Uitspraak
RECHTBANK Gelderland
Civiel recht
Zittingsplaats Arnhem
Zaaknummer / rekestnummer: C/05/427887 / HA RK 23-217 / 943 / 1496
Beschikking van 14 maart 2024
in de zaak van
[verzoeker],
wonende te [plaats]
verzoeker,
hierna te noemen: [verzoeker] ,
gemachtigden mrs. L. van Gulik en S.A. Van den Berg te Zoetermeer,
tegen
STICHTING BUREAU KREDIET REGISTRATIE,
gevestigd te Tiel,
verweerster,
hierna te noemen: BKR,
advocaat: mr. H.H. de Vries te Amsterdam.
1.De procedure
1.1.
Het verloop van de procedure blijkt uit:
- het verzoekschrift,
- het verweerschrift,
- de spreekaantekeningen van [verzoeker] ,
- de mondelinge behandeling van 29 januari 2024. Verschenen zijn mrs. Van Gulik en Van den Berg namens [verzoeker] en namens BKR mevrouw [betrokkene 1] , de heer [betrokkene 2] en mevrouw [betrokkene 3] bijgestaan door mr. De Vries. [verzoeker] zelf is, zonder opgave van redenen of bericht van verhindering, niet op de mondelinge behandeling verschenen.
2.Kern van de zaak
2.1.
In deze zaak dient de vraag te worden beantwoord of BKR op grond van het in de Algemene Verordening Gegevensbescherming (hierna: AVG) geregelde inzagerecht aan [verzoeker] inzage moet verstrekken in bepaalde documenten waarover niet BKR, maar de kredietverstrekker Santander beschikt, in verband met een registratie van een krediet van Santander Consumer Finance S.A. (hierna: Santander) op naam van [verzoeker] in het Centraal Krediet Informatiesysteem (CKI). De registratie heeft betrekking op een krediet dat [verzoeker] bij Santander heeft afgesloten. Tijdens de looptijd van dit krediet zijn een tweetal bijzonderheidscoderingen in het CKI geplaatst, namelijk de code A die aangeeft dat [verzoeker] een betalingsachterstand heeft en een code H die betekent dat de achterstand is ingelopen. De achtergrond van deze zaak is als volgt.
3. De feiten
3.1.
[verzoeker] is met Santander een overeenkomst van geldlening aangegaan (hierna: het krediet). Op 21 juni 2018 is het krediet door BKR in opdracht van Santander in het CKI geregistreerd. Het contractnummer van het krediet is [nummer] .
3.2.
Op 10 juni 2022 is in het CKI bij de registratie van het krediet de bijzonderheidscodering A (Achterstand) opgenomen. Op 24 juni 2022 is bijzonderheidscodering H (Herstelde achterstand) geregistreerd. De geregistreerde werkelijke einddatum van het krediet is 20 april 2023.
3.3.
Bij e-mailbericht van 11 augustus 2023 heeft de gemachtigde van [verzoeker] , werkzaam bij Dynamiet Nederland B.V., aan BKR verzocht om inzage in diens persoonsgegevens op grond van art. 15 AVG en is specifiek gevraagd om:
- een toelichting van BKR van de opbouw van de registraties en de coderingen in het CKI;
- een kopie van de kredietovereenkomst;
- een overzicht van alle betalingen die met betrekking tot de onderhavige kredietfaciliteit zijn verricht;
- een kopie van de juiste vooraankondigingen conform de reglementen van BKR voor het kunnen plaatsen van de A-codering.
Bij de betreffende e-mail is een uitdraai uit het elektronische inzageportaal van het CKI gevoegd van de daarin geregistreerde gegevens met betrekking tot het krediet.
3.4.
Bij e-mailbericht van 4 september 2023 heeft BKR aan de gemachtigde van [verzoeker] geantwoord dat zij het verzoek niet in behandeling kan nemen, omdat zij niet over de informatie beschikt waarom is verzocht. Zij deelt mee dat die informatie berust bij de kredietverstrekker.
3.5.
Bij e-mailbericht van 6 september 2023 heeft de gemachtigde van [verzoeker] gevraagd om een inhoudelijke reactie op zijn verzoek.
3.6.
BKR heeft bij brief van 27 september 2023 aan de gemachtigde van [verzoeker] geschreven dat zij geen inzage kan geven in de door haar gevraagde documenten, omdat BKR niet over deze gegevens beschikt en niet gehouden is om die gegevens bij kredietverstrekker Santander op te vragen. In haar brief heeft BKR ook een toelichting gegeven op de coderingen A en H en heeft zij [verzoeker] geïnformeerd over het doel van de registraties in het CKI.
4.Het geschil
4.1.
[verzoeker] verzoekt, na vermindering van het verzoek, dat de rechtbank bij uitvoerbaar bij voorraad te verklaren beschikking:
I. BKR beveelt om binnen een door de rechtbank te bepalen proportionele termijn inzage te geven in de persoonsgegevens, specifiek de registratie in het CKI met contractnummer [nummer] ;
II. bepaalt dat BKR aan de onder II. genoemde veroordeling zal voldoen op straffe van een dwangsom,
III. BKR veroordeelt tot betaling van de proces- en nakosten;
IV. BKR veroordeelt tot de volledige verwijdering van de persoonsgegevens van [verzoeker] in het geval zij geen gehoor geeft aan de door de rechtbank te nemen beslissing.
4.2.
[verzoeker] grondt zijn verzoek onder I op art. 15 AVG en maakt aanspraak op inzage in zijn door BKR als verwerkingsverantwoordelijke verwerkte persoonsgegevens en de informatie genoemd in art. 15 onder a-h AVG. [verzoeker] wenst onderzoek te verrichten naar de juistheid, volledigheid en rechtmatigheid van de verwerking van zijn persoonsgegevens in het CKI en daarvoor stelt hij de bij e-mailbericht van
11 augustus 2023 opgevraagde onderbouwende stukken nodig te hebben. BKR stelt volgens [verzoeker] dat zijn persoonsgegevens terecht zijn verwerkt, maar onderbouwt en bewijst die stelling volgens hem niet. Om goed onderzoek te doen heeft [verzoeker] alle correspondentie nodig. Daarmee kan worden onderzocht of iemand langdurig een betalingsachterstand heeft gehad, is gewaarschuwd voor een aankomende BKR-registratie – zoals verplicht onder het toepasselijke algemeen reglement – en of er daadwerkelijk een dusdanige betalingsachterstand is ontstaan die rechtvaardigt dat achterstandscodering A in het CKI wordt geregistreerd. Daarnaast kan aan de hand van bijvoorbeeld het contract worden gezien of de openstaande vordering correct is en welke afspraken over aflossing zijn gemaakt. De stukken worden dus opgevraagd om een duidelijk beeld te krijgen van de gehele situatie. Ook dient [verzoeker] volgens hem te beschikken over de brief met daarin de vooraankondiging dat tot registratie zal worden overgegaan als de betalingsachterstand niet wordt ingelopen. [verzoeker] wil ook inzage in andere brieven die zijn gestuurd. Verder wil hij een afschrift van de kredietovereenkomst en inzage in de gestelde betalingsregelingen en ontvangen betalingen.
4.3.
BKR verzet zich tegen toewijzing van de verzoeken. Zij stelt volledig te hebben voldaan aan het verzoek van [verzoeker] om inzage te verkrijgen in de door BKR verwerkte persoonsgegevens van [verzoeker] . Zij heeft bevestigd dat er persoonsgegevens van [verzoeker] zijn verwerkt in het CKI, hem inzage gegeven in die persoonsgegevens en de aanvullende informatie verstrekt genoemd in art. 15 a-h AVG.
In het CKI worden niet meer of andere persoonsgegevens van [verzoeker] verwerkt dan die in randnummer 3.2. van deze beschikking zijn genoemd. In de brief van 27 september 2023 is een toelichting gegeven op de registraties en de coderingen. De gevraagde kopieën van documenten en het overzicht van aan Santander gedane betalingen heeft BKR niet. Daarom is zij ook niet gehouden om inzage in die documenten te verstrekken, noch om die gegevens bij Santander op te vragen, zo volgt uit de Guidelines 01/2022 van de European Data Protection Board. BKR heeft juist aan haar verplichting voldaan om zo min mogelijk persoonsgegevens te verwerken (dataminimalisatie) door die documenten niet onder zich te hebben. Zij concludeert tot afwijzing van de verzoeken, met veroordeling van [verzoeker] in de proceskosten.
5.De beoordeling
5.1.
Bij de beoordeling van de verzoeken van [verzoeker] neemt de rechtbank tot uitgangspunt dat [verzoeker] , op grond van artikel 15 lid 1 AVG, jegens BKR als verwerkingsverantwoordelijke aanspraak kan maken op uitsluitsel over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
de verwerkingsdoeleinden;
de betrokken categorieën van persoonsgegevens;
de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;
wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
et bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
Verder volgt uit artikel 12 lid 1 AVG dat de verwerkingsverantwoordelijke passende maatregelen moet nemen opdat de betrokkene de in artikel 15 AVG bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt. Uit artikel 12 lid 2 AVG volgt dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene uit hoofde van (onder meer) artikel 15 AVG moet faciliteren.
5.2.
Verder is van belang dat [verzoeker] slechts een inzage- en informatieverzoek op grond van artikel 15 AVG heeft gedaan en niet (tevens) bezwaar heeft gemaakt tegen verwerking van zijn persoonsgegevens (artikel 21 AVG) dan wel BKR om het wissen daarvan heeft verzocht (artikel 17 AVG).
Het verzoek tot inzage
5.3.
Voor zover het verzoek van [verzoeker] beperkt is tot het onder I. van het petitum gedane verzoek tot inzage in zijn CKI-registratie met contractnummer [nummer] moet het bij gebrek aan belang worden afgewezen, aangezien vaststaat dat die inzage, en een kopie van de registratie, reeds aan [verzoeker] zijn verstrekt via het online inzageportaal.
5.4.
Uit de onderbouwing van het verzoek en de toelichting namens [verzoeker] tijdens de mondelinge behandeling maakt de rechtbank echter op dat het hem (anders dan de formulering van het verzoek doet vermoeden) niet alleen te doen is om inzage in de door BKR in het CKI verwerkte gegevens, maar ook om de (overige) in de e-mail van
11 augustus 2023 genoemde documenten, zijnde de kredietovereenkomst met Santander en (eventueel) door Santander verzonden vooraankondigingen van registratie van de
A-codering. Daarnaast wil [verzoeker] kennelijk een lijst ontvangen van door hem uit hoofde van de kredietovereenkomst gedane betalingen. Ten slotte wil hij inzage in “de gestelde betalingsregelingen” en “de gesteld verzonden brieven” (naar de rechtbank aanneemt: tussen hem en Santander). BKR heeft gesteld dat zij over geen van die documenten (voor zover ze al bestaan) beschikt en ter mondelinge behandeling is duidelijk geworden dat [verzoeker] niet betwist dat BKR deze stukken niet heeft, maar zich op het standpunt stelt dat BKR op grond van het inzagerecht van artikel 15 AVG gehouden is kopieën van die stukken bij Santander op te vragen en aan [verzoeker] te verstrekken. De gemachtigden van [verzoeker] hebben daartoe aangevoerd dat Santander in vergelijkbare gevallen afwerend heeft gereageerd op verzoeken om dergelijke onderliggende documenten te verstrekken en dat zij zich daarom namens [verzoeker] daartoe niet eerst tot Santander hebben gewend maar ervoor hebben gekozen om de stukken op te vragen via BKR. Volgens [verzoeker] volgt uit een arrest van het gerechtshof Arnhem-Leeuwarden van 6 juni 2023 [1] dat BKR de betreffende stukken moet opvragen bij Santander en aan [verzoeker] moet verstrekken, op grond van de op haar rustende verantwoordingsplicht en inzageplicht.
5.5.
De rechtbank zal het inzageverzoek van [verzoeker] ook voor het overige (zoals hiervoor onder 5.4 ruim geïnterpreteerd) afwijzen, en komt tot dat oordeel op grond van het volgende.
5.6.
Het inzagerecht van artikel 15 AVG is gericht tot de verwerkingsverantwoordelijke als adressaat van de daarin genoemde verplichtingen en heeft betrekking op de gegevens die door of ten behoeve van een verwerkingsverantwoordelijke waartoe een inzageverzoek wordt gericht daadwerkelijk worden verwerkt. Het strekt zich niet uit tot persoonsgegevens die worden verwerkt door andere verwerkers of verwerkingsverantwoordelijken. Dit volgt uit de bewoordingen en systematiek van artikel 15 AVG (met name de leden 1 en 3), waarin sprake is van persoonsgegevens die worden verwerkt en van verplichtingen met betrekking tot “die persoonsgegevens”.
5.7.
Dat het moet gaan om persoonsgegevens die daadwerkelijk worden verwerkt (en dus niet op door de verwerkingsverantwoordelijke nog te verkrijgen of samen te stellen persoonsgegevens, zoals de door [verzoeker] gewenste lijst van door hem verrichte betalingen) volgt ook uit overweging 63 van de AVG, waarin doel en strekking van het inzagerecht worden uiteengezet:
“ Een betrokkene moet het recht hebben om de persoonsgegevensdie over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren.”[onderstreping Rb]
5.8.
Het uitgangspunt dat het inzagerecht jegens een specifieke verwerkingsverantwoordelijke zich beperkt tot de persoonsgegevens die door of ten behoeve van die verwerkingsverantwoordelijke op het moment van het verzoek daadwerkelijk worden verwerkt vindt ook steun in de richtsnoeren over het inzagerecht van de toezichthouders op naleving van de AVG, verzameld in het Europees Comité voor Gegevensbescherming (European Data Protection Board, EDPB), waarin onder meer het volgende staat:
“When making a request for access to personal data, the first thing that the data subjects need to know is whether or notthe controller processes dataconcerning them. Consequently, this information constitutes the first component of the right of access under Art. 15(1).Where the controller does not process personal data relating to the data subject requesting the access, the information to be provided would be limited to confirming that no personal data relating to the data subject are being processed. [2]
[…]
The assessment of the data being processed shall reflect as close as possible the situation when the controller receives the request andthe response should cover all data available at that point in time. [3] ”[onderstrepingen Rb]
5.9.
[verzoeker] heeft geen feiten of omstandigheden gesteld, noch zijn die gebleken, waaruit volgt dat BKR ook verwerkingsverantwoordelijke is met betrekking tot niet door haar maar alleen door Santander verwerkte persoonsgegevens van [verzoeker] .
5.10.
Het (kennelijke) standpunt van [verzoeker] dat hij op grond van een enkel verzoek tot inzage van BKR kan verlangen dat zij documenten die niet in haar bezit zijn en gegevens die zij niet verwerkt, door [verzoeker] aangeduid als onderliggende documentatie, in kopie opvraagt bij Santander en aan [verzoeker] (ter inzage) verstrekt vindt ook geen steun in het hiervoor genoemde arrest van het gerechtshof Arnhem-Leeuwarden van 6 juni 2023. Het door [verzoeker] aangehaalde oordeel van het hof in dat arrest [4] heeft namelijk geen betrekking op de verplichtingen van BKR als verwerkingsverantwoordelijke in het kader van het inzagerecht. Het ziet daarentegen op de verplichting van BKR om bij de beoordeling van een bezwaar (ex artikel 21 AVG) en/of een verwijderingsverzoek (ex artikel 17 AVG) zelf bij een kredietaanbieder de informatie over betrokkene in te winnen die nodig is voor de beoordeling van een dergelijk verzoek door BKR. Dat is een wezenlijk andere situatie dan de onderhavige, waarin [verzoeker] geen bezwaar of verzoek tot verwijdering ter beoordeling aan het BKR heeft voorgelegd, maar het BKR lijkt te willen gebruiken als alternatief loket voor het (zelf) verkrijgen van inzage in door een andere verwerkingsverantwoordelijke verwerkte persoonsgegevens en informatie en documenten waarover het BKR niet beschikt. Daarvoor is het inzagerecht van artikel 15 AVG naar het oordeel van de rechtbank niet bedoeld.
5.11.
Een beroep op artikel 12 AVG kan [verzoeker] in dit verband ook niet baten, want de verplichtingen uit die bepaling zijn dienend aan het uitoefenen van de rechten op grond van (onder meer) de artikelen 15 tot en met 22 AVG en roepen dus geen zelfstandige, niet aan de uitoefening van de rechten uit die artikelen ontleende, inzagerechten in het leven.
5.12.
Ten slotte overweegt de rechtbank dat [verzoeker] zijn inzageverzoek ook niet met succes kan baseren op de informatieplichten uit lid 1 onder a tot en met h van artikel 15 AVG, omdat die duidelijk geen betrekking hebben op de documenten waarin [verzoeker] inzage verlangt. [verzoeker] heeft ook niet toegelicht waarom dat volgens hem wel het geval is.
De overige verzoeken van [verzoeker]
5.13.
Uit de afwijzing van het verzoek onder I. volgt dat ook de verzoeken onder II., III. en IV. zullen worden afgewezen.
De proceskosten
5.14.
[verzoeker] zal als de in het ongelijk gestelde partij worden veroordeeld in de proces- en nakosten. De kosten aan de zijde van BKR worden begroot op:
- griffierecht € 688,00
- salaris advocaat €
1.196,00(2,0 punten × tarief € 598,00)
1.196,00(2,0 punten × tarief € 598,00)
Totaal € 1.884,00.
6.De beslissing
De rechtbank
6.1.
wijst de verzoeken af,
6.2.
veroordeelt [verzoeker] in de proceskosten, aan de zijde van BKR tot op heden begroot op € 1.884,00,
6.3.
veroordeelt [verzoeker] in de na deze beschikking ontstane kosten van BKR, begroot op € 173,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat [verzoeker] niet binnen veertien dagen na aanschrijving aan de beschikking heeft voldaan en er vervolgens betekening van de uitspraak heeft plaatsgevonden, met een bedrag van € 90,00 aan salaris advocaat en de explootkosten van betekening van de uitspraak.
Deze beschikking is gegeven door mr. E. Boerwinkel en in het openbaar uitgesproken op
14 maart 2024.