Dubbel straf voor het Bureau Kredietregistratie?
Je kunt er bijna niet omheen; de Autoriteit Persoonsgegevens heeft aan het Bureau Kredietregistratie (hierna 'BKR') een bestuurlijke boete opgelegd van € 830.000. Het BKR kreeg deze boete omdat:
zij vanaf 2018 een vergoeding vroeg voor het digitaal opvragen van persoonsgegevens; en
omdat je maar één keer per jaar zonder kosten je gegevens (per post) mocht inzien.
Dit mag niet volgens de privacywetgeving (art. 12 lid 2 en 5 AVG). Op beide overtredingen werd een verhoging van de bestuurlijke boete toegepast vanwege de ernst van de overtreding.
Deze verhoging werd onder andere toegepast omdat inzage in persoonsgegevens omtrent kredietregistratie van groot belang wordt geacht. Een negatieve kredietregistratie kan immers gevolgen hebben voor het verkrijgen van een lening of hypotheek. Met het vragen van een vergoeding voor inzage in persoonsgegevens omtrent kredietregistratie heeft het BKR één van de belangrijkste beginselen van de AVG, namelijk het transparantiebeginsel, geschonden. Ook woog mee dat de overtreding elf maanden heeft voortgeduurd, en dat het ging om gevoelige informatie (niet alleen naam of leeftijd maar ook gegevens omtrent kredietregistratie werden geregistreerd).
Het BKR had niet alleen bezwaar tegen de boete[1], maar ook tegen openbaarmaking daarvan. Daarom is het BKR een kortgedingprocedure gestart. In deze Wyblog ga ik alleen in op het openbaarmakingsbesluit.
Belangenafweging
De rechter in kort geding maakt een belangenafweging. Het algemeen belang dat door openbaarmaking wordt gediend, wordt afgewogen tegen het belang van het BKR geen onevenredig nadeel te lijden als gevolg van de publicatie van de boete.
Het algemeen belang wordt gediend met openbaarmaking van de bestuurlijke boete omdat bekendheid moet worden gegeven aan de manier waarop Autoriteit Persoonsgegevens toezicht houdt op de naleving van de regels. Aan dit algemeen belang moet op grond van eerdere rechtspraak een groot gewicht worden toegekend. Dit algemeen belang mag echter geen onevenredig nadeel toebrengen aan het BKR. Onevenredig nadeel wordt bijvoorbeeld toegebracht wanneer de boete uiteindelijk geen stand houdt.
Onevenredig nadeel
Het BKR heeft aangevoerd dat zij onevenredig nadeel lijdt door openbaarmaking van de bestuurlijke boete omdat zij vreest voor (onherstelbare) imagoschade. De openbaarmaking zou volgens het BKR leiden tot veel negatieve media-aandacht. Die imagoschade zou daarnaast schade toebrengen aan het maatschappelijk doel dat met de kredietregistraties wordt nagestreefd, namelijk het voorkomen van overkreditering bij consumenten. Ook zou openbaarmaking leiden tot verlies van klanten, sinds enige tijd zijn concurrerende marktpartijen actief. Tot slot vreest het BKR voor extra administratieve kosten, nu openbaarmaking van het boetebesluit waarschijnlijk tot verzoeken om teruggave van abonnementsgeld zal leiden. Wanneer men namelijk wél direct elektronisch inzage wilde, kon dat door het afsluiten van een abonnement. Ruim 30.000 betrokkenen hebben een dergelijk abonnement afgesloten, terwijl zij gratis toegang hadden moeten kunnen krijgen tot hun persoonsgegevens.
Het oordeel van de rechtbank
De rechter in kort geding acht het aannemelijk dat openbaarmaking tot media-aandacht en tot een bepaalde mate van imagoschade en extra administratieve kosten zal leiden. Het is naar het oordeel van de rechter echter niet aannemelijk dat de imagoschade en de administratieve kosten zodanig zullen zijn dat sprake is van een onevenredige benadeling van het BKR. Daarbij weegt mee dat de imagoschade en de extra kosten eerder het gevolg zijn van de overtreding, dan van de openbaarmaking. Met andere woorden: eigen schuld, dikke bult.
Ook acht de rechter het niet aannemelijk dat de openbaarmaking van het boetebesluit zal leiden tot verlies van klanten. Het BKR beschikt namelijk over de kredietgegevens van 12 miljoen personen, zodat het effect op de marktpositie van het BKR waarschijnlijk verwaarloosbaar zal zijn.
Afsluitend
Verzamelt jouw bedrijf gegevens en weet je niet zeker of je voldoet aan alle regels? Overweeg een AVG-check. Het schenden van de regels kan je komen te staan op een fikse boete en het imago van jouw bedrijf kan er ook een flinke klap door oplopen.
Heb je jouw persoonsgegevens opgevraagd bij het Bureau Kredietregistratie en daarvoor betaald? Vraag deze kosten terug!
[1] Het BKR is inmiddels in beroep gegaan; https://autoriteitpersoonsgegevens.nl/nl/nieuws/boete-voor-bkr-vanwege-kosten-bij-inzage persoonsgegevens#:~:text=En%20wanneer%20mensen%20per%20post,boete%20opgelegd%20van%20830.000%20euro.