014 over het begrip “gerechtvaardigd belang van

door

gegevensverwerking verantwoordelijke” in artikel 7 van Richtlijn 95/46/EG, 844/14/NL WP 217, 9 april 2014 (beschikbaar via <https://ec.europa.eu>) (hierna: Legitimate interest opinion), p. 23. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 151. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 152. Zie onderdeel 41, eerste volzin, van

considerans. Zie ook MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 35-36, met verwijzing naar

in alinea 2.3 besproken EHRM-rechtspraak over het legaliteitsvereiste van art. 8 lid 2 EVRM. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p.

1. Vgl. ook (m.b.t. art. 8 Wbp) MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p.
2. MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p.
3. Vgl. buiten

context van het gegevensbeschermingsrecht

prejudiciële vragen die het gerechtshof

n Haag bij arrest van 23 februari 2021 (ECLI:NL:GHDHA:2021:302) aan

Hoge Raad heeft gesteld over

verhouding tussen

rde Levensrichtlijn en civielrechtelijke open normen (zaaknummer 21/00765). Zie onderdeel 41, tweede volzin, van

considerans. Zie onderdeel 45 van

considerans. MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p.

1. Vgl. ook (m.b.t. art. 8 Wbp) MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p.
2. MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 36, toegespitst op gegevensverstrekking door een overheidsinstantie die een wettelijke geheimhoudingsplicht heeft (met verwijzing naar ABRvS 3 februari 2016, ECLI:NL:RVS:2016:253). Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p.
3. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 152. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 85.

ze vindplaats is ook geciteerd in Hof

n Bosch 6 augustus 2020, ECLI:NL:GHSHE:2020:2536, rov. 3.5.11, waar daaruit overigens

conclusie wordt getrokken dat

c-grond (wel) toepasselijk zou zijn. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p.

1. Vgl. ook (m.b.t. art. 8 Wbp) MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p.
2. Zie ook onderdeel

considerans, waar een omgekeerde formulering wordt gebruikt (‘mits

belangen of

grondrechten en

fundamentele vrijheden van

betrokkene niet zwaarder wegen’). Zie onderdeel

considerans. Zie ook Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 159-160. Zie voor een inventarisatie van gezichtspunten voor

belangenafweging Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p. 41 e.v.; Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, 1 november 2019 (beschikbaar via <https://autoriteitpersoonsgegevens.nl>), p. 4. Zie ook (toegespitst op kredietregistratie) Stichting BKR, Handreiking Belangenafweging, januari 2018 (beschikbaar via <www.bkr.nl>), p. 5. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 158; Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p.

1. Vgl. ook Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p.
2. Art. 21 lid 2 AVG bevat overigens een specifiek op ‘direct marketing’ toegesneden regeling van het recht op bezwaar. Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p.
3. Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p.
4. Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, 1 november 2019 (beschikbaar via <https://autoriteitpersoonsgegevens.nl>), p.
5. Zie Kotschy, in: The EU General Data Protection Regulation (GDPR), 2020, p.
6. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 158. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 143,

1. Vgl. ook (m.b.t. art. 8 onder f Wbp) MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p.
2. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 85-86; Kotschy, in: The EU General Data Protection Regulation (GDPR), 2020, p.
3. Groep gegevensbescherming artikel 29, Legitimate interest opinion, 2014, p. 3, 11,
4. Zie onderdeel

considerans. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 157. Zie ook onderdeel

considerans. Zie Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 216-217; G.J. Zwenne, T&C Privacy- en gegevensbeschermingsrecht

Jong, G.C.J. Erents en E.Z. Fonville, ‘Kroniek AVG-jurisprudentie mei 2018-mei 2020’, P&I 2020/184 (afl. 4), p. 163-164 (met vermelding van lagere rechtspraak). Zie onderdeel

considerans. HR 9 september 2011, ECLI:NL:HR:2011:BQ8097, NJ 2011/595, m.nt. E.J. Dommering (Santander), rov. 3.3 onder (d). Zie in gelijke zin (toegespitst op bezwaar tegen kredietregistraties) Stichting BKR, Handreiking Belangenafweging, januari 2018 (beschikbaar via <https://www.bkr.nl/media/1202/handreikingbelangafweging.pdf>), p. 5. Zie daarover nader Kranenborg en Verhey,

AVG in Europees en Nederlands perspectief, 2018, p. 207 e.v. Zie ook onderdeel

considerans. Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 168; Kotschy, in: The EU General Data Protection Regulation (GDPR), 2020, p.

1. MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p. 85-
2. Art. 40 Wbp voorzag in een recht van ‘verzet’, dat inhoudelijk overeenstemde met het in art. 21 AVG omschreven recht van ‘bezwaar’. Vgl. Hof Arnhem-Leeuwarden 23 februari 2021, ECLI:NL:GHARL:2021:1679, JBP 2021/24, m.nt. M.H. Paapst, rov. 4.10, waar wordt aangenomen dat ‘nodig’ in art. 17 lid 3 AVG hetzelfde betekent als ‘noodzakelijk’ in art. 6 lid 1 onder c AVG. Zie in gelijke zin C.E.F. van Waesberge, JOR 2021/93, onder 16, waar overigens een andere lezing voor mogelijk wordt gehouden, te weten dat het recht op gegevenswissing bij

c-grond slechts toepassing mist voor zover

gegevensverwerking (nog) nodig is ter nakoming van

wettelijke verplichting. Zie ook onderdeel

considerans. Zie MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 118. Zie rov. 4.1 en 4.9 van het tussenvonnis van 21 januari 2021 (ECLI:NL:RBAMS:2021:174). Zie Rb.

n Haag (vzr.) 28 februari 2019, ECLI:NL:RBDHA:2019:1988, rov. 4.5; Rb. Amsterdam (vzr.) 17 september 2019, ECLI:NL:RBAMS:2019:6817, rov. 4.4; Hof Amsterdam 5 november 2019, ECLI:NL:GHAMS:2019:3966, rov. 3.4.5; Hof Arnhem-Leeuwarden 7 januari 2020, ECLI:NL:GHARL:2020:126, rov. 5.8; Rb. Rotterdam 14 januari 2020, ECLI:NL:RBROT:2020:293, rov. 4.2; Rb. Oost-Brabant 7 mei 2020, ECLI:NL:RBOBR:2020:2534, rov. 4.4 e.v.; Hof Amsterdam 2 februari 2021, ECLI:NL:GHAMS:2021:312, rov. 4.8; Rb. Amsterdam (vzr.) 9 februari 2021, ECLI:NL:RBAMS:2021:405, rov. 4.9. Zie in gelijke zin onder het oude recht Rb. Rotterdam 23 januari 2013, ECLI:NL:RBROT:2013:BZ0140, rov. 4.8; Hof Amsterdam 2 februari 2016, ECLI:NL:GHAMS:2016:358, rov. 2.5; Hof Amsterdam 19

cember 2017, ECLI:NL:GHAMS:2017:5289, rov. 3.5. Vgl. anders Hof

n Haag 15

cember 2015, ECLI:NL:GHDHA:2015:3815, rov. 4.3; Rb. Overijssel 15 oktober 2018, ECLI:NL:RBOVE:2018:5151, rov. 4.2-4.3; Rb. Rotterdam 27 augustus 2018, ECLI:NL:RBROT:2018:7070, rov. 4.5; Hof Amsterdam 11 juni 2019, ECLI:NL:GHAMS:2019:1957, rov. 3.4-3.5 (in welke gevallen

eiser in kort geding ontvankelijk werd geacht ondanks overschrijding van

in art. 35 lid 2 UAVG genoemde termijn). Hof Amsterdam 5 november 2019, ECLI:NL:GHAMS:2019:3966, rov. 3.4.4-3.4.

1. Zie in gelijke zin Hof Arnhem-Leeuwarden 7 januari 2020, ECLI:NL:GHARL:2020:126, rov. 5.8; Hof Amsterdam 2 februari 2021, ECLI:NL:GHAMS:2021:312, rov. 4.8; Rb. Amsterdam (vzr.) 9 februari 2021, ECLI:NL:RBAMS:2021:405, rov. 4.
2. Vgl. Rb.

n Haag 27 november 2020, ECLI:NL:RBDHA:2020:12154, waarin hierover prejudiciële vragen aan het HvJEU werden aangekondigd (die blijkens

kop op rechtspraak.nl niet zijn gesteld). Zie ook

bijbehorende annotatie van C.E.F. van Waesberge in JOR 2021/93, onder

1. Zie in die zin D.S. Volleberg, JIN 2021/
2. Vgl. ook C.E.F. van Waesberge, JOR 2021/93, onder 16, die toepassing van art. 17 AVG en art. 35 UAVG t.a.v.

c-grond niet conform

heersende leer, maar wel verdedigbaar acht. Zie C.E.F. van Waesberge, JOR 2021/93, onder 15. Wet van 28 september 2006, houdende regels met betrekking tot

financiële markten en het toezicht daarop (Wet op het financieel toezicht), Stb. 2006/

1. Wet van 4 juli 1990, houdende regels met betrekking tot het consumentenkrediet (Wet consumentenkrediet), Stb. 1990/
2. Wet van 12 mei 2005, houdende regels voor

financiële dienstverlening (Wet financiële dienstverlening), Stb. 2005/

1. Besluit van 12 oktober 2006, houdende regels met betrekking tot het gedragstoezicht op financiële ondernemingen (Besluit Gedragstoezicht financiële ondernemingen Wft), Stb. 2006/
2. Richtlijn 2008/48/EG van het Europees Parlement en

Raad van 23 april 2008 inzake kredietovereenkomsten voor consumenten en tot intrekking van Richtlijn 87/102/EEG van

Raad, PbEU L 133/66 d.d. 22 mei 2008. Vgl. ook onderdeel

considerans: ‘Om

krediettoestand van een consument te beoordelen, dient

kredietgever ook

relevante gegevensbestanden te raadplegen.’ Richtlijn 2014/17/ЕU van het Europees Parlement en

Raad van 4 februari 2014 inzake kredietovereenkomsten voor consumenten met betrekking tot voor bewoning bestemde onroerende goederen en tot wijziging van

Richtlijnen 2008/48/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010, PbEU L 60/34 d.d. 28 februari 2014. In

wetsgeschiedenis worden het BKR en het door haar aangeboden stelsel (het CKI) vereenzelvigd. MvT (Wck), Kamerstukken II 1986/87, 19 785, nr. 3, p. 14 e.v. Idem, p.

1. Idem, p.
2. Idem, p.
3. MvA (Wck), Kamerstukken II 1987/88, 19 785, nr. 7, p.
4. Idem, p.
5. Nota n.a.v. verslag (Wck), Kamerstukken II 1988/89, 19 785, nr. 12, p.
6. MvT (Wfd), Kamerstukken II 2003/04, 29 507, nr. 3, p.
7. Idem, p. 96-
8. Idem, p.
9. Concept-Besluit Financiële dienstverlening (Bfd), Kamerstukken II 2004/05, 29 507, nr. 28, bijlage
10. Brief minister van Financiën d.d. 7 november 2005 (Wfd), Kamerstukken II 2005/06, 29 507, nr. 31, p.
11. Vierde NvW (Wft), Kamerstukken II 2005/06, 29 708, nr. 19, p.
12. Idem, p.
13. Nota n.a.v. vijfde nader verslag (Wft), Kamerstukken II 2005/06, 29 708, nr. 37, p. 19-
14. Besluit gedragstoezicht financiële ondernemingen Wft, Kamerstukken II 2005/06, 29 708, nr. 44, bijlagen 7 en
15. NvT (BGfo), Stb. 2006/520, p.
16. Idem, p.
17. MvT (Implementatie Richtlijn consumentenkrediet), Kamerstukken II 2009/10, 32 339, nr. 3, p. 4-
18. Idem, p.
19. Idem, p.
20. Nota n.a.v. verslag (Implementatie Richtlijn consumentenkrediet), Kamerstukken II 2009/10, 32 339, nr. 6, p.
21. Brief minister van Financiën d.d. 8 februari 2011 (Implementatie Richtlijn consumentenkrediet), Kamerstukken II 2010/11, 32 339, nr. 8, p. 1-
22. Idem, p. 2-
23. Vgl. M.H.P. Claassen en J.L. Snijders, ‘

registratie van kredieten’, FIP 2016/139 (afl. 1), waar wordt betoogd dat art. 4:32 Wft ‘feitelijk een verplichting’ behelst voor kredietaanbieders om zich bij het BKR aan te sluiten. Zie nader over

ze doel