Keur

HR 25 februari 2022, ECLI:NL:HR:2022:329

Casus

Een plastisch chirurg is in 2016 door het Centraal Tuchtcollege voorwaardelijk geschorst. Google geeft een koppeling naar zwartelijstartsen.nl.
De arts staat daar met naam, BIG-nummer, een foto, de uitspraak van het Tuchtcollege en een krantenbericht uit 2016. In 2017 verzoekt zij Google deze koppeling te verwijderen. Google weigert dit.

De afweging

De rechtbank wijst het verzoek tot verwijdering van de link toe. Het hof wijst het verzoek af, en toetst daarbij aan art. 17 AVG. Het hof overweegt dat het van belang kan zijn, dat de tuchtmaatregel recent is opgelegd. Het grote publiek heeft er belang bij hiervan kennis te kunnen nemen. Volgens het hof pakt de afweging niet anders uit, als wordt getoetst aan de strengere norm voor strafrechtelijke persoonsgegevens (art. 10 AVG).

De Hoge Raad laat (helaas) in het midden aan welke norm een verzoek tot het verwijderen van tuchtrechtelijke persoonsgegevens moet worden getoetst. Advocaat-Generaal Drijber schreef in zijn Conclusie dat tuchtrechtelijke uitspraken onder de AVG (anders dan voorheen onder de Wet bescherming persoonsgegevens) op zich geen strafrechtelijke gegevens zijn. Toetsing aan art. 17 AVG lijkt te volstaan.

De Hoge Raad benadrukt dat de strenge toets van art. 10 AVG een afweging van belangen vergt. Aan de ene kant van de weegschaal staan de privacybelangen van de betrokkene (de arts). Deze worden afgewogen tegen de vrijheid van informatie van het publiek. Daarbij moet worden nagegaan of het vermelden van de persoonsgegevens strikt noodzakelijk is in het kader van de informatievrijheid.
Of de afweging van het hof in dit geval begrijpelijk was, toetst de Hoge Raad niet. Daar had de arts in cassatie namelijk niet over geklaagd. Waarschijnlijk omdat het oordeel van het hof niet vreemd is, vanwege de recente tuchtrechtelijke maatregel.

Overigens resulteerde diezelfde belangenafweging (met toetsing aan zowel artikel 10 en 17 AVG) erin, dat tijdens de cassatieprocedure in kort geding de hele website zwartelijstartsen.nl uit de lucht is gehaald na een collectieve actie (ECLI:NL:RBMNE:2021:23.) De rechter liet daarbij zwaar meewegen, dat op de site niet alleen (recente) tuchtrechtelijke uitspraken staan, maar ook zware ongefundeerde beschuldigingen werden geuit.

Mocht de arts in de proceskosten worden veroordeeld?

Art 289 Rv bepaalt dat de verliezer van een procedure in de kosten kan worden veroordeeld. Het gaat dan vrijwel altijd om een beperkte, forfaitaire proceskostenveroordeling. De arts klaagde in cassatie dat dit afbreuk deed aan haar recht als klager onder de AVG.

De Hoge Raad verwerpt die klacht. Hoe proceskosten worden verdeeld, mag de Lidstaat in principe zelf bepalen. Die regels moeten wel voldoen aan “de beginselen van gelijkwaardigheid en doeltreffendheid”. Dat betekent dat zij het uitoefenen van EU-rechten niet onmogelijk of uiterst moeilijk mogen maken. Volgens de HR voldoet de Nederlandse regeling in het algemeen aan deze voorwaarden. Dat kan in een concreet geval anders zijn: de rechter moet dan een veroordeling in de kosten motiveren – maar dan moeten partijen daar wél stellingen over innemen. Dat had de arts in dit geval niet gedaan.

Een man is voor een schuld aan kredietaanbieder Hoist BKR-geregistreerd. In het bijzonder wordt vermeld dat er een betalingsachterstand is, dat de vordering is opgeëist en dat de schuld groter is dan € 250. De schuld wordt medio 2017 voldaan, maar de registratie bij het BKR blijft. In 2020 verzoekt de man Hoist de BKR-registratie te laten verwijderen. Dit verzoek wordt afgewezen. De man start enkele maanden later een kort geding tegen Hoist. Hij vordert de bijzondere vermeldingen te laten verwijderen. Volgens Hoist is de man niet-ontvankelijk, omdat hij niet binnen zes weken na de afwijzing van zijn verzoek naar de rechter is gestapt. De rechter in kort geding stelt prejudiciële vragen aan de Hoge Raad.

Registratie door het BKR vindt niet plaats op grond van een wettelijke plicht

Persoonsgegevens mogen alleen worden verwerkt als daar een rechtmatige grondslag voor is (art. 6 AVG). Die is er bijvoorbeeld als de verwerking noodzakelijk is om te voldoen aan een wettelijke plicht. Die plicht moet voortvloeien uit het EU-recht of uit het recht van een Lidstaat. Die wetsbepaling moet ook het doel van de verwerking vaststellen (art. 6 lid 3 AVG). Het hoeft geen wet te zijn die door een parlement is gemaakt. Wél moet de wetsbepaling duidelijk en nauwkeurig zijn. De toepassing moet voorspelbaar zijn voor iedereen op wie de regel van toepassing is. Dit volgt uit overweging (41) bij de AVG.

Kredietaanbieders hebben een zorgplicht om te voorkomen dat consumenten door overkreditering in financiële problemen komen (art. 4:34 lid 1 Wft). Iedere aanbieder van een krediet van meer dan € 250 moet vooraf het BKR-register raadplegen om na te gaan welke kredieten al aan een consument zijn verleend. Een aanbieder moet het krediet weigeren als het onverantwoord is, vanwege overkreditering (art. 4:34 lid 2 Wft). Deze zorgplicht is terug te voeren op de EU-Richtlijn Consumenten¬krediet uit 2008.

De wet voorziet niet in een meer concrete wettelijke basis voor de registratie door het BKR. Registratie berust op zelfregulering door de financiële sector. Het BKR heeft het CKI-reglement vastgesteld. Dat is een overeenkomst tussen het BKR en kredietaanbieders. Hierin staat dat het BKR consumenten wil beschermen tegen overkreditering en tegelijkertijd de financiële risico’s voor kredietaanbieders wil beperken. Volgens het CKI-reglement is de grondslag voor de verwerking van persoonsgegevens de behartiging van de gerechtvaardigde belangen van het BKR en zijn zakelijk klanten.

Volgens de Hoge Raad verplicht de wet kredietaanbieders dus wél tot deelname aan het BKR-register. Maar de Wft en het daarop gebaseerde Besluit zijn niet voldoende duidelijk en nauwkeurig, en de toepassing is niet voldoende voorspelbaar. Zij regelen niet welke persoonsgegevens geregistreerd worden, wat de voorwaarden zijn en wanneer die gegevens weer verwijderd worden. Het CKI-reglement waar dat wel in staat, is niet op de wet gebaseerd.
Registratie door het BKR gebeurt dus niet op basis van een wettelijke plicht.

Verwerkingsgrondslag BKR-registratie is ‘het gerechtvaardigd belang’

Registratie vindt dus plaats ter behartiging van een gerechtvaardigd belang (art. 6 lid 1-f AVG), ook al vindt die plaats om uitvoering te geven aan een wettelijke zorgplicht. Het BKR ging daar zelf ook van uit, blijkens zijn CKI-reglement. En ook de Autoriteit Persoonsgegevens ging daar van uit in een (wetgevings)advies van 14 november 2019. In reactie op dit advies kondigde de Minister op 12 december 2019 aan een wettelijke regeling voor kredietregistratie in internetconsultatie te gaan brengen. Dit is nog niet gebeurd. Wél is voorzien in wetgeving op grond waarvan kredietregistraties van ouders die gedupeerd zijn door de Toeslagenaffaire per direct verwijderd worden uit het BKR-register.

Het recht op bezwaar en het recht op gegevenswissing

Dat registratie plaatsvindt op grond van een gerechtvaardigd belang betekent dat een betrokkene altijd het recht heeft om bezwaar te maken tegen de verwerking van zijn persoonsgegevens door het BKR met een beroep op zijn specifieke situatie. Maar zo’n bezwaar betekent niet dat de registratie in de BKR vervalt.

Na een bezwaar is het aan de kredietaanbieder ‘dwingende gerechtvaardigde gronden’ aan te voeren voor handhaving van de registratie die zwaarder wegen dan de belangen van de betrokkene (art. 21 lid 1 AVG). Effectief betekent een bezwaar dat een kredietaanbieder de registratie op basis van die nieuwe gegevens moet heroverwegen. Deze belangenafweging kan vervolgens zo nodig bij de rechter worden getoetst. De belangenafweging is sterk casuïstisch. Bij deze afweging speelt ‘de wettelijke zorgplicht’ opnieuw de kop op. De kredietaanbieder heeft de wettelijke plicht door registratie de consument zelf te beschermen tegen overcreditering. Daarom heeft een bezwaar meestal alleen succes als een registratie onjuist is, of handhaving daarvan (inmiddels) buitenproportioneel is. Als dat laatste het geval is, moet de registratie zonder onredelijke vertraging worden beëindigd.

Degene wiens gegevens worden verwerkt op basis van een wettelijke plicht heeft niet het recht van bezwaar en het recht op gegevenswissing op grond van de AVG. Wél kan hij zich tot de burgerlijke rechter wenden en een beroep doen op onrechtmatig daad (art. 6:162 BW) en het recht op eerbiediging van zijn privé- en gezinsleven (art. 8 EVRM). Ongeacht op welke grondslag persoonsgegevens worden verwerkt, moet voldaan zijn aan de beginselen van proportionaliteit en subsidiariteit. Dit volgt uit het Santander-arrest van de Hoge Raad.

Andere ‘wettelijke plichten’?

Een wettelijke zorgplicht, levert dus nog geen wettelijke plicht op in de zin van art. 6 lid 1-c AVG om persoonsgegevens te verwerken – ook niet als die verwerking nodig is om de zorgplicht handen en voeten te geven. Een korte ‘tour’ laat zien dat in de meeste gevallen wél is voorzien in een voldoende concrete wettelijke plicht om persoonsgegevens te verwerken.

• Tegengaan van ‘scheefwonen’

De Belastingdienst deelt inkomensinformatie met woningcorporaties ter uitvoering van hun wettelijke plicht om scheefwonen van huurders in sociale huurwoningen tegen te gaan (Stb. 2013, 89 en 90). Een verhuurder moet bij een voorstel tot huurverhoging een IB-verklaring voegen. De Belastingdienst verstrekte deze gegevens. In 2016 oordeelde de Raad van State dat de Belastingdienst hiervoor geen grondslag had en haar plicht tot geheimhouding van deze gegevens schond. Art. 7:252a BW bevatte immers slechts een verplichting voor de verhuurder om de inkomensverklaring op te vragen. De Belastingdienst mocht de inkomensgegevens niet verstrekken zonder spiegelbeeldige wettelijke plicht die gegevens te verstrekken. De tekst van art. 7:252a BW is daarop aangepast. De Rechtbank Den Haag oordeelde daarna op 10 januari 2018 dat de Belastingdienst nu wél een wettelijke plicht had om om inkomensgegevens met verhuurders te delen.

• Wwft

De Wwft heeft als doel te voorkomen dat geld wordt witgewassen en terrorisme wordt gefinancierd. Art. 3 Wwft verplicht instellingen zoals banken, financiële ondernemingen, advocaten en notarissen, onderzoek te doen naar cliënten. Art. 33 Wwft bepaalt welke bewijsstukken (vijf jaar) bewaard moeten worden. Art. 16 verplicht instellingen verdachte transacties te melden bij de Financial Intelligence Unit (FIU). Het artikel schrijft voor welke (persoons)gegevens moeten worden gemeld. Art. 34 Wwft bepaalt welke gegevens moeten worden vastgelegd en dat die vijf jaar moeten worden bewaard. Art. 34a Wwft gaat over gegevensbescherming. Zij verbiedt het om (persoons)gegevens die zijn verzameld op grond van de Wwft voor andere commerciële doelen te verwerken. Wanneer de Wwft verplicht bepaalde persoonsgegevens te verwerken, dan is er een wettelijke plicht voor deze verwerking. Maar de Wwft biedt dus geen ‘carte blanche’ om alle persoonsgegevens te verwerken die bruikbaar kúnnen zijn bij nakoming van de Wwft.

• Fraude melden

Tenslotte heeft de AP op 21 augustus van dit jaar ruim 160 financiële instellingen een vergunning verleend om – onder strenge voorwaarden – gegevens van fraudeurs te registeren en met elkaar te delen in een incidentenwaarschuwingssysteem. Fraudeurs zijn namelijk vaak actief bij meerdere instellingen. Banken en verzekeraars kunnen elkaar hiervoor waarschuwen door fraude-informatie uit te wisselen. De voorwaarden voor de gegevensuitwisseling staan in het nieuwe Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI). Dit protocol bevat regels waaraan banken en verzekeraars moeten voldoen om informatie over incidenten, zoals identiteitsfraude of bankhelpdeskfraude (spoofing), bij te houden en uit te wisselen. Het wettelijke kader voor deze vergunning is te vinden in art. 33 lid 4-c en 5 UAVG. De AP kan zo’n vergunning verlenen, indien de verwerking noodzakelijk is voor een zwaarwegend belang van derden. Bij de uitvoering moet zijn voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.