Antwoord schriftelijke vragen : Antwoord op vragen van het lid Nijboer over kredietwaardigheidsonderzoeken

Antwoord van Minister Hoekstra (Financiën), mede namens de Minister voor Rechtsbescherming
(ontvangen 11 december 2019). Zie ook Aanhangsel Handelingen, vergaderjaar 2019–2020,
nr. 490.

Vraag 1

Wat zijn kredietwaardigheidsonderzoeken en onder welke voorwaarden mogen bedrijven
kredietwaardigheidsonderzoeken doen naar particulieren?

Antwoord 1

Door het doen van kredietwaardigheidsonderzoeken beogen bedrijven inzicht te krijgen
in hoeverre potentiële klanten, consumenten of bedrijven, aan hun betalingsverplichtingen
kunnen voldoen. Met dergelijke onderzoeken kunnen bedrijven in kaart brengen welke
risico’s er zijn verbonden aan het aangaan van een overeenkomst. Voor het toetsen
van kredietwaardigheid maken bedrijven vaak gebruik van gegevens die zijn verzameld
door handelsinformatiebureaus. De Nederlandse Vereniging van Handelsinformatiebureaus
(NVH) is de branchevereniging van bedrijven, gespecialiseerd in het maken van (kredietwaardigheid)profielen
voor hun klanten.

Omdat bij kredietwaardigheidsonderzoeken sprake zal zijn van de verwerking van persoonsgegevens
van consumenten is de Algemene Verordening Gegevensbescherming (AVG) van toepassing.
Bedrijven die zijn aangesloten bij de NVH zijn ook gebonden aan de NVH-Gedragscode.
Zie in dit verband ook de brief van 21 december 2018 met een reactie van de Staatssecretaris
van Sociale Zaken en Werkgelegenheid op een onderzoek naar handel in betaalgegevens
en privacy.1

Deze kredietwaardigheidsonderzoeken moeten worden onderscheiden van beoordeling van
de kredietwaardigheid van consumenten in het kader van kredietverstrekking in de zin
van de Wet op het financieel toezicht (Wft). Hiervoor zijn in de Wft en onderliggende
regelgeving regels opgesteld ter voorkoming van overkreditering van consumenten die
een consumptief krediet of een hypotheek afsluiten.

Vraag 2

Van welke gegevens van particulieren mag gebruikgemaakt worden bij een kredietwaardigheidsonderzoek?
Aan welke regels zijn dit soort bedrijven gebonden?

Antwoord 2

Wanneer bij een kredietwaardigheidsonderzoek naar consumenten persoonsgegevens worden
verwerkt, is de AVG van toepassing. Op de website van de Autoriteit Persoonsgegevens
(AP) is vermeld welke informatie handelsinformatiebureaus kunnen gebruiken ten behoeve
van kredietwaardigheidsonderzoeken. Ook is navraag gedaan bij de NVH. Het kan gaan
om informatie uit openbare bronnen zoals de Kamer van Koophandel, het Kadaster, het
Landelijk Register Schuldsaneringen en het Centraal Insolventieregister. Verder worden
genoemd algemene statistische gegevens over de woonomgeving van een consument, zoals
het gemiddelde inkomen. Ook kunnen gegevens afkomstig zijn van niet-openbare bronnen
zoals werkgevers of opdrachtgevers en andere derden die met de betrokkene een relevante
financiële of zakelijke relatie onderhouden.2 Deze derden mogen deze gegevens alleen verstrekken indien hiertoe een geldige grondslag
bestaat waarbij de noodzaak van de verwerking wordt gemotiveerd en aangetoond. Dit
kan als de betrokkene toestemming voor de verstrekking heeft gegeven. Deze toestemming
moet voldoen aan de eisen van artikel 7 AVG (o.a. vrijelijk zijn gegeven).

Vraag 3

Klopt het dat er kredietwaardigheidsoordelen worden verstrekt die gebaseerd zijn op
slechts algemene gegevens, zoals postcode, leeftijd en geslacht? Bent u het ermee
eens dat dit onredelijk is, omdat mensen geen invloed hebben op deze gegevens en zo
slachtoffer kunnen worden van willekeur of discriminatie?

Antwoord 3

Bij kredietwaardigheidsonderzoeken kan gebruik worden gemaakt van openbare bronnen
en kan informatie worden opgevraagd. Zie ook het antwoord op vraag 2. Op de website
van de AP is het voorbeeld te vinden dat een telecomaanbieder een gsm-abonnement mag
weigeren bij een negatieve kredietscore op het adres van een klant. Een telecomaanbieder
kan, aldus de AP, slechte ervaringen hebben op een bepaald adres en kan daarom een
klant weigeren, ook als dit met de klant niets te maken heeft.3 Het is aan de bedrijven die kredietwaardigheidsonderzoeken laten verrichten om te
bepalen op welke gegevens zij een risico op wanbetaling willen baseren. Bij de verwerking
van persoonsgegevens moet de AVG worden nageleefd. Het gebruik van dergelijke informatie
mag uiteraard niet leiden tot discriminatie.

Vraag 4

Worden er bij een kredietwaardigheidsonderzoek persoonsgegevens dan wel bijzondere
persoonsgegevens verzameld of verstrekt? Zo ja, hoe verhoudt zich dat tot de bescherming
van de persoonlijke levenssfeer zoals dat in de Algemene verordening gegevensbescherming
(AVG) is vastgelegd?

Antwoord 4

Ik verwijs naar mijn antwoorden op de vragen 1, 2 en 3.

De verwerking van bijzondere persoonsgegevens is in beginsel verboden. Uitzonderingen
op dit verbod zijn onder meer mogelijk wanneer de betrokkene uitdrukkelijk toestemming
heeft gegeven of wanneer de persoonsgegevens kennelijk door de betrokkene openbaar
zijn gemaakt, en de verwerking van deze gegevens ook noodzakelijk is voor het beoogde
doel (zie paragraaf 3.1 Uitvoeringswet AVG). Behoudens deze uitzonderingen is het
niet toegestaan om bijzondere persoonsgegevens te verwerken. Dat is niet anders bij
kredietwaardigheidsonderzoeken.

Vraag 5

Zijn bedrijven verplicht aan mensen te melden dat er een kredietwaardigheidsonderzoek
naar hen wordt uitgevoerd? Zo ja, op welke wijze? Zo nee, waarom niet?

Antwoord 5

Ja, personen moeten worden geïnformeerd over de verwerking van hun persoonsgegevens,
zowel wanneer deze gegevens van de consument zelf als wanneer deze van een derde worden
verkregen (vgl. artikelen 13 en 14 AVG). In beide gevallen moet de volgende informatie
worden verschaft: welke gegevens er worden verwerkt en met welk doel, of de gegevens
worden gedeeld, hoe lang de gegevens worden bewaard en wat de contactgegevens zijn
van de verwerkingsverantwoordelijke. De wijze waarop dit dient te gebeuren hangt af
van hoe de organisatie aan de gegevens komt, van de betrokkene zelf of van een derde,
alsook van factoren zoals hoe groot de groep is die geïnformeerd moet worden. Het
informeren is verder vormvrij. Wel eist de AVG dat deze informatie beknopt maar volledig
is, in begrijpelijke taal is geschreven en gemakkelijk toegankelijk is (artikel 12
AVG).

Ook de NVH hanteert voorschriften omtrent het informeren van de betrokkene over de
verwerking van persoonsgegevens en geeft aan dat dat in de praktijk bijvoorbeeld schriftelijk
gebeurt in correspondentie of via een privacyverklaring.

Vraag 6

Deelt u de mening dat de uitkomst van een kredietwaardigheidsonderzoek eerst aan de
desbetreffende persoon of onderneming voor het maken van opmerkingen of bezwaar moet
worden voorgelegd voordat dat aan derden mag worden doorgespeeld? Zo ja, hoe is of
wordt dit geregeld? Zo nee, waarom niet?

Antwoord 6

De AVG kent voorschriften over informatie die aan een consument moet worden verstrekt
bij gegevensverwerking, een recht op inzage en voorziet in de mogelijkheid om onjuiste
persoonsgegevens te corrigeren of de verwerking te beperken (artikelen 13–18 AVG).

Vraag 7

Wat moeten mensen doen die onterecht een negatief kredietwaardigheidsoordeel krijgen
op basis van algemene gegevens? Is het mogelijk een recht om vergeten te introduceren,
waarbij mensen niet later alsnog last krijgen van het inroepen van het recht op vergeten?

Antwoord 7

In artikel 17 van de AVG is het recht op vergetelheid (of gegevenswissing) opgenomen.
De gronden waarop een verwerkingsverantwoordelijke verplicht is om persoonsgegevens
te wissen zijn in de AVG opgenomen. Het «recht om vergeten» bestaat met andere woorden
al.

Wanneer een bedrijf een consument afwijst als klant, kan de consument in overleg treden
met het bedrijf over de afwijzingsgronden. Bij een klacht over een handelsinformatiebureau,
bijvoorbeeld wanneer een consument het niet eens is met het uitgevoerde kredietwaardigheidsonderzoek,
kan contact worden opgenomen met het handelsinformatiebureau. Wanneer dit niet tot
overeenstemming leidt, kan de consument contact opnemen met de NVH als het handelsinformatiebureau
bij deze branchevereniging is aangesloten. Ook kunnen consumenten een klacht indienen
bij de AP wanneer zij menen dat in strijd met de AVG of Uitvoeringswet AVG is gehandeld.
Ten slotte kan een consument zich tot de rechter wenden.

Vraag 8

Deelt u de mening dat mensen beschermd moeten worden tegen al dan niet op basis van
algoritmes bepaalde besluiten die hen direct in het leven raken? Zo ja, hoe gaat u
daarvoor zorgen; zo nee waarom niet?

Antwoord 8

Allereerst is in Nederland de AP als toezichthouder verantwoordelijk voor het toezicht
op de verwerking van persoonsgegevens en daarmee ook op AI-toepassingen en algoritmes
waarbij persoonsgegevens worden verwerkt. En er is een helder wettelijk kader dat
organisaties en de privacytoezichthouder houvast biedt: de AVG. Zo moet bij het gebruik
van algoritmes persoonsgegevens worden verwerkt in ieder geval worden voldaan aan
een aantal basisvoorwaarden uit de AVG zoals de beginselen van rechtmatigheid, behoorlijkheid
en transparantie. Daarnaast geldt onder meer dat ingevolge artikel 22 AVG, betrokkenen
het recht hebben om niet onderworpen te worden aan een besluit dat uitsluitend op
geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor hen
rechtsgevolgen zijn verbonden of dat hen anderszins in aanmerkelijke mate treft. Geautomatiseerde
individuele besluitvorming, zónder profilering, is volgens artikel 40 van de Uitvoeringswet
AVG toegestaan indien de besluitvorming noodzakelijk is om te voldoen aan een wettelijke
verplichting die op de verwerkingsverantwoordelijke rust of noodzakelijk is voor de
vervulling van een taak van algemeen belang.

In de kabinetsbrief «Waarborgen tegen risico’s van data-analyses door de overheid»
die op 8 oktober jl. aan uw Kamer is toegezonden, heeft mijn collega, de Minister
voor Rechtsbescherming, aangegeven dat eventuele wettelijke waarborgen voor data-analyses
door het bedrijfsleven beter op Europees dan op nationaal niveau kunnen worden vastgesteld.4 In dat kader heeft de Europese Commissie een externe AI High-Level Expert Group opgericht
die ethische richtsnoeren voor AI heeft opgesteld.5 De Europese Commissie is in juni 2019 een pilotfase gestart voor bedrijven en publieke
organisaties om te verkennen of de ethische richtsnoeren voor AI werkbaar zijn in
de praktijk. Het kabinet spant zich met de Nederlandse AI-Coalitie in om zo veel mogelijk
Nederlandse bedrijven en publieke organisaties actief deel te laten nemen aan deze
pilotfase.

Tot slot heeft de markt zelf ook initiatieven ontplooid waarin besluitvorming op basis
van algoritmes wordt geadresseerd, zoals de ethische code AI van Nederland ICT.