ECLI:NL:GHDHA:2023:1262 text/xml public 2023-10-31T14:53:32 2023-07-05 Raad voor de Rechtspraak nl Gerechtshof Den Haag 2023-07-11 200.304.857/01 Uitspraak Hoger beroep NL Den Haag Civiel recht; Verbintenissenrecht
Rechtspraak.nl NTHR 2023, afl. 5, p. 192 JBP 2023/131
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:GHDHA:2023:1262 text/html public 2023-07-13T11:13:05 2023-07-13 Raad voor de Rechtspraak nl ECLI:NL:GHDHA:2023:1262 Gerechtshof Den Haag , 11-07-2023 / 200.304.857/01
Opname in de incidentenregisters wegens fungeren als geldezel in overeenstemming met AVG. Matiging van de duur van de opname, proportionaliteit.
GERECHTSHOF DEN HAAG Civiel recht
Team Handel
Zaaknummer hof : 200.304.857/01
Zaaknummer rechtbank : C/09/599438 / HA ZA 20-989
Arrest van 11 juli 2023
in de zaak van
[appellant] ,
wonende in [woonplaats],
appellant,
advocaat: mr. N.C. van Steijn, kantoorhoudend in Leiden,
tegen
Coöperatieve Rabobank U.A. ,
gevestigd in Amsterdam,
verweerster,
advocaat: mr. M. van den Broek, kantoorhoudend in Leiden.
Het hof zal partijen hierna noemen [appellant] en Rabobank.
1 De zaak in het kort
In deze zaak is aan de orde of, en zo ja in hoeverre, registratie van persoonsgegevens van [appellant] in incidentenregisters noodzakelijk is voor de behartiging van een gerechtvaardigd belang van Rabobank. Daarbij is ten eerste van belang of kan worden vastgesteld dat [appellant] als geldezel bij fraude met zijn bankrekening en bankpas betrokken is geweest. Deze vraag wordt door het hof bevestigend beantwoord. Vervolgens is aan de orde of Rabobank de persoonsgegevens van [appellant] in verband met zijn betrokkenheid bij fraude ook in de incidentenregisters mocht opnemen, mede in het licht van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (hierna: UAVG). Dat mocht Rabobank naar het oordeel van het hof in deze omstandigheden doen. Wel is het hof van oordeel dat de duur van de opname in de incidentenregisters moet worden beperkt tot iets meer dan vier jaar, uit oogpunt van proportionaliteit.
2 Procesverloop in hoger beroep
2.1 Het verloop van de procedure in hoger beroep blijkt uit de volgende stukken:
de dagvaarding van 28 december 2021, waarmee [appellant] in hoger beroep is gekomen van het vonnis van de rechtbank Den Haag van 20 oktober 2021;
het arrest van dit hof van 15 februari 2022, waarin een mondelinge behandeling is gelast;
het proces-verbaal van de mondelinge behandeling van 8 april 2022;
de memorie van grieven van [appellant], met bijlagen;
de memorie van antwoord van Rabobank, met bijlagen.
3 Feitelijke achtergrond
3.1 Het hof gaat in dit geding uit van de volgende feiten.
3.2
[appellant] is geboren in [geboortemaand] 2000. Hij was sinds 2009 klant van Rabobank. Hij hield een betaalrekening en twee spaarrekeningen aan.
3.3 Op 1 september 2019 heeft een andere klant van Rabobank (hierna: de klant) een ingevuld overschrijvingsformulier per post aan Rabobank verstuurd. Dit overschrijvingsformulier is gestolen.
3.4 Op 5 september 2019 en op 8 september 2019 is de opnamelimiet van de betaalrekening van [appellant] verhoogd via de Rabo App.
3.5 Op 10 september 2019 is vanaf de bankrekening van de klant een bedrag van € 2.675,86 overgemaakt naar de bankrekening van [appellant]. Deze overschrijving heeft plaatsgevonden door middel van het gestolen overschrijvingsformulier; daarbij is de begunstigde op het overschrijvingsformulier gewijzigd naar [appellant]. Ook het over te maken bedrag is aangepast. Binnen een uur nadat het bedrag was ontvangen op de bankrekening van [appellant], is een bedrag van € 2.000 gepind van de rekening van [appellant]. Uit camerabeelden blijkt dat deze opname niet door [appellant] is verricht. Na deze overboeking en opname heeft Rabobank de bankpas van [appellant] geblokkeerd.
3.6 Op 18 september 2019 heeft [appellant] aangifte gedaan van oplichting. Bij de politie heeft [appellant] verklaard dat hij op 2 september 2019 zijn bankpas voor het laatst had gebruikt bij het betalen in de schoolkantine en dat hij op 10 september 2019 ontdekte dat hij zijn betaalpas kwijt pas.
3.7 Bij brief van 10 oktober 2019 heeft Rabobank alle overeenkomsten met [appellant] opgezegd. Als reden voor de opzegging heeft Rabobank gegeven dat zij heeft vastgesteld dat [appellant] betrokken is bij ongeoorloofde handelingen, te weten de frauduleuze overboeking op 10 september 2019 ten gunste van de betaalrekening van [appellant]. Bij brief van 11 oktober 2019 heeft Rabobank aan [appellant] laten weten dat hij zal worden opgenomen in haar Incidentenregister, het Interne Verwijzingsregister (IVR) van de Rabobank en het Externe Verwijzingsregister (EVR).
3.8
[appellant] kan zich met de opnames in de registers niet verenigen. Op 14 januari 2020 heeft hij via zijn rechtsbijstandsverzekeraar hierover een klacht bij Rabobank ingediend, waarin hij schrijft dat Rabobank hem ten onrechte beticht van ongeoorloofde en frauduleuze handelingen en waarin hij Rabobank verzoekt om het ingenomen standpunt te herzien en de registratie ongedaan te maken. Aan dit verzoek heeft Rabobank niet voldaan.
4 Procedure bij de rechtbank
4.1
[appellant] heeft Rabobank gedagvaard en heeft gevorderd dat, samengevat, de rechtbank Rabobank beveelt om zijn gegevens uit de registers te verwijderen. Daarnaast heeft hij gevorderd dat de rechtbank voor recht verklaart dat Rabobank onrechtmatig heeft gehandeld tegenover [appellant] door zijn gegevens in de registers op te nemen en dat Rabobank aansprakelijk is voor de schade die [appellant] daardoor heeft geleden, een en ander met veroordeling van Rabobank in de kosten van de procedure.
4.2 Aan zijn vorderingen heeft [appellant] ten grondslag gelegd dat op het moment dat Rabobank de gegevens van [appellant] verwerkte, er geen goedgekeurd protocol was en er geen vergunning was verleend in de zin van de AVG en de UAVG. Reeds om die reden mochten volgens [appellant] zijn gegevens niet in de registers worden opgenomen. Los daarvan was volgens [appellant] ook onvoldoende reden om zijn gegevens te verwerken. Hij betoogt dat hij niet betrokken was bij enige fraude met zijn betaalpas en betaalrekening. Zijn pas was gestolen en zijn pincode moet zijn afgekeken of onderschept. Ook om die reden mocht Rabobank zijn gegevens niet in de registers opnemen.
4.3 De rechtbank heeft aangenomen dat is voldaan aan de regels van artikel 10 AVG en artikel 33 lid 4 UAVG. Daarnaast heeft de rechtbank geoordeeld dat Rabobank voldoende grond had om aan te nemen dat [appellant] betrokken was bij de valse overschrijving naar en opname van zijn rekening, zodat zijn gegevens mochten worden opgenomen in de incidentenregisters.
5 Vorderingen in hoger beroep
5.1
[appellant] is in hoger beroep gekomen omdat hij het niet eens is met het vonnis. Hij heeft verschillende bezwaren tegen het vonnis aangevoerd. [appellant] vordert in hoger beroep hetzelfde als bij de rechtbank.
5.2 Kort gezegd zien de bezwaren van [appellant] op het volgende. Rabobank heeft de rechtmatigheid van de verwerking van de persoonsgegevens niet aangetoond. Daarnaast heeft de rechtbank ten onrechte geoordeeld dat er voldoende grond was om [appellant] op te nemen in de incidentenregisters. Verder is [appellant] ten onrechte niet tot tegenbewijs toegelaten. De registratietermijn is niet proportioneel en tot slot is [appellant] in zijn belangen geschaad doordat geen aangifte is gedaan. Hij heeft daardoor geen kans gekregen om zijn onschuld te bewijzen.
6 Beoordeling in hoger beroep
6.1 Met zijn grieven beoogt [appellant] het geschil in volle omvang aan het hof voor te leggen.
6.2
Het hof ziet aanleiding eerst de vraag te beantwoorden of moet worden vastgesteld dat [appellant] betrokken was bij de frauduleuze overboeking.
Betrokkenheid [appellant] bij de frauduleuze overboeking staat vast
6.3 Volgens [appellant] heeft de rechtbank ten onrechte geoordeeld dat er voldoende grond was om aan te nemen dat hij betrokken was bij de frauduleuze overboeking. Het hof volgt [appellant] niet in dit betoog.
6.4 Zoals de rechtbank terecht heeft geoordeeld, moet Rabobank aantonen dat voldoende duidelijk is dat [appellant] betrokken was bij de frauduleuze handelingen. Rabobank heeft in dit verband toegelicht dat fraudezaken waarbij een geldezel betrokken is, een bepaald patroon volgen. Dit patroon laat zich als volgt samenvatten. De betaalrekening van de geldezel wordt gebruikt als begunstigde rekening om daarop gelden die afkomstig zijn van fraude te laten storten/ over te maken, zodat deze gelden vervolgens met de bankpas en pincode kunnen worden opgenomen bij een geldautomaat. Vaak wordt voorafgaand aan de opname de opnamelimiet verhoogd en wordt gebruik gemaakt van een nagenoeg lege bankrekening. Deze vorm van fraude kan alleen succesvol zijn als er gebruik wordt gemaakt van een bankpas die niet is geblokkeerd, anders kan het geld niet worden opgenomen. Om die reden wordt doorgaans geen gebruik gemaakt van een gestolen bankpas. In dat geval bestaat immers het risico dat de rekeninghouder van wie de bankpas is gestolen, de bankpas laat blokkeren. Volgens Rabobank passen de gebeurtenissen met de rekening en de bankpas van [appellant] in dit patroon, mede gelet op de tijd tussen de laatste pinbetaling en het moment waarop [appellant] stelt zelf niet meer over zijn bankpas te beschikken.
6.5
[appellant] heeft daartegen ingebracht dat niet kan worden vastgesteld dat hij betrokken was bij de fraude, omdat de verdenking slechts is gebaseerd op aannames. Een verondersteld patroon is niet voldoende om zijn betrokkenheid aan te nemen. Tussen het moment waarop de bankpas voor het laatst is gebruikt (volgens [appellant] en Rabobank voor een contactloze betaling op 2 september 2019 in de schoolkantine) en het moment waarop hij het verlies van zijn bankpas merkte (volgens [appellant] op 10 september 2019) zijn slechts acht dagen verstreken. Dat is niet lang. Het gebeurt wel vaker dat hij een paar dagen zijn pas niet gebruikt. Het kan niet zo zijn dat iemand die een tijdje zijn pinpas niet gebruikt en zijn saldo niet in de gaten houdt, het risico loopt te worden aangemerkt als geldezel en het op zijn weg ligt het tegendeel te bewijzen, aldus steeds [appellant].
6.6
Het hof is van oordeel dat [appellant] hiermee te weinig heeft ingebracht tegen het betoog van Rabobank. Uit het door Rabobank overgelegde bankafschrift (productie 1 bij de conclusie van antwoord) volgt dat de laatste transactie waarbij [appellant] een pinbetaling heeft verricht met gebruik van zijn pincode dateert van 31 augustus 2019 (een betaling bij supermarkt Hoogvliet in Leiden). [appellant] beschikte ook volgens zijn eigen stellingen op 2 september 2019 nog over zijn pinpas, die hij immers op 2 september 2019 nog heeft gebruikt voor een contactloze betaling (zonder intoetsing van de pincode dus). De lezing van [appellant] volgend, zou zijn pincode bij de pinbetaling op 31 augustus 2019 in de supermarkt (of zelfs daarvoor nog) door een derde zijn afgelezen, en is pas dagen later, in ieder geval na 2 september 2019, zijn pas gestolen door diezelfde persoon die op 31 augustus 2019 zijn pincode heeft afgelezen. [appellant] heeft geen plausibele verklaring ervoor gegeven hoe het kan dat deze persoon deze pincode heeft afgelezen, heeft onthouden in de hoop de bankpas op een ander moment nog te kunnen stelen, een paar dagen later [appellant] weer tegen het lijf is gelopen en daarop de bankpas van [appellant] heeft weten te ontvreemden. Verder heeft Rabobank aan de hand van de rekeningafschriften van [appellant] laten zien dat [appellant] zijn bankpas tot aan 2 september 2019 vrijwel dagelijks gebruikte, terwijl [appellant] geen geloofwaardige verklaring heeft gegeven voor de periode van tenminste vijf dagen dat hij zijn pas niet heeft gemist. Het door [appellant] geschetste scenario, in het bijzonder de gescheiden diefstal van de pincode en de pas, gecombineerd met het tijdsverloop tussen de diefstal van de pas en het opmerken daarvan door [appellant], is simpelweg té onwaarschijnlijk. Rabobank heeft dan ook de betrokkenheid van [appellant] bij deze fraude mogen aannemen. Rabobank heeft die betrokkenheid niet uitsluitend en alleen op grond van een verondersteld patroon aangenomen. De betrokkenheid van [appellant] bij de frauduleuze overboeking beschouwt het hof als vaststaand. Er is daarom ook geen aanleiding om [appellant] toe te laten tot bewijslevering. Grieven 2 en 3 – die op de oordelen van de rechtbank zien dat Rabobank [appellant]’ betrokkenheid bij de fraude mocht aannemen en hij niet tot bewijslevering is toegelaten – falen dus.
De persoonsgegevens van [appellant] mochten in de incidentenregisters worden opgenomen
6.7 Vervolgens is de beantwoording van de vraag aan de orde of de persoonsgegevens van [appellant] in de incidentenregisters mochten worden opgenomen. [appellant] betoogt met zijn eerste grief dat de verwerking van zijn persoonsgegevens niet in overeenstemming is met de AVG. Volgens hem is met name niet voldaan aan de regels van artikel 10 AVG en artikel 33 lid 4 UAVG. Rabobank heeft – zo stelt [appellant] – niet de individuele vergunning van de Autoriteit Persoonsgegevens (hierna: AP) aan Rabobank overgelegd, zodat niet kan worden vastgesteld dat Rabobank over een vergunning in de zin van artikel 33 lid 4 sub c UAVG beschikt. Deze grief slaagt niet. Ter toelichting dient het volgende.
6.8 Het hof stelt voorop dat verwerking van persoonsgegevens in incidentenregisters ten aanzien van een betrokkene rechtmatig, behoorlijk en transparant moet zijn. Daarbij geldt dat deze persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld, en beperkt tot wat noodzakelijk, proportioneel, is voor de doeleinden waarvoor zij worden verwerkt. Financiële instellingen zoals Rabobank zijn op grond van de Wet op het financieel toezicht (Wft) en de Wet ter voorkoming van witwassen en financieren terrorisme (Wwft) gehouden om maatregelen te nemen ter bescherming van (rechts)personen die financiële instellingen willen schaden of op oneigenlijke gronden gebruik maken van de diensten van financiële instellingen. Met het oog daarop hebben financiële instellingen incidentenregisters in het leven geroepen om gegevens over schadelijke gedragingen van (rechts)personen te kunnen opnemen en in voorkomend geval te kunnen delen. Dit is bedoeld om de veiligheid en de integriteit van de financiële sector te waarborgen. De Wft en de Wwft bevatten dus welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden voor de verwerking van persoonsgegevens.
6.9
Het “Protocol Incidentenwaarschuwingssysteem Financiële Instellingen” (hierna: het Protocol) regelt de uitwisseling van gegevens over incidenten tussen financiële instellingen via de verschillende incidentenregisters. In het IVR en het EVR zijn persoonsgegevens opgenomen van (rechts)personen die bij een incident betrokken zijn geweest. Als ‘incident’ in de zin van het Protocol wordt aangemerkt:
“een gebeurtenis die als gevolg heeft, zou kunnen hebben, of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding ”
Het IVR kan alleen door de desbetreffende financiële instelling worden bekeken; het EVR ook door andere financiële instellingen. Het Protocol is tot stand gekomen door zelfregulering van verschillende brancheorganisaties van financiële instellingen. Het Protocol is in 2013 gewijzigd (hierna: het Protocol 2013). Op 1 april 2021 hebben de financiële instellingen een gewijzigd protocol vastgesteld (hierna: het Protocol 2021). Daarin is de omschrijving van een incident hetzelfde gebleven. Het College bescherming persoonsgegevens (hierna: Cbp; de rechtsvoorganger van de AP) heeft ten aanzien van Protocol 2013 in 2013 een verklaring omtrent de rechtmatigheid van de gegevensverwerking als bedoeld in artikel 32 van de Wet bescherming persoonsgegevens (hierna: Wbp) afgegeven. Op 30 mei 2017 heeft de AP deze verklaring verlengd tot 25 september 2017, in afwachting van de actualisatie van het Protocol. Bij brief van 19 september 2017 heeft de AP die rechtmatigheidsverklaring verlengd, totdat de procedure van die actualisatie is afgerond. De website van de AP vermeldt over deze verlenging het volgende:
“ De Autoriteit Persoonsgegevens (AP) heeft op 19 september 2017 de goedkeuring van het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen verlengd tot de deelnemende organisaties een nieuw, geactualiseerd protocol hebben opgesteld en ter goedkeuring aan de AP hebben voorgelegd. Met deze tijdelijke verlening wil de AP tijdelijke rechtsonzekerheid voorkomen .”
6.10 Op 25 mei 2018 is de Wbp vervangen door de AVG en de UAVG. Persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6 lid 1 AVG, alleen worden verwerkt onder (i) toezicht van de overheid, of (ii) indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden (artikel 10 lid 1 AVG).
6.11 Op grond van artikel 33 lid 4, sub c, UAVG mogen persoonsgegevens van strafrechtelijke aard ten behoeve van derden worden verwerkt indien de AP met inachtneming van het vijfde lid een vergunning voor de verwerking heeft verleend. Het vijfde lid bepaalt vervolgens dat een vergunning slechts kan worden verleend indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
6.12 In artikel 48 UAVG is voorzien in overgangsrecht tussen de Wbp en de AVG. Ingevolge het elfde lid van dat artikel geldt dat een verklaring van rechtmatigheid van de gegevensverwerking die voorafgaand aan de inwerkingtreding van deze wet is afgegeven op grond van artikel 32, vijfde lid, in samenhang met artikel 22, vierde lid, onder c, van de Wbp, van rechtswege geldt als een vergunning in de zin van artikel 33, vier lid, onder c, van de UAVG.
6.13 Naar het hof begrijpt, stelt [appellant] aan de orde of de verwerking van zijn persoonsgegevens door Rabobank onder beide protocollen, dat wil zeggen Protocol 2013 en Protocol 2021, wel overeenkomstig de AVG heeft plaatsgevonden.
6.14 Het hof is van oordeel dat de verwerking van de persoonsgegevens van [appellant] in de incidentenregisters op inhoudelijke en procedurele gronden overeenkomstig het gegevensbeschermingsrecht heeft plaatsgevonden. De betrokkenheid van [appellant] bij de frauduleuze overboeking maakt dat [appellant] betrokken was bij een incident in de zin van het Protocol. Het gaat hier om een incident dat raakt aan de veiligheid en integriteit van Rabobank als financiële instelling, en in bredere zin de financiële sector. Doordat [appellant] als geldezel heeft gefungeerd, is een klant van Rabobank opgelicht. Daarmee had Rabobank een voldoende gerechtvaardigd belang tot verwerking van de persoonsgegevens van [appellant] in de incidentenregisters, dat zwaarder weegt dan de bescherming van de persoonlijke levenssfeer van [appellant]. Hij is van die verwerking ook door Rabobank op de hoogte gesteld bij brief van de Rabobank van 11 oktober 2019. Het handelen van de Rabobank is daarmee rechtmatig, behoorlijk en transparant.
6.15 Het hof is verder van oordeel dat de brief van 19 september 2017 van de AP moet worden aangemerkt als een verklaring van rechtmatigheid als bedoeld in artikel 32 lid 5 en artikel 22 lid 4, onder c, van de Wbp en die geldt ingevolge artikel 48 lid 11 UAVG als een vergunning als bedoeld in artikel 33 lid 4 sub c en lid 5 UAVG, totdat er een nieuw protocol is opgesteld. De verwerking van de persoonsgegevens was onder Protocol 2013 gelet op dit overgangsrecht rechtmatig, zolang Protocol 2021 nog niet was opgesteld.
6.16 Ook onder Protocol 2021 was de verwerking van de persoonsgegeven van [appellant] rechtmatig. Op 20 augustus 2021 heeft de AP op haar website gepubliceerd dat zij per 1 april 2021 goedkeuring heeft verleend aan Protocol 2021. Op haar website staat een overzicht met afgegeven vergunningen tot en met het tweede kwartaal van 2021. Op die lijst staat ook Rabobank vermeld (productie 3 schriftelijke toelichting aan de zijde van [appellant], eerste aanleg). Voor zover er al reden is om te twijfelen of Rabobank tijdig – dat wil zeggen voor inwerkingtreding van het Protocol 2021 op 1 april 2021 – een vergunning heeft aangevraagd en verkregen, staat in ieder geval vast dat aan Rabobank voor het einde van het tweede kwartaal van 2021 een vergunning als bedoeld in artikel 33 sub 4 lid c UAVG is verleend, zodat de verwerking van de persoonsgegevens van [appellant] onder Protocol 2021 nu gebeurt in overeenstemming met de AVG.
6.17
[appellant] heeft zich ook nog op het standpunt gesteld dat de procedure tot goedkeuring te lang heeft geduurd, zodat het naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is dat Rabobank zich beroept op het overgangsrecht uit de UAVG en dat de verwerking om die reden onrechtmatig is.
6.18
Het hof volgt [appellant] hierin evenmin. Het hof is van oordeel dat uit het feit dat het Cbp telkens haar goedkeuring heeft verleend voor de gegevensverwerking onder Protocol 2013, volgt dat het Cbp (en haar rechtsopvolger de AP) meende dat de gegevensverwerking met voldoende waarborgen omkleed was. Ook valt niet in te zien dat [appellant] door dit tijdsverloop in zijn belangen is geschaad. Zowel Protocol 2013 als Protocol 2021 zijn goedgekeurd. Het sneller doorlopen van het goedkeuringsproces had er niet toe geleid dat zijn persoonsgegevens uit de incidentenregisters zouden zijn verwijderd. Grief 1 slaagt dus evenmin. Hooguit werd eerder een expliciet oordeel van de AP verkregen dat de gegevens volgens Protocol 21 onder de AVG mochten worden verwerkt.
Registratietermijn van acht jaar niet proportioneel
6.19 Met zijn vierde grief stelt [appellant] aan de orde dat de duur van de registratie (acht jaar) disproportioneel zou zijn. Rabobank heeft met het hanteren van die termijn geen rekening gehouden met belangen van [appellant]. Deze grief slaagt.
6.20 Iedere verwerking van persoonsgegevens moet voldoen aan het evenredigheidsbeginsel. Dit brengt met zich dat de inbreuk op de belangen van betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt. Voor opname van [appellant] in de incidentenregisters is niet louter voldoende dat [appellant] zich, door als geldezel te fungeren, heeft schuldig gemaakt aan verwijtbaar gedrag, maar ook dat het gerechtvaardigde belang van Rabobank bij opname in de registers prevaleert boven het belang van [appellant] om niet in de registers te worden opgenomen
6.21 Het is evident dat Rabobank groot belang heeft bij het opnemen van de gegevens van [appellant] in de incidentenregisters, door deze gebeurtenis is immers een klant van Rabobank opgelicht. Anders dan [appellant] lijkt te veronderstellen, is daarmee niet alleen die klant benadeeld, maar is daarmee ook inbreuk gemaakt op de veiligheid en de integriteit van het bankverkeer. [appellant] heeft door te blijven ontkennen als geldezel te hebben gefungeerd er bovendien geen blijk van gegeven inzicht te hebben in de laakbaarheid van zijn handelen.
6.22 Daar staat tegenover dat opname in de incidentenregisters ernstige gevolgen heeft voor [appellant]. De opname werpt belemmeringen op bij het aangaan en afnemen van financiële producten. [appellant] was ten tijde van het incident weliswaar volwassen, maar relatief jong (19 jaar oud), waardoor hij de schadelijkheid van zijn handelen mogelijk onvoldoende kon overzien. Met [appellant] is het hof eens dat de gevolgen van een voortdurende registratie in de incidentenregisters zeker op de lange termijn groot zijn. Daar komt bij dat niet is gebleken dat [appellant] eerder betrokken is geweest bij een fraude met zijn bankpas.
6.23
Onder die omstandigheden acht het hof een registratie in de beide registers voor de duur van de maximale termijn van acht jaren niet proportioneel Alles afwegende, acht het hof een registratieduur tot 31 december 2023 proportioneel. De vierde grief slaagt.
Geen aangifte
6.24
Met zijn vijfde grief komt [appellant] op tegen het oordeel van de rechtbank dat Rabobank niet gehouden was aangifte te doen van de betrokkenheid van [appellant] bij de gepleegde fraude. Deze grief faalt. Net als de rechtbank is het hof van oordeel dat het niet doen van aangifte niet onrechtmatig is tegenover [appellant], maar juist in het belang is geweest van [appellant]. Er is voldoende aanleiding om te veronderstellen dat de strafrechter tot een bewezenverklaring zou zijn gekomen. Indien [appellant] zou worden veroordeeld, zou deze fraude tot een strafblad hebben geleid. Los daarvan, is het hof met Rabobank van oordeel dat het bewijzen van de onschuld nooit de inzet is van een strafrechtelijke procedure. Een andersluidend oordeel zou overigens ook niet tot gevolg hebben dat de persoonsgegevens niet in de incidentenregisters mochten worden opgenomen, dus ook om die reden is grief vijf tevergeefs voorgesteld.
Conclusie en proceskosten
6.25 De conclusie is dat het hoger beroep van [appellant] deels slaagt. Omdat beide partijen op belangrijke punten gedeeltelijk in het ongelijk zijn gesteld, zullen de proceskosten worden gecompenseerd, in die zin dat iedere partij de eigen proceskosten draagt.
7 Beslissing
Het hof:
- vernietigt het tussen partijen gewezen vonnis van 20 oktober 2021;
- beveelt Rabobank om per 1 januari 2024 de gegevens van [appellant] uit het Incidentenregister, het IVR en het EVR te verwijderen en daarvan een bevestiging aan [appellant] te zenden;
- compenseert de kosten van het geding in eerste aanleg in die zin dat iedere partij de eigen kosten draagt;
- compenseert de kosten van het geding in het hoger beroep in die zin dat iedere partij de eigen kosten draagt;
- verklaart dit arrest tot zover uitvoerbaar bij voorraad;
- wijst het meer of anders gevorderde af.
Dit arrest is gewezen door mrs. J.S. Honée, D.A. Schreuder en H.J. van Harten en in het openbaar uitgesproken op 11 juli 2023 in aanwezigheid van de griffier.