Antwoord schriftelijke vragen : Antwoord op vragen van de leden Kat en Van Ginneken over het artikel 'Zo werd Myrthe Reuver de dupe van haar data: ‘Ze geloven in eerste instantie het systeem’'

Antwoord van Minister Weerwind (Rechtsbescherming), mede namens de Staatssecretaris
van Binnenlandse Zaken en Koninkrijksrelaties (ontvangen 31 mei 2022). Zie ook Aanhangsel
Handelingen, vergaderjaar 2021–2022, nr. 2512. Zie ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 2633.

Vraag 1

Bent u bekend met het artikel «Zo werd Myrthe Reuver de dupe van haar data: «Ze geloven
in eerste instantie het systeem»»?1

Antwoord 1

Ja.

Vraag 2

Klopt het dat zogenaamde handelsinformatiebureau’s op basis van algemene gegevens
zoals leeftijd en postcode een kredietbeoordeling geven?

Antwoord 2

Naar mijn inschatting zal per organisatie en zelfs per verwerking verschillen welke
gegevens worden verwerkt. Hoe op basis van die gegevens een handelsinformatiebureau
tot een kredietbeoordeling komt kan ook verschillen. Daarbij moet wel worden opgemerkt
dat het wat mij betreft niet in de rede ligt om aan de hand van algemene gegevens
een kredietbeoordeling uit te voeren. Deze gegevens zeggen op zichzelf immers niets
over de kredietwaardigheid van een persoon.

Vraag 3

In hoeverre wordt ook gebruik gemaakt van informatie afkomstig van social media, en
hoe verhoudt dit zich tot de privacy van de onderzochte persoon?

Antwoord 3

Welke precieze bronnen door verschillende handelsinformatiebureaus worden geraadpleegd
is mij niet bekend, dit zal naar mijn inschatting ook per geval kunnen verschillen.

Iedere verwerking van persoonsgegevens, ongeacht waar deze worden verzameld, moet
voldoen aan de vereisten die in de Algemene Verordening Gegevensbescherming (AVG)
worden gesteld. Dit betekent onder meer dat gegevens op een rechtmatige, behoorlijke
en transparante wijze worden verwerkt2, dat er niet meer gegevens worden verwerkt dan noodzakelijk om het doel van de verwerking
te bereiken3 en dat de verwerkte gegevens «juist» zijn.4 Hierbij komt dat de verwerking terug te voeren moet zijn op een «rechtsgrondslag»
uit artikel 6 lid 1 van de AVG. Partijen die kredietchecks uitvoeren baseren de daarmee
gemoeide verwerking van persoonsgegevens doorgaans op het in artikel 6 eerste lid
onder f AVG vastgelegde «gerechtvaardigd belang». De Autoriteit Persoonsgegevens (AP)
heeft normuitleg verstrekt over wanneer zo’n gerechtvaardigd belang van de verwerkingsverantwoordelijke
(het handelsinformatiebureau) zwaarder weegt dan die van een betrokkene.5 Omdat de verwerkingen van handelsinformatiebureaus in de regel gebaseerd zijn op
het «gerechtvaardigd belang»6 brengt dit ook mee dat betrokkenen ingevolge artikel 21 AVG bezwaar kunnen maken
tegen de profilering in kwestie.

Hierbij komt dat de informatieverplichtingen uit de AVG mede omvatten dat de verwerkingsverantwoordelijke
om een transparante verwerking te borgen ook inzicht geeft in uit welke al dan niet
openbare bronnen de gegevens over een betrokkene zijn verzameld.7

Het is aan de AP – of uiteindelijk aan de rechter – om een oordeel te vellen over
of de persoonsgegevens rechtmatig worden verwerkt.

Vraag 4

Wie kan een dergelijke kredietbeoordeling aanvragen en voor welke doeleinden?

Antwoord 4

Op basis van informatie op de website van de Nederlandse Vereniging voor Handelsinformatiebureaus
(NVH) concludeer ik dat bedrijven dergelijke beoordelingen aan kunnen vragen bij handelsinformatiebureaus
om financiële risico´s te beperken.8

Vraag 5

Klopt het dat er hierbij een risico bestaat dat een negatieve kredietbeoordeling of
zelfs een indicatie van fraude kan worden afgegeven die geen betrekking heeft op de
persoon die onderzocht wordt, maar op een persoon die eerder op dat adres woonde?

Antwoord 5

Ja, dit blijkt ook uit de casus in het door u geciteerde bericht. In een dergelijk
geval worden er incorrecte persoonsgegevens verwerkt. Dit verhoudt zich niet tot het
principe van «juistheid van gegevens» uit artikel 5 eerste lid onder de AVG. De WP-29
werkgroep, de voorloper van de European Data Protection Boarddie normuitleg geeft over Europees gegevensbeschermingsrecht, heeft benadrukt dat
de verwerkingsverantwoordelijke erop toe moet zien dat gegevens in alle stadia van
een verwerkingsproces juist zijn.9 Het verwerken van foutieve persoonsgegevens om tot de score te komen is dan ook onrechtmatig.

Vraag 6

Is er inzicht in hoe vaak een foutieve kredietbeoordeling wordt afgegeven en hoe vaak
mensen hiertegen in beroep zijn gegaan?

Antwoord 6

Dit wordt vanuit de rijksoverheid niet bijgehouden.

Vraag 7

Klopt het dat deze bedrijven in principe verplicht zijn het te melden aan mensen als
zij een kredietwaardigheidsonderzoek naar hen uitvoeren?

Antwoord 7

De verplichtingen die uit artikelen 12, 13 en 14 van de AVG voortvloeien omtrent het
informeren van betrokkenen over de verwerking van hun persoonsgegevens en de wijze
waarop aan deze verplichtingen gevolg moet worden gegeven gelden ook voor de aanbieders
van kredietchecks. In principe brengt dit zoals u terecht opmerkt mee dat betrokkenen
moeten worden geïnformeerd, alhoewel er ook beperkte uitzonderingsgevallen in de AVG
zijn opgenomen, zoals wanneer de betrokkene reeds over deze informatie beschikt.10

De informatieverplichting aan betrokkenen komt tevens aan de orde in de gedragscode
die de Nederlandse Vereniging voor Handelsinformatiebureaus heeft opgesteld.11

Daarbij vind ik het van belang nogmaals te benadrukken dat de AVG burgers in artikel
21 expliciet het recht geeft om bezwaar te maken tegen profilering welke wordt uitgevoerd
op basis van het gerechtvaardigd belang van een verwerkingsverantwoordelijke.

Vraag 8

Zijn zij ook verplicht om, wanneer zij een negatieve kredietbeoordeling geven, dit
eerst aan deze persoon voor te leggen en de mogelijkheid geven hier op te reageren
alvorens zij dit delen met de aanvrager van de kredietbeoordelaar?

Antwoord 8

Een dergelijke specifieke verplichting vloeit niet voor uit de AVG. Wél kunnen betrokkenen
op grond van de AVG inzage vorderen in de persoonsgegevens die de verwerkingsverantwoordelijke12 van hen verwerkt13 en deze waar nodig laten rectificeren.14 Als gezegd kan de betrokkene op basis van artikel 21 AVG ook bezwaar maken tegen
de verwerking, met inbegrip van de daarmee gemoeide profilering omdat kredietbeoordelaars
die verwerking doorgaans baseren op hun «gerechtvaardigd belang».

Vraag 9

Is het mogelijk dat een kredietbeoordelaar een negatieve beoordeling of een beoordeling
fraudeur afgeeft zonder dat de onderzochte persoon hier weet van heeft?

Antwoord 9

Ja, in ieder geval voor wat betreft een negatieve kredietbeoordeling blijkt dit ook
uit de casus in het door u aangedragen bericht. Dat betekent overigens niet dat zulk
handelen ook rechtmatig is. De informatieverplichtingen (artikels 12, 13 en 14) in
combinatie met de verschillende rechten (artikels 15–22) uit de AVG leiden ertoe dat
de betrokkene informatie moet krijgen in welke categorieën gegevens er worden verwerkt,
met welk doel dit plaatsvindt en met welke partijen deze worden gedeeld. De betrokkene
kan ook inzage vorderen in de gegevens en deze waar nodig laten rectificeren of verwijderen
(bijvoorbeeld als de gegevens onrechtmatig zijn verwerkt omdat een informatieverplichting
is geschonden). Dit alles betekent ook dat betrokkenen in de regel inzage moeten krijgen
in bepaalde registraties.

Daarbij komt dat de totstandkoming van een negatieve beoordeling onrechtmatig kan
zijn op basis van de AVG, bijvoorbeeld omdat dit op onjuiste gegevens is gebaseerd.
In die gevallen kan de Autoriteit Persoonsgegevens handhavend optreden.

Vraag 10

Ziet u welke risico’s er bestaan voor personen wanneer een bedrijf zonder hun medeweten
een negatieve kredietbeoordeling geeft, mogelijk op basis van gegevens die op hen
geen betrekking hebben?

Antwoord 10

Ja en ik betreur wat er in voorliggende casus heeft plaatsgevonden dan ook. Een negatieve
kredietbeoordeling kan impactvol zijn en het voor mensen onmogelijk maken bepaalde
diensten af te nemen. Dit is al helemaal vervelend – en onrechtmatig – als het plaatsvindt
op basis van incorrecte verwerkte persoonsgegevens. Uit het krantenartikel maak ik
ook op dat er een klacht is ingediend bij de AP. Het is aan de AP om te bepalen of
het een onderzoek naar deze praktijk instelt.

Vraag 11

Zijn er richtlijnen waarin is vastgelegd op welke wijze kredietbeoordelaars aan de
onderzochte persoon de mogelijkheid moeten bieden om eventuele foutieve informatie
te rectificeren?

Antwoord 11

Ja, de NVH heeft een gedragscode opgesteld waarbij ook de rectificatie van gegevens
aan de orde komt.15 Dat hier door deze aanbieders van kredietchecks aandacht aan wordt besteed is ook
noodzakelijk: artikel 12 tweede lid AVG bepaalt immers dat de verwerkingsverantwoordelijke
de uitoefening van de AVG-rechten moet faciliteren. Dat impliceert dat een vorm van
proactief handelen van verwerkingsverantwoordelijken vereist is om aan de wet te voldoen.
De Autoriteit Persoonsgegevens houdt hier toezicht op.

Vraag 12

Hoe lang mag een handelsinformatiebureau een negatieve kredietbeoordeling registreren
en hergebruiken voor nieuwe onderzoeken?

Antwoord 12

De basisregel uit de AVG is de «opslagbeperking» uit artikel 5 eerste lid onder e:
bewaar gegevens niet langer dan nodig voor de verwezenlijking van het doel. Blijkens
de eerdergenoemde gedragscode van de NVH wordt hiervoor een termijn van 8 jaar gehanteerd.
Het is aan de Autoriteit Persoonsgegevens om hier al dan niet een onderzoek naar in
te stellen.

Vraag 13

Bent u ook bekend met het artikel «Ook al ben je uit de schulden, voor BKR ben je
nog altijd een probleemgeval»?16

Antwoord 13

Ja.

Vraag 14

Wat is de gedachte achter de termijn van vijf jaar waarin een kredietbeoordeling bij
het Bureau Krediet Registratie (BKR) geregistreerd blijft staan, en zou dit teruggebracht
kunnen worden naar bijvoorbeeld drie jaar?

Antwoord 14

Kredietverstrekkers zijn wettelijk verplicht om in het belang van de consument informatie
in te winnen over diens financiële positie voordat zij krediet verstrekken om zo overkreditering
tegen te gaan. Onderdeel daarvan is het raadplegen van een stelsel van kredietregistratie.17 Het BKR beheert het enige stelsel van kredietregistratie.

Er is geen wettelijke regeling over de vormgeving van het stelsel van kredietregistratie.
De termijnen voor het bewaren van registraties zijn door BKR neergelegd in een reglement.
Het BKR hanteert voor alle registraties eenzelfde bewaartermijn van vijf jaar.18

De bewaartermijn van de registraties zorgt ervoor dat een kredietverstrekker de informatie
kan betrekken bij zijn beoordeling of het verstrekken van krediet verantwoord is.
Inzicht in de betaalgeschiedenis heeft tot doel om betalingsproblemen in de toekomst
te voorkomen. De termijn van vijf jaar wordt door het BKR noodzakelijk geacht om goed
inzicht te geven in het betalingsgedrag van consumenten in het verleden, wat een indicatie
is voor het betalingsgedrag in de toekomst. De bewaartermijn is niet bepalend voor
de vraag of een krediet wordt verstrekt, die beoordeling ligt bij de kredietverstrekker.
Ik zie op dit moment geen aanleiding om het BKR te vragen de registratietermijn te
verkorten. Wel wijs ik op het wetsvoorstel dat het Ministerie van Financiën in voorbereiding
heeft naar aanleiding van een advies dat de Autoriteit Persoonsgegevens op eigen initiatief
heeft opgesteld over meer waarborgen bij kredietregistratie.19 De bewaartermijn van persoonsgegevens is onderdeel van het conceptwetsvoorstel.

Vraag 15

Welke mogelijkheden hebben personen om zelf bezwaar te maken tegen een BKR-registratie
wanneer zij van mening zijn dat de omstandigheden waaronder de kredietbeoordeling
tot stand zijn gekomen niet meer van toepassing zijn? Kunnen zij bijvoorbeeld een
tussentijdse beoordeling aanvragen?

Antwoord 15

Consumenten kunnen bij het BKR gratis opvragen welke gegevens over hen bij BKR staan
geregistreerd. De huidige praktijk is dat wanneer een consument zijn BKR-registratie
wil laten aanpassen of verwijderen, hij contact opneemt met zijn kredietaanbieder.
De kredietaanbieder maakt vervolgens een belangenafweging en beoordeelt of de registratie
niet langer proportioneel is. Wanneer de consument en de kredietaanbieder er niet
uitkomen, kan de consument een klacht indienen bij het Kifid.20 De consument kan zelf beslissen wanneer hij zijn gegevens wil opvragen en of hij
tot aanpassing daarvan wil verzoeken.

Ik ben bekend met de uitspraak van de rechtbank Gelderland van 14 januari jl. waaraan
ook wordt gerefereerd in het krantenartikel. Daarin heeft de rechtbank kortgezegd
bepaald dat de verzoeker zich rechtstreeks kan richten tot het BKR met zijn op artikel
21 AVG gerichte bezwaren tegen de verwerking van zijn persoonsgegevens en met het
daaruit voortvloeiende verzoek tot verwijdering van registraties omtrent betalingsachterstanden.
De rechtbank heeft het BKR bevolen de registraties omtrent betalingsachterstanden
te verwijderen.21 Het Ministerie van Financiën heeft van het BKR vernomen dat tegen deze uitspraak
beroep is ingesteld. Het Ministerie van Financiën zal de ontwikkelingen volgen, en
indien van toepassing, betrekken bij het opstellen van het eerdergenoemde wetsvoorstel
over kredietregistratie.