Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
T 070 8888 500
autoriteitpersoonsgegevens.nl
Vertrouwelijk/Aangetekend
Experian Nederland B.V.
Tav. de directie
Postbus 13128
2501 EC DEN HAAG
Per
e-mail an (geanonimiseerd)
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
Onderwerp
Beslissing op bezwaar
Geachte leden van de directie,
Experian Nederland B.V. (hierna: Experian) heeft bezwaar gemaakt tegen het besluit van de Autoriteit
Persoonsgegevens (hierna: AP) van 6 december 2023 (kenmerk [VERTROUWELIJK]; hierna: het primaire
besluit). Bij dat besluit heeft de AP aan Experian een boete opgelegd voor de overtreding van artikel 5,
eerste lid, onder a jo. artikel 6, eerste lid en de overtreding van artikel 12, eerste lid jo. artikel 14, eerste en
tweede lid, van de Algemene verordening gegevensbescherming (hierna: AVG). Daarnaast heeft de AP aan
Experian ook twee lasten onder dwangsom opgelegd, die zien op het ongedaan maken van de
overtredingen.
De AP heeft het bestreden besluit heroverwogen met inachtneming van hetgeen in bezwaar door Experian
is aangevoerd. De APblijft op basis van de feiten van oordeel dat Experian de AVG heeft overtreden door
betrokkenen onvoldoende te informeren en persoonsgegevens te verwerken zonder rechtsgeldige
grondslag. De AP ziet aanleiding om de boete in bezwaar vast te stellen op € 2.700.000,-. De AP licht dit
besluit hieronder toe.
1. Inleiding
Experian is een handelsinformatiebureau en heeft tot 1 januari 2025 onder andere de dienst Credit Check
aangeboden. Volgens Experian konden haar klanten met de dienst Credit Check informatie over de
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
kredietwaardigheid van een consument verkrijgen en betrekken bij een beslissing over het aangaan van
een overeenkomst met deze consument.
De AP heeft onderzoek gedaan naar de wijze waarop Experian betrokkenen over deze verwerking heeft
geïnformeerd en naar de grondslag van de verwerking van persoonsgegevens voor het (kunnen) uitvoeren
van kredietwaardigheidsbeoordelingen.
Experian is onderdeel van de Experian Group , met PLC als moedermaatschappij. Uit het onderzoek is
gebleken dat Experian zelf (en niet de moedermaatschappij) doel en middelen van de verwerking heeft
bepaald en daarmee als de verwerkingsverantwoordelijke van de verwerking ten behoeve van de dienst
Credit Check is aan te merken. Experian beroept zich voor de verwerking van persoonsgegevens voor de
dienst Credit Check op de grondslag gerechtvaardigd belang (artikel 6 , eerste lid , onder f , van de AVG).
Hieronder volgt eerst het juridisch kader in het geval een verwerkingsverantwoordelijke zich beroept op de
grondslag gerechtvaardigd belang. Vervolgens zal inhoudelijk worden ingegaan op slechts die punten die
in deze zaak van belang zijn.
2. Juridisch kader voor een beroep op het gerechtvaardigd belang
Het doel van de AVG bestaat met name in het waarborgen van een hoog niveau van bescherming van de
fundamentele vrijheden en de grondrechten van natuurlijke personen , in het bijzonder van hun in
artikel 8 , eerste lid , van het Handvest van de grondrechten van de Europese Unie (het Handvest) en
artikel 16 , eerste lid , van het Verdrag betreffende de werking van de Europese Unie (VWEU) erkende
recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van
persoonsgegevens.
Persoonsgegevens moeten op grond van artikel 5 , eerste lid , aanhef en onder a , van de AVG worden
verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig , behoorlijk en transparant is.
Hetzelfde artikellid bepaalt onder c dat persoonsgegevens toereikend moeten zijn , ter zake dienend en
beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale
gegevensverwerking).
Volgens artikel 6 , eerste lid , van de AVG is de verwerking van persoonsgegevens alleen rechtmatig
indien en voor zover betrokkene daarvoor toestemming heeft gegeven , zoals bedoeld onder a , van dat
artikel , dan wel als er sprake is van een rechtvaardigingsgrond , zoals bedoeld onder b tot en met f , van
dat artikel. 1 Deze rechtvaardigingsgronden dienen restrictief te worden uitgelegd , aangezien de
verwerking van persoonsgegevens door de rechtvaardigingsgronden rechtmatig kan zijn , zonder dat
betrokkene toestemming heeft gegeven. 2
1 HvJ EU , zaak C-621/22 , 4 oktober 2024 , ECLI:EU:C:2024:858 , punt 30 (KNLTB).
2 HvJ EU , zaak C-252/21 , 4 juli 2023 , ECLI:EU:C:2023:537 , punt 93 (Meta Platforms e. a. ).
2/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
Transparantiebeginsel
Artikel 13 , lid 1 , onder c , van de AVG bepaalt dat wanneer bij de betrokkene persoonsgegevens worden
verzameld , de verwerkingsverantwoordelijke hem informatie moet verstrekken over de rechtsgrondslag
voor die verwerking. 3 Wanneer de persoonsgegevens niet van de betrokkene zijn verkregen , moet de
verwerkingsverantwoordelijke hem die informatie verstrekken op grond van artikel 14 , eerste lid , onder
c , van de AVG. Wat de eerste voorwaarde inzake de behartiging van een gerechtvaardigd belang betreft ,
moet worden verduidelijkt dat het volgens artikel 13 , lid 1 , onder d , van de AVG aan de
verwerkingsverantwoordelijke staat om bij een verwerking die is gebaseerd op artikel 6 , lid 1 , onder f ,
van deze verordening , de betrokken persoon op het moment waarop persoonsgegevens bij hem worden
verzameld , mee te delen welke gerechtvaardigde belangen worden behartigd , omdat die
gegevensverzameling anders niet gerechtvaardigd kan zijn op grond van artikel 6 , lid , 1 , eerste alinea ,
onder f, van de verordening. 4 Wanneer persoonsgegevens niet van betrokkene zijn verkregen , moet de
verwerkingsverantwoordelijke hem die informatie verstrekken op grond van artikel 14 , tweede lid ,
onder b , van de AVG. In die situatie schrijft artikel 14 , derde lid , van de AVG voor dat deze informatie a)
binnen een redelijke termijn , maar uiterlijk binnen één maand na de verkrijging van de
persoonsgegevens; of b) op het moment van het eerste contact; of c) op het moment van de eerste
verstrekking aan een andere ontvanger , wordt verstrekt.
Het is aan Experian om te bewijzen dat de persoonsgegevens worden verwerkt op een wijze die ten
aanzien van de betrokkene rechtmatig , behoorlijk en transparant is.5
Gerechtvaardigd belang
Volgens artikel 6 , eerste lid , onder f , van de AVG is de verwerking van persoonsgegevens rechtmatig
voor zover die noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde , behalve wanneer de belangen of de grondrechten en de
fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen , zwaarder
wegen dan die belangen. Deze bepaling bevat dus drie cumulatieve voorwaarden waaraan voldaan
moet zijn , te weten ten eerste de behartiging van een gerechtvaardigd belang van de
verwerkingsverantwoordelijke of van een derde , ten tweede de noodzaak van de verwerking van
persoonsgegevens voor de behartiging van het gerechtvaardigde belang en ten derde de voorwaarde dat
de belangen of de fundamentele vrijheden en de grondrechten van de bij de gegevensbescherming
betrokken persoon niet zwaarder wegen dan het gerechtvaardigde belang van de
verwerkingsverantwoordelijke of van een derde. 6
Is het belang gerechtvaardigd? (eerste criterium)
Bij gebreke van een definitie van het begrip ‘gerechtvaardigd belang’ in de AVG , kan een breed scala aan
belangen in beginsel als gerechtvaardigd worden beschouwd. Hoewel het begrip ‘gerechtvaardigd
belang’ in de zin van artikel 6 , lid 1 , onder f , AVG ruimer is dan een “tot de wet behorend , wet zijnd , in
een wet vastgelegd” belang , is het echter wel vereist dat het aangevoerde gerechtvaardigde belang
3 HvJ EU , zaak C-394/23 , 9 januari 2025 , ECLI:EU:C:2025:2 , punt 29 (Mousse).
4 HvJ EU , zaak C-394/23 , 9 januari 2025 , ECLI:EU:C:2025:2 , punten 46 en 52 (Mousse).
5 HvJ EU , zaak C-252/21 , 4 juli 2023 , ECLI:EU:C:2023:537 , punt 95 (Meta Platforms e. a. ).
6 HvJ EU , zaak C-621/22 , 4 oktober 2024 , ECLI:EU:C:2024:858 , punt 37 (KNLTB).
3/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
rechtmatig is 7 en daarmee beschermingswaardig.8 De belangen moeten voorts bestaand en actueel zijn ,
zo volgt uit de jurisprudentie van het Hof van Justitie van de Europes Unie (HvJ EU). 9 En dus niet
speculatief , toekomstig of afgeleid.
Er is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang ,
alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de
persoonsgegevens mag verwachten dat verwerking met dat doel kan plaatsvinden. Een gerechtvaardigd
belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding
tussen de betrokkene en de verwerkingsverantwoordelijke , in situaties waarin de betrokkene een klant
is of in dienst van de verwerkingsverantwoordelijke. 10 Kortom , er dient van geval tot geval beoordeeld te
worden of een dergelijk belang bestaat , rekening houdend met het toepasselijke rechtskader en alle
omstandigheden van de zaak. 11
Noodzakelijkheid van de verwerking (tweede criterium)
Voor een geslaagd beroep op de grondslag gerechtvaardigd belang moet de verwerking ten tweede
noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang. Onderzocht moet worden of het
gerechtvaardigde belang bij de verwerking van de gegevens redelijkerwijs niet even doeltreffend kan
worden bereikt met andere middelen die in mindere mate afbreuk doen aan de grondrechten en de
fundamentele vrijheden van de betrokkenen , in het bijzonder aan het recht op eerbiediging van het
privéleven en het recht op bescherming van persoonsgegevens zoals die door de artikelen 7 en 8 van het
Handvest van de grondrechten van de Europese Unie (hierna: het Handvest) worden gewaarborgd. 12
Daarnaast dient deze voorwaarde te worden onderzocht in samenhang met het beginsel van minimale
gegevensverwerking , zoals neergelegd in artikel 5 , eerste lid , aanhef en onder c , van de AVG.
Persoonsgegevens moeten toereikend zijn , ter zake dienend en beperkt tot wat noodzakelijk is voor de
doeleinden waarvoor zij worden verwerkt. 13
De belangenafweging (derde criterium)
De derde cumulatieve voorwaarde voor een geslaagd beroep op de grondslag gerechtvaardigd belang is
dat de belangen of fundamentele rechten en vrijheden van de betrokkene niet zwaarder wegen dan het
gerechtvaardigde belang waarop de verwerkingsverantwoordelijke zich beroept.
Allereerst heeft het HvJ EU bepaald dat de ernst van de inbreuk op de rechten en vrijheden van de
betrokkene een essentieel onderdeel vormt van de vereiste afweging per geval. In dit verband moet met
name rekening worden gehouden met de aard van de betrokken persoonsgegevens , in het bijzonder de
gevoelige aard ervan , alsmede met de aard en de concrete wijze van verwerking van de betrokken
7 HvJ EU , zaak C-621/22 , 4 oktober 2024 , ECLI:EU:C:2024:858 , punten 38 en 40 (KNLTB).
8 Vergelijk ook de conclusie van de A-G van het HvJ EU in de zaak C-209/23 , ECLI:EU:C:2025:362 , punt 171 (FIFA).
9 HvJ EU , zaak C-708/18 , 11 december 2019 , ECLI:EU:C:2019:1064 , punt 44 (TK).
10 Overweging 47 van de AVG.
11 HvJ EU , zaak C-621/22 , 4 oktober 2024 , ECLI:EU:C:2024:858 , punt 49 (KNLTB).
12 HvJ EU , gevoegde zaken C-26/22 en C-64/22 , 7 december 2023 , ECLI:EU:C:2023:958 , punt 77 (Schufa).
13 HvJ EU , zaak C-252/21 , 4 juli 2023 , ECLI:EU:C:2023:537 , punt 109 (Meta Platforms e. a. ).
4/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
gegevens , in het bijzonder het aantal personen dat er toegang toe heeft en de wijze waarop zij die
toegang verkrijgen. 14 Bij de beoordeling van de ernst van de inbreuk op de belangen en fundamentele
rechten en vrijheden van de betrokkene dient ook gekeken te worden naar de omvang van de
verwerking en de gevolgen ervan voor die persoon. 15 De ernst van aantasting van de grondrechten van
de betrokkene kan verschillen naargelang de vraag of de gegevens reeds in voor het publiek
toegankelijke bronnen zijn opgenomen zoals bijvoorbeeld gegevens uit het Kadaster. Gegevens die zijn
opgenomen in niet-openbare bronnen vormen een grotere aantasting van de rechten van
betrokkenen. 16
Zoals volgt uit overweging 47 van de AVG dient bij de belangenafweging daarnaast rekening te worden
gehouden met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de
verwerkingsverantwoordelijke. Er is een zorgvuldige beoordeling geboden om te bepalen of een
betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs
mag verwachten dat verwerking met dat doel kan plaatsvinden.
Voorts moet bij de belangenafweging rekening worden gehouden met de waarborgen die de
verwerkingsverantwoordelijke mogelijk heeft getroffen. Waarborgen kunnen de gevolgen voor
betrokkenen verminderen en zijn daarmee van invloed op de belangenafweging. Zo kan het voldoen aan
de wettelijke verplichtingen die voorvloeien uit de AVG , onder andere wat betreft evenredigheid en
transparantie , bijdragen aan het oordeel dat de verwerkingsverantwoordelijke voldoet aan de vereisten
van artikel 6 , eerste lid , aanhef en onder f, van de AVG. 17
Alvorens toe te komen aan de vraag of er in deze zaak sprake is van een rechtmatige verwerking , zal de AP
hierna eerst ingaan op de informatieplicht van Experian aan zijn klanten.
3. De overtreding informatieverstrekking
Op grond van artikel 12 , eerste lid , van de AVG neemt een verwerkingsverantwoordelijke passende
maatregelen met de bedoeling dat de betrokkene de in artikelen 13 en 14 bedoelde informatie en de in de
artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een
beknopte , transparante , begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige
taal ontvangt. De informatie wordt schriftelijk of met andere middelen , met inbegrip van , indien dit
passend is , elektronische middelen verstrekt.
Als de persoongegevens , zoals in het geval van Experian aan de orde is , niet van betrokkene zijn verkregen ,
bepaalt artikel 14 in leden 1 en 2 van de AVG de te verstrekken informatie. Het is aan Experian als
verwerkingsverantwoordelijke om te zorgen dat betrokkenen op de hoogte zijn van (onder meer) de
verwerking , de doeleinden daarvan , de rechtsgronden van de verwerking , de gerechtvaardigde belangen
die daarmee gemoeid zijn en de rechten die een betrokkene heeft op inzage , rectificatie , gegevenswissing
14 HvJ EU , zaak C-708/18 , 11 december 2019 , ECLI:EU:C:2019:1064 , punt 57 (Asociaţia de Proprietari bloc M5A-ScaraA).
15 HvJ EU , zaak C-252/21 , 4 juli 2023 , ECLI:EU:C:2023:537 , punt 116 (Meta Platforms e. a. ).
16 HvJ EU , zaak C-468/10 en C-469/10 , 24 november 2011 , ECLI:EU:C:2011:777 , punt 44 en 45 (Asnef).
17 Zie Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR , EDPB , p. 55 – 60.
5/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
en beperking van de verwerking. Onder verwijzing naar de Richtsnoeren inzake transparantie
overeenkomstig Verordening (EU) 2016/679 (hierna: Richtsnoeren transparantie) wijst de AP erop dat de
verwerkingsverantwoordelijke actief stappen moet ondernemen om de informatie in kwestie aan de
betrokkene te bezorgen of de betrokkene actief naar de locatie van de informatie te dirigeren (bijvoorbeeld
door middel van een rechtstreekse link). Het moet niet zo zijn dat de betrokkene zelf actief naar deze
informatie op zoek moet , te midden van andere informatie. Het is wel mogelijk om de bedoelde informatie
op gelaagde wijze te verstrekken. Als voor een dergelijke gelaagde aanpak wordt gekozen , is relevant dat in
de eerste laag (de primaire wijze waarop de verwerkingsverantwoordelijke voor het eerst contact opneemt
met de betrokkene) de belangrijkste informatie over wordt gebracht , te weten de informatie over het doel
van de verwerking , de identiteit van de verwerkingsverantwoordelijke en het bestaan van de rechten van
de betrokkene , samen met de informatie over het grootste effect van de verwerking of over verwerkingen
die voor de betrokkene een verrassing zou kunnen vormen. Het is aan de verwerkingsverantwoordelijke
om – in het kader van de verantwoordingsplicht – te bewijzen dat en op welke wijze zij voldoet aan de
informatieverplichting. 18 Dat bewijs is door Experian niet in alle gevallen voldoende geleverd en dat is
onrechtmatig.
Experian kan zich verder naar het oordeel van de AP niet met succes beroepen op de
uitzonderingsbepaling ten aanzien van de informatieverstrekking zoals genoemd in artikel 14 , vijfde lid ,
van de AVG.
De AP acht het ten slotte van belang op te merken dat Experian naar aanleiding van het primaire besluit op
diverse manieren haar informatieverstrekking heeft verbeterd. Met ingang van 1 januari 2025 biedt
Experian haar diensten als kredietinformatiebureau niet meer aan.
Conclusie
Op grond van het bovenstaande komt de AP tot de conclusie dat Experian artikel 12 , eerste lid , jo. artikel
14 , eerste en tweede lid van de AVG heeft overtreden. Door niet te voldoen aan artikel 12 jo. artikel 14 van
de AVG stelt de AP ook vast dat Experian de beginselen van transparantie en behoorlijke
gegevensverwerking , neergelegd in artikel 5 , eerste lid , aanhef en onder a , van de AVG , heeft overtreden.
Experian erkent deze overtreding.
4. De overtreding ontbreken grondslag gerechtvaardigd belang
Gerechtvaardigd belang (eerste criterium)
Experian heeft zich (onder meer) op het standpunt gesteld dat de verwerking noodzakelijk is voor de
behartiging van haar eigen gerechtvaardigde belang om haar dienst (zijnde
kredietwaardigheidsbeoordelingen) aan te kunnen bieden. Daarnaast heeft Experian aangevoerd dat zij
met de verwerking het belang van haar klanten die krediet aanbieden behartigt. Experian brengt in dat
kader naar voren dat op haar klanten wettelijke 19 en/of zorgplichten jegens de consument rusten , ter
voorkoming van overkreditering en het ontstaan van problematische schulden.
18 Richtsnoeren transparantie , punt 8 , 10 , 11 , 33 , 36 , 38.
19 Artikel 4:34 van de Wet financieel toezicht.
6/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
Gelet op in ieder geval de hiervoor genoemde wettelijke en/of zorgplichten van derden jegens de
consument en met inachtneming van de jurisprudentie van het HvJ EU in de zaken KNLTB 20 en Schufa 21 , is
de AP van oordeel dat niet kan worden gezegd dat Experian in die situaties met betrekking tot haar klanten
geen gerechtvaardigd belang behartigt.
Wat hier verder ook van zij , hiermee is echter nog niet gezegd dat Experian beschikt over een rechtmatige
grondslag op basis waarvan deze verwerkingen kunnen worden voortgezet. Hiervoor dient Experian eerst
te voldoen aan de twee hierna te bespreken criteria van de noodzakelijkheid van de verwerking en de
belangenafweging , waarbij overweging 47 van de AVG meegeeft dat de belangen en de grondrechten van
de betrokkene met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer
persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen
verdere verwerking verwachten.
De andere door Experian aangevoerde belangen van consumenten om zichzelfte beschermen tegen
overkreditering en problematische schulden zijn verder niet aan te merken als belangen van derden. De
definitie van een derde zoals opgenomen in artikel 4 , aanhef en onder 10 , van de AVG , sluit immers de
betrokkene zelf expliciet uit. Het eveneens door Experian aangevoerde maatschappelijk belang om
overkreditering en problematische schulden te voorkomen is evenmin in lijn met de definitie van een
derde.
Noodzakelijkheid van de verwerking (tweede criterium)
Experian heeft ten aanzien van bepaalde persoonsgegevens onvoldoende duidelijk gemaakt waarom
verwerking daarvan strikt noodzakelijk is – en niet louter nice to have – voor het opstellen van de
kredietwaardigheidsbeoordelingen. De verwerking van deze gegevens voor de dienst Credit Check kan dus
niet met succes worden gebaseerd op de grondslag gerechtvaardigd belang.
De belangenafweging (derde criterium)
De AP merkt het volgende op over de afweging van het gerechtvaardigde belang waarop Experian zich
beroept tegen de belangen of fundamentele rechten en vrijheden van betrokkenen.
De klanten van Experian kunnen met de kredietwaardigheidsbeoordelingen van Experian
informatieverschillen compenseren en derhalve risico’s op niet-volledige of niet-tijdige terugbetaling van
krediet aan de klanten van Experian minimaliseren. Daarnaast stellen de
kredietwaardigheidbeoordelingen de klanten van Experian mede in staat om te voldoen aan de op hen
rustende verplichtingen.
Daarentegen vormt de verwerking van financiële gegevens (waaronder faillissementen en negatieve
betaalregistraties) door Experian een ernstige inmenging in de grondrechten van de betrokkene die zijn
verankerd in artikel 7 en 8 van het Handvest. Indien er faillissementen en negatieve betaalregistraties op
20 HvJ EU , zaak C-621/22 , 4 oktober 2024 , ECLI:EU:C:2024:858 (KNLTB).
21 HvJ EU , gevoegde zaken C-26/22 en C-64/22 7 december 2023 ECLI:EU:C:2023:958 (Schufa).
, ,
7/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
individueel niveau bestaan , worden deze gegevens als negatieve factor betrokken bij de beoordeling van de
kredietwaardigheid van de betrokkene en vormen dus gevoelige informatie over zijn privéleven. De
verwerking ervan kan de belangen van de betrokkene ernstig schaden , aangezien een negatieve
kredietscore de uitoefening van zijn vrijheden aanzienlijk moeilijker kan maken , met name wanneer het
erom gaat in basisbehoeften te voorzien. 22 Dat geldt te meer voor de gegevens die Experian verkrijgt uit
niet-openbare bronnen , zoals de negatieve betaalregistraties bij haar klanten. Met name ten aanzien van
deze negatieve betaalregistraties bij haar klanten kan in dit geval niet (zonder meer) worden gesteld dat
een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs
mag verwachten dat verwerking ten behoeve van kredietwaardigheidsbeoordelingen kan plaatsvinden.
Experian heeft daarnaast van een (zeer) groot aantal betrokkenen een grote hoeveelheid aan
persoonsgegevens verwerkt , terwijl er niet in alle gevallen een beoordeling van de kredietwaardigheid
wordt gevraagd.
Wat betreft de redelijke verwachtingen is relevant dat er tussen Experian als
verwerkingsverantwoordelijke en de betrokkene wiens gegevens worden verwerkt in het geheel geen
verhouding bestaat.
De door Experian getroffen waarborgen , die met name zien op de juistheid van de gegevens , zijn – in het
licht van het voorgaande – onvoldoende om de gevolgen voor betrokkenen te verminderen. Dat betekent
dat de AP op basis van het door haar gedane onderzoek tot de conclusie komt dat de belangen of
fundamentele rechten en vrijheden van de betrokkene zwaarder wegen dan het gerechtvaardigde belang
waarop Experian zich beroept.
Ten overvloede merkt de AP nog op dat een belangrijke waarborg kan worden gevonden in het toepassen
van een (op de specifieke verwerking van persoonsgegevens toegespitste) zeer beperkte bewaartermijn. In
het primaire besluit heeft de AP de bewaartermijnen van Experian niet betrokken in haar beoordeling. Wel
is uit het AP-onderzoek gebleken dat de bewaartermijn van de genoemde persoonsgegevens door
Experian grotendeels overeenkomt met de algemene bewaartermijn zoals die was opgenomen in de
Gedragscode Verwerking Persoonsgegevens van de Nederlandse Vereniging van
(Handels)informatiebureaus , thans de Vereniging van Kredietinformatiebureaus (VvKi). 23 De goedkeuring
van deze gedragscode door het College bescherming persoonsgegevens is op 5 september 2016 verlopen.
Gezien het van kracht worden van de AVG , de ontwikkelingen in de rechtspraak en de ontwikkelingen in
de digitale wereld , is de AP van oordeel dat de bewaartermijn uit de gedragscode in het kader van de
belangenafweging niet kan worden gezien als een waarborg om de gevolgen voor betrokkenen te
verminderen.
De AP acht van belang op te merken dat Experian met ingang van 1 januari 2025 haar diensten als
kredietinformatiebureau heeft beëindigd. De persoonsgegevens worden derhalve met ingang van 1 januari
2025 niet meer verwerkt ten behoeve van kredietwaardigheidsbeoordelingen. Experian heeft aan de AP
22 HvJ EU , gevoegde zaken C-26/22 en C-64/22 , 7 december 2023 , ECLI:EU:C:2023:958 , punt 94 (Schufa).
23 Experian is lid van de VvKi. De VvKi heeft een nieuwe gedragscode opgesteld. Deze gedragscode is op het moment van dit besluit op
bezwaar niet door de AP goedgekeurd.
8/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
voldoende onderbouwd uitgelegd op welke wijze haar database de komende periode wordt afgebouwd om
te komen tot een volledige verwijdering van de daarin verwerkte persoonsgegevens.
Conclusie
Op grond van het bovenstaande komt de AP tot de conclusie dat Experian artikel 5 , eerste lid , aanhef en
onder a jo. artikel 6 , eerste lid , van de AVG heeft overtreden. Experian erkent deze overtreding.
5. Boetehoogte
De AP is op grond van artikel 58 , tweede lid , aanhef en onder i , jo artikel 83 van de AVG en gelezen in
samenhang met artikel 14 , derde lid , van de Uitvoeringswet Algemene verordening gegevensbescherming
(hierna: UAVG) bevoegd om een bestuurlijke boete op te leggen. De AP hanteert daarbij de Richtsnoeren
04/2022 voor de berekening van administratieve geldboeten krachtens de AVG.
Nu de AP inbreuken heeft vastgesteld op de basisbeginselen inzake transparantie en rechtmatigheid ,
bepaalt artikel 83 , vijfde lid , van de AVG dat de bestuurlijke boete maximaal € 20.000.000-, bedraagt of
maximaal 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar , indien dit een hoger bedrag
vertegenwoordigt. Zoals volgt uit jurisprudentie van het HvJ EU in de zaken Deutsche Wohnen 24 en ILVA 25
dient de AP bij de bepaling van het maximumbedrag van de geldboete uit te gaan van de wereldwijde
omzet van de onderneming in de zin van artikelen 101 en 102 van het Verdrag betreffende de werking van
de Europese Unie (hierna: VWEU). Experian is onderdeel van de Experian Group , met Experian PLC als
moedermaatschappij. Zij moeten voor de toepassing van de berekening van het maximumbedrag van de
boete tot dezelfde onderneming worden gerekend in de zin van artikel 83 van de AVG.
De bepaling van dit maximumbedrag is echter iets anders dan de berekening zelf van het bedrag van een
bestuurlijke boete die de AP kan opleggen vanwege de overtreding van de AVG. Op grond van artikel 83 ,
eerste lid , van de AVG , dient de bestuurlijke boete doeltreffend , evenredig en afschrikkend te zijn. Op
grond van het tweede lid van deze bepaling dient de AP bij de vraag of er aanleiding bestaat om een
bestuurlijke boete op te leggen en bij de bepaling van de hoogte ervan , in alle gevallen rekening te houden
met de aard , de ernst en de duur van de inbreuk , met het opzettelijk karakter van de inbreuk , met
schadebeperkende maatregelen , met de mate van verantwoordelijkheid , met eventueel eerdere relevante
inbreuken , met de wijze waarop de inbreuk ter kennis van de AP is gekomen , met de naleving van de
maatregelen die werden genomen tegen de verwerkingsverantwoordelijke , met de aansluiting bij een
gedragscode en met alle andere verzwarende en verzachtende factoren. Daarbij moet in voorkomend geval
ook rekening worden gehouden met de werkelijke of materiële economische draagkracht van degene aan
wie de bestuurlijke boete wordt opgelegd. Dat is in dit geval Experian als enig
verwerkingsverantwoordelijke en niet de Experian Group , met PLC als moedermaatschappij.
24 HvJ EU , zaak C-807/21 , 5 december 2023 , ECLI:EU:C:2023:950 (Deutsche Wohnen).
25 HvJ EU , zaak C-383/23 , 13 februari 2025 , ECLI:EU:C:2025:84 (ILVA).
9/10
Datum Ons kenmerk
16 oktober 2025 [VERTROUWELIJK]
Gelet op alle omstandigheden van het geval en het gegeven dat rekening moet worden gehouden met de
werkelijke of materiële economische draagkracht van Experian , acht de AP een boete van € 2.700.000-,
passend en geboden.
6. Conclusie
De AP heeft het primaire besluit heroverwogen en is daarbij tot de conclusie gekomen dat een boete van
€ 2.700.000-, passend en geboden is. De AP zal het primaire besluit heroepen en aan Experian een boete
opleggen van € 2.700.000-.
,
7. Besluit
De Autoriteit Persoonsgegevens:
- verklaart het door Experian Nederland B. V. gemaakt bezwaar gegrond;
- herroept het besluit van 6 december 2023 met kenmerk [VERTROUWELIJK];
- legt aan Experian Nederland B. V. een bestuurlijke boete op van € 2.700.000-, (zegge: twee miljoen
zevenhonderdduizend euro) voor het overtreden van artikel 5 , eerste lid , aanhef en onder a jo.
artikel 6 eerste lid , van de AVG en het overtreden van artikel 12 , eerste lid , jo. artikel 14 , eerste en
tweede lid , van de AVG. 26
Hoogachtend ,
Autoriteit Persoonsgegevens ,
w. g.
mr. A. Wolfsen
voorzitter
Rechtsmiddelenclausule
Indien Experian het niet eens is met dit besluit kan zij binnen zes weken na de datum van verzending van
het besluit ingevolge de Awb een beroepschrift indienen bij de rechtbank (sector bestuursrecht) in het
arrondissement , waarbinnen Experian is gevestigd. Experian dient een afschrift van dit besluit mee te
zenden. Het indienen van een beroepschrift schort de werking van dit besluit op. Voor het indienen van
beroep bij de rechtbank zijn kosten verschuldigd aan de rechtbank (griffierecht). Voor de hoogte van het
bedrag van deze kosten kan worden gekeken op de internetpagina van de rechtspraak:
https://www. rechtspraak. nl/Naar-de-rechter/Kosten-rechtszaak/Griffierecht/Paginas/Griffierecht-
bestuursrecht. aspx.
26 De AP zal de vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB).
10/10