De verplichtingen van de (mede)verwerkingsverantwoordelijke
Recent heeft de rechtbank Gelderland geoordeeld over de verplichtingen van de (mede)verwerkingsverantwoordelijke onder de AVG (Algemene Verordening Gegevensbescherming).
Het ging om diverse registraties van betalingsachterstanden in het register van het BKR (Bureau Krediet Registratie). Daar worden kredieten opgenomen, samen met zogenoemde bijzonderheidscoderingen. Uit zo’n codering blijkt bijvoorbeeld dat er na het ontstaan van achterstand een betalingsregeling is getroffen, of dat de vordering geheel of gedeeltelijk is afgeboekt.
Een meneer, laten we hem David noemen, heeft betalingsachterstanden bij diverse schuldeisers. Vanwege zijn autisme-stoornis en vanwege deze betalingsachterstanden heeft hij in 2017 professionele hulp gezocht, en in 2019 – met behulp van een lening van een vriend – zijn schulden gedeeltelijk afbetaald in ruil voor kwijtschelding van de restantbedragen. Zijn schuldeisers – een creditcardmaatschappij, een bank en twee andere professionele geldschieters – hebben in het register van het BKR geregistreerd dat er achterstanden zijn ontstaan en dat er is afgeboekt. Eén registratie komt eind 2022 te vervallen; de andere drie pas eind 2024. David heeft een eigen bedrijf, en ondervindt hinder van deze registraties. Hij kan nu geen nieuwe zakelijke lening afsluiten, anders dan tegen woekerrentes van 2% per maand. Hij heeft het BKR daarom verzocht de registraties – althans, de daarbij horende coderingen – te verwijderen. Het BKR heeft dat geweigerd, vandaar dat de rechtbank er uiteindelijk over diende te oordelen.
Het BKR is van mening dat een verwijderverzoek tot de individuele schuldeisers gericht moet worden, en voert daar allerlei argumenten voor aan. De rechtbank maakt daar korte metten mee. Het BKR is verwerkingsverantwoordelijke (een verwerker verwerkt alleen maar gegevens in opdracht van anderen, terwijl een verwerkingsverantwoordelijke zelf het doel en de middelen van verwerking bepaalt). De AVG biedt geen ruimte om een bezwaar niet in behandeling te nemen en alleen maar te verwijzen naar de mede-verwerkingsverantwoordelijken (in dit geval: de financiers die de leningen hebben verstrekt). Het BKR zal dus zelf moeten aantonen waarom handhaving van de coderingen in dit specifieke geval gerechtvaardigd is.
De rechtbank oordeelt dat David voldoende heeft onderbouwd dat hij niet opzettelijk of frauduleus heeft gehandeld, dat het goed met hem en zijn bedrijf gaat en dat hij zijn schuldenproblematiek sinds 2017 succesvol heeft aangepakt. Er zijn al vijf jaar geen betalingsachterstanden meer. Daartegenover heeft het BKR slechts algemeenheden aangevoerd; voor een geslaagd verweer had het BKR specifiek moeten aanvoeren waarom in dit geval de gegevens toch bewaard dienden te blijven. Dat heeft het BKR niet gedaan, en de uitspraak van 14 januari 2022 houdt dus in dat het BKR de coderingen moet verwijderen.
De wijze les voor verwerkingsverantwoordelijken is dus: schuif de verantwoordelijkheid niet te snel af op de mede-verwerkingsverantwoordelijke. Als verwerkingsverantwoordelijken is het verstandig om onderling afspraken te maken over wie in dit soort gevallen feitelijk de pen voert. Uit deze uitspraak blijkt immers dat de kans bestaat dat degene met de minste informatie het verweer moet voeren.