5.5 Bij de beoordeling van de vraag of de Rabobank in februari 2007 gerechtigd was en thans nog zou zijn (persoons)gegevens van Incoparts c.s. in incidentenregister en in het IVR op te nemen dient toetsing plaats te vinden aan de bepalingen van het zogenaamde Protocol “Incidentenwaarschuwingssysteem Financiële Instellingen”(hierna: het Protocol). Daarbij gaat het om de volgende bepalingen:
(…)
1. Overwegingen inzake het gerechtvaardigd belang
1.1 Financiële instellingen zoals banken (…) worden voortdurend geconfronteerd met activiteiten van (rechts)personen, die op enigerlei wijze schade toebrengen of dreigen toe te brengen aan die financiële instellingen, hun medewerkers of hun cliënten, of voor onoorbare doeleinden gebruik maken van hun diensten (waaronder het witwassen van criminele gelden).
1.2 Deze activiteiten kunnen een bedreiging vormen voor de continuïteit en de integriteit van de financiële instellingen, de financiële belangen van de cliënten en/of de financiële belangen van de instellingen zelf. Door het vastleggen van relevante gegevens over deze (rechts)personen en door het creëren van mogelijkheden om deze gegevens te raadplegen, kunnen de betreffende risico’s tijdig worden onderkend en verkleind en kunnen eventuele negatieve gevolgen worden beperkt.
(…)
4. Incidentenregister
4.1 Doel incidentenregister
Met het oog op het kunnen deelnemen aan het incidentenwaarschuwingssysteem financiële instellingen is iedere deelnemer gehouden de volgende doelstelling voor het incidentenregister te hanteren:
“Het geheel aan verwerkingen heeft tot doel het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:
• op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van financiële instellingen;
• op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen tot) strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, haar cliënten en medewerkers;
• op het gebruik van en de deelname aan waarschuwingssystemen.”
4.2 Vastlegging
In het incidentenregister worden slechts gegevens opgenomen van (rechts)personen, indien er naar het oordeel van de deelnemer sprake is van een gerede aanleiding, een en ander met inachtneming van de in 4.1 genoemde doelstelling.
(…)
5. Intern verwijzingsregister (IVR)
5.1 Functie
De functie van IVR is het vaststellen of een (rechts) persoon is opgenomen in het verwijzingsregister opdat gegevens uit het incidentenregister beschikbaar worden gesteld aan (de organisatie van) de deelnemer.
5.2 Vastlegging
In het intern verwijzingsregister kunnen uitsluitend verwijzingsgegevens worden opgenomen van (rechts)personen waarvan gegevens zijn vastgelegd in het incidentenregister en die een risico vormen voor (de organisatie van) de deelnemer. Daarbij kunnen de navolgende criteria als richtsnoer gelden:
• (redelijk vermoeden van) opzettelijke benadeling van de deelnemer, oneigenlijk gebruik van producten, diensten en voorzieningen en/of poging daartoe;
• (redelijk vermoeden van) het plegen van strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften dan wel pogingen daartoe, gericht tegen de deelnemer, de organisatie van de deelnemer, haar cliënten en medewerkers.
(…)
5.4 Informatie-uitwisseling
Informatie-uitwisseling uit de incidentenregister naar aanleiding van een hit is beperkt tot de (organisatie van de) deelnemer en vindt uitsluitend plaats voor zover dit niet onverenigbaar is met het doel waarvoor de gegevens zijn verzameld.
(…)
10 Rechten betrokkene
10.1 Mededeling van opname
Degene wiens gegevens in een incidentenregister respectievelijk de interne verwijzingsregisters (…) zijn opgenomen, heeft recht op mededeling van opname op of omstreeks het moment dat vastlegging van diens gegevens heeft plaatsgevonden (…).
(…)
10.3 Mededelingen uit het incidentenregister
Een ieder heeft het recht zich tot een deelnemer te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens in het incidentenregister en/of het intern verwijzingsregister en/of het extern verwijzingsregister zijn opgenomen.
(…)
10.4 Correctie
Degene aan wie overeenkomstig de artikelen 10.1 of 10.3 kennis is gegeven dat hem betreffende persoonsgegevens zijn opgenomen in het incidentenregister en/of het interne (…) verwijzingsregister, kan de verantwoordelijke verzoeken deze (…) te verwijderen (…) indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt.
(…)”
Bij deze toetsing geldt als uitgangspunt, gelet op de verstrekkende gevolgen die opname van Incoparts c.s. in de eerdergenoemde registers heeft, dat de Rabobank de door haar gestelde “gerede aanleiding” als bedoeld in artikel 4.2 van het Protocol, dan wel het “redelijk vermoeden” als bedoeld in artikel 5.2 van het Protocol deugdelijk, dat wil zeggen met specifieke en onderbouwde stellingen, dient te adstrueren.