Finans Sektöründe Suç Verisi Paylaşımı

Besluit inzake de vergunningaanvraag voor de
verwerking van [PARTIJ] volgens het Protocol
Incidentenwaarschuwingssysteem Financiële
Instellingen 2021
zoals opgesteld door de Nederlandse Vereniging van Banken (NVB), het Verbond van
Verzekeraars (Verbond), de Vereniging van Financieringsondernemingen in Nederland
(VFN), de Stichting Fraudebestrijding Hypotheken (SFH) en Zorgverzekeraars Nederland
(ZN); z2021-03355.
[ADRES PARTIJ]

1. Inleiding: aanleiding vergunningaanvraag
1 Op [DATUM] heeft [PARTIJ] – ingevolge artikel 33, vierde lid, aanhef en onder c, van de
Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) – bij de Autoriteit
Persoonsgegevens (AP) een vergunningaanvraag ingediend. Deze aanvraag is bij de AP bekend onder
z2021-03355 onder de naam Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI
2021).

2 In artikel 10 van de Algemene verordening gegevensbescherming (AVG) is bepaald dat
persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
houdende veiligheidsmaatregelen op grond van artikel 6, eerste lid, AVG alleen worden verwerkt
onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of
lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van betrokkene
bieden. De wetgever heeft van deze ruimte gebruik gemaakt in artikel, 33, vierde lid, aanhef en onder c
van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG).

3 Op grond van artikel 33, vierde lid, aanhef en onder c, UAVG mogen persoonsgegevens van
strafrechtelijke aard ten behoeve van derden worden verwerkt indien de AP een vergunning voor de
verwerking heeft verleend. Ingevolge artikel 33, vijfde lid, UAVG kan een vergunning slechts worden
verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en
bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene
niet onevenredig wordt geschaad. Aan de vergunning kunnen door de AP voorschriften worden
verbonden.

2. Procedureverloop
4 Op 13 juli 2020 heeft de AP het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen
(PIFI 2021) ontvangen van de brancheorganisaties NVB, het Verbond, VFN, SFH en ZN namens de
financiële instellingen. Hierbij is ook een gegevensbeschermingseffectbeoordeling (Data Protection
Impact Assessment, ofwel DPIA) aangeleverd.

5 De AP heeft het PIFI 2021 beoordeeld op basis van het onder paragraaf 4 beschreven wettelijk kader.
Hierbij is de AP tot de conclusie gekomen, om de onder paragraaf 5 genoemde redenen, dat het
protocol een behoorlijke en zorgvuldige gegevensverwerking aannemelijk maakt.

6 Op [DATUM] heeft [PARTIJ] de AP verzocht om een vergunning te verlenen voor de verwerking op
basis van het PIFI 2021.

3. Feitelijke weergave van de voorgenomen verwerking
De voorgenomen verwerking wordt in de preambule van het PIFI 2021 als volgt omschreven.
Financiële Instellingen werken samen op het gebied van criminaliteitsbestrijding in de financiële
sector.1

“Eén beschermende maatregel is het Incidentenwaarschuwingssysteem Financiële Instellingen
(‘Waarschuwingssysteem’). Dit is een systeem dat het mogelijk maakt voor Financiële Instellingen om
(i) te onderzoeken en (ii) om na te gaan of iemand (bijvoorbeeld een klant of sollicitant) een dreiging
voor de (klanten of medewerkers van de) Financiële Instelling vormt of kan vormen. Bijvoorbeeld als
deze al eerder bij een Financiële Instelling heeft gefraudeerd. Op deze manier kan worden voorkomen
dat die persoon dit nog een keer probeert bij een andere Financiële Instelling.

De regels en waarborgen met betrekking tot het Waarschuwingssysteem zijn vastgelegd in het
Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (‘Protocol’).

Waaruit bestaat het waarschuwingssysteem?
Het waarschuwingssysteem bestaat uit (i) de Incidentenregisters van individuele Financiële
Instellingen en Brancheverenigingen en (ii) een aan ieder Incidentenregister gekoppeld Extern
Verwijzingsregister waarin alleen Verwijzingsgegevens afkomstig van de betreffende Financiële
Instelling zijn opgenomen.

Een Financiële Instelling legt in haar eigen Incidentenregister gedragingen vast van (rechts)personen
die hebben geleid of kunnen leiden tot benadeling van Financiële Instellingen, hun klanten of
medewerkers of die de integriteit van Financiële Instellingen in het geding kunnen brengen. De
gegevens die zijn vastgelegd in het Incidentenregister kunnen worden uitgewisseld ten behoeve van
onderzoek naar Incidenten. Daarnaast worden in het aan het eigen Incidentenregister gekoppelde
Extern Verwijzingsregister door de Financiële Instelling de Verwijzingsgegevens vastgelegd die op
basis van een hit – no hit raadpleegbaar zijn voor andere Financiële Instellingen.

De Verwijzingsgegevens worden ontsloten door een Verwijzingsapplicatie. De Verwijzingsapplicatie
van de Verzekeraars wordt beheerd door de Stichting Centraal Informatie Systeem (CIS) en die van de
overige Deelnemers door Stichting Bureau Krediet Registratie (BKR). Het BKR en Stichting CIS zijn
verwerkers. Iedere Verwerkingsverantwoordelijke afzonderlijk sluit een Verwerkersovereenkomst
met de verwerker.”

4. Wettelijk kader
4.1 Verwerking van strafrechtelijke gegevens ten behoeve van derden
Artikel 10 AVG bepaalt:

1 In deze paragraaf met hoofdletter weergeven begrippen zijn gedefinieerd in het protocol.

2/19

“Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder
toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke
bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden.
Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder
toezicht van de overheid.”

Artikel 1 UAVG bepaalt:
“In deze wet en de daarop berustende bepalingen wordt verstaan onder:
[…]
Persoonsgegevens van strafrechtelijke aard: persoonsgegevens betreffende strafrechtelijke veroordelingen
en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld in artikel 10 van de
verordening, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding
van onrechtmatig of hinderlijk gedrag; […]”

Artikel 31 UAVG bepaalt:
Onverminderd artikel 10 van de verordening mogen persoonsgegevens van strafrechtelijke aard alleen
worden verwerkt voor zover dit krachtens de artikelen 32 en 33 is toegestaan.

Artikel 33, vierde lid, aanhef en onder c, UAVG bepaalt:
“Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt:
[…]
c. indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de
verwerking heeft verleend.”

Artikel 33, vijfde lid, UAVG bepaalt:
“Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden verleend, indien de
verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is
voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig
wordt geschaad. Aan de vergunning kunnen voorschriften worden verbonden.”

Artikel 6, eerste lid, aanhef en onder f, AVG bepaalt:
“De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
[…]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de
fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder
wegen dan die belangen, met name wanneer de betrokkene een kind is.”

Overweging 47 van de AVG stelt:
“De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een
verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde,
kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van
de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. […] In elk geval is een
zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te

3/19

bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens
redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de
grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de
verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin
de betrokkenen redelijkerwijs geen verdere verwerking verwachten. […] De verwerking van
persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van
de verwerkingsverantwoordelijke in kwestie. […]”

Artikel 5 AVG bepaalt:
“1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant
is („rechtmatigheid, behoorlijkheid en transparantie”);

b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en
mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere
verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek
of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de
oorspronkelijke doeleinden beschouwd („doelbinding”);

c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij
worden verwerkt („minimale gegevensverwerking”);

d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de
persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te
wissen of te rectificeren („juistheid”);

e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan
voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens
mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op
archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden
worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende
technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de
betrokkene te beschermen („opslagbeperking”);

f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier
worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn
tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of
beschadiging („integriteit en vertrouwelijkheid”).

2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen
(„verantwoordingsplicht”).”

4.2 Zorgvuldig ontwerp voorgenomen verwerking

Artikel 35, tweede lid, aanhef en onder b, AVG bepaalt: “Een gegevensbeschermingseffectbeoordeling als
bedoeld in lid 1 is met name vereist in de volgende gevallen:
[…]

4/19

b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid
1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in
artikel 10; of […]”

Artikel 36, eerste lid, AVG bepaalt: “Wanneer uit een gegevensbeschermingseffectbeoordeling krachtens
artikel 35 blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke
geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke
voorafgaand aan de verwerking de toezichthoudende autoriteit.”

Het Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een
gegevensbeschermingseffectbeoordeling (DPIA) verplicht is2 stelt:
“[De Autoriteit Persoonsgegevens] stelt vast dat voor de volgende verwerkingen van persoonsgegevens
een gegevensbeschermingseffectbeoordeling verplicht is:

[…]2. Zwarte lijsten
Verwerkingen waarbij persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten,
gegevens over onrechtmatig of hinderlijk gedrag of gegevens over slecht betalingsgedrag door bedrijven of
particulieren worden verwerkt en gedeeld met derden (artikel 33, vierde lid, aanhef en onder c, van de
Uitvoeringswet Algemene verordening gegevensbescherming)(zwarte lijsten of waarschuwingslijsten,
zoals deze bijvoorbeeld gebruikt worden door verzekeraars, horecabedrijven, winkelbedrijven,
telecomproviders alsook zwarte lijsten die betrekking hebben op onrechtmatig gedrag van werknemers,
bijvoorbeeld in de zorg of door uitzendbureaus). […]

3. Fraudebestrijding
Grootschalige verwerkingen van (bijzondere) persoonsgegevens en-of stelselmatige monitoring in het
kader van fraudebestrijding (bijvoorbeeld fraudebestrijding door sociale diensten of door fraudeafdelingen
van verzekeraars). […]”

5. Beoordeling verwerking
7 Aan de hand van het wettelijk kader wordt de voorgenomen verwerking beoordeeld. De beoordeling is
gebaseerd op de aan de verwerking ten grondslag liggende vergunningaanvraag, het PIFI 20213, de
gegevensbeschermingseffectbeoordeling4 (Data Protection Impact Assessment; DPIA).

8 Het PIFI 2021 beschrijft een decentrale gegevensuitwisseling tussen partijen die werkzaam zijn in de
financiële sector. Uit de preambule bij het PIFI 2021 blijkt dat elke financiële instelling kwalificeert als
verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in het eigen
Incidentenregister en het daarvan deel uitmakende Externe Verwijzingsregister. Het protocol stelt aan
het slot van de preambule expliciet dat er door het decentrale karakter van de gegevensuitwisseling
geen sprake is van een gezamenlijke of centrale verwerkingsverantwoordelijke partij. Het doel en
middelen worden door elke verwerkingsverantwoordelijke afzonderlijk vastgesteld. De

2 Autoriteit Persoonsgegevens 27 november 2019, “Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een

gegevensbeschermingseffectbeoordeling (DPIA) verplicht is”, Stcrt 2019 nr. 64418. Het besluit is gegrond op artikel 35, vijfde lid, en
artikel 57, eerste lid onder k, AVG.
3 PIFI, versie 2021.
4 Cross-sectorale referentie Data Protection Impact Assessment, versie d.d. 13 juli 2020.

5/19

brancheorganisaties die de totstandkoming van het protocol hebben bewerkstelligd hebben geen
algemene verwerkingsverantwoordelijkheid. Wel hebben de fraudeloketten van de
brancheorganisaties toegang tot gegevens op basis van artikel 4.2.3 PIFI 2021 door een Deelnemer aan
het fraudeloket zijn verstrekt, in die hoedanigheid zijn de brancheorganisaties wel
verwerkingsverantwoordelijke.5

9 Het protocol heeft blijkens de preambule een nationale werking.6 Het vergunningsinstrument uit de
UAVG is een nationale implementatie van de uitzondering op artikel 10 AVG, derhalve kan de
vergunning geen transnationale werking hebben. De AP zal dan ook als voorschrift aan de vergunning
stellen dat de verwerking enkel in Nederland mag plaatsvinden.

10 De beoordeling wordt hierna op volgende manier vorm gegeven: allereerst wordt er gekeken naar de
mate van verwerking van persoonsgegevens van strafrechtelijke aard (paragraaf 5.1). Als er geen
sprake is van persoonsgegevens van strafrechtelijke aard dan is de verwerking niet
vergunningsplichtig.7 Vervolgens wordt de verwerking getoetst aan artikel 33 lid 5 UAVG, dat wil
zeggen (1) is de verwerking noodzakelijk voor een zwaarwegend belang van derden (paragraaf 5.2) en
(2) is in zodanige waarborgen voorzien dat de persoonlijke levenssfeer niet onevenredig worden
geschaad (paragraaf 5.3).

5.1 Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
houdende veiligheidsmaatregelen
11 Met het begrip ‘persoonsgegevens van strafrechtelijke aard’ wordt gedoeld op de in art. 10 AVG
genoemde persoonsgegevens van strafrechtelijke veroordelingen en strafbare feiten of daarmee
verband houdende veiligheidsmaatregelen. Volgens vaste rechtspraak worden onder strafrechtelijke
persoonsgegevens verstaan “zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit
te kwalificeren bewezenverklaring - in de zin van artikel 350 van het Wetboek van Strafvordering -
kunnen dragen”.8

12 De aanvrager beoogt met de aanvraag van een vergunning persoonsgegevens van strafrechtelijke aard
ten behoeve van derden te verwerken. Het protocol stelt dat op basis van het protocol
persoonsgegevens van strafrechtelijke aard als bedoeld in artikel 10 AVG juncto art. 1 UAVG worden
verwerkt.9 De AP acht het aannemelijk dat gegevens die in het kader van het protocol worden verwerkt
inderdaad kwalificeren als persoonsgegevens van strafrechtelijke aard. De informatie-uitwisseling is
immers met name vorm gegeven om gegevens over incidenten, waaronder strafbare feiten, uit te
wisselen met als doel de financiële sector te behoeden voor verdere schade.

13 Een vergunning ziet slechts op de verwerking van persoonsgegevens van strafrechtelijke aard ten
behoeve van derden. Dat betekent dat alle verwerkingen die buiten die kwalificatie vallen onder het
reguliere gegevensbeschermingsrecht vallen. De AP merkt op dat in het protocol ook verwerkingen
zijn geregeld die buiten de werkingssfeer van een vergunning vallen. Uit dit besluit volgt niet dat de AP
zich uitlaat over de rechtmatigheid van niet vergunningsplichtige onderdelen van het protocol. Het

5 De AP zal voor aanvragen van de Fraudeloketten voor een vergunning onder het PIFI 2021 een separaat besluit nemen.
6 PIFI 2021, p. 10.
7 Overigens is daarmee niet direct gegeven dat de voorgenomen verwerking rechtmatig is, verwerkingen buiten de reikwijdte van de

vergunningplicht moeten voldoen aan de reguliere regels van de AVG en UAVG.
8 HR 29 mei 2009, ECLI:NL:HR:2009:BH4720, r.o. 4.4.
9 PIFI 2021, preambule en begripsbepaling in het protocol.

6/19

wettelijk kader houdt immers in dat de AP zich in het kader van de beoordeling van een
vergunningaanvraag beperkt tot de verwerking van persoonsgegevens van strafrechtelijke aard ten
behoeve van derden.

5.2 Noodzakelijk met het oog op een zwaarwegend belang van derden
14 De AP onderstreept dat het belang van fraudebestrijding en –preventie niet ter discussie staat, maar
benadrukt dat de fraudebestrijding en –preventie wel in overeenstemming met de wet moet
plaatsvinden. Daarbij zijn door de (Europese en Nederlandse) wetgever drempels opgeworpen om te
voorkomen dat betrokkenen al te lichtvaardig in gegevensbestanden terecht komen die mogelijkerwijs
onterecht kunnen leiden tot vergaande nadelige gevolgen voor betrokkenen, zoals stigmatisering of
maatschappelijke uitsluiting.

15 De AP merkt op dat voor de private uitwisseling van fraude-informatie geen specifiek wettelijk kader
van toepassing is. Derhalve dient te worden aangesloten bij het algemene stelsel van
gegevensbeschermingsbeginselen zoals neergelegd in de AVG en de UAVG. Het volgende is daarbij
van belang. Het strafrechtdomein is met veel wettelijke waarborgen omgeven en is primair het
domein van de overheid. Dit is een van de grondbeginselen van de Nederlandse rechtsorde, hetgeen
bijvoorbeeld blijkt uit de onschuldpresumptie en het ne bis in idem-beginsel, het exclusieve
vervolgingsrecht van het Openbaar Ministerie en de politietaak zoals neergelegd in de Politiewet.10
Ook in de AVG komt dit tot uiting in artikel 10 AVG, waarin wordt verplicht dat elke verwerking van
persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
houdende veiligheidsmaatregelen alleen onder toezicht van de overheid plaatsvindt of indien het
Unierechtelijk of lidstatelijk recht de verwerking toestaat. In de UAVG is zo’n wettelijke regeling van
lidstatelijk recht opgenomen, die inhoudt dat strafrechtelijke gegevens ten behoeve van derden mogen
worden verwerkt indien de AP daarvoor een vergunning heeft verleend.

16 Er bestaat voor private organisaties in beginsel geen algemene wettelijke verplichting of taak om
fraude te voorkomen of om informatie over fraude uit te wisselen.11 Een organisatie kan wel een
gerechtvaardigd belang hebben om persoonsgegevens te verwerken ter preventie van fraude
aangaande zijn eigen organisatie. Dit volgt uit overweging 47 bij de AVG en artikel 33, tweede lid,
UAVG. Het voorgaande betekent echter niet dat de organisatie deze gegevens ook met derden mag
delen. Deze laatste verwerking dient noodzakelijk te zijn met het oog op het zwaarwegend belang van
derden. Bovendien moet in zodanige waarborgen worden voorzien dat de persoonlijke levenssfeer van
de betrokkene niet onevenredig wordt geschaad. Als het zwaarwegend belang is aangetoond en in de
waarborgen is voorzien, kan de verwerking waarmee persoonsgegevens van strafrechtelijke aard
worden gedeeld met derden voor een vergunning in aanmerking komen (art. 33 lid 5 UAVG).

5.2.1 Zwaarwegend belang van derden
17 De Nederlandse wetgever zegt ten aanzien van het zwaarwegend belang het volgende. “Het tegengaan
van fraude kan als een zwaarwegend belang voor een bedrijf of onderneming worden aangemerkt. Het blijft dus op
grond van deze bepaling mogelijk om zwarte lijsten te delen binnen een bepaalde bedrijfstak of bijvoorbeeld tussen
winkels in een bepaald winkelcentrum.”12

10 Zie respectievelijk artikel 124 Wet op de rechterlijke organisatie en artikel 3 Politiewet 2012.
11 Dit kan wel het geval zijn bij specifieke gevallen met een wettelijke regeling, bijvoorbeeld in de Wet ter voorkoming van witwassen

en financieren van terrorisme.
12 Kamerstukken II 2017-18, 34 851, nr. 7, Nota naar aanleiding van het verslag, p. 54-56.

7/19

18 Het doel van de beoogde verwerking is de waarborging van de veiligheid en integriteit van de
financiële sector. Dit uit zich in twee verschillende elementen: (1) waarschuwing voor eerdere
incidenten bij financiële instellingen en (2) onderzoek naar mogelijke incidenten. In het protocol is
onderbouwd dat het tegengaan van misbruik van het financiële stelsel maatschappelijk gezien een
zwaarwegend belang is. Voor financiële instellingen zoals banken en verzekeraars is een beheerste en
integere bedrijfsvoering van cruciaal belang. De wetgever heeft dit ook onderkend in de wettelijke
verplichting aan financiële instellingen tot het voeren van een beheerste en integere bedrijfsvoering.13
Daarom moeten financiële instellingen beschermende maatregelen nemen. Om effectief op te treden
tegen misbruik en gezien het feit dat kwaadwillenden hun activiteiten zelden tot één instelling
beperken hebben financiële instellingen een zwaarwegend belang om informatie over incidenten uit
te wisselen.

19 Vaste jurisprudentie en normuitleg van Europese toezichthoudende autoriteiten bevestigen de notie
dat fraudebestrijding en het delen van fraudegegevens in zijn algemeenheid als een gerechtvaardigd
belang van de verwerkingsverantwoordelijke kan worden beschouwd, mits aan de daarvoor geldende
waarborgen wordt voldaan.14

20 De AP is, op basis van de onderbouwing, van oordeel dat het zwaarwegend belang van derden
voldoende is aangetoond wat betreft de uitwisseling van persoonsgegevens van strafrechtelijke aard
ten behoeve van derden.

21 In het PIFI wordt melding gemaakt van mogelijke nieuwe Deelnemers. Indien nieuwe Deelnemers aan
de verwerkingen binnen het PIFI willen gaan deelnemen, zullen zij hiervoor een vergunning dienen
aan te vragen.

5.2.2 Noodzakelijk (proportionaliteitsbeginsel en subsidiariteitsbeginsel)
22 Een zwaarwegend belang alleen is niet voldoende. De verwerking dient noodzakelijk te zijn met het
oog op dit zwaarwegend belang. Het is volgens de wetgever aan de AP om vooraf, dat wil zeggen via de
vergunningsaanvraag, noodzaak en evenredigheid te toetsen.15

23 De noodzakelijkheid van een verwerking moet onder andere worden getoetst aan de proportionaliteit
en de subsidiariteit. Met andere woorden: een verwerking dient noodzakelijk te zijn om het
vastgestelde doel van de verantwoordelijke te bereiken, waarbij dient te worden nagegaan of het
middel opweegt tegen de inbreuk op de persoonlijke levenssfeer en of er geen minder verstrekkend
middel is waarmee het doel ook wordt bereikt.

24 In het protocol is voldoende onderbouwd dat geslaagd misbruik over het algemeen een instelling-
overschrijdende dimensie kent. Zonder tijdige signalering kan een aaneenschakeling van

13 Zie bijvoorbeeld artikel 3:17 lid 1 Wet op het financieel toezicht.

“Een afwikkelonderneming, betaalinstelling, clearinginstelling, elektronischgeldinstelling, entiteit voor risico-acceptatie, bank,
kredietunie, premiepensioeninstelling, verzekeraar of wisselinstelling met zetel in Nederland richt de bedrijfsvoering zodanig in dat
deze een beheerste en integere uitoefening van haar onderscheidenlijk zijn bedrijf waarborgt.”
14 Working Party 29 Opinion 06/2014 on the notion of legitimate interests of the data controller under article 7 of Directive 95/46/EC,

WP 217. Zie ook “Normuitleg grondslag ‘gerechtvaardigd belang’”, van de Autoriteit Persoonsgegevens. In diverse gerechtelijke
uitspraken over het in 2013 door het College Bescherming Persoonsgegevens rechtmatig verklaarde PIFI is dit belang ook onderkend.
15 Kamerstukken II 2017-18, 34 851, nr. 7, Nota naar aanleiding van het verslag, p. 55.

8/19

samenhangende of gelijksoortige fraudes plaatsvinden met alle nadelige gevolgen voor de slachtoffers
(financiële instellingen en hun klanten) van dien.

25 Zoals hiervoor aangegeven is het van belang voor de uitwisseling van gegevens van strafrechtelijke
aard met derden een goede afweging van de proportionaliteit te maken. Volgens de wetgever kunnen
onder andere de volgende omstandigheden een rol spelen bij de proportionaliteitstoets.16

- de mate waarin opname van een individu in het systeem waarop de gegevensuitwisseling betrekking
heeft, kan betekenen dat betrokkene wordt uitgesloten van bijvoorbeeld eerste levensbehoeften of van
goederen of diensten die betrekking hebben op een (klassiek of sociaal) grondrecht;
- de kwetsbaarheid van bepaalde groepen betrokkenen, zoals minderjarige klanten en werknemers, oudere
werknemers en werknemers die geen mogelijkheid hebben om een eventueel ontslag aan te vechten;
- de reikwijdte van het systeem, in termen van zowel degenen die het systeem kunnen vullen, degenen die
gegevens in het systeem kunnen raadplegen en degenen van wie persoonsgegevens in het systeem
worden verwerkt. Hoe groter de reikwijdte, hoe ingrijpender de gevolgen van opname voor de
betrokkene in het systeem kunnen zijn. Naarmate de reikwijdte van een systeem groter is, zullen
derhalve de waarborgen voor betrokkenen zwaarder moeten zijn of zal het systeem in het geheel niet
door de toetsing komen. Het beperken van de reikwijdte van het systeem (geografisch, sectoraal of
anderszins) kan bijdragen aan een positieve uitkomst van de proportionaliteitsafweging.

26 De opname van een betrokkene in het incidentenregister of het Extern Verwijzingsregister (EVR) kan
grote gevolgen hebben voor de betrokkene. De dienstverlening van de aanvragers heeft betrekking op
financiële producten die een normale deelname aan het economisch verkeer mogelijk maken. Echter,
opname in het incidentenregister of EVR kan nooit leiden tot ontzegging van toegang tot een
basisbetaalrekening of basiszorgverzekering.17 In zoverre wordt door opname in het EVR geen toegang
tot een sociaal of klassiek grondrecht onmogelijk gemaakt. In het protocol zijn voorts
proportionaliteitseisen opgenomen die rekening houden met kwetsbare categorieën van betrokkenen.
Dit is met name van belang bij de afweging om aangifte van een strafbaar feit te doen.18

27 De reikwijdte van de voorgenomen verwerking is beperkt tot de financiële sector. Dit is een
belangrijke maatregel om proportionaliteit te borgen. Daarbij is sprake van raadpleging van het Extern
Verwijzingsregister louter op basis van hit-no hit. De opgenomen bewaartermijn is in beginsel acht
jaar, dit is evenwel een lange termijn voor de betrokkene, maar wordt genuanceerd door een dubbele
proportionaliteitstoets voor enerzijds opname in het register en anderzijds de vaststelling van de
bewaartermijn.19 De termijn van acht jaar sluit aan bij de termijn die in art. 7:928 lid 5 Burgerlijk
Wetboek is vastgelegd voor de mededelingsplicht inzake het strafrechtelijk verleden van een
potentiële verzekeringnemer.

28 De AP is dan ook van oordeel dat het middel proportioneel is tot het te bereiken doel.

16 Kamerstukken II 2017-18, 34 851, nr. 7, Nota naar aanleiding van het verslag, p. 55.
17 PIFI 2021, p. 8.
18 Verwezen wordt bijvoorbeeld naar first offenders of jeugdigen die met een strafblad kunnen worden opgezadeld. Zie annex bij het

PIFI 2021, p. 43.
19 PIFI 2021, artikel 5.3.2.

9/19

29 In het protocol is onderbouwd dat er geen minder verstrekkende middelen beschikbaar zijn om
hetzelfde doel te bereiken. Het louter delen met de bevoegde opsporingsautoriteiten van
misbruikinformatie voorkomt niet dat een kwaadwillende bij een andere financiële instelling alsnog
zijn slag probeert te slaan. In het kader van een efficiënt en effectief stelsel van bestrijding, detectie,
onderzoek en opvolging van misbruik is het dan ook noodzakelijk dat financiële instellingen elkaar
met informatie ondersteunen. Gegevens worden in eerste instantie op basis van hit-no hit gedeeld
waardoor de inbreuk op de persoonlijke levenssfeer aanzienlijk wordt verminderd.

30 De AP acht het aannemelijk dat er geen minder verstrekkend middel aanwezig is om het beoogde doel
te bereiken.

31 De AP merkt op dat in diverse stadia van onderzoek en opname in het incidentenregister en het EVR
de benodigde proportionaliteits- en subsidiariteitsafwegingen zijn opgenomen die consequent
gedocumenteerd moeten worden en dus verantwoord kunnen worden. De
verwerkingsverantwoordelijke kan achteraf ter verantwoording worden geroepen voor de
beslissingen die zij neemt in het kader van de uitwisseling van persoonsgegevens van strafrechtelijke
aard.

32 De AP is op basis van de onderbouwing van oordeel dat voldoende is aangetoond dat de voorgenomen
verwerking noodzakelijk is om het beoogde doel te bereiken.

5.3 Zodanige waarborgen dat de persoonlijke levenssfeer van betrokkenen niet onevenredig wordt geschaad

33 Artikel 33, vijfde lid, UAVG bepaalt dat indien het delen van persoonsgegevens van strafrechtelijke
aard noodzakelijk is met het oog op een zwaarwegend belang, bij de uitvoering moet worden voorzien
in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt
geschaad. De AP beoordeelt deze waarborgen langs de lijn van de gegevensbeschermingsbeginselen
zoals opgenomen in artikel 5 AVG. Hierbij staat de AP met name stil bij de beginselen rechtmatigheid,
behoorlijkheid en transparantie.

5.3.1 Rechtmatigheid, behoorlijkheid en transparantie
Rechtmatigheid
34 De rechtmatigheid van een verwerking ziet op de aanwezigheid van een rechtsgeldige grondslag voor
de verwerking in de zin van artikel 6, eerste lid, AVG. Voor de in het PIFI geregelde verwerkingen is de
grondslag gelegen in artikel 6, eerste lid, aanhef en onder f, AVG: noodzakelijk voor de behartiging van
de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde. Het
gerechtvaardigde belang dat wordt behartigd wordt afgedekt door de zwaardere toets inzake het
zwaarwegend belang van derden dat hiervoor (paragraaf 5.2.1) reeds is beoordeeld. Hierbij is in
aanmerking genomen dat bijvoorbeeld fraude en oplichting in verschillende strafbepalingen strafbaar
zijn gesteld en dat het tegengaan hiervan kwalificeert als gerechtvaardigd belang van derden in de zin
van artikel 6, eerste lid, aanhef en onder f, AVG. De noodzakelijkheidstoets komt overeen met de
noodzakelijkheidstoets die hiervoor (paragraaf 5.2.2) reeds is beoordeeld.

35 Artikel 6, eerste lid, aanhef en onder f, AVG vereist ook een belangenafweging tussen enerzijds het
behartigde gerechtvaardigde belang en anderzijds de belangen of de grondrechten en fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen. Indien de laatste

10/19

belangen zwaarder wegen dan die van de verwerkingsverantwoordelijke of derde, dan is de
verwerking onrechtmatig. De belangenafweging is in het protocol ex ante vorm gegeven door als
uitgangspunt waarborgen op te nemen die de inbreuk op de persoonlijke levenssfeer sterk
verminderen. Met name van belang is de waarborg dat bij elk incident diverse proportionaliteits- en
subsidiariteitstoetsen worden uitgevoerd en gedocumenteerd zodat telkens een belangenafweging op
maat moet worden gemaakt. De documentatieplicht maakt het mogelijk dat al deze afwegingen
verantwoord kunnen worden naar de betrokkene en toezichthoudende autoriteiten. De AP is dan ook
van oordeel dat er een rechtsgeldige grondslag aanwezig is.

Behoorlijkheid
36 Verwerkingen van persoonsgegevens dienen behoorlijk te geschieden. Het in het PIFI neergelegde
toetsingsproces van persoonsgegevens op een registratie in incidentenregister of het Extern
Verwijzingsregister is in dit verband relevant.

37 Voor opname van de Verwijzingsgegevens is in het PIFI 2021 bepaald dat dit slechts plaatsvindt indien
in voldoende mate vaststaat dat de betreffende persoon betrokken is bij de gedragingen. In de Annex
bij het PIFI 2021 is opgenomen dat het uitgangspunt bij plaatsing in het EVR is dat in een gerechtelijke
procedure moet kunnen worden aangetoond dat afdoende bewijs aanwezig is om de kwalificatie
fraude of een andere onoorbare of strafbare gedraging te dragen ten opzichte van een aantoonbaar
betrokken (rechts)persoon. Verder is in het PIFI bepaald dat bij opname in het EVR het
proportionaliteitsbeginsel in acht wordt genomen. Conform de Annex bij het PIFI 2021 dient voor
eventuele plaatsing in het EVR het belang van de Deelnemer, en dat van de andere Deelnemers, bij
opname, te worden afgewogen tegen de gevolgen van de opname voor de betrokkene. De gevolgen van
opname moeten in verhouding staan tot de gewraakte gedraging en de overige omstandigheden van
het geval. Deze waarborgen moeten de behoorlijkheid van de verwerking borgen.

38 In het PIFI 2021 is bepaald dat toetsing op (bevraging van) een registratie in het Extern
Verwijzingsregister als volgt plaatsvindt. De (geautoriseerde functionaris van de) Deelnemer - de
bevrager - voert de hem ter beschikking staande persoonsgegevens en/of KVK-nummer in het Extern
Verwijzingsregister in. In het PIFI 2021 is bepaald dat het Extern Verwijzingsregister uitsluitend
Verwijzingsgegevens bevat. De bevraging van het Extern Verwijzingsregister resulteert in een
terugkoppeling naar de bevrager dat de ingevoerde gegevens al dan niet overeenstemmen met
gegevens die in het Extern Verwijzingsregister voorkomen. Dit wordt ook wel ‘hit-no hit’ genoemd.
Wanneer een bevraging resulteert in terugkoppeling over een overeenstemming met een registratie in
het Extern Verwijzingsregister, dan moet een geautoriseerde functionaris van de Deelnemer het
signaal uit het Extern Verwijzingsregister controleren op de mate van overeenstemming met de
persoonsgegevens van betrokkene. Wanneer overeenstemming afdoende is vastgesteld, moet de
geautoriseerde functionaris van de Deelnemer zijn eigen afdeling Veiligheidszaken informeren. Deze
afdeling benadert de afdeling Veiligheidszaken van de Deelnemer die (als eerste) gegevens met
betrekking tot de bewuste (rechts)persoon in het Extern Verwijzingsregister heeft opgenomen voor
een toelichting op de registratie van betrokkene in het Extern Verwijzingsregister. Met inachtneming
van de informatie die van de (Primaire) Bron is verkregen, adviseert de afdeling Veiligheidszaken de
bevrager. Dit advies kan onder meer het al dan niet onder voorwaarden aangaan van een
overeenkomst, financiële dienst of arbeidsrelatie betreffen. Het is de Deelnemer slechts toegestaan
informatie over opname in het Extern Verwijzingsregister toe te passen in zijn besluitvorming over de
Betrokkene na kennisneming van het advies van de afdeling Veiligheidszaken. De AP is van oordeel

11/19

dat deze procedure een behoorlijke opname in, verstrekking uit en gebruik van het Incidentenregister
en Extern Verwijzingsregister aannemelijk maakt.

Transparantie
39 Ten slotte dienen op grond van artikel 5, eerste lid, aanhef en onder a, AVG persoonsgegevens op een
voor de betrokkene transparante wijze te worden verwerkt. Ook aan deze eis wordt in het PIFI in
voldoende mate tegemoet gekomen. Zo hebben betrokkenen van wie persoonsgegevens in het
Incidentenregister respectievelijk het Extern Verwijzingsregister zijn opgenomen recht op mededeling
van opname. Mededeling blijft enkel achterwege indien sprake is van een uitzonderingssituatie als
bedoeld in artikel 14 lid 5 AVG of artikel 41 UAVG.

40 Het PIFI regelt de uitwisseling van gegevens in het Incidentenregister voor zover noodzakelijk in het
kader van het onderzoeken van een incident.20 Hierin zijn maatregelen opgenomen die de
transparantie van de gegevensverstrekking vergroten en tevens invulling geven aan de
verantwoordingsplicht. De onderzoekende afdeling Veiligheidszaken bepaalt in dit kader welke
persoonsgegevens uit het Incidentenregister aan de bevraagde afdeling Veiligheidszaken kunnen
worden verstrekt en dat die verstrekking dient te voldoen aan het proportionaliteits- en
subsidiariteitsbeginsel. Hierbij geldt de eis dat de interne afwegingen om te komen tot de
verstrekking, de wijze van bevragen, de wijze waarop de betrokkene wordt geïnformeerd en als dat
niet gebeurt de redenen hiervan, alsmede de proportionaliteit- en subsidiariteitsafweging ten aanzien
van verstrekking uit het Incidentenregister worden vastgelegd in de administratie van de
onderzoekende afdeling Veiligheidszaken. Voorts is bepaald dat in het Incidentenregister het
onderzoek naar Incidenten, waaronder de onderzoeksmethode en de onderzoeksmiddelen, moeten
worden gedocumenteerd.

41 De AP is van oordeel dat het voldoende aannemelijk is dat wordt voldaan aan de beginselen van
rechtmatigheid, behoorlijkheid en transparantie.

5.3.2 Overige gegevensbeschermingsbeginselen
42 Artikel 5, eerste lid, aanhef en onder b tot en met f, AVG bepaalt dat persoonsgegevens moeten
worden verwerkt met inachtneming van de beginselen van doelbinding, minimale
gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid. De AP is van oordeel
dat voldoende aannemelijk is gemaakt dat de verwerking van persoonsgegevens conform het protocol
waarborgt dat de verwerking in lijn met deze beginselen plaatsvindt.

5.3.3 Verantwoordingsplicht
43 Artikel 5, tweede lid, AVG bevat de plicht voor verwerkingsverantwoordelijken dat zij kunnen
aantonen dat conform de gegevensbeschermingsbeginselen persoonsgegevens worden verwerkt. De
AP is van oordeel dat het protocol voldoende waarborgen bevat dat aan deze plicht kan worden
voldaan. Met name bevatten diverse bepalingen van het protocol de plicht om afwegingen, zoals
proportionaliteits- en subsidiariteitsafwegingen bij de opname in de registers of de verstrekking aan
andere Deelnemers, te documenteren. Deze documentatie stelt zowel de betrokkene, de rechter als de
toezichthoudende autoriteit in staat te beoordelen of de juiste afwegingen zijn gemaakt.

20 PIFI 2021, paragraaf 3.2.

12/19

5.3.4 Overige opmerkingen (compenserende waarborgen betrokkenen)
44 De AP heeft bij haar beoordeling betrokken dat de rechten van betrokkenen voldoende in het PIFI zijn
vastgelegd. Tevens is voorzien in een klachtenprocedure, toezicht op de verwerking van
persoonsgegevens door individuele Deelnemers en in evaluatie van het PIFI door de
brancheorganisaties.

6. Besluit
45 NVB, het Verbond, VFN, SFH en ZN, hun leden en derde organisaties (volmachtgevers) hebben het
PIFI 2021 in het leven geroepen dat beoogt misbruik van het financieel stelsel te voorkomen en
bestrijden. De grondslag voor de verwerking betreft een zwaarwegend belang voor financiële
instellingen om schade aan de eigen bedrijfsvoering te voorkomen en te bestrijden en dient een
maatschappelijk belang om de integriteit van het financiële stelsel te borgen. Het PIFI 2021 geeft
voldoende blijk van een zorgvuldige belangenafweging tussen het gerechtvaardigde belang van de
financiële instellingen en de belangen van betrokkenen op bescherming van hun rechten en vrijheden,
in het bijzonder de bescherming van de persoonlijke levenssfeer die leiden tot de conclusie dat de
belangen van financiële instellingen daarbij prevaleren.

46 Het PIFI 2021 geeft een adequate uitwerking van de inhoudelijke waarborgen die een behoorlijke en
zorgvuldige gegevensverwerkingen aannemelijk maken. Daarnaast voorziet het PIFI 2021 in
organisatorische waarborgen die een juiste en zorgvuldige gegevensverwerking aannemelijk maken
en waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
Het protocol kent verder een uitwerking van de rechten van betrokkenen die voor de noodzakelijke
balans- en correctiemogelijkheden zorgen.

47 Op grond van het voorgaande concludeert de Autoriteit Persoonsgegevens dat de beschreven
voorgenomen verwerking onder het PIFI voldoende waarborgen bevat, zodat de AP besluit op grond
van artikel 33, vierde lid, onder c, en vijfde lid, UAVG de aangevraagde vergunning te verlenen
[PARTIJ]. De AP verbindt daaraan de hieronder genoemde voorschriften.

48 Onverminderd de voorwaarde zoals hieronder genoemd onder punt II dient [PARTIJ] als
vergunninghouder, in het geval een voorgenomen wijziging van de verwerking van persoonsgegevens
leidt tot een andere verwerking dan waarop deze vergunningverlening ziet, voor de gewijzigde
respectievelijk nieuwe werkwijze een vergunning bij de AP aan te vragen. De AP zal dan opnieuw
besluiten of voor deze werkwijze een vergunning kan worden verleend.

49 Verwijzend naar de brief van de AP aan de NVB, het Verbond, de VFN en ZN van 19 september 2017 is
de procedure voor een nieuw protocol afgerond en wordt de rechtmatigheidsverklaring van het PIFI,
zoals afgegeven bij besluit van 7 oktober 2013, niet verder verlengd.

50 Dit besluit laat onverlet dat de AP uit eigen beweging of op basis van klachten of andere informatie
over de verwerking nadere inlichtingen inwint of een onderzoek start naar de verwerking.

7. Voorschriften
51 De vergunning wordt op grond van artikel 33, vierde lid onder c en vijfde lid, UAVG verleend, met dien
verstande dat de AP daaraan de volgende voorschriften verbindt:

13/19

I. De verwerking van persoonsgegevens van strafrechtelijke aard ten behoeve derden moet
plaatsvinden conform het Protocol Incidentenwaarsschuwingssysteem Financiële Instellingen
(PIFI 2021) dat door de Autoriteit Persoonsgegevens op 23 maart 2021 is beoordeeld. Het PIFI
2021 maakt deel uit van deze vergunning. De vergunning geldt alleen voor verwerkingen die
plaatsvinden in Nederland.
II. De looptijd voor het PIFI 2021 is sectorbreed vastgesteld op vijf jaar vanaf 1 april 2021. De
vergunning wordt toegekend voor de periode van de resterende sectorbrede looptijd van het PIFI
2021. De vergunning kan worden verlengd door een nieuwe vergunningsaanvraag in te dienen bij
de AP.

8. Afsluiting en rechtsmiddel
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit digitaal of op papier een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. Het indienen
van een bezwaarschrift schort de werking van dit besluit niet op. Voor het indienen van digitaal bezwaar,
zie www.autoriteitpersoonsgegevens.nl, onder het kopje Bezwaar maken tegen een besluit, onderaan de
pagina onder de kop Contact met de Autoriteit Persoonsgegevens. Het adres voor het indienen op papier
is: Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag. Vermeld op de envelop ‘Awb-bezwaar’
en zet in de titel van uw brief ‘bezwaarschrift’. Schrijf in uw bezwaarschrift ten minste:
 uw naam en adres;
 de datum van uw bezwaarschrift;
 het in deze briefgenoemde kenmerk (zaaknummer); of een kopie van dit besluit bijvoegen;
 de reden(en) waarom u het niet eens bent met dit besluit;
 uw handtekening.

Den Haag, [ONDERTEKENINGSDATUM]

Autoriteit Persoonsgegevens,
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,

[ONDERTEKENING]

14/19

Bijlage – overzicht afgegeven vergunningen
Noot: Financiële instellingen kunnen ook na publicatie van deze lijst een vergunning hebben gekregen.
Onderstaande lijst is de stand tot en met het tweede kwartaal van 2021.

Afgegeven vergunningen onder PIFI 2021
ABN AMRO Bank NV
ABN Amro Levensverzekering N.V.
ABN Amro Schadeverzekering N.V.
ACE Europe Life SE
Achmea Bank N.V.
Achmea Hypotheken B.V
Achmea Pensioen- en Levensverzekeringen N.V.
Achmea Schadeverzekeringen NV
Achmea Zorgverzekeringen N.V.
Adaxio B.V.
Aegon Bank NV
Aegon Hypotheken BV
Aegon Levensverzekering N.V.
Aegon Schadeverzekering N.V.
Alcredis Finance BV
ALFAM Holding N.V.
Algemene Friese Onderlinge Schadeverzekeringsmaatschappij `Zevenwouden´ U.A.
Allianz Benelux N.V.
Anker Insurance Company N.V.
Ansvar Verzekeringsmaatschappij N.V.
ARAG SE Nederland
Argenta Spaarbank N.V.
ASR Aanvullende Ziektekostenverzekeringen N.V.
ASR Basis Ziektekostenverzekeringen N.V.
ASR Levensverzekering N.V.
ASR Schadeverzekering N.V.
Atlas Funding BV
Attens Hypotheken B.V.
AWP P&C S.A. Dutch Branch
Baloise Belgium NL
Bank Nederlandse Gemeenten
BAWAG P.S.K. Bank für Arbeit und Wirtschaft und Österreichische Postsparkasse Aktiengesellschaft
BinckBank N.V.
BMW Financial Services BV
BNP Paribas Cardif Levensverzekeringen N.V.
BNP Paribas Cardif Schadeverzekeringen N.V.

15/19

BNP Paribas Personal Finance B.V.
Bos Fruit Aardappelen Onderlinge Verzekeringen BFAO U.A.
Bunq B.V.
CACEIS Bank, Netherlands Branch
Chubb European Group SE
CMIS Nederland B.V.
Coöperatie Menzis U.A.
Coöperatieve Rabobank U.A.
Credit Agricole Consumer Finance B.V.
DAS Nederlandse Rechtsbijstand Verzekeringsmaatschappij N.V.
De Goudse N.V.
De Vereende N.V.
de Volksbank N.V.
DELA Natura- en levensverzekeringen N.V.
Demir Halk Bank (Nederland) NV
Deutsche Bank AG, Filiale Amsterdam
DFM N.V.
DMF Hypotheek Management B.V.
DNL 1 B.V.
DSW Zorgverzekeraar
Dutch Mortgage Services B.V.
Dynamic Credit Hypotheken BV
E.O.C. Onderlinge Schepenverzekering U.A.
Eno Zorgverzekeraar NV
ESGood B.V.
EUCARE Insurance PCC Ltd
FCA Capital Nederland
Fenerantis B.V.
Glasassurantie Maatschappij Midglas N.V.
Hagelunie N.V.
HDI Global SE, the Netherlands
HDI Global Specialty SE
Infomedics Betaalplan N.V.
ING Bank N.V.
InsingerGilissen, bijkantoor van Quintet Private Bank (Europe) S.A.
International Card Services BV
iptiQ Life S.A.
Jungo B.V.
JUWON Onderlinge Schade Maatschappij U.A.
KBC Bank NV Nederland
Klaverblad Schadeverzekeringsmaatschappij N.V.

16/19

KMU Verzekeringen N.V.
Lemonade Insurance N.V.
Lendex Nederland B.V.
Lifetri Groep B.V.
Lloyds Bank GmbH
Markel Insurance SE
Mercedes-Benz Financial Services Nederland BV
Mercurius Schadeverzekeringen N.V.
MS Amlin Insurance SE
N.V. Noordhollandsche van 1816, Schadeverzekeringsmaatschappij
N.V. Schadeverzekering-Maatschappij Bovemij
N.V. Schadeverzekeringsmaatschappij Maas Lloyd
National Academic Verzekeringsmaatschappij N.V.
Nationale-Nederlanden Bank N.V.
Nationale-Nederlanden Levensverzekering Maatschappij N.V.
Nationale-Nederlanden Schadeverzekering Maatschappij N.V.
NatWest Markets N.V.
NIBC Bank N.V. Corporate Banking
NIBC Bank N.V. Retail Banking
NV De Burcht
NV Schadeverzekering Metaal en Technische Bedrijfstakken
O.V.M. `SOM´ U.A.
OBM Verzekeringen
Onderling Fonds `Sliedrecht´ B.A.
Onderling Verzekerd UA
Onderlinge Hagelverzekering Maatschappij Agriver B.A.
Onderlinge Levensverzekering-Maatschappij `s-Gravenhage´ U.A.
Onderlinge van 1719 U.A.
Onderlinge Verzekeringsmaatschappij `Rijn en Aar´ U.A.
Onderlinge Verzekeringsmaatschappij `Waterland en Omstreken U.A.´
Onderlinge Waarborgmaatschappij Centrale Zorgverzekeraarsgroep, Zorgverzekeraar U.A.
ONVZ Aanvullende Verzekering N.V.
ONVZ Ziektekostenverzekeraar N.V.
OOM Global Care N.V.
OOM Schadeverzekering N.V.
OVM Donatus U.A.
OVM Onderlinge Verzekeringen UA
OVM Twente U.A.
OVM Vinkeveen en Omstreken U.A.
OWM Achterhoek
OWM SAZAS U.A.

17/19

OWM Zorgverzekeraar Zorg en Zekerheid U.A.
Proteq Levensverzekeringen N.V.
PSA Financial Services Nederland B.V.
Qander Consumer Finance B.V.
Quion 20 B.V.
Quion Groep B.V.
RCI Financial Services B.V.
Rhion Versicherung AG
RNHB B.V.
Robein Leven N.V.
Santander Consumer Finanace Benelux BV
Scildon N.V.
Selectief Hypotheken B.V.
SR LEV N.V.
Stichting Nationaal Restauratiefonds
Stichting PVF Particuliere Hypothekenfonds
Stichting Qredits Microfinanciering Nederland
Stichting Stimuleringsfonds Volkshuisvesting
Stichting Tellius Hypothekenfonds
Stichting Waarborgfonds Motorverkeer
Svenska Handelsbanken AB (Publ.)
Triodos Bank NV
Tulpenhuis 1 B.V.
Tulpenhuis 2 B.V.
TVM verzekeringen N.V.
Univé Dichtbij Brandverzekeraar N.V.
Univé Het Groene Hart
Univé Noord-Holland Brandverzekeraar N.V.
Unive Noord-Holland Verzekeraar N.V.
Univé Oost Brandverzekeraar N.V.
Univé Samen U.A.
Univé Schade N.V.
Univé Stad en Land Brandverzekeraar N.V.
Univé Zuid-Nederland Verzekeringen N.V.
UVM Verzekeringsmaatschappij N.V.
Van Lanschot Kempen Wealth Management N.V.
Venn Hypotheken B.V.
Verbond van verzekeraars fraudeloket
VGA Verzekeringen
VGZ Zorgverzekeraar NV
Volkswagen Pon Financial Services

18/19

VvAA Schadeverzekeringen N.V.
XL Insurance Company SE
ZLM Verzekeringen

19/19