ECLI:NL:PHR:2026:435

• Datum uitspraak: 24 april 2026
• Publicatiedatum: 22 april 2026
• Zaaknummer: 25/02752
• Instantie: Parket bij de Hoge Raad
• Type: Conclusie
• Rechtsgebied: Civiel recht
• Uitkomst: Afwijzend
• Vindplaatsen: Rechtspraak.nl

AI samenvatting door Lexboost • Automatisch gegenereerd

Beoordeling verwerking persoonsgegevens door bank in interne registers volgens AVG

De zaak betreft een geschil tussen een voormalige klant en ING Bank over de verwerking van persoonsgegevens in het interne verwijzingsregister (IVR) en de gebeurtenissenadministratie van ING. De klant vorderde verwijdering van zijn gegevens, stellende dat deze onjuist waren en onterecht waren geregistreerd als betrokken bij strafbare feiten.

De rechtbank wees de vorderingen af, met het oordeel dat de gegevens geen strafrechtelijke persoonsgegevens zijn in de zin van art. 10 AVG en niet toegankelijk zijn voor derden. Het hof bekrachtigde dit oordeel en stelde dat de verwerking niet in strijd is met de AVG en de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen.

In cassatie stelde de klant vijf klachten over de uitleg van het begrip strafbare feiten, het recht van bezwaar, de toegankelijkheid van gegevens, het juistheidsbeginsel en het beginsel van minimale gegevensverwerking. De Procureur-Generaal concludeert dat deze klachten ongegrond zijn. Het hof heeft terecht geoordeeld dat de gegevens niet kwalificeren als strafrechtelijke persoonsgegevens, dat ING een gerechtvaardigd belang heeft bij verwerking, dat de gegevens niet voor derden toegankelijk zijn, dat de aantekening accuraat is in het licht van het doel en dat de verwerking niet verder gaat dan noodzakelijk.

De conclusie is dat het cassatieberoep moet worden verworpen en dat er geen aanleiding is voor prejudiciële vragen aan het Hof van Justitie. De verwerking van persoonsgegevens door ING in dit geval is rechtmatig en proportioneel volgens de AVG.

Uitkomst: Het cassatieberoep wordt verworpen; de verwerking van persoonsgegevens door ING is niet in strijd met de AVG.

Conclusie

PROCUREUR-GENERAAL

BIJ DE

HOGE RAAD DER NEDERLANDEN

Nummer 25/02752

Zitting 24 april 2026

CONCLUSIE

B.J. Drijber

In de zaak van

[eiser] hodn [A] ,

eiser tot cassatie,

advocaat: mrs. J.H.M. van Swaaij en R.J. ter Rele

tegen

ING Bank N.V. ,

verweerster in cassatie,

advocaat: mr. A. Stortelder.

Partijen worden hierna verkort aangeduid als
[eiser] respectievelijk
ING .

1. Inleiding en samenvatting

1.1

Deze zaak betreft een geschil over de verwerking van persoonsgegevens van [eiser] , een (voormalige) klant, door ING. [eiser] heeft gevorderd dat ING zijn persoonsegevens verwijderd uit de Gebeurtenissenadministratie en het Intern Verwijzingsregister.

1.2

De rechtbank heeft de vorderingen afgewezen en daarbij van belang geacht dat de gegevens die van [eiser] zijn geregistreerd geen strafrechtelijke persoonsgegevens zijn als bedoeld in art. 10 AVG en dat de informatie niet toegankelijk is voor derden. Het hof heeft het vonnis bekrachtigd. Daarbij heeft het hof onder meer in aanmerking genomen dat de aantekening in het Gebeurtenissenregister niet kan worden aangemerkt als de registratie van strafrechtelijke persoonsgegevens. Verder heeft het hof geoordeeld dat de verwerking van [eiser] persoonsgegevens door ING in het IVR en de Gebeurtenissenadministratie ook anderszins niet in strijd is met de AVG.

1.3

In cassatie wordt met vijf onderdelen tegen het arrest van het hof opgekomen. Onderdeel 1 betreft de uitleg van het begrip ‘strafbare feiten’ (art. 10 AVG). Onderdeel 2 ziet op de maatstaf voor het recht van bezwaar (art. 21 lid 1 AVG). Onderdeel 3 klaagt over het oordeel over de toegankelijkheid van de persoonsgegevens voor derden. Onderdeel 4 stelt aan de orde dat de registratie van de persoonsgegevens in strijd is met het juistheidsbeginsel (art. 5 lid 1, onder d, AVG) en de bewijslastverdeling ex art. 5 lid 2 AVG. Onderdeel 5 tot slot voert aan dat de registratie van de persoonsgegevens in strijd is met het beginsel van minimale gegevensverwerking (art. 5 lid 1, onder c, AVG).

1.4

Ik meen dat de klachten tevergeefs zijn voorgesteld.

2. Feiten en procesverloop

Feiten

2.1

In cassatie kan van de volgende feiten worden uitgegaan. ^[1]

(i) [eiser] heeft een eenmanszaak met de naam [A] . Volgens het Handelsregister heeft de onderneming onder meer de volgende activiteiten:

“Handelsbemiddeling gespecialiseerd in overige goederen.
Handel in oud ijzer en metalen en verrichten van constructiewerkzaamheden voor derden”

(ii) [eiser] is, respectievelijk was, in privé en zakelijk klant van ING.

(iii) Bij brief van 18 november 2021 heeft ING aan [eiser] meegedeeld de bankrelatie met [eiser] te beëindigen voor de zakelijke rekeningen. In de brief staat onder meer:

“(…)

Op grond van de Wet op het financieel toezicht (Wft) en de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) zijn we verplicht te weten wie onze klanten zijn en wat ze met hun rekeningen doen. Daarom voeren we periodiek controles uit en onderzoeken we onregelmatigheden. De informatie die u ons tot op heden heeft verstrekt, geeft helaas geen transparant beeld van het gebruik van uw Zakelijke Rekeningen. Hierdoor kunnen we onvoldoende inhoud geven aan onze verplichtingen uit de Wft en de Wwft en zijn we van mening dat de voor een bankrelatie vereiste vertrouwensbasis in uw situatie niet meer aanwezig is. In deze brief leest u meer hierover.

Onderzoek en bevindingen

(...) Aan de hand van eigen onderzoek door ING, en de door u opgegeven antwoorden met de daarbij behorende bewijsstukken, concluderen we het volgende.

Omwille van uw hoge cashuitgaven en het ontbreken van zowel een adequate inkoopadministratie als een inkoopbeleid omtrent heling kunnen wij niet voldoende uitsluiten dat uw cashgelden (in)direct betrokken zijn bij heling, witwassen en andere criminele activiteiten. Daarbij voldoet u niet aan de registratieplicht voor de inkoop van metaal. Op basis van art. 437Sr en het Uitvoeringsbesluit zijn opkopers wettelijk verplicht een doorlopend en gewaarmerkt inkoopregister bij te houden, waarin ze de identificerende persoonsgegevens van de verkoper dienen te registreren. Uw inkoopadministratie laat niet zien bij wie u uw inkopen doet. Ook blijkt u onvoldoende maatregelen te nemen om risico’s op heling bij uw inkooppartijen te beheersen, en heeft u uw inkoopbeleid niet verbeterd ten opzichte van ons vorige klantonderzoek.

(...)

Opname in het interne verwijzingsregister

Ten slotte moeten we u mededelen dat we uw persoonsgegevens opnemen in het Interne Verwijzingsregister (IVR) voor de duur van 8 jaar. Het IVR kan alleen door de eigen financiële instelling (inclusief dochterondernemingen) worden geraadpleegd en bevat verwijzingsgegevens van (rechts)personen die direct of indirect betrokken zijn geweest bij gebeurtenissen waarbij onregelmatigheden zijn geconstateerd. Staan uw gegevens in het IVR, dan kan dit gevolgen voor u hebben. Bijvoorbeeld bij de aanvraag van producten of diensten bij ING.

(…)”

(iv) Na nadere correspondentie met [eiser] heeft ING de zakelijke bankrelatie op 11 oktober 2022 beëindigd. [eiser] heeft zich aanvankelijk daartegen verzet, maar uiteindelijk daarin berust. ING heeft over hem gegevens in de Gebeurtenissenadministratie en het Interne Verwijzingsregister opgenomen voor een periode van acht jaar.

Procesverloop

2.2

[eiser] heeft ING gedagvaard voor de rechtbank Amsterdam (hierna:
de rechtbank ). Hij heeft, na een wijziging van eis ^[2] en voor zover nog relevant in cassatie, ^[3] gevorderd dat de rechtbank, voor zoveel mogelijk uitvoerbaar bij voorraad, ING beveelt om de registratie van [eiser] in het IVR te schrappen, en geschrapt te houden, althans op een dusdanige wijze te wijzigen dat daaruit niet langer volgt dat [eiser] op enigerlei wijze betrokken is bij enig misdrijf, althans dat het risico bestaat dat [eiser] betrokken is of zou kunnen zijn bij enig misdrijf, en ING te veroordelen in de kosten van de procedure.

2.3

Op 22 mei 2023 heeft een mondelinge behandeling plaatsgevonden. Zijdens ING zijn spreekaantekeningen overgelegd.

2.4

Bij vonnis van 5 juli 2023 ^[4] heeft de rechtbank de vorderingen afgewezen. Daarvoor heeft de rechtbank van belang geacht dat de gegevens die van [eiser] in het IVR zijn geregistreerd geen strafrechtelijke persoonsgegevens zijn (rov. 4.7) en dat de informatie uit het IVR niet toegankelijk is voor derden (rov. 4.8).

2.5

Op 21 september 2023 is [eiser] bij het gerechtshof Amsterdam (hierna:
het hof ) in hoger beroep gekomen van het vonnis van de rechtbank. [eiser] heeft, na wijziging van eis, ^[5] gevorderd, voor zoveel mogelijk uitvoerbaar bij voorraad, het vonnis van de rechtbank te vernietigen en ING te bevelen om, primair uit haar administraties of, subsidiair, uit de Gebeurtenissenadministratie en het incidentenregister, de persoonsgegevens te wissen waaruit volgt dat ten aanzien van [eiser] niet uitgesloten kan worden dat hij zich schuldig heeft gemaakt aan witwassen en/of enige andere vorm van (financiële) criminaliteit, zulks op straffe van een dwangsom en met veroordeling van ING in de proceskosten.

2.6

Bij arrest van 13 mei 2025 ^[6] (hierna:
het bestreden arrest ) heeft het hof het vonnis bekrachtigd. Daarbij heeft het hof in aanmerking genomen dat [eiser] , gelet op de gemotiveerde betwisting van ING, niet aan zijn stelplicht heeft voldaan dat zijn persoonsgegevens in het incidentenregister van ING zijn opgenomen (rov. 5.5). Voorts heeft het hof overwogen dat de aantekening in het Gebeurtenissenregister niet kan worden aangemerkt als de registratie van strafrechtelijke persoonsgegevens als bedoeld in art. 10 AVG (rov. 5.12-5.13). Verder heeft het hof geoordeeld dat de verwerking van [eiser] persoonsgegevens door ING in het IVR en het Gebeurtenissenregister ook anderszins niet in strijd is met de AVG en de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (rov. 5.14 e.v.), in de gedingstukken aangeduid als
de Gedragscode .

2.7

Bij procesinleiding van 13 augustus 2025 heeft [eiser] (tijdig) cassatie ingesteld tegen het bestreden arrest. ING heeft verweer gevoerd. Beide partijen hebben hun standpunten schriftelijk toegelicht, voor ING mede door mr. H.A.A. Essebai. De toelichting zijdens [eiser] is beknopt, maar [eiser] heeft wel gerepliceerd op de toelichting zijdens ING.

3. Juridisch kader

3.1

Voordat ik toekom aan de bespreking van het cassatiemiddel, schets ik het juridisch kader. Daarin behandel ik achtereenvolgens:

a. de achtergrond van de Algemene Verordening Gegevensbescherming (hierna:
AVG );

b. het begrip ‘persoonsgegevens van strafrechtelijke aard’ in art. 10 AVG;

c. de beginselen inzake verwerking van persoonsgegevens;

d. het beginsel van minimale gegevensverwerking in art. 5 lid 1, onder c), AVG;

e. het juistheidsbeginsel in art. 5 lid 1, onder d), AVG;

f. de grond voor rechtmatige verwerking in art. 6 lid 1, onder f) AVG;

g. het recht van bezwaar in art. 21 lid 1 AVG; en

h. het Gebeurtenissenregister en het IVR van ING.

Ad a: bescherming van persoonsgegevens op grond van de AVG

3.2

Het recht op bescherming van persoonsgegevens is een grondrecht, dat kort gezegd inhoudt dat eenieder regie houdt over zijn persoonsgegevens. ^[7] Het grondrecht is verankerd in art. 16 lid 1 VWEU en art. 8 lid 1 EU-Handvest. Hoewel dit recht niet als zodanig is opgenomen in het EVRM, heeft het EHRM erkend dat de bescherming van persoonsgegevens van fundamenteel belang is voor het door art. 8 EVRM beschermde recht op eerbiediging van het privé-, familie- en gezinsleven. ^[8]

3.3

Sinds 25 mei 2018 geeft de AVG ^[9] nadere regels voor de bescherming van persoonsgegevens. De AVG, een verordening, heeft Richtlijn 95/46/EG ^[10] (hierna:
de Richtlijn ) vervangen, die in Nederland was geïmplementeerd in de Wet bescherming persoonsgegevens (hierna:
Wbp ). ^[11] Deze Richtlijn had tot doel de bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met verwerkingsactiviteiten te harmoniseren en het vrije verkeer van persoonsgegevens binnen de Europese Unie te waarborgen. Deze tweevoudige doelstelling is met de AVG overeind gebleven, maar de AVG bevat een verdergaande harmonisatie van de nationale wetgevingen op het gebied van gegevensbescherming. ^[12] Omdat het een verordening betreft, hebben de bepalingen uit de AVG rechtstreekse werking (art. 288, tweede alinea, VWEU). Zij kunnen dus ook bron zijn van verplichtingen, bijvoorbeeld voor rechtspersonen die gegevens verwerken. De AVG bevat autonome begrippen die binnen de EU uniform dienen te worden uitgelegd. De AVG laat echter ook op verschillende deelterreinen ruimte voor nationaal beleid en vereist bovendien dat de lidstaten uitvoeringsmaatregelen vaststellen om ervoor te zorgen dat de AVG operationeel kan worden toegepast. ^[13] De AVG wordt in Nederland (onder meer) ^[14] uitgewerkt in de Uitvoeringswet AVG (hierna:
UAVG ), welke wet ook op 25 mei 2018 in werking is getreden. ^[15]

3.4

De AVG geeft in art. 5 lid 1, onder a) t/m f), een opsomming van de beginselen die bij iedere verwerking van persoonsgegevens in acht moeten worden genomen. Deze beginselen vormen een uitwerking van het vereiste van rechtmatigheid en de beginselen van proportionaliteit en subsidiariteit, zoals neergelegd in art. 8 lid 2 EVRM en in art. 8 lid 2 Handvest. ^[16] Art. 6 AVG bepaalt de grondslag en de voorwaarden voor een
rechtmatige verwerking van persoonsgegevens. Daar kom ik hierna onder f. op terug.

Ad b: persoonsgegevens van strafrechtelijke aard (art. 10 AVG)

3.5

Richtlijn 95/46/EC bepaalde dat verwerkingen inzake strafrechtelijke veroordelingen alleen mochten worden verricht onder toezicht van de overheid of indien de nationale wetgeving voorziet in passende specifieke waarborgen, behoudens afwijkingen die een lidstaat kan toestaan uit hoofde van nationale bepalingen welke passende en specifieke waarborgen bieden (art. 8 lid 5, eerste volzin). Deze regel was geïmplementeerd in art. 16 Wbp, dat een verbod op de verwerking van strafrechtelijke persoonsgegevens bevatte. Op dat verbod maakte art. 22 Wbp leden 1 en 2 (onder meer) de volgende uitzonderingen:

“1. Het verbod om strafrechtelijke persoonsgegevens te verwerken als bedoeld in artikel 16, is niet van toepassing indien de verwerking geschiedt door organen die krachtens de wet zijn belast met de toepassing van het strafrecht, alsmede door verantwoordelijken die deze hebben verkregen krachtens de Wet politiegegevens of de Wet justitiële en strafvorderlijke gegevens.

2. Het verbod is niet van toepassing op de verantwoordelijke die deze gegevens ten eigen behoeve verwerkt ter:

i. beoordeling van een verzoek van betrokkene om een beslissing over hem te nemen of aan hem een prestatie te leveren of

j. bescherming van zijn belangen voor zover het gaat om strafbare feiten die zijn of op grond van feiten en omstandigheden naar verwachting zullen worden gepleegd jegens hem of jegens personen die in zijn dienst zijn.”

3.6

In een beschikking van 29 mei 2009 ^[17] heeft de Hoge Raad zich uitgelaten over het begrip ‘strafrechtelijke persoonsgegevens’ in de zin van destijds art. 16 Wbp. De zaak betrof een geval waarin verzoekers ING hadden verzocht persoonsgegevens te verwijderen uit het Incidentenregister, het IVR, het Extern Verwijzingsregister en de bijbehorende verwijzingsapplicatie. De Hoge Raad overwoog dat het hof onder ‘strafrechtelijke persoonsgegevens’ terecht had verstaan: “
zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring – in de zin van art. 350 Sv. – kunnen dragen” en dat het hof – evenzeer terecht – in dat verband als maatstaf had genomen “
of de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan ” (rov. 4.4). Voor de kwalificatie van gegevens als ‘strafrechtelijke persoonsgegevens’ is een veroordeling door de strafrechter evenwel niet vereist (rov. 4.4, eerste volzin).

3.7

Bovengenoemde bepalingen zijn komen te vervallen met de inwerkingtreding van de AVG. De AVG definieert persoonsgegevens (art. 4, onder 1, AVG) als:

“alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.”

3.8

Art. 10 AVG geeft een specifieke regel voor de verwerking van strafrechtelijke persoonsgegevens (mijn onderstreping):

“
Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.”

3.9

Deze bepaling heeft tot doel een sterkere bescherming te bieden tegen verwerkingen die wegens de bijzondere gevoeligheid van de betreffende persoonsgegevens in zeer ernstige mate inbreuk kunnen maken op de door art. 7 en 8 Handvest gewaarborgde grondrechten op de eerbiediging van het privéleven en de bescherming van persoonsgegevens. ^[18] Volgens het Hof van Justitie van de Europese Unie (hierna:
Hof van Justitie , afgekort
HvJEU ) hebben deze gegevens namelijk betrekking “
op gedragingen die aanleiding geven tot maatschappelijke afkeuring, zodat het feit dat toegang wordt verleend tot dergelijke gegevens de betrokkene kan stigmatiseren en aldus op ernstige wijze inbreuk kan maken op zijn privé- of beroepsleven .” ^[19]

3.1

Art. 1 UAVG bevat de volgende definitie van ‘persoonsgegevens van strafrechtelijke aard’:

“Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld in artikel 10 van de verordening, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag.”

3.11

In de memorie van toelichting ^[20] op de UAVG staat het volgende (mijn onderstreping; voetnoten weggelaten):

“Het begrip persoonsgegevens van strafrechtelijke aard heeft betrekking
op zowel veroordelingen als op min of meer gegronde verdenkingen . Het begrip ‘strafrechtelijke gegevens’ omvat mede
gegevens omtrent de toepassing van het formele strafrecht , bijvoorbeeld het gegeven dat iemand is gearresteerd of dat tegen hem proces-verbaal is opgemaakt wegens een bepaald vergrijp. Doordat artikel 10 van de verordening ook de term ‘strafbare feiten’ bevat (in de Engelse versie: offences) is duidelijk dat ook onder de verordening
zowel verdenkingen als veroordelingen onder het bereik van de bepaling vallen . Op grond van de definitiebepaling van artikel 1 van de Uitvoeringswet vallen ook persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag onder de definitie van persoonsgegevens van strafrechtelijke aard.”

3.12

Het Hof van Justitie heeft zich in de zaak
B/Latvijas Republikas Saeima uitgelaten over de vraag wat onder ‘persoonsgegevens betreffende veroordelingen en strafbare feiten’ moet worden verstaan. Het ging in die zaak om de vraag of art. 10 AVG aldus moet worden uitgelegd dat het van toepassing is op de verwerking van persoonsgegevens die betrekking hebben op strafpunten wegens verkeersovertredingen. Het begrip ‘strafbaar feit in strafrechtelijke zin’ in de zin van art. 10 AVG dient in de gehele EU autonoom en uniform te worden uitgelegd, waarbij rekening dient te worden gehouden met het doel van die bepaling en de context ervan, zonder dat de door de betrokken lidstaat aan die strafbare feiten gegeven kwalificatie in dat opzicht beslissend is. ^[21] Het Hof van Justitie overwoog vervolgens dat drie criteria relevant zijn om te beoordelen of een strafbaar feit van strafrechtelijke aard is: 1) de juridische kwalificatie van het strafbare feit naar nationaal recht, 2) de aard van het strafbare feit en 3) de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd. ^[22] Zelfs voor strafbare feiten die naar nationaal recht niet als strafbare feiten
in strafrechtelijke zin worden aangemerkt, kan een dergelijk karakter niettemin voortvloeien uit de aard zelf van het strafbare feit in kwestie en uit de zwaarte van de sancties die daarvoor kunnen worden opgelegd. ^[23] Het Hof van Justitie oordeelt dat het (tweede) criterium betreffende de aard zelf van het strafbare feit impliceert dat moet worden nagegaan of met de sanctie in kwestie met name een repressief doel wordt nagestreefd, zonder dat de enkele omstandigheid dat met deze sanctie tevens een preventief doel nastreeft ertoe leidt dat zij niet wordt gekwalificeerd als een strafrechtelijke sanctie. ^[24]

3.13

Helemaal eenduidig vind ik deze Europese rechtspraak niet. Voor de nationale rechtspraktijk lijkt mij echter vooral van belang of de maatstaf uit de beschikking van de Hoge Raad van 29 mei 2009 (zie 3.6) eventueel is achterhaald door de AVG en in het licht van de uitspraak
B/Latvijas Republikas Saeima . ^[25]

3.14

In lagere rechtspraak wordt nog steeds de beschikking van de Hoge Raad van 29 mei 2009 aangehaald om te bepalen wanneer sprake is van feiten en omstandigheden die betrekking hebben op een strafbaar feit. ^[26]

3.15

In de literatuur wordt door verschillende auteurs aangenomen dat de beschikking van de Hoge Raad van 29 mei 2009
niet aan betekenis heeft ingeboet. ^[27] Jansen & Van den Borne-Verheijen ^[28] schrijven daarentegen dat met de uitspraak
B/Latvijas Republikas Saeima de lat om te oordelen dat sprake is van strafrechtelijke persoonsgegevens (veel) lager ligt dan tot dusverre in de Nederlandse rechtspraak werd aangenomen.

3.16

In het licht van het voorgaande meen ik dat de maatstaf uit de beschikking van 29 mei 2009 nog steeds opgeld doet om te kunnen bepalen of is voldaan aan het eerste criterium dat is geformuleerd door het HvJEU (de juridische kwalificatie van het strafbare feit naar nationaal recht). Die maatstaf is echter niet doorslaggevend voor het antwoord op de vraag of sprake is van een strafrechtelijk persoonsgegeven in de zin van art. 10 AVG. Dat betreft immers, zoals gezegd, een autonoom Unierechtelijk begrip. Ook in het geval dat een feit of omstandigheid niet een bewezenverklaring (in de zin van art. 350 Sv.) kan dragen,
kan sprake zijn van een strafbaar feit, indien een dergelijk karakter voortvloeit uit de aard zelf van het strafbare feit of uit de zwaarte van de sancties die daarvoor kunnen worden opgelegd.

Ad c: beginselen inzake verwerking van persoonsgegevens

3.17

Art. 5 van de AVG legt beginselen inzake de verwerking van persoonsgegevens vast. Deze beginselen fungeren als richtsnoer voor de interpretatie van specifieke bepalingen en dienen als maatstaf waaraan regelingen betreffende gegevensbescherming moeten voldoen en die bij de verwerking van persoonsgegevens in acht genomen moeten worden. ^[29]

3.18

Krachtens art. 5 AVG gaat het om de volgende beginselen: a) het beginsel van rechtmatigheid, behoorlijkheid en transparantie, b) het doelbindingsbeginsel, c) het beginsel van minimale gegevensverwerking, d) het juistheidsbeginsel, e) het beginsel van opslagbeperking, en f) het beginsel van integriteit en vertrouwelijkheid. In onderhavige procedure is beroep gedaan op het beginsel van minimale gegevensverwerking onder c) en op het juistheidsbeginsel onder d).

3.19

Op grond van het in art. 5 lid 2 AVG neergelegde verantwoordingsbeginsel moet een verwerkingsverantwoordelijke kunnen aantonen dat de persoonsgegevens worden verzameld en verwerkt met inachtneming van de beginselen uit lid 1 van art. 5 AVG.

3.2

Daarnaast moet iedere verwerking van persoonsgegevens voldoen aan de rechtsbeginselen van proportionaliteit en subsidiariteit. Dit betekent dat de inbreuk op de belangen van de betrokkene niet onevenredig mag zijn in verhouding tot het doel van de verwerking en dat dit doel in redelijkheid niet op een voor de betrokkene minder nadelige wijze is te bereiken. ^[30]

Ad d: het beginsel van minimale gegevensverwerking (art. 5 lid 1, onder c), AVG)

3.21

Art. 5 lid 1, onder c), AVG luidt:

“1. Persoonsgegevens moeten:

(…)

c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”).”

3.22

Het beginsel van minimale gegevensverwerking is een concretisering van het evenredigheidsbeginsel. ^[31] De tekst van deze bepaling impliceert dat de verplichting verder gaat dan alleen de minimalisatie van gegevens. In de literatuur is opgemerkt dat het niet alleen gaat om de minimalisatie van gegevens, maar ook om de
relevantie van gegevens. ^[32] Het gaat, met andere woorden, niet alleen om de kwantiteit van de gegevens, maar ook om de kwaliteit daarvan. ^[33] Het beginsel van minimale gegevensverwerking verlangt daarom niet altijd dat de verwerkingsverantwoordelijke zo min mogelijk persoonsgegevens verwerkt. ^[34] De verwerkte persoonsgegevens moeten namelijk in de eerste plaats
toereikend zijn. Het kan gebeuren dat de betrokkene juist nadeel ondervindt van een te summiere verwerking van zijn gegevens, bijvoorbeeld wanneer ontlastende gegevens niet zijn opgeslagen. ^[35]

3.23

Verder moeten de persoonsgegevens ter zake dienend zijn en beperkt zijn tot wat noodzakelijk is voor het bereiken van een bepaald doel (zie ook considerans, nr. 39). ^[36] De beoordeling moet aldus altijd geschieden tegen de achtergrond van de doelstelling van de verwerking. Voor het verlenen van krediet bijvoorbeeld moet de bank meer gegevens verwerken dan voor het openen van een deposito. Zou de bank in het laatste geval dezelfde gegevens verwerken als bij een kredietverlening, dan zou dat in strijd kunnen zijn met het beginsel van minimale gegevensverwerking. ^[37]

Ad e: het juistheidsbeginsel (art. 5 lid 1, onder d), AVG)

3.24

Art. 5 lid 1, onder d), AVG bevat het zogenoemde ‘juistheidsbeginsel’:

“1. Persoonsgegevens moeten:

(…)

d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”).”

Het begrip ‘juist’ wordt niet gedefinieerd in de AVG.

3.25

Volgens het Hof van Justitie moeten de nauwkeurigheid en de volledigheid van persoonsgegevens worden beoordeeld uitgaande van de doeleinden waarvoor zij worden verzameld. ^[38] Verder volgt uit de rechtspraak dat art. 5 lid 1, onder d), AVG nauw samenhangt met het in art. 16 AVG opgenomen recht op rectificatie, dat het begrip ‘
onjuiste’ (in de Engelse taalversie: ‘
inaccurate’ ) persoonsgegevens bevat. ^[39] Artikel 16 AVG bepaalt (mijn onderstreping):

“De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende
onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.”

3.26

Het HvJEU heeft voorts overwogen dat de betrokkene die om rectificatie van de verwerkte gegevens verzoekt op de voet van art. 16 AVG, verplicht kan zijn tot het aanleveren van relevante en afdoende bewijsstukken om de onjuistheid van de verwerkte gegevens aan te tonen. ^[40]

3.27

Richtlijn 95/46 bepaalde in art. 12, aanhef en onder b), dat de lidstaten moesten waarborgen dat elke betrokkene, naar gelang van het geval, het recht toekomt van rectificatie, uitwissing of de afscherming van gegevens waarvan de verwerking niet overeenstemt met de bepalingen van de Richtlijn, met name op grond van het onvolledige of
onjuiste karakter van de gegevens.

3.28

Volgens de Artikel 29-Werkgroep, de voorloper van de European Data Protection Board, zijn gegevens ‘
accurate ’ in de zin van de Richtlijn, wanneer zij
feitelijk juist zijn (“
accurate as to a matter of fact” ) en niet slechts iemands mening weergeven. ^[41] Hieruit kan worden opgemaakt dat persoonsgegevens de ‘objectieve’ werkelijkheid moeten weerspiegelen. ^[42]

3.29

De vraag kan opkomen of alleen puur objectieve/feitelijke persoonsgegevens op juistheid kunnen worden beoordeeld en, zo nodig, kunnen worden gerectificeerd, of dat dit ook het geval is bij meer subjectieve persoonsgegevens, zoals meningen en analyses die wel op feiten zijn gebaseerd. ^[43]

3.3

In het – nog onder vigeur van Richtlijn 95/46 gewezen – arrest
Nowak ^[44] heeft het Hof van Justitie overwogen (punt 34 en 35) dat het begrip ‘persoonsgegevens’ ruim moet worden uitgelegd (mijn onderstreping):

“34. Het gebruik van de woorden ‘iedere informatie’ in de definitie van het begrip ‘persoonsgegevens’ in artikel 2, onder a), van richtlijn 95/46 wijst er immers op dat het de bedoeling van de Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie,
zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of beoordelingen , op voorwaarde dat deze informatie de betrokkene ‘betreft’.

35. Deze laatste voorwaarde is vervuld wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon.”

3.31

Indien subjectieve gegevens kunnen worden aangemerkt als persoonsgegevens in de zin van de AVG, dan zouden deze gegevens ook moeten voldoen aan het juistheidsbeginsel. De subjectieve aard van de gegevens lijkt echter op gespannen voet te staan met het juistheidsbeginsel, dat verlangt dat een persoonsgegeven
feitelijk juist is. Kenmerkend voor subjectieve persoonsgegevens is immers dat zij niet een objectieve werkelijkheid weerspiegelen en daarom ook niet empirisch kunnen worden getoetst. ^[45]

3.32

Uit twee uitspraken van het Hof van Justitie kan worden afgeleid dat behoedzaam moet worden omgegaan met een juistheidstoetsing en een eventuele inhoudelijke wijziging van dergelijke subjectieve persoonsgegevens. ^[46]

3.33

In de eerste plaats oordeelde het Hof Justitie in het zojuist aangehaalde arrest
Nowak dat schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator persoonsgegevens zijn in de zin van Richtlijn 95/46 (arrest, punt 62). Verder werd overwogen dat foute examenantwoorden niet ‘onjuist’ zijn in de zin van art. 12, aanhef en onder b), Richtlijn 95/46. Bij examenantwoorden bestaat het doel van de verwerking erin het niveau van de kennis en de vaardigheden van de kandidaat te evalueren op de datum van het examen. Dat niveau blijkt juist uit eventuele door de kandidaat gemaakte fouten (punt 53).

3.34

In de tweede uitspraak, het arrest
YS en anderen , ^[47] overwoog het Hof van Justitie dat een juridische analyse in een minuut over een verblijfstitel van een aanvrager persoonsgegevens kan bevatten, maar niet zelf kan worden aangemerkt als persoonsgegeven in de zin van Richtlijn 95/46 (arrest, punt 39). Anders dan de gegevens die in de minuut staan en die de feitelijke basis kunnen vormen voor de juridische analyse daarin, kan een dergelijke analyse zelf niet worden gecontroleerd op de juistheid ervan en worden gerectificeerd (punt 45). Ik meen dat dit ook voor de hand ligt.

3.35

Art. 12 Richtlijn 95/46 was in Nederland omgezet in art. 36 Wbp. Art. 36 lid 1 Wbp bepaalde dat de betrokkene de verwerkingsverantwoordelijke kon verzoeken persoonsgegevens te verbeteren, aan te vullen, te verwijderen, of af te schermen “
indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt (mijn onderstreping)”.

3.36

Volgens de Memorie van Toelichting op de Wbp sloot art. 36 Wbp grotendeels aan bij art. 31 Wet op de persoonsregistraties (hierna:
Wpr ). ^[48] In de totstandkomingsgeschiedenis van dit artikel staat de volgende passage (mijn onderstreping): ^[49]

“De Staatscommissie (eindrapport, blz. 48) heeft nog gewezen op de moeilijkheid dat geschillen over de juistheid van een gegeven niet steeds eenduidig zullen zijn. Dit zal met name daar het geval zijn waar
gegevens een waarderend karakter hebben of de neerslag vormen van een beslissing waarvan de juistheid op zichzelf in de correctieprocedure niet ter discussie kan staan . In dit verband is de commissie er van uitgegaan, dat indien andere beroepsgangen openstaan om de juistheid van een geregistreerd gegeven aan te vechten, deze voorrang hebben boven de correctieprocedure van het wetsontwerp.
Zo zal de vermelding van een arbeidsongeschiktheidspercentage in de registratie van een bedrijfsvereniging in die procedure alleen kunnen worden bestreden, indien het vastgestelde percentage onjuist is weergegeven . Wij menen dat dit ook zal moeten gelden voor geschillen over de verschuldigdheid van een bepaalde geldsom: het is niet de bedoeling dat deze voortaan via een verzoek tot correctie in de desbetreffende boekhouding tot een beslissing van de rechter leiden.”

3.37

In de literatuur bestaat geen consensus over de reikwijdte van het juistheidsbeginsel. Sommige auteurs menen dat het juistheidsbeginsel alleen van toepassing is op feitelijke gegevens die empirisch kunnen worden getoetst. Bij gemengde gegevens die bestaan uit een feitelijk en een subjectief (waarderend) element, kan alleen het feitelijk deel op juistheid worden getoetst. ^[50] Andere auteurs zijn van mening dat een dergelijk onderscheid niet gemakkelijk te maken is. Zij betogen dat uit de tekst van de AVG en de hiervoor aangehaalde rechtspraak van het Hof van Justitie volgt dat ook subjectieve gegevens op juistheid moeten kunnen worden getoetst, maar dat die toetsing – afhankelijk van de betreffende doelstelling van de verwerking – minder stringent is dan de toetsing van feitelijke gegevens. ^[51]

3.38

Tot slot: toepassing van het juistheidsbeginsel behelst een inspanningsverplichting. Van een verwerkingsverantwoordelijke kan niet worden verwacht dat hij onder alle omstandigheden garandeert dat de door hem verwerkte gegevens accuraat of actueel zijn. ^[52]

Ad f: rechtmatige verwerking (art. 6 lid 1 AVG)

3.39

Op grond van de AVG is een verwerking van persoonsgegevens alleen rechtmatig indien en voor zover daarvoor een grondslag bestaat. De mogelijke grondslagen zijn opgenomen in art. 6 lid 1, onder a t/m f), AVG. Voor een beoordeling van het cassatiemiddel is voornamelijk de grondslag onder f) van belang. ^[53]

3.4

Art. 6 lid 1, onder f), AVG luidt:

“1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a) (…)

b) (…)

c) (…)

d) (…)

e) (…)

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”

3.41

Art. 6 lid 1, onder f), AVG bevat de meest algemene verwerkingsgrondslag. Een verwerking is rechtmatig op deze grond indien is voldaan aan drie cumulatieve voorwaarden:
a ) er moet sprake zijn van de behartiging van een gerechtvaardigd belang,
b ) de verwerking van persoonsgegevens is noodzakelijk voor de behartiging van dit belang, en
c ) de grondrechten en fundamentele vrijheden van de betrokkene prevaleren niet. ^[54] De bewijslast dat aan die voorwaarden is voldaan rust op de verwerkingsverantwoordelijke. ^[55]

3.42

Ten aanzien van de voorwaarde
ad a) geldt dat een breed scala aan belangen als gerechtvaardigd in de zin van art. 6 lid 1, onder f), AVG kan worden aangemerkt. ^[56]

3.43

De voorwaarde
ad b) bevat het zogeheten noodzakelijkheidsvereiste. Dit vereiste heeft een autonome Unierechtelijke betekenis. ^[57] Aan het noodzakelijkheidsvereiste is voldaan als de verwerking van persoonsgegevens objectief onontbeerlijk is om het doel te bereiken. De verwerkingsverantwoordelijke moet dus kunnen aantonen in welk opzicht het doel zonder die verwerking niet zou kunnen worden bereikt. ^[58] Voor de grondslag onder f) betekent dit dat aan het noodzakelijkheidsvereiste is voldaan, indien het gerechtvaardigde belang niet even doeltreffend kan worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en vrijheden van de betrokkene. Het noodzakelijkheidsvereiste moet volgens het Hof van Justitie in samenhang worden bezien met het beginsel van minimale gegevensverwerking. ^[59] Bij de beoordeling of de verwerking van persoonsgegevens noodzakelijk is in de zin van de f-grond, hoeft geen rekening worden gehouden met het eventuele bestaan van een recht van bezwaar van de betrokkene krachtens art. 21 AVG. ^[60]

3.44

Bij de voorwaarde
ad c) gaat het om de belangenafweging tussen enerzijds de gerechtvaardigde belangen van de verwerkingsverantwoordelijke en anderzijds de grondrechten en fundamentele vrijheden van de betrokkene. Hierbij moet rekening worden gehouden met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. In punt 47 van de considerans is dit nader uitgewerkt:

“De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. Een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke, in situaties waarin de betrokkene een klant is of in dienst is van de verwerkingsverantwoordelijke. In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. (…) De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. (…).”

Het HvJEU heeft geoordeeld dat de door mij als
c aangeduide derde voorwaarde een belangenafweging impliceert, die “
in beginsel afhangt van de omstandigheden van het concrete geval, en dat het bijgevolg aan de verwijzende rechter in kwestie staat om bij deze afweging rekening te houden met die specifieke omstandigheden van de zaak .” ^[61]

3.45

Wanneer persoonsgegevens rechtmatig mogen worden verwerkt op grond van art. 6 lid 1, onder (e en) f AVG, kan een betrokkene niettemin bezwaar maken tegen de verwerking van gegevens die op zijn specifieke situatie betrekking hebben (considerans, punt 69).

Ad g: het recht van bezwaar (art. 21 lid 1 AVG)

3.46

Art. 21 lid 1 AVG bepaalt (mijn onderstreping):

“De betrokkene heeft te allen tijde het
recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij
dwingende gerechtvaardigde gronden voor de verwerking aanvoert
die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.”

3.47

Het recht van bezwaar geldt alleen voor verwerkingen die zijn gerechtvaardigd op grond van de onderdelen e) en f) van art. 6 lid 1 AVG. Dit zijn de ruimst omschreven grondslagen die de verwerkingsverantwoordelijke een grote beoordelingsruimte bieden. ^[62] De door de verwerkingsverantwoordelijke te maken belangenafweging op deze gronden heeft slechts een algemeen karakter. Het risico bestaat dat specifieke omstandigheden van de betrokkene niet worden meegewogen. ^[63] Daarom is voorzien in een recht van bezwaar.

3.48

De belangenafweging van art. 21 AVG is specifieker van aard, aangezien de specifieke omstandigheden van de betrokkene worden gewogen. ^[64] Daarnaast zal een verwerking eerder gestaakt moeten worden, omdat niet voldoende is dat het ‘
gerechtvaardigde’ belang ‘
zwaarder ’ weegt (art. 6 lid 1, onder f), AVG) dan de belangen, rechten en vrijheden van de betrokkene. Op grond van art. 21 AVG moet namelijk sprake zijn van ‘
dwingende gerechtvaardigde gronden’ van de verwerkingsverantwoordelijke ‘
die zwaarder wegen’ dan de belangen van de betrokkene. ^[65]

3.49

De AVG bevat geen definitie van de zinsnede ‘met zijn specifieke situatie verband houdende redenen’. Aannemelijk is dat de invulling hiervan afhankelijk is van de omstandigheden van het geval. ^[66] De vroegere Artikel 29-Werkgroep heeft benoemd dat het kan gaan om persoonlijke, sociale of professionele redenen. ^[67]

3.5

Onder het oude recht gold reeds dat het recht van verzet alleen kan worden uitgeoefend door betrokkene, indien hij argumenten aandraagt die verband houden met zijn specifieke situatie. ^[68] Het ‘recht van verzet’ stond toen in art. 14 van de Richtlijn. ^[69] Verzet kon worden aangetekend om zwaarwegende en gerechtvaardigde redenen die verband houden met de “
bijzondere situatie ” van de betrokkene. Art. 14 Richtlijn 95/46/EG was geïmplementeerd in art. 40 lid 1 Wbp, waarin was opgenomen dat een betrokkene verzet kon aantekenen in verband met zijn “
bijzondere persoonlijke omstandigheden .”

3.51

De Memorie van Toelichting van art. 40 Wbp bevat de volgende passage:

“Voorts is verzet mogelijk tegen verwerkingen die zijn gebaseerd op artikel 8, onderdeel f [de voorloper van art. 6 lid 1, onder f), AVG, red. A-G]. Dit artikel vereist reeds expliciet van de verantwoordelijke dat hij een afweging maakt van de meespelende belangen, hij dient een afweging te maken van enerzijds het gerechtvaardigd belang van de verantwoordelijke of van een derde; anderzijds het belang van de betrokkene op bescherming van de persoonlijke levenssfeer. De verhouding tussen deze bepaling en artikel 8, onder f, is de volgende. Ook hier geldt dat de verantwoordelijke de belangen afweegt zoals deze aan hem bekend zijn, maar onder omstandigheden zal van hem kunnen worden verwacht nader onderzoek te doen naar het gewicht van deze belangen. De afweging zal in dit stadium evenwel in de regel een enigszins algemeen karakter hebben. Er blijft daardoor altijd de mogelijkheid, hoe zorgvuldig en nauwkeurig deze afweging ook heeft plaatsgevonden, dat in een individueel geval een belangenafweging anders had moeten uitvallen. De oorzaak kan liggen in een omstandigheid die de verantwoordelijke niet bekend was en niet had kunnen zijn. Deze omstandigheid kan reeds hebben bestaan bij het begin van de gegevensverwerking, maar ook later opgekomen zijn. In dergelijke gevallen heeft de betrokkene aanspraak op een hernieuwde afweging in zijn concrete geval. Het ligt dan uiteraard op zijn weg deze afweging aan de orde te stellen. Als voorbeeld valt te denken aan een situatie dat op een centraal punt medische gegevens zijn vergaard voor epidemiologisch onderzoek en dat alle geldende regels in acht zijn genomen. De situatie kan zich voordoen dat een patiënt, wiens gegevens daar in een herleidbare vorm zijn opgeslagen, verneemt dat een bekende van hem, voor wie hij zijn ziekte verborgen wil houden, als onderzoeker bij dat centrum is aangesteld. Hij kan er dan persoonlijk een gerechtvaardigd belang bij hebben dat de hem betreffende gegevens worden verwijderd, of zodanig worden bewerkt dat zij redelijkerwijs niet meer tot hem herleidbaar zijn. Deze bepaling kent hem de aanspraak toe dat het betreffende gegeven ook daadwerkelijk wordt verwijderd.”

3.52

In de rechtspraak zijn mij maar enkele zaken bekend waarin een beroep werd gedaan op art. 21 AVG. Ik belicht drie gevallen.

3.53

Een recente beschikking ^[70] betreft het verzoek van een voormalig voorzitter van de Tweede Kamer aan (onder meer) het Presidium en de Griffier van de Tweede Kamer om de verwerking van haar persoonsgegevens te staken (art. 21 AVG) en te wissen (art. 17 AVG). De rechtbank Den Haag wees het verzoek af. Zij oordeelde dat verweerders dwingende gerechtvaardigde gronden hadden voor de verwerking van de persoonsgegevens (art. 6 lid 1, onder f, AVG). Het gaat daarbij om de belangen van de bij de Tweede Kamer werkzame ambtenaren bij het waarborgen van een sociaal veilige werkomgeving, de eigen gerechtvaardigde belangen van de Tweede Kamer en van andere belanghebbenden, waaronder die van het algemene publiek. Aan de belangen, rechten en vrijheden van verzoekster kwam volgens de rechtbank niet meer gewicht toe. De rechtbank heeft in deze (initiële) belangenafweging al rekening gehouden met de privacybelangen van verzoekster. Het bezwaar op de voet van art. 21 AVG kon volgens de rechtbank niet slagen, omdat verzoekster in de procedure onvoldoende bijzondere of specifieke persoonlijke belangen had aangevoerd die de balans anders moest doen uitvallen. ^[71]

3.54

Een uitspraak uit 2023 van het hof Arnhem-Leeuwarden ^[72] betrof het verzoek van een betrokkene om verwijdering van een vijftal kredietregistraties uit het Centraal Krediet Informatiesysteem (en de daarmee samenhangende interne registers) van Stichting Bureau Krediet Registratie BKR). In die zaak had de betrokkene als reden voor zijn bezwaar genoemd dat hij hulp heeft voor de bij hem gediagnosticeerde autisme-stoornis, die in het verleden tot het maken van schulden had geleid. Verder had hij budgetcoaching ontvangen, een akkoord getroffen met zijn schuldeisers en was zijn financiële situatie stabiel. De aantekening van zijn persoonsgegevens zouden hem echter belemmeren bij het kopen van een
tiny house en nieuwe investeringen in zijn onderneming. In het licht hiervan oordeelde het hof dat BKR niet was ingegaan op de individuele situatie van de betrokkene en onvoldoende had aangetoond dat er dwingende gerechtvaardigde gronden zijn om de verwerkingen in stand te houden (rov. 2.15).

3.55

In een vergelijkbare zaak van het hof Den Haag uit 2020 ^[73] ging het ook om een verzoek van betrokkene om verwijdering van coderingen in het BKR-register. De betrokkene had daarvoor de volgende specifieke omstandigheden aangevoerd (rov. 3.21): 1) hij heeft met succes een WSNP-traject doorlopen; 2) hij heeft zijn financiën op orde; 3) hij is in de gelegenheid gesteld en heeft het voornemen om zijn huidige huurwoning te kopen, maar krijgt door de BKR-notering geen financiering; 4) hij heeft een oude auto maar kan door de BKR-notering geen leaseovereenkomst afsluiten of een lening aangaan om een nieuwe auto aan te schaffen, hoewel hij een (betrouwbare) auto nodig heeft voor woon-werkverkeer. Uiteindelijk overweegt het hof dat betrokkene te weinig heeft aangevoerd om tot het oordeel te kunnen komen de belangen van de verwerkingsverantwoordelijke bij het handhaven van de BKR-notering in dit geval minder zwaar wegen dan de belangen van betrokkene bij het schrappen van die notering.

3.56

Ook in de literatuur wordt benadrukt dat de betrokkene niet kan volstaan met algemene of principiële bezwaren tegen verwerking van zijn gegevens, maar dat hij daartoe specifieke omstandigheden moet aandragen. Engelfriet, Chew-Meij en Krager noemen het voorbeeld van een medewerker in een rolstoel die bezwaar maakt tegen een vertoning van camerabeelden waar gezichten onherkenbaar zijn gemaakt, maar waar hij vanwege zijn beperking nog steeds herkenbaar op is. ^[74] Reijneveld noemt familieomstandigheden en een zwaarwegend professioneel belang bij vertrouwelijkheid als specifieke omstandigheden. ^[75] Kranenborg & Verhey ^[76] bespreken de situatie waarin de gemeentelijke sociale dienst persoonsgegevens verstrekt aan de Belastingdienst in verband met het gemeentelijk beleid ter bestrijding van armoede. Auteurs gaan ervan uit dat deze gegevensverstrekking gerechtvaardigd is op de voet van art. 6 lid 1, onder e), AVG in samenhang met art. 67 Participatiewet, omdat de gegevensverstrekking de Belastingdienst in staat stelt bijstandsgerechtigde erop te wijzen dat zij in aanmerking komen voor kwijtschelding van bepaalde belastingen. Een bijstandsgerechtigde kan echter volgens de auteurs succesvol bezwaar maken op de voet van art. 21 AVG, omdat het belang van de betrokkene om in de toekomst verschoond te blijven van ongewenste aanmoedigingen van de Belastingdienst in dit specifieke geval zwaarder weegt.

3.57

Over de verdeling van stelplicht en bewijslast merk ik nog het volgende op. Volgens de considerans (punt 69) moet de verwerkingsverantwoordelijke aantonen dat zijn dwingende gerechtvaardigde belangen zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene. Uit art. 21 lid 1 AVG volgt dat het aan de betrokkene is om specifieke redenen voor zijn bezwaar aan te voeren (en zo nodig aan te tonen), waarna het aan de verwerkingsverantwoordelijke is om aan te voeren (en zo nodig aan te tonen) dat dwingende gerechtvaardigde gronden voor verwerking moeten prevaleren. ^[77] Dit sluit ook aan bij de
Santander -beschikking uit 2011, waarin art. 40 Wbp centraal stond. Daarin overwoog de Hoge Raad dat, vanwege de praktische hanteerbaarheid van de Wbp, van de verwerker slechts een belangenafweging mag worden verlangd aan de hand van de beschikbare gegevens. Als de betrokkene nadere gegevens verschaft, kan dit tot een nieuwe en meer volledige afweging aanleiding geven. ^[78]

Ad g: het Gebeurtenissenregister en het IVR

3.58

Het hof heeft in het bestreden arrest een beschrijving gegeven van het Gebeurtenissenregister en het IVR. Deze beschrijving, die in cassatie niet wordt bestreden, is ontleend aan een arrest van het hof Arnhem-Leeuwarden van 9 april 2019. Die zaak betrof het Gebeurtenissenregister en het IVR van een andere bank (Rabobank): ^[79]

“4.5. De Gebeurtenissenadministratie is het onderdeel van de klantadministratie waarin gebeurtenissen worden vastgelegd die van belang kunnen zijn voor de veiligheid en integriteit van Rabobank. De vastgelegde gebeurtenissen zijn voorvallen met een uiteenlopend karakter waar klanten bij betrokken zijn, zoals klachten, juridische procedures, het niet naleven van afspraken, meldingen van een gestolen laptop met bankgegevens of een verloren bankpas en het vermoeden dat een klant betrokken is bij een vorm van fraude of criminaliteit. De Gebeurtenissenadministratie wordt gevuld en beheerd door de afdeling Veiligheidszaken van Rabobank (hierna: de afdeling Veiligheidszaken) en is ook slechts door medewerkers van die afdeling te raadplegen.

4.6.

De afdeling Veiligheidszaken beslist of voorvallen die in de Gebeurtenissenadministratie zijn opgenomen, ook leiden tot een vermelding in het IVR. De verwijzingsgegevens die in dit register worden opgenomen, zijn de NAW-gegevens en geboortedatum in geval van een natuurlijke persoon en de bedrijfsnaam en het KvK-nummer in geval van een rechtspersoon. De gegevens uit het IVR kunnen uitsluitend worden geraadpleegd door medewerkers van de eigen organisatie. Het IVR is het interne waarschuwingssysteem van Rabobank dat een
hit / no hit -melding geeft als een medewerker bij een nieuwe aanvraag of een aanvraag tot uitbreiding van een financieel product de gegevens van de klant in de toetsapplicatie invoert. Bij een
hit- melding dient de medewerker, die niet te zien krijgt wat de reden is voor de opname in het IVR, contact op te nemen met de afdeling Veiligheidszaken. Deze afdeling kijkt wat de reden is voor de IVR-registratie en adviseert op basis daarvan over het in behandeling nemen van de aanvraag.”

3.59

Daarmee kom ik toe aan de bespreking van het cassatiemiddel.

4. Bespreking van het cassatiemiddel

Inleidende opmerkingen

4.1

Voorafgaand vermeld ik dat uit de gedingstukken in feitelijke instantie het beeld naar voren komt dat [eiser] deze procedure is begonnen omdat hij vreest dat zijn persoonsgegevens in handen vallen van de politie en andere overheidsinstanties, en dat hij – zonder dat hij het weet – op fraudelijsten terecht komt. Hij maakt daarbij de vergelijking met de toeslagenaffaire. ^[80] Wat daar verder ook van zij, in de cassatiestukken wordt dit alles niet genoemd.

4.2

Het middel bestaat uit vijf onderdelen, die uiteenvallen in meerdere subonderdelen. Een aantal daarvan is gericht tegen de door het hof gegeven uitleg van de AVG. Ik zal aan het slot van de bespreking van de klachten toelichten waarom ik meen dat er in deze zaak geen aanleiding bestaat om het Hof van Justitie prejudiciële vragen van uitleg te stellen.

Onderdeel 1: strafrechtelijke persoonsgegevens (art. 10 AVG)

4.3

Onderdeel 1 keert zich tegen rov. 5.12 van het bestreden arrest. Deze overweging luidt als volgt:

“5.12. [eiser] heeft betoogd dat de aantekening moet worden aangemerkt als de registratie van strafrechtelijke persoonsgegevens als bedoeld in artikel 10 AVG, die alleen onder de daarin genoemde voorwaarden mogen worden verwerkt. Volgens [eiser] geldt voor de registratie van strafrechtelijke persoonsgegevens de hoge norm van ‘meer dan een redelijk vermoeden van schuld’ en is daaraan in deze zaak niet voldaan. Het hof verwerpt dit betoog. Strafrechtelijke persoonsgegevens zijn zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring - in de zin van art. 350 Sv. - kunnen dragen (Hoge Raad 29 mei 2009, ECLI:NL:HR:2009:BH4720). De feiten en omstandigheden die in de aantekening worden vermeld zijn, kort gezegd, het doen van grote cashuitgaven zonder verantwoording, het niet bijhouden van een adequate boekhouding van cashinkopen en het nemen van te weinig maatregelen om betrokkenheid bij een aantal genoemde misdrijven c.q. overtredingen uit te sluiten. Dit zijn naar het oordeel van het hof geen feiten en omstandigheden die een als strafbaar feit te kwalificeren bewezenverklaring kunnen dragen.”

4.4

Het middel klaagt dat het oordeel dat strafrechtelijke persoonsgegevens in de zin van art. 10 AVG zodanige concrete feiten en omstandigheden zijn dat zij een als strafbaar feit te kwalificeren bewezenverklaring in de zin van art. 350 Sv. kunnen dragen, onjuist is. Daartoe wordt aangevoerd dat bij de beantwoording van de vraag of sprake is van strafbare feiten in de zin van art. 10 AVG niet slechts de juridische kwalificatie van het betreffende feit naar nationaal recht van belang is, maar ook de aard zelf van het strafbare feit en de zwaarte van de sanctie die aan de betrokkene opgelegd kan worden. Zelfs voor strafbare feiten die naar nationaal recht niet als strafbare feiten in strafrechtelijke zin worden gekwalificeerd, kan een dergelijk karakter niettemin voortvloeien uit de aard zelf van het strafbare feit in kwestie en uit de zwaarte van de sancties die daarvoor opgelegd kunnen worden. Volgens het middel vloeit dit voort uit HvJEU 22 juni 2021, ECLI:EU:C:2021:504 (in deze conclusie al aangehaald in 3.12) Volgens de schriftelijke toelichting van [eiser] (in punt 1) komt de klacht er in de kern op neer dat het hof heeft miskend dat het begrip ‘strafbare feiten’ in art. 10 AVG een autonome Unierechtelijke betekenis heeft.

4.5

De klacht faalt. Het hof heeft de volgende feiten en omstandigheden geformuleerd: het doen van grote cashuitgaven zonder verantwoording, het niet bijhouden van een adequate boekhouding van cashinkopen en het nemen van te weinig maatregelen om betrokkenheid bij een aantal genoemde misdrijven c.q. overtredingen uit te sluiten en heeft vervolgens onderzocht of
deze feiten en omstandigheden kunnen worden aangemerkt als strafbare feiten. Het hof heeft daarbij niet miskend dat het begrip ‘strafbare feiten’ in art. 10 AVG een autonome Unierechtelijke betekenis heeft. Het hof heeft weliswaar alleen onderzocht of is voldaan aan het door het HvJEU geformuleerde eerste criterium (de juridische kwalificatie van het strafbare feit naar nationaal recht; zie hiervoor, 3.12), maar heeft, gelet op de feiten en het partijdebat, niet hoeven onderzoeken of ook was voldaan aan de overige twee criteria (de aard van het strafbare feit en de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd). Bij die laatste twee criteria gaat het immers om het doel en de zwaarte van de
sanctie . Dat voor de in de aantekening vermelde feiten en omstandigheden op andere wijze (bijvoorbeeld buiten het strafrecht) een sanctie kan worden opgelegd, is in feitelijke instanties noch gesteld noch gebleken. In die zin verschilt de onderhavige zaak van het geval dat in
B/Latvijas Republikas Saeima voorlag (het ging daar om verkeersovertredingen waarvoor via een administratieve maatregel een sanctie werd opgelegd). Laatstgenoemde zaak behelst een duidelijke ‘overtreding’ en een duidelijke ‘sanctie’ (de strafpunten).

4.6

Dat het hof voor de beoordeling van het eerste criterium de maatstaf uit de beschikking van de Hoge Raad van 29 mei 2009 gebruikt, is bovendien juist, nu deze maatstaf ook geldt voor gevallen die (temporeel) vallen onder de AVG (zie hiervoor, 3.16).

Onderdeel 2: recht van bezwaar (art. 21 lid 1 AVG)

4.7

Onderdeel 2 is gericht tegen rov. 5.18-5.19 van het bestreden arrest. Deze overwegingen luiden als volgt:

“5.18. ING voert het verweer dat zij de persoonsgegevens van [eiser] heeft verwerkt voor een gerechtvaardigd doel, namelijk het waarborgen van de veiligheid en de integriteit van de financiële sector, en dat haar belang daarbij zwaarder weegt dan het belang van [eiser] . Volgens ING hebben de verwerkte persoonsgegevens van [eiser] betrekking op een gebeurtenis die gelet op het bijzondere karakter van de financiële sector de aandacht van ING behoeft. Zij wijst erop dat deze persoonsgegevens verband houden met een cliëntenonderzoek op grond van de Wwft.

5.19.

Dit verweer slaagt. Uit de hiervoor aangehaalde bepalingen van de Gedragscode volgt dat de verwerking van persoonsgegevens in verband met een cliëntenonderzoek op grond van de Wwft, door opname daarvan in het IVR en de Gebeurtenissenadministratie - die beide met waarborgen zijn omgeven - een gerechtvaardigd doel is. ING heeft een gerechtvaardigd en zwaarwegend belang, ook gelet op haar verplichtingen onder de Wwft, om gedurende zekere tijd bij te houden dat zij de relatie met een cliënt heeft beëindigd en waarom. Het - op zich zelf eveneens zwaarwegende - belang van [eiser] dat zijn persoonsgegevens niet worden geregistreerd weegt hier onder de omstandigheden van dit geval niet tegen op. Niet gebleken is dat de persoonsgegevens van [eiser] voor derden toegankelijk zijn of zijn geweest. Evenmin is gebleken dat [eiser] als gevolg van de registratie wordt belemmerd bij het afnemen van financiële diensten van derden. ING heeft in eerste aanleg onbetwist gesteld dat [eiser] relaties onderhoudt met verschillende banken. [eiser] heeft zelf erkend dat hij na de opzegging door ING zijn zakelijke rekeningen heeft ondergebracht bij een Duitse bank en op dezelfde manier werkt als waarop hij werkte toen hij nog bij ING bankierde. Het hof neemt hierbij ook in aanmerking dat ING in eerste aanleg, eveneens onbetwist, heeft gesteld dat [eiser] na de opzegging door ING een rekening heeft kunnen openen bij bunq. Daaruit kan worden afgeleid dat [eiser] evenmin is belemmerd bij het aangaan van een nieuwe bankrelatie.”

4.8

Onderdeel 2 valt uiteen in twee subonderdelen, die meerdere klachten bevatten.

4.9

Subonderdeel 2.1 komt met een rechts- en motiveringsklacht op tegen rov. 5.19, eerste volzin, dat het (in rov. 5.18 weergegeven) verweer van ING slaagt. Daartoe wordt (onder a.) aangevoerd dat het hof heeft miskend dat ING op grond van art. 21 lid 1 AVG de verwerking van persoonsgegevens moet staken, tenzij zij
dwingende gerechtvaardigde gronden voor de verwerking aanvoert. Volgens het middel heeft het hof nagelaten om te onderzoeken of sprake is van dergelijke dwingende gerechtvaardigde gronden. Indien het hof dit niet heeft miskend, dan voert het middel (onder b.) aan dat ’s hofs oordeel onbegrijpelijk is. Het hof heeft immers slechts vastgesteld dat ING heeft aangevoerd dat zij de persoonsgegevens van [eiser] verwerkt met het doel de veiligheid en de integriteit van de financiële sector te waarborgen. Volgens het middel is hiervoor niet dwingend vereist dat ING registreert dat [eiser] te weinig maatregelen zou nemen om zijn betrokkenheid bij heling, witwassen en andere ‘
financial economic crimes ’ uit te sluiten.

4.1

Vooropgesteld wordt dat in cassatie niet wordt bestreden dat de verwerking van de persoonsgegevens in verband met een cliëntenonderzoek op grond van de Wwft een gerechtvaardigd doel is in de zin van art. 6 lid 1, onderdeel f), AVG. Eveneens is onbestreden het oordeel dat ING een gerechtvaardigd en zwaarwegend belang heeft, ook in het licht van haar verplichtingen op grond van de Wwft, namelijk het waarborgen van de veiligheid en de integriteit van de financiële sector (rov. 5.18-5.19). De klacht richt zich dus niet op de toepassing van art. 6 lid 1 AVG, maar op de toepasselijkheid van het recht op bezwaar (art. 21 AVG).

4.11

Art. 21 AVG vereist dat de betrokkene specifieke omstandigheden moet aandragen. Zoals gezegd (zie hiervoor, 3.48-3.50) is de invulling van dat vereiste afhankelijk van de concrete omstandigheden van het geval. Het hof heeft kennelijk uit de stellingen die [eiser] in feitelijke instanties heeft ingenomen, niet afgeleid dat hij bezwaar maakt in de zin van art. 21 AVG. In de overweging van het hof ligt besloten dat het de door [eiser] in feitelijke instanties aangedragen omstandigheden (te weten: 1. dat het voor [eiser] onverteerbaar is dat ING over hem schrijft dat niet uitgesloten kan worden dat hij ernstige misdrijven zou plegen, ^[81] 2. dat de door ING over hem verwerkte gegevens onjuist zijn, ^[82] en 3. dat deze onjuiste verwerking hem tot in de eeuwigheid kan achtervolgen ^[83] ) te algemeen heeft geacht en niet als ‘specifieke omstandigheden’ of redenen heeft aangemerkt. Dat er nog andere specifieke omstandigheden door [eiser] zijn aangevoerd, blijkt niet uit het middel. ^[84]

4.12

Het is daarom noch onjuist, noch onbegrijpelijk dat het hof niet heeft onderzocht of sprake is van dwingende gerechtvaardigde redenen voor verwerking in de zin van art. 21 lid 1 AVG.

4.13

Subonderdeel 2.2 gaat uit van de lezing dat het hof in rov. 5.19, derde volzin, heeft geoordeeld dat ING op grond van de Wwft verplicht zou zijn om te registreren dat [eiser] te weinig maatregelen zou nemen om zijn betrokkenheid bij de genoemde strafbare feiten uit te sluiten. Uitgaande van deze lezing, betoogt het middel dat het hof met dit oordeel blijk heeft gegeven van een onjuiste rechtsopvatting, althans dat zijn oordeel onbegrijpelijk is. Het voert daartoe aan (onder a.) dat het hof met dit oordeel buiten de grenzen van de rechtsstrijd is getreden omdat ING niet heeft aangevoerd dat zij deze verplichting heeft. Verder betoogt het middel (onder b.) dat ING deze verplichting ook helemaal niet heeft op grond van de Wwft en dat het oordeel van het hof om die reden onjuist, althans onbegrijpelijk is.

4.14

Subonderdeel 2.2 mist feitelijke grondslag. Het hof heeft niet geoordeeld dat ING op grond van de Wwft verplicht zou zijn om te registreren dat [eiser] te weinig maatregelen zou nemen om zijn betrokkenheid bij de genoemde strafbare feiten uit te sluiten. Het hof heeft slechts overwogen dat ING een “
gerechtvaardigd en zwaarwegend belang [heeft], ook gelet op haar verplichtingen onder de Wwft, om gedurende zekere tijd bij te houden dat zij de relatie met een cliënt heeft beëindigd en waarom.” Met de zinsnede ‘
ook gelet op haar verplichtingen onder de Wwft’ doelt het hof op het cliëntonderzoek dat de bank op de voet van de Wwft verplicht is uit te voeren (rov. 5.19, tweede volzin). De klacht faalt.

4.15

Voor zover subonderdeel 2.2 nogmaals klaagt over een miskenning van art. 21 lid 1 AVG (onder a., tweede volzin), faalt die klacht in het voetspoor van subonderdeel 2.1.

4.16

Voor zover in subonderdeel 2.2, onder b, de klacht besloten ligt dat de verwerking verder strekt dan noodzakelijk en in strijd is met het beginsel van minimale gegevensverwerking (art. 5 lid 1, onder c), AVG), valt de klacht samen met Onderdeel 5 en komt zij bij de bespreking van dat onderdeel aan de orde.

Onderdeel 3: toegankelijkheid van persoonsgegevens voor derden

4.17

Onderdeel 3 richt een motiveringsklacht tegen het oordeel in rov. 5.19, vijfde volzin, dat niet gebleken zou zijn dat de persoonsgegevens van [eiser] voor derden toegankelijk zijn of zijn geweest.

4.18

Het middel klaagt dat dit oordeel onbegrijpelijk is omdat het hof in rov. 5.21 de juistheid in het midden laat van [eiser] betoog dat, in het geval ING een melding over hem doet bij de FiU (art. 16 Wwft), de informatie uit het IVR en de Gebeurtenissenadministratie aan de politie moet worden verstrekt. Daarom moet er in cassatie veronderstellenderwijs van worden uitgegaan dat [eiser] persoonsgegevens wel voor derden (namelijk: de politie) toegankelijk zijn, aldus het middel.

4.19

De klacht faalt bij gebrek aan belang. Het hof overweegt aan het slot van rov. 5.21 dat ook indien het juist is dat de informatie in het IVR en de Gebeurtenissenadministratie aan de politie moet worden verstrekt bij een melding op grond van art. 16 Wwft, dit de rechtmatigheid van de verwerking van de persoonsgegevens door ING niet wegneemt. Deze overweging wordt in cassatie niet bestreden.

4.2

Ook voor het overige is de bestreden overweging niet onbegrijpelijk in het licht van de overwegingen en vaststellingen in rov. 5.8 en 5.9, die in cassatie niet worden bestreden. Het hof overweegt namelijk in rov. 5.8 (in samenhang met rov. 5.7) dat [eiser] niet gemotiveerd heeft betwist dat de Gebeurtenissenadministratie wordt gevuld en beheerd door de afdeling Veiligheidszaken, dat het register slechts door medewerkers van die afdeling kan worden geraadpleegd en dat de gegevens uit het IVR uitsluitend kunnen worden geraadpleegd door medewerkers van de eigen organisatie. Verder overweegt het hof dat [eiser] geen grief heeft aangevoerd tegen het oordeel van de rechtbank (in rov. 4.8 van het vonnis) dat hij onvoldoende heeft onderbouwd dat de informatie uit het IVR raadpleegbaar is voor andere financiële instellingen en dat hij dit punt ook niet in hoger beroep heeft onderbouwd. VVoorst heeft [eiser] volgens het hof evenmin onderbouwd dat “
anderen dan (daartoe geautoriseerde medewerkers van) ING zouden kunnen beschikken over informatie uit het IVR of de Gebeurtenissenadministratie van ING of dat ING dergelijke informatie op verzoek met derden zou delen.” Tegen deze achtergrond overweegt het hof vervolgens (rov. 5.9) (mijn onderstreping):

“Het IVR kan uitsluitend intern binnen ING geraadpleegd worden, waarbij een medewerker alleen te zien krijgt
of een klant in het IVR is opgenomen, en niet wat de reden daarvan is. Bij opname in het IVR dient de medewerker contact op te nemen met de afdeling Veiligheidszaken van ING. Alleen medewerkers van die afdeling hebben toegang tot de Gebeurtenissenadministratie, waaruit de reden van opname in het IVR kan worden afgeleid.
Derden kunnen niet – direct of indirect – beschikken over gegevens die in het IVR en de Gebeurtenissenadministratie van ING zijn opgenomen .”

4.21

Onderdeel 3 treft daarom geen doel.

Onderdeel 4: juistheidsbeginsel (art. 5 lid 1, onder d), AVG)

4.22

Onderdeel 4 is gericht tegen rov. 5.20 van het bestreden arrest:

“5.20. Het hof verwerpt het betoog van [eiser] dat de verwerking door ING van zijn persoonsgegevens niet accuraat is. ING heeft in het Gebeurtenissenregister niet meer opgenomen dan een vermelding van de redenen voor de beëindiging van de bankrelatie. Die vermelding - de aantekening - sluit aan bij de redenen die ING heeft genoemd in de brief aan [eiser] van 18 november 2021. [eiser] heeft (uiteindelijk) in de opzegging berust en in die omstandigheid kan niet worden aangenomen dat de aantekening niet accuraat is. De stelling van [eiser] dat ING de aantekening alleen in het Gebeurtenissenregister zou mogen opnemen indien zij bewijst dat de redenen die zijn gegeven voor de beëindiging van de bankrelatie in voldoende mate vaststaan, gaat niet op. Een dergelijke verplichting volgt niet uit artikel 5 lid 2 AVG. [eiser] stelling dat ING zou moeten bewijzen dat in voldoende mate vaststaat dat [eiser] zich schuldig heeft gemaakt aan witwassen of een ander strafbaar feit mist feitelijke grondslag. Niet gebleken is dat ING iets dergelijks ergens in haar administratie heeft opgenomen. Uit de vermelding dat [eiser] ‘
te weinig maatregelen neemt om zijn betrokkenheid bij heling, witwassen en andere FEC uit te sluiten ” volgt dat (ook) niet. De persoonsgegevens van [eiser] die ING heeft verwerkt, strekken - anders dan [eiser] heeft betoogd - naar het oordeel van het hof niet verder dan noodzakelijk is voor het doeleinde waarvoor zij zijn verwerkt.”

4.23

Subonderdeel 4.1 klaagt dat het oordeel in rov. 5.20, vijfde en zesde volzin, dat niet uit art. 5 lid 2 AVG volgt dat ING moet bewijzen dat de redenen die zijn gegeven voor de beëindiging van de bankrelatie in voldoende mate vaststaan, onjuist is. Het voert aan dat uit art. 5 lid 2 AVG een verantwoordingsplicht volgt en een bewijslastverdeling die afwijkt van de hoofdregel van art. 150 Rv.

4.24

De klacht mist feitelijke grondslag. Anders dan wordt aangevoerd, heeft het hof de in art. 5 lid 2 AVG vervatte bewijslastverdeling (zie hiervoor, 3.19) niet miskend. Het hof heeft met de bestreden overweging alleen tot uitdrukking willen brengen dat uit art. 5 lid 2 AVG niet volgt dat ING moet bewijzen
dat de redenen die zijn gegeven voor de beëindiging van de bankrelatie in voldoende mate vaststaan . Hierin ligt besloten dat het de verwerkingsverantwoordelijke is die de naleving van lid 1 moet aantonen, maar dat het hof van oordeel is dat de verplichting op grond van lid 1 een andere is dan door [eiser] is betoogd. Voor zover de klacht aanvoert dat het oordeel van het hof over de invulling van deze verplichting genoemd in art. 5 lid 1, onder d), AVG onjuist of onbegrijpelijk is, overlapt zij met subonderdeel 4.2 en faalt zij op dezelfde gronden.

4.25

Subonderdeel 4.2 richt een rechtsklacht tegen rov. 5.20, eerste volzin, waarin het hof oordeelt dat [eiser] betoog wordt verworpen dat de verwerking door ING van zijn persoonsgegevens niet accuraat is. Het middel betoogt dat het hof ten onrechte heeft nagelaten om te onderzoeken of de redenen voor beëindiging van de bankrelatie die zijn opgenomen in het Gebeurtenissenregister zijn gebaseerd op voldoende vaststaande feiten. [eiser] heeft immers gemotiveerd betwist dat hij te weinig maatregelen op dit punt heeft genomen. ^[85] Het middel gaat daarbij uit dat het juistheidsbeginsel meebrengt dat verwerkte persoonsgegevens gebaseerd moeten zijn op voldoende vaststaande feiten en dat de vermelding van de redenen voor de beëindiging in de genoemde brief als zodanig ook een verwerking van persoonsgegevens is die moet voldoen aan het juistheidsbeginsel. ^[86]

4.26

Vooropgesteld wordt dat de aantekening in het Gebeurtenissenregister zowel objectieve, als subjectieve elementen (elementen van waarderende aard) bevat. Ik lees rov. 5.11 van het bestreden arrest zo dat niet in geding is dat de aantekening in het Gebeurtenissenregister moet worden beschouwd als persoonsgegeven in de zin van de AVG dat op juistheid kan worden getoetst. De toevoeging van ‘verwerking’ in deze overweging is niet geheel duidelijk en biedt aldus mogelijkheid tot deze lezing. In cassatie wordt rov. 5.11 niet bestreden. Een dergelijke lezing is overigens ook in lijn met het hiervoor in 3.30 e.v. aangehaalde
Nowak. ^[87]

4.27

Hiervan uitgaande, spitst de discussie zich toe op de vraag hoe ver die juistheidstoetsing van de aantekening in het Gebeurtenissenregister zelf gaat. Hoewel in de literatuur discussie bestaat over de mogelijkheid om (deels) subjectieve oordelen te toetsen aan het juistheidsbeginsel (zie hiervoor, 3.37), meen ik in het licht van de rechtspraak van het HvJEU (zie hiervoor, 3.32 e.v.) dat geen redelijke twijfel bestaat dat de aantekening in het Gebeurtenissenregister kan worden getoetst op juistheid. Zoals gezegd (zie hiervoor, 3.25) volgt voorts uit rechtspraak van het HvJEU dat de nauwkeurigheid en volledigheid moet worden getoetst in het licht van de doelstelling van de verwerking.

4.28

Het hof heeft, in cassatie onbestreden, vastgesteld dat het doel van de verwerking het waarborgen van de veiligheid en integriteit van de financiële sector is (rov. 5.17, 5.18, 5.19). Voor het bereiken van dit doel is nodig dat de bank eventueel geconstateerde risico’s voldoende duidelijk in beeld brengt. Daartoe dient de Gebeurtenissenadministratie. Zoals het hof vaststelt, worden in de Gebeurtenissenadministratie de gebeurtenissen vastgelegd die van belang kunnen zijn voor de veiligheid en integriteit van de financiële instelling en daarom speciale aandacht behoeven (rov. 5.7, in samenhang met 5.8, en rov. 5.17).

4.29

Het hof heeft in rov. 5.20 onderzocht of de aantekening in het Gebeurtenissenregister een correcte weergave is van de door de bank geconstateerde risico’s, die reden waren voor de opzegging van de bankrelatie. Met het oog daarop heeft het de aantekening vergeleken met de vermelding van de redenen voor de beëindiging van de bankrelatie en geoordeeld dat deze overeenkomen. Dat getuigt niet van een onjuiste rechtsopvatting. In het licht van de doelstelling van de verwerking gaat het te ver als het hof ook de juistheid van de risicoanalyse van ING zou moeten toetsen. De gegrondheid van de redenen voor opzegging kunnen mijns inziens niet in deze procedure worden bestreden.

4.3

De klacht faalt.

4.31

Subonderdeel 4.3 ten slotte richt een motiveringsklacht tegen het oordeel in rov. 5.20, vierde volzin, dat niet aangenomen zou kunnen worden dat de aantekening niet accuraat is, nu [eiser] in de opzegging heeft berust. Volgens deze klacht zegt het enkele feit dat [eiser] in de opzegging heeft berust, niets over de juistheid van de aantekening in het Gebeurtenissenregister.

4.32

De klacht faalt bij gebrek aan belang, omdat zij gericht is tegen een overweging ten overvloede. Ook inhoudelijk slaagt de klacht niet, omdat zij feitelijke grondslag ontbeert. Het hof heeft, anders dan middel betoogt, met de bestreden overweging juist tot uitdrukking willen brengen dat het enkele feit dat [eiser] in de opzegging heeft berust, niets zegt over de (on)juistheid van de aantekening in het Gebeurtenissenregister.

Onderdeel 5: beginsel van minimale gegevensverwerking (art. 5 lid 1, onder c) AVG)

4.33

Onderdeel 5 komt met meerdere klachten op tegen rov. 5.20, laatste volzin, dat de persoonsgegevens van [eiser] die ING heeft verwerkt, niet verder strekken dan noodzakelijk is voor het doeleinde waarvoor zij zijn verwerkt.

4.34

Onder a. wordt geklaagd dat het hof heeft miskend dat het beginsel van minimale gegevensverwerking (art. 5 aanhef en onder c) AVG) meebrengt dat ING niet mag registreren dat [eiser] te weinig maatregelen zou nemen om zijn betrokkenheid bij heling, witwassen en andere FEC (‘
financial economic crimes’ ) uit te sluiten. Daartoe wordt aangevoerd dat deze formulering niet noodzakelijk is om het doel van de verwerking (het waarborgen van de veiligheid en de integriteit van de financiële sector, rov. 5.18 bestreden arrest) te bereiken. Het middel suggereert (procesinleiding, p. 5-6) dat kon worden volstaan met een alternatieve formulering, namelijk dat ING de relatie met [eiser] heeft beëindigd, omdat zij op basis van een Wwft-cliëntenonderzoek heeft geconcludeerd dat [eiser] een onacceptabel risico vormt en dat zij daarom niet wil dat [eiser] gedurende een bepaalde periode financiële diensten of producten aanvraagt.

4.35

Onder b. wordt geklaagd dat, indien het hof tot het oordeel is gekomen dat de betreffende registratie wel noodzakelijk is voor het behalen van de doelstelling van de verwerking, dit oordeel onbegrijpelijk is.

4.36

Ten slotte wordt
onder c. geklaagd dat het hof ten onrechte niet heeft gerespondeerd op [eiser] essentiële stelling ^[88] dat ING, teneinde te voorkomen dat [eiser] nog een keer zaken met haar doet, niet in haar systemen hoeft te registreren dat [eiser] mogelijk ernstige misdrijven heeft gepleegd, maar dat ING volledig neutraal kan registreren dat zij [eiser] gedurende een bepaalde periode niet meer als klant wil. Er wordt betoogd dat deze stelling essentieel is, omdat, indien zij juist is, daaruit volgt dat ING in strijd handelt met het beginsel van minimale gegevensverwerking.

4.37

De klachten lenen zich voor gezamenlijke behandeling.

4.38

Zoals gezegd heeft het hof, in cassatie onbestreden, vastgesteld dat het doel van de verwerking het waarborgen van de veiligheid en integriteit van de financiële sector is (rov. 5.17, 5.18, 5.19). Voor het bereiken van dit doel is nodig dat de bank eventueel geconstateerde risico’s voldoende duidelijk in beeld brengt. In de Gebeurtenissenadministratie worden de gebeurtenissen vastgelegd die van belang kunnen zijn voor de veiligheid en integriteit van de financiële instelling en daarom speciale aandacht behoeven (rov. 5.7 in samenhang met 5.8, rov. 5.17).

4.39

In casu draagt [eiser] verschillende alternatieve formuleringen aan, waaruit zou moeten blijken dat de bestreden aantekening niet noodzakelijk was voor het bereiken van het doel. Het is juist dat, indien een doelstelling ook bereikt kan worden met een minder vergaande verwerking, de bestreden verwerking niet noodzakelijk is. Anders dan [eiser] betoogt, heeft het hof dat niet miskend. Het hof heeft overwogen dat ING “
niet meer [heeft] opgenomen dan een vermelding van de redenen voor de beëindiging van de bankrelatie ” (rov. 5.20, tweede volzin). In de laatste volzin van rov. 5.20, gelezen in samenhang met rov. 5.7, 5.8, 5.17-5.19, komt tot uitdrukking dat het hof van oordeel is dat de aantekening dat [eiser] ‘
te weinig maatregelen neemt om zijn betrokkenheid bij heling, witwassen en andere FEC uit te sluiten ’ een relevante gebeurtenis is, die van belang kan zijn voor het waarborgen van de veiligheid en integriteit van de financiële sector, waaronder het onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot)(strafbare of laakbare) gedragingen gericht tegen de financiële branche en daarom de zorg en aandacht behoeven van de financiële instelling. In dit oordeel ligt besloten dat een minder gedetailleerde aantekening zoals door [eiser] aangedragen, niet voldoende duidelijk de geconstateerde risico’s in beeld brengt, waardoor de doelstelling niet behaald wordt.

4.4

Daarbij speelt ook mee dat het hof in het kader van de evenredigheidstoets, die zoals gezegd samenhangt met de toets aan het beginsel van minimale gegevensverwerking (zie hiervoor, 3.22), heeft vastgesteld dat de persoonsgegevensverwerking van beperkte duur is (rov. 3.4), niet toegankelijk is voor derden (rov. 5.7, 5.8, 5.9) en dat de registratie [eiser] niet heeft belemmerd in het afnemen van financiële diensten van derden (rov. 5.19). Het oordeel getuigt daarom niet van een onjuiste rechtsopvatting en is ook niet onbegrijpelijk.

4.41

Onderdeel 5 treft geen doel.

4.42

Slotsom is dat alle aangevoerde klachten falen.

Geen noodzaak om prejudiciële vragen te stellen aan het Hof van Justitie

4.43

[eiser] beroept zich in het cassatiemiddel op diverse bepalingen van de AVG. [eiser] heeft niet verzocht of voorgesteld om op de voet van art. 267, derde alinea, VWEU prejudiciële vragen te stellen. In het licht van de rechtspraak van het Hof van Justitie over de verwijzingsplicht van de hoogste rechter en de uitzonderingen daarop ^[89] , merk ik daarover het volgende op.

4.44

Onderdeel 1 betoogt, onder verwijzing naar HvJEU 22 juni 2021, ECLI:EU:C:2021:504, dat het hof heeft miskend dat het begrip ‘strafbare feiten’ dat is opgenomen in art. 10 AVG een autonome Unierechtelijke betekenis heeft. Ik heb vastgesteld dat op die plaats het partijdebat niet gaat over de uitleg van art. 10 AVG (zie hiervoor, 4.5). Er bestaat daarom geen aanleiding om over de uitleg van art. 10 AVG een prejudiciële vraag te stellen.

4.45

Subonderdeel 2.1 stelt aan de orde de toepasselijkheid van het recht van bezwaar dat is opgenomen in art. 21 lid 1 AVG. Ik heb erop gewezen dat een betrokkene om dat recht te kunnen uitoefenen specifieke omstandigheden moet aandragen (zie hiervoor, 4.11-4.12). De vraag of aan dat vereiste is voldaan is afhankelijk van de concrete omstandigheden van het geval en heeft een feitelijke karakter. Er bestaat in deze zaak daarom geen aanleiding om over de uitleg van art. 21 lid 1 AVG een prejudiciële vraag te stellen.

4.46

Subonderdeel 4.2 tot slot doet beroep op het juistheidsbeginsel, dat is opgenomen in art. 5 lid 1, onder d), AVG, in relatie tot de aantekening in het Gebeurtenissenregister van ING. Er bestaat mijns inziens geen redelijke twijfel dat die aantekening kan worden getoetst op juistheid (zie hiervoor, 4.27-4.28). Met betrekking tot het juistheidsbeginsel doet zich daarom geen vraag van uitleg voor die noopt tot het stellen van prejudiciële vragen om te kunnen beslissen op het cassatieberoep.

5. Conclusie

De conclusie strekt tot verwerping van het cassatieberoep.

De Procureur-Generaal bij de

Hoge Raad der Nederlanden

A-G

Voetnoten

1. Ontleend aan het bestreden arrest van het hof Amsterdam van 13 mei 2025, ECLI:NL:GHAMS:2025:1261,

2. Akte vermindering van eis van 22 mei 2023.

3. Ik laat buiten beschouwing de incidentele vordering ex art. 223 Rv om ING te bevelen de bankrelatie met [eiser] in stand te laten, althans te herstellen. Die vordering is afgewezen (Rb. Amsterdam 7 december 2022, zaaknummer / rolnummer: C/13/723993 / HA ZA 22-820). Ik ga ook niet in op de vorderingen tot vernietiging van de Algemene bankvoorwaarden, de vordering om te bevelen de bankrelatie te herstellen en te verbieden de bankrelatie opnieuw op te zeggen, de vordering tot een verklaring voor recht dat de opzegging van de bankrelatie onrechtmatig was, de verklaring voor recht dat ING verplicht is de bankrelatie te herstellen en te continueren, de vordering tot het verbieden nadere gegevens te verschaffen over bepaalde transacties en de vordering bepaalde documenten te verschaffen.

4. Rb. Amsterdam 5 juli 2023, ECLI:NL:RBAMS:2023:3670.

5. MvG tevens houdende wijziging van eis van 23 januari 2024.

6. Hof Amsterdam 13 mei 2025, ECLI:NL:GHAMS:2025:1261,

7. Het Europees Hof voor de Rechten van de Mens noemt het ook wel een vorm van “

8. EHRM 27 juni 2017, ECLI:CE:ECHR:2017:0627JUD000093113, nr. 931/13, (

9. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PB L 119 van 4 mei 2016, p. 1.

10. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens

11. Wet van 6 juli 2000, houdende regels inzake de bescherming van persoonsgegevens (Wet bescherming persoonsgegevens),

12. Considerans AVG, onder 9 en 10; art. 1 lid 2 en 3 AVG.

13. Zie hierover ook mijn eerdere conclusie, ECLI:NL:PHR:2021:531, punt 4.4, bij: HR 25 februari 2022, ECLI:NL:HR:2022:329,

14. Er bestaan ook sectorspecifieke bepalingen over de bescherming van persoonsgegevens, die hier niet aan de orde zijn.

15. Wet van 16 mei 2018, houdende regels ter uitvoering van Verordening (EU) 2016/679 (Uitvoeringswet AVG (UAVG)),

16. Zie hierover: conclusie A-G Rank-Berenschot, ECLI:NL:PHR:2021:831, punt 2.3. e.v., en punt 2.8, bij: HR 3 december 2021, ECLI:NL:HR:2021:1814,

17. HR 29 mei 2009, ECLI:NL:HR:2009:BH4720,

18. HvJEU 24 september 2019, C-136/17, EU:C:2019:773, punt 44; HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

19. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

21. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

22. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

23. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

24. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

25. [eiser] lijkt in deze procedure daarvan uit te gaan. Zie in het bijzonder de repliek onder 1.

26. Zie onder meer: Hof Arnhem-Leeuwarden 18 april 2025, ECLI:NL:GHARL:2025:1565,

27. H.H. de Vries,

28. M. Jansen & C.H.D.W. van den Borne-Verheijen, ‘Financiële zorgplichten vs. privacyregels: een botsing of geen reden tot zorg?’,

29. M. Krzystofek,

30. Zie eerder ook: HR 19 december 2025, ECLI:NL:HR:2025:1980,

31. HvJEU 22 juni 2021, C-439/19, ECLI:EU:C:2021:504 (

32. N.M. Brouwer & M. Jansen,

33. A. Drożdż,

34. A. Drożdż, a.w. (vorige voetnoot), p. 105, noemt het voorbeeld dat speciale algoritmen moeten worden getraind om geautomatiseerde individuele beslissingen te kunnen nemen in de zin van art. 22 lid 1 AVG.

35. N.M. Brouwer & M. Jansen,

36. Zie HR 19 december 2025, ECLI:NL:HR:2025:1980,

37. M. Krzystofek,

38. HvJEU 13 maart 2025, C-247/23, ECLI:EU:C:2025:172 (

39. HvJEU 13 maart 2025, C-247/23, ECLI:EU:C:2025:172 (

40. HvJEU 13 maart 2025, C-247/23, ECLI:EU:C:2025:172 (

41. Art. 29 Working Party,

42. A. Rossnagel & P. Richter, ‘Art. 5’, in: I. Spiecker gen. Döhmann, V. Papakonstantinou, G. Hornung & P. De Hert (red.),

43. S. Rossello maakt het onderscheid tussen ‘harde’ en ‘zachte’ persoonsgegevens in: S. Rossello, ‘De (on)juistheid en rectificatiemodaliteiten van zachte persoonsgegevens in het Nederlands recht’,

44. HvJEU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (

45. In gelijke zin: D. Hallinan & F. Zuiderveen Borgesius, ‘Opinions Can Be Incorrect (in Our Opinion)! On Data Protection Law’s Accuracy Principle’,

46. Zo ook: S. Rossello, ‘De (on)juistheid en rectificatiemodaliteiten van zachte persoonsgegevens in het Nederlands recht’,

47. HvJEU 17 juli 2014, C-141/12 en C-372/12, ECLI:EU:C:2014:2081.

48. Art. 31 lid 1 Wpr luidde: “

50. A. Rossnagel & P. Richter, ‘Art. 5’, in: I. Spiecker gen. Döhmann, V. Papakonstantinou, G. Hornung & P. De Hert (red.),

51. D. Hallinan & F. Zuiderveen Borgesius, ‘Opinions Can Be Incorrect (in Our Opinion)! On Data Protection Law’s Accuracy Principle’,

52. H.R. Kranenborg & L.F.M. Verhey,

53. Zie ook rov. 5.16 van het bestreden arrest.

54. HvJEU 4 juli 2023, C-252/21, EU:C:2023:537 (

55. H.R. Kranenborg & L.F.M. Verhey,

56. HvJEU 7 december 2023, C-26/22 en C-64/22, ECLI:EU:C:2023:958 (

57. HvJEG 16 december 2008, C-524/06, ECLI:EU:C:2008:724,

58. Zie met betrekking tot de grondslag onder b) van art. 6 AVG: HvJEU 4 juli 2023, ECLI:EU:C:2023:537 (

59. HvJEU 4 juli 2023, ECLI:EU:C:2023:537 (

60. HvJEU 9 januari 2025, C-394/23, ECLI:EU:C:2025:2 (

61. HvJEU 9 januari 2025, C-394/23, ECLI:EU:C:2025:2 (

62. Zie hierover ook: G.J. Zwenne,

63. European Data Protection Board,

64. A-G Verkade spreekt in zijn conclusie over een ‘

65. European Data Protection Board,

66. L. Carmichael, E. Cradock & S. Stalla-Boudillon, ‘Art. 21’, in: I. Spiecker gen. Döhmann, V. Papakonstantinou, G. Hornung & P. De Hert (red.),

67. Art. 29 Working Party,

68. Zie hierover mijn conclusie, ECLI:NL:PHR:2022:346, punt 4.28 e.v., bij: HR 16 december 2022, ECLI:NL:HR:2022:1866,

69. Onder art. 14 Richtlijn 95/46/EG was het aan de betrokkene om ‘zwaarwegende en gerechtvaardigde redenen die verband houden met zijn bijzondere situatie’ aan te dragen (en zo nodig aan te tonen) die zich zouden verzetten tegen verwerking. Die regeling was minder ruimhartig voor de betrokkene dan het huidige art. 6 AVG.

70. Rb. Den Haag 5 februari 2025, ECLI:NL:RBDHA:2025:1138,

71. Rb. Den Haag 5 februari 2025, ECLI:NL:RBDHA:2025:1138,

72. Hof Arnhem-Leeuwarden 6 juni 2023, ECLI:NL:GHARL:2023:4738,

73. Hof Den Haag 10 november 2020, ECLI:NL:GHDHA:2020:2068,

74. A. Engelfriet, L. Chew-Meij, P. Krager,

75. M. Reijneveld, ‘Biedingsprocedures in faillissement langs de lat van de AVG’,

76. H.R. Kranenborg & L.F.M. Verheij,

77. European Data Protection Board,

78. HR 9 september 2011, ECLI:NL:HR:2011:BQ8097,

79. Hof Arnhem-Leeuwarden 9 april 2019, ECLI:NL:GHARL:2019:3120.

80. Zie memorie van grieven, punt 29, 30, 41, 45, 52.

81. Repliek, met verwijzing naar MvG, punt 9.

82. Repliek, met verwijzing naar MvG, punt 12, 13 t/m 17, 22 t/m 25 en 41.

83. Repliek, met verwijzing naar MvG, punt 26 t/m 33, 37, 41 en 57.

84. Zie ook de schriftelijke toelichting van ING, punt 3.15.

85. Het middel verwijst naar inleidende dagvaarding, punt 1.3 en 1.4; MvG, punt 2 t/m 8, 12 t/m 17, 24 en 25.

86. Zie de schriftelijke toelichting zijdens [eiser] , punt 7 en 8.

87. HvJEU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (

88. Er wordt verwezen naar MvG, p. 14, punt 1.1.8 en p. 11, punt 36. Op p.11 (onder punt 36) is deze stelling echter niet te vinden.

89. Vgl. HvJEU 6 oktober 2021, C-561/19, ECLI:EU:C:2021:799 (