HR 3 december 2021, ECLI:NL:HR:2021:1814
De Hoge Raad beantwoordt prejudiciële vragen over de Algemene Verordering Gegevensbescherming (AVG).De grondslag voor verwerking persoonsgegevens in het kredietregistratiestelsel van het BKR ligt in art. 6, eerste lid, onderdeel f, AVG (ter behartiging van gerechtvaardigde belangen van de verwerker) en niet in art. 6, eerste lid, onderdeel e, AVG (voldoen aan wettelijke plicht).
Achtergrond
In deze zaak ging het om de door de rechtbank Amsterdam aan de Hoge Raad gestelde prejudiciële vragen over het vastleggen van aan consumenten verleende kredieten, zgn. bijzonderheidscoderingen, in het Centraal Kredietinformatiesysteem van het Bureau Kredietregistratie, oftewel CKI van BKR. De belangrijkste vraag was of kredietaanbieders dit doen ter voldoening aan wettelijke verplichting, (art. 6, eerste lid, onderdeel c, Avg) of ter behartiging van gerechtvaardigde belangen van henzelf of anderen (art. 6, eerste lid, onderdeel f, Avg).
Het hof Den Bosch en dat van Arnhem-Leeuwarden oordeelden dat er wél sprake was van een wettelijke verplichting, met als consequentie dat de consument géén gebruik kan maken van de verwijderings- en bezwaarrechten van respectievelijk artikel 17, eerste lid, een artikel 21, eerste lid, AVG. Wél kan de consument verlangen dat de proportionaliteit van de registratie wordt beoordeeld, de zgn. Santandertoets. (ECLI:NL:HR:2011:BQ8097).
Het hof Den Haag zag dat anders en oordeelde dat de registratie van bijzonderheidscoderingen in CKI van BKR geen wettelijke verplichting betrof maar gebeurde ter behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of anderen, wat impliceert dat de consument wél gebruik kan maken van voornoemde verwijderings- en bezwaarrechten.
De rechtbank Amsterdam kwam er niet uit en stelde deze vraag, en nog een tweetal daarop voortbouwende vragen, aan de Hoge Raad.
De regeling van kredietregistraties
De beantwoording van de gestelde vragen vereist enig begrip van de regeling van kredietregistratie en kredietregistratiestelsels van belang. Het doel van deze regeling ligt in het voorkomen dat consumenten meer schulden maken dan verantwoord. Daartoe wordt van kredietaanbieders verlangd dat ze enerzijds in een kredietregistratiestelsel de door hen verleende kredieten vast te leggen. En anderzijds dat zij, voordat ze overgaan tot het verlenen van krediet aan een consument, dit stelsel raadplegen om beoordelen of de kredietverlening verantwoord is. Aan een consument met te veel schulden wordt geen krediet verleend.
De juridische regeling van een en ander is nogal omslachtig georganiseerd in respectievelijk de Wet op het financieel toezicht (Wft) en het Besluit Gedragstoezicht financiële ondernemingen Wft (BGfo) én het CKI-reglement. Allereerst verlangt art. 4:32, eerste lid, Wft dat kredietaanbieders deelnemen aan een kredietregistratiestelsel. Vervolgens bevat art. 4:34, eerste lid, Wft een zorgplicht. Het verplicht de aanbieder in het belang van de consument informatie in te winnen over diens financiële positie en te beoordelen of de kredietverlening verantwoord is. Deze zorgplicht wordt uitgewerkt in art. 114 BGfo. Op grond daarvan moet een kredietaanbieder, voordat hij overgaat tot verstrekking van een krediet van meer dan €250, het kredietregistratiestelsel raadplegen over reeds aan de consument verleende kredieten.
Art. 4:34, tweede lid, Wft, bepaalt vervolgens dat een kredietaanbieder geen krediet verstrekt als dit, met het oog op overkreditering, onverantwoord is. Deze plicht is uitgewerkt in art. 113, eerste lid, BGfo, dat bepaalt dat een kredietaanbieder aan een consument geen krediet verstrekt van meer dan €1.000, als die aanbieder niet beschikt over voldoende informatie over de financiële positie van de consument om, ter voorkoming van overkreditering, te kunnen beoordelen of het aangaan van de overeenkomst verantwoord is.
Om deel te nemen aan CKI van BKR gaan kredietaanbieders een overeenkomst aan met BKR en verbinden zij zich aan het CKI-reglement. En op grond daarvan moeten zij de door hen verleende kredieten vastleggen in het kredietregistratiestelsel.
Beantwoording van de vragen
De vraag is dan wat moet worden verstaan onder een wettelijke verplichting, als bedoeld in art. 6, eerste lid, onderdeel c, Avg. Zowel het hof Den Bosch als het hof Arnhem Leeuwarden redeneren dat een kredietaanbieder alleen kan voldoen aan de in artikel 4:32, eerste lid, Wft opgenomen verplichting om zich aan te sluiten bij een kredietregistratiestelsel door met BKR een aansluitovereenkomst aan te gaan, die via het CKI-reglement vereist dat hij de door hem verleende kredieten daarin vastlegt. Die registratieverplichting is dus een voorwaarde om te kunnen voldoen aan de aansluitverplichting. En als zodanig kan dan, volgens de beide hoven worden gezegd dat die registratieverplichting deel uitmaakt van de aansluitverplichting.
De Avg biedt steun voor deze redenering. Er is, zo blijkt uit artikel 6, derde lid, AVG, sprake van een wettelijke verplichting in de zin van artikel 6, eerste lid, onderdeel c, AVG als deze haar grondslag of rechtsgrond heeft in het unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat beantwoordt aan een doelstelling van algemeen belang. In aanvulling daarop kunnen (d.w.z. facultatief of optioneel) overige relevante aspecten in deze rechtsgrond worden vastgelegd. Het gaat dan onder andere om de typen van de te verwerken gegevens en degenen aan wie deze gegevens voor welke doeleinden kunnen worden verstrekt, enz. Er wordt, maakt overweging 45 uit de preambule bij de verordening duidelijk, niet voor elke afzonderlijke gegevensverwerking specifieke wetgeving vereist, maar er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene gegevensverwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Verder blijkt uit overweging 41 dat dat, om te kunnen spreken van een wettelijke verplichting, er noodzakelijkerwijs sprake moet zijn van een door een parlement vastgestelde wetgevingshandeling.
Wél moet er, zo maakt dezelfde overweging 41 duidelijk, voldaan zijn aan de vereisten met betrekking tot nauwkeurigheid en voorzienbaarheid, zoals gesteld in de rechtspraak van het Hof van Justitie van de EU en het Europees Hof voor de Rechten van de Mens. (. EHRM 26 april 1979, A-30, NJ 1980, 146 (Sunday Times/Verenigd Koninkrijk) en Kamerstukken II 2017/18 34 851 nr 3 p.35-36). Het is om dit nauwkeurigheid- en voorzienbaarheidsvereiste dat de Hoge Raad, alles afwegend komt tot het oordeel dat de verplichting om gegevens vast te leggen in CKI van BKR níet kwalificeert als een wettelijke verplichting. De Hoge Raad zegt het zo:
Art. 4:32 lid 1 Wft en art. 4:34 lid 1 Wft, zoals nader uitgewerkt in art. 114 BGfo, verplichten kredietaanbieders weliswaar tot deelname aan en raadpleging van een stelsel van kredietregistratie, maar deze wettelijke bepalingen zijn niet voldoende duidelijk en nauwkeurig en de toepassing ervan is niet voldoende voorspelbaar voor degenen op wie deze wettelijke bepalingen van toepassing zijn, zoals art. 6 lid 3 AVG eist [..]. Uit die wettelijke bepalingen blijkt immers niet welke persoonsgegevens in het CKI geregistreerd moeten of mogen worden, wat de voorwaarden voor een dergelijke registratie zijn en onder welke voorwaarden en binnen welke termijnen tot verwijdering van persoonsgegevens moet worden overgegaan. Een en ander wordt wel geregeld in het CKI-reglement, maar dat reglement berust niet op een wettelijke grondslag; de registratie van persoonsgegevens in het CKI vindt plaats op grond van een overeenkomst tussen het BKR en kredietaanbieders
Bij gebreke van een wettelijke verplichting tot gegevensverwerking in de zin van art. 6 lid 1, aanhef en onder c, AVG kan die bepaling niet dienen als grondslag voor de rechtmatige verwerking van persoonsgegevens in het CKI van het BKR.
Er is dan geen andere verwerkingsgrondslag dan die van het gerechtvaardigd belang van de verwerkingsverantwoordelijke of anderen (art. 6, eerste lid, onderdeel f, Avg) waarop de vastlegging van de kredietgegevens kan worden gebaseerd. En dat impliceert dat de consument, op wie de vastgelegde gegevens betrekking hebben, wel gebruikkan maken van de verwijderings- en bezwaarrechten (resp art. 17, eerste lid, en 21, eerste lid, Avg). De Hoge Raad beantwoordt dan ook de daarop betrekking hebbende tweede prejudiciële vraag, namelijk of de consument beroep op deze rechten toekomt, bevestigend.
De derde prejudiciële vraag, die ging over de door de consument in acht te nemen termijnen, is alleen relevant als de tweede vraag ontkennend was beantwoord, dat wil zeggen als de consument geen bezwaarrecht zou hebben. Omdat de deze vraag bevestigend is beantwoord, komt de Hoge Raad niet toe aan de beantwoording van deze vraag.
Hoist werd in cassatie bijgestaan door Hans van Wijk en de auteur.
