ECLI:NL:RBGEL:2022:6145 text/xml public 2022-11-08T12:00:21 2022-10-31 Raad voor de Rechtspraak nl Rechtbank Gelderland 2022-11-01 C/05/404505 / HA RK 22-99 Uitspraak Beschikking NL Arnhem Civiel recht; Verbintenissenrecht
Rechtspraak.nl
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBGEL:2022:6145 text/html public 2022-11-04T08:55:51 2022-11-08 Raad voor de Rechtspraak nl ECLI:NL:RBGEL:2022:6145 Rechtbank Gelderland , 01-11-2022 / C/05/404505 / HA RK 22-99
Art.35 UAVG-verzoek van UBO van twee stichtingen, verzoek om inzage en informatie ex art. 15 en 22 AVG (geautomatiseerde besluitvorming en profilering), verweerder is betaaldienstverlener die de dienstverlening aan twee stichtingen heeft opgezegd.
beschikking
RECHTBANK GELDERLAND
Team kanton en handelsrecht
Zittingsplaats Arnhem
zaaknummer / rekestnummer: C/05/404505 / HA RK 22-99 754 / 1496
Beschikking van 1 november 2022
in de zaak van
[verzoeker] ,
wonende te Lochem,
verzoeker, hierna: [verzoeker] ,
advocaat mr. S. Bouharrou te 's-Gravenhage,
tegen
de besloten vennootschap met beperkte aansprakelijkheid
MOLLIE B.V. ,
gevestigd te Amsterdam,
verweerster, hierna: Mollie,
gemachtigde mr. J. de Haan te Amsterdam.
1 Waar deze zaak over gaat
1.1. Dit verzoek betreft een verzoek zoals bedoeld in art. 35 Uitvoeringswet van de Algemene Verordening Gegevensbescherming (UAVG). Het gaat in deze procedure om de vraag of op Mollie een plicht rust om in het kader van de AVG bepaalde informatie te verstrekken c.q. antwoord te geven op bepaalde vragen, en zo ja, of zij reeds aan deze informatieplicht heeft voldaan.
2 De procedure
2.1. Het verloop van de procedure blijkt uit:
het verzoekschrift,
de door Mollie voor de mondelinge behandeling verzonden producties 1 tot en met 4,
de mondelinge behandeling van 12 september 2022, de bij die gelegenheid overgelegde spreekaantekeningen van de zijde van Mollie, met als bijlagen stukken die aan [verzoeker] zijn verschaft, en spreekaantekeningen van de zijde van [verzoeker] . Verschenen zijn [verzoeker] , bijgestaan door mr. Bouharrou, en namens Mollie de heer mr. [betrokkene 1] en mevrouw [betrokkene 2] .
2.2. Ten slotte is beschikking bepaald.
3 De feiten
3.1.
[verzoeker] is bestuurder van de Stichting [stichting 1] (hierna: [stichting 1] ) en Stichting [stichting 2] (hierna: [stichting 2] ). [stichting 1] houdt zich (onder meer) bezig met het verzorgen van uitvaarten volgens de islamitische voorschriften, het bieden van islamitische alternatieven voor verzekeringen en het verkrijgen en in stand houden van islamitische begraafplaatsen. [stichting 2] houdt zich onder meer bezig met het bevorderen en verspreiden van de kennis van de islam, de islamitische theologie en het islamitisch onderwijs.
3.2. Mollie is een betaaldienstverlener (‘ payment service provider’ ) die bedrijven en instellingen in staat stelt om via een pakket met verschillende betaalmethoden betalingen van consumenten te ontvangen. Betaalmethoden die Mollie ondersteunt zijn onder meer iDeal, PayPal en SEPA-incasso. Mollie is een gereguleerde financiële dienstverlener en heeft een vergunning van De Nederlandsche Bank.
3.3. Mollie biedt haar diensten aan tegen voorwaarden die zijn neergelegd in een ‘Gebruiksovereenkomst’. Bedrijven die van haar diensten gebruik willen maken kunnen zich online registreren door een account aan te maken en bepaalde informatie te verstrekken over het bedrijf en de websites (URLs) waarop de betaaldiensten zullen worden gebruikt. Mollie heeft in een ‘Privacyverklaring’ uitgelegd hoe zij de persoonsgegevens van onder meer (potentiële) klanten verwerkt.
3.4.
[stichting 1] en [stichting 2] hebben bij Mollie een account aangemaakt en na een registratieproces zijn zij in 2018 gebruik gaan maken van de diensten van Mollie. Om te voldoen aan de op haar rustende verplichtingen op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (hierna: Wwft) heeft Mollie tijdens het registratieproces een cliëntenonderzoek verricht en daarvoor gegevens opgevraagd en verkregen over [verzoeker] als uiteindelijk belanghebbende (‘Ultimate Beneficial Owner’, hierna: UBO) van [stichting 1] en [stichting 2] .
3.5. Mollie heeft bij e-mailberichten van 26 mei en 24 augustus 2021 met inachtneming van de opzegtermijn van een maand haar dienstverlening aan [stichting 2] respectievelijk [stichting 1] opgezegd. Als reden voor de opzegging heeft Mollie voor zover relevant meegedeeld:
‘(…) Wij hebben uw account tijdens periodieke controle opnieuw onder ogen gekregen. Tijdens deze controle is echter gebleken dat uw account – vanwege recente wijzigingen in wetgeving en Mollie beleid – niet meer binnen onze portefeuille past. (…)’
3.6. Op 15 oktober 2021 heeft Mollie voor zover relevant aan [stichting 1] meegedeeld:
‘De beslissing om de clientrelatie met Stichting [stichting 1] te beëindigen is door Mollie mede gegrond op de verbondenheid van de Stichting [stichting 1] met de Stichting [stichting 2] , in de vorm van de bestuurder en UBO van beide stichtingen (de heer [verzoeker] ) en de signalen die Mollie in dat verband hebben bereikt waaruit het onaanvaardbare risico volgt dat haar betaalsystemen mogelijk gebruikt worden voor oneigenlijke doeleinden.’
3.7. Hierna heeft [stichting 1] Mollie gedagvaard in kort geding voor de voorzieningen-rechter van de rechtbank Amsterdam en onder andere gevorderd dat Mollie wordt veroordeeld om haar dienstverlening aan [stichting 1] voort te zetten. Bij vonnis in kort geding van 3 november 2021 heeft de voorzieningenrechter de gevorderde voorzieningen geweigerd. Daarbij is overwogen dat hoewel voorshands niet kon worden aangenomen dat er sprake was van een integriteitsrisico als gevolg waarvan Mollie op grond van haar Wwft-verplichtingen gehouden was de Gebruiksovereenkomst op te zeggen, Mollie gelet op het beginsel van contractsvrijheid de overeenkomst kon opzeggen.
3.8. Naar aanleiding van een verzoek tot inzage van [verzoeker] van 19 oktober 2021 heeft Mollie bij brief van 23 november 2021 geantwoord. Daarin heeft zij onder meer geschreven:
‘(…) Mollie treedt niet in de beoordeling van de geschiktheid of waardigheid van een individu die optreedt als bestuurder of wettelijk vertegenwoordiger van haar klant, maar kijkt naar het (risico)profiel van de klant in het geheel en de transacties die de klant maakt. Daarmee zijn de gegevens die Mollie daarvoor verwerkt, zoals transactiegegevens, geen persoonsgegevens die iets zeggen over u als individu. Gegevens met betrekking tot uw organisatie die Mollie verwerkt, zijn verkregen via uzelf, toen u uw stichting registreerde bij Mollie, en via de Kamer van Koophandel (…)’
3.9. Bij e-mailbericht van 5 april 2022 heeft [verzoeker] nogmaals aan Mollie verzocht om inzage in zijn persoonsgegevens.
3.10. Bij brief van 19 april 2022 heeft Mollie het verzoek afgewezen.
3.11. Bij de stukken die ter zitting door Mollie zijn overgelegd, bevindt zich de navolgende correspondentie:
Een e-mail van 17 maart 2021 van de Investigations/ Service Desk van ABN AMRO aan Mollie, waarin onder meer is geschreven:
‘Op 15-03-2021 heeft u een incasso opdracht van EUR 20,00 ten laste van rekening (zwarte balk) ingediend ten gunste van uw rekening (zwarte balk) met onze referentie (…).
De correspondentiebank heeft ons laten weten dat de opdracht “on hold” is gezet vanwege compliance* redenen (*Invoering en naleving van regels die bedrijven en instellingen krijgen opgelegd van de overheid en de financiële toezichthouders.)
De buitenlandse bank stelt ons de volgende vragen.
Quote:
PLEASE PROVIDE US WITH THE FOLLOWING INFORMATION:
1. PLEASE PROVIDE FULL NAME, ADRESS AND REGISTRATION NUMBER OF ENTITY MENTIONED IN REMITTANCE FIELD STICHTING [stichting 2]
(…)’
Een e-mail van Mollie aan ABN AMRO van 5 april 2021 waarin zij ‘de details van de handelaar’ heeft gegeven, te weten: ‘ [verzoeker] – Stichting [stichting 2] ’ met het adres, telefoonnummer, e-mailadres en KVK-nummer van de stichting.
4 Het geschil
4.1.
[verzoeker] verzoekt dat de rechtbank bij uitvoerbaar bij voorraad te verklaren beschikking Mollie:
I. beveelt om binnen een maand na betekening van deze beschikking aan [verzoeker] in een gangbare elektronische vorm inzage te geven in:
i. alle op hem betrekking hebbende persoonsgegevens die zij verwerkt, waaronder de persoonsgegevens genoemd in paragraaf 4 van het verzoekschrift in het kader van het cliëntenonderzoek, meer concreet alle verwerkte persoonsgegevens van [verzoeker] in zijn hoedanig-heid als UBO, alle door Mollie ontvangen signalen aangaande en/of herleidbaar tot [verzoeker] , alle transacties die gekoppeld en/of gelieerd zijn aan en/of herleidbaar zijn tot [verzoeker] , het opgestelde risicoprofiel, risicoclassificering en indeling in segmenten waarbij de persoonsgegevens van [verzoeker] zijn betrokken c.q. verwerkt, de gehanteerde objectieve en subjectieve risicofactoren die zijn gekoppeld aan [verzoeker] en zijn gebruikt voor het opstellen van het risico-profiel en/of indeling in risicoclassificaties;
ii. de verwerkingsdoeleinden, de betrokken categorieën van persoons-gegevens, de ontvangers of categorieën aan wie persoonsgegevens zijn of zullen worden verstrekt;
iii. het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in art. 22, leden 1 en 4 bedoelde profilering, en ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoeker] ,
II. beveelt om binnen een maand na betekening van deze beschikking kopieën van alle (digitale) documenten te verstrekken waarin de persoonsgegevens van [verzoeker] zijn of worden verwerkt, zoals verplicht op grond van art. 15 lid 3 AVG,
III. veroordeelt tot betaling van een dwangsom voor het geval zij in gebreke blijft om geheel te voldoen aan één of meer van de onder I en II genoemde bevelen,
IV. veroordeelt in de proceskosten.
4.2.
[verzoeker] baseert zijn verzoeken onder I sub (i) en (ii) op art. 15 lid 1 AVG. [verzoeker] heeft volgens hem recht op inzage in persoonsgegevens die zijn verwerkt in het kader van het cliëntenonderzoek en het doorlopende toezicht. Mollie heeft blijkens tussen partijen gevoerde correspondentie bepaalde signalen ontvangen over [verzoeker] , op grond waarvan nader onderzoek naar hem is gedaan en dus persoonsgegevens zijn verzameld. Ook is er recht op inzage in transacties die zijn gekoppeld aan [verzoeker] , Uit de tussen partijen gevoerde correspondentie is gebleken dat dit is gebeurd. Verder werkt Mollie blijkens haar brief van 14 april 2022 samen met derden die persoonsgegevens voor haar verwerken. Mollie dient informatie te verschaffen over welke persoonsgegevens en opdrachten zij verstrekt en welke kaders zij geeft aan deze verwerkers. Met die informatie kan [verzoeker] vaststellen op welke wijze, met welke logica en met welk doel zijn persoonsgegevens worden verwerkt zodat beoordeeld kan worden of die verwerking juist, volledig en rechtmatig is.
4.3. Het verzoek onder I sub (iii) is gebaseerd op art. 15 lid 1 aanhef en art. 22 AVG (geautomatiseerde besluitvorming en profilering). Mollie maakt volgens [verzoeker] gebruik van volledig geautomatiseerde besluitvorming als bedoeld in art. 22 AVG, nu haar verwerkers blijkens haar Privacyverklaring gebruik maken van artificiële intelligentie en algoritmes om het cliëntenonderzoek te verrichten voor Mollie, waarbij ook onderzoek wordt gedaan naar de UBO [verzoeker] .
4.4.
[verzoeker] stelt groot belang te hebben bij inzage in de verwerking van zijn persoonsgegevens omdat Mollie hem als UBO in verband heeft gebracht met de Wwft.
4.5. Mollie verzet zich tegen toewijzing van de verzoeken. Mollie stelt dat zij op grond van de Wwft [verzoeker] als UBO van de stichtingen heeft geïdentificeerd en zijn persoonsgegevens heeft opgevraagd bij aanvang van de zakelijke relatie met de stichtingen. Deze persoonsgegevens zijn reeds aan [verzoeker] verstrekt. Daarnaast heeft zij het onder 3.11 opgenomen bericht van Mollie aan ABN AMRO verstrekt waarin persoonsgegevens van [verzoeker] zijn opgenomen. Daarmee stelt zij volledig aan haar verplichtingen jegens [verzoeker] op grond van de AVG te hebben voldaan.
4.6. Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.
5 De beoordeling
5.1. De centrale vraag in deze procedure is of hetgeen Mollie na indiening van het verzoekschrift aan [verzoeker] heeft verschaft, alle informatie betreft die Mollie op grond van art. 15 AVG aan [verzoeker] dient te verstrekken, zoals Mollie stelt, of dat er nog meer is dat Mollie dient te verstrekken, zoals [verzoeker] sterk vermoedt.
5.2. Art. 15 lid 1 AVG luidt:
De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
de verwerkingsdoeleinden;
de betrokken categorieën van persoonsgegevens;
de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
(…)
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
5.3. Op grond van art. 22 AVG heeft de betrokkene het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
Het verzoek onder I sub i.
5.4.
[verzoeker] heeft inzage verzocht in persoonsgegevens die bij het cliëntenonderzoek en het doorlopende toezicht door Mollie (moeten) zijn verwerkt.
Cliëntenonderzoek:
5.5. Niet in geschil is dat een betaaldienstverlener, zoals Mollie, als financiële instelling verplicht is om aan cliëntenonderzoek te doen en dat in het kader van dat cliëntenonderzoek de klant dient te worden gescreend en de UBO op grond van onder meer artikel 3 lid 2 Wwft door de financiële instelling dient te worden geïdentificeerd en geverifieerd. Ook daarna is de betaaldienstverlener op grond van de Wwft verplicht om ervoor te zorgen dat zij over voldoende gegevens van de UBO beschikt en bijvoorbeeld een nieuwe kopie van een identiteitsbewijs opvraagt indien een dergelijk bewijs is verlopen. Niet in geschil is verder dat [verzoeker] als bestuurder bij [stichting 2] en [stichting 1] kwalificeert als UBO bij beide stichtingen.
5.6. Mollie heeft aangevoerd dat de persoonsgegevens van [verzoeker] die Mollie in het kader van het cliëntenonderzoek van de stichtingen heeft verwerkt, zijn verkregen via [verzoeker] zelf, toen hij de stichtingen registreerde bij Mollie, en via de Kamer van Koophandel. Zij is immers verplicht om te controleren of de rechtspersoon de UBO’s juist bij het UBO-register van de Kamer van Koophandel heeft aangemeld. Zij heeft in dat kader onder andere de geslachtsnaam, voornamen, geboortedatum en een kopie van het identiteitsbewijs opgevraagd en verkregen. Deze gegevens zijn naar aanleiding van het verzoekschrift inmiddels aan [verzoeker] verschaft.
5.7.
[verzoeker] acht het niet geloofwaardig en niet aannemelijk dat het cliëntenonderzoek, voor zover het de UBO betreft, hiertoe beperkt is gebleven. [verzoeker] stelt dat Mollie moet beschikken over alle identificatie- en verificatiegegevens en ‘overige gegevens’ inzake de UBO en verwijst daarbij onder meer naar art. 5 lid 1 sub c Wwft. [verzoeker] heeft tevens inzage verzocht in het opgestelde risicoprofiel, de risicoclassificering en de indeling in segmenten waarbij de persoonsgegevens van [verzoeker] zijn betrokken c.q. verwerkt, alsmede de gehanteerde objectieve en subjectieve risicofactoren die zijn gekoppeld aan [verzoeker] en die zijn gebruikt voor het opstellen van het risicoprofiel en/of de indeling in risicoclassificaties. Hij stelt dat de identificatie en verificatie van de UBO van belang is voor de risicoclassificatie van de cliënt-rechtspersoon, en niet aannemelijk is dat er geen nader onderzoek zou zijn gedaan naar de UBO-natuurlijk persoon in het kader van het due diligence onderzoek van de stichtingen. Hij stelt dat eventuele geregistreerde antecedenten van de UBO-natuurlijke persoon worden onderzocht en dat er in openbare bronnen wordt gespeurd naar aanwijzingen met betrekking tot de UBO die een verhoogd risico mee kunnen brengen voor de financiële instelling. Daarbij kan gedacht worden aan ‘adverse media’, sancties en PEPS. De door Mollie ingeschakelde verwerkers verrichten dergelijke onderzoeken onder verantwoordelijkheid van Mollie, aldus [verzoeker] .
5.8. Mollie heeft aangevoerd dat zij de UBO inderdaad identificeert en verifieert, maar dat dit niet betekent dat Mollie daarmee profielen van UBO’s maakt of deze goed- of afkeurt, al dan niet door middel van volledig geautomatiseerde besluiten. Van profilering in de zin van artikel 4 sub 4 AVG is geen sprake, omdat Mollie niet aan de hand van persoonsgegevens persoonlijke aspecten van een natuurlijke persoon analyseert of voorspelt of profielen worden gemaakt. Er vindt in zowel het cliëntenonderzoek als het transactiemonitoring proces derhalve geen profilering van de UBO plaats. [verzoeker] is ook niet als mogelijk integriteitsrisico gekwalificeerd. Mollie verstrekt geen opdracht aan derden om bij het onderzoeken van risico’s (waaronder ‘adverse media’) ook te zoeken op de naam van de UBO’s van stichtingen. Er worden alleen persoonsgegevens van de UBO aan verwerkers verstrekt als de kopie van het identiteitsbewijs op echtheid moet worden onderzocht. Zij geeft geen inzage in gehanteerde factoren die zijn gebruikt voor het opstellen van het risicoprofiel van haar klanten en/of de indeling in risicoclassificaties omdat dit interne, gevoelige bedrijfsinformatie is, aldus nog steeds Mollie.
5.9. De rechtbank overweegt dat in hetgeen [verzoeker] heeft gesteld, geen aanwijzingen zijn gelegen dat de inzage die Mollie heeft verstrekt in de persoonsgegevens van [verzoeker] die in het kader van het cliëntenonderzoek zijn verwerkt, onvolledig is. Zij overweegt daartoe het volgende.
5.10. Welke ‘overige gegevens’ inzake [verzoeker] als UBO verwerkt moeten zijn en niet door Mollie zijn verstrekt, heeft [verzoeker] niet toegelicht. Voor zover het verzoek daarop ziet, moet het als onvoldoende gespecificeerd worden afgewezen. De ter zitting door [verzoeker] ingenomen stelling dat Mollie in ieder geval niet voldoet aan de eisen zoals vervat in artikel 15 AVG omdat zij de accountgegevens van de accounts bij Mollie (e-mailadressen, contactgegevens, telefoonnummers, IP-adres etc.) niet heeft verstrekt, kan niet worden gevolgd. Het gaat hier om stichtingen en niet om een eenmanszaak van [verzoeker] , zodat de genoemde bedrijfsgegevens niet kwalificeren als persoonsgegevens van [verzoeker] .
5.11. Het inzageverzoek berust deels op de veronderstelling dat de persoonsgegevens van [verzoeker] zijn verwerkt bij het opstellen en/of aanpassen van het risicoprofiel van de stichtingen. Dit wordt door Mollie betwist. De rechtbank begrijpt dat het risicoprofiel van [stichting 1] is beïnvloed door het risicoprofiel van de aan [stichting 1] gelieerde stichting [stichting 2] . Dat deze stichtingen met elkaar zijn verbonden doordat zij dezelfde UBO hebben, zegt echter niets over de kenmerken van de UBO en betekent ook niet dat de persoonsgegevens van de UBO zijn verwerkt bij het opstellen van het risicoprofiel van de stichtingen. [verzoeker] heeft gesteld dat er in openbare bronnen wordt gespeurd naar antecedenten en andere aanwijzingen met betrekking tot de UBO die een verhoogd risico mee kunnen brengen voor de financiële instelling, maar hij heeft die stelling niet onderbouwd en toegespitst op deze zaak. De in randnummer 11 en 12 van de spreekaantekeningen van de advocaat van [verzoeker] genoemde voorbeelden van situaties waarin een kennelijk dubieus geachte UBO-natuurlijk persoon van een bedrijf was betrokken, vormt geen onderbouwing van de stelling dat de persoonsgegevens van [verzoeker] wel verwerkt moeten zijn geweest voorafgaand aan de opzegging van de overeenkomsten.
5.12. De rechtbank concludeert op basis van het voorgaande dan ook dat [verzoeker] zijn stelling dat Mollie naast de reeds verstrekte gegevens in het kader van het cliëntenonderzoek nog andere persoonsgegevens van [verzoeker] heeft verwerkt waarin zij geen inzage heeft gegeven, tegenover de betwisting van Mollie, onvoldoende heeft onderbouwd.
Transactiemonitoringsproces (het doorlopende toezicht):
5.13.
[verzoeker] heeft verder inzage verzocht in alle door Mollie ontvangen signalen aangaande en/of herleidbaar tot [verzoeker] en alle transacties die gekoppeld en/of gelieerd zijn aan en/of herleidbaar zijn tot [verzoeker] . [verzoeker] heeft erop gewezen dat in het kader van een melding van een ongebruikelijke transactie bij de Financiële inlichtingeneenheid op grond van art. 16 lid 2 Wwft ook de identiteit van de UBO moet worden opgenomen in de melding. Uit de ingebrachte e-mail blijkt verder dat een transactie in 2021 ook daadwerkelijk is gekoppeld aan de persoon van [verzoeker] . Opvallend is dat alleen de naam van [verzoeker] in die e-mail wordt genoemd, terwijl er nog twee andere bestuurders zijn, aldus [verzoeker] .
5.14. Mollie heeft allereerst aangevoerd dat die gestelde ‘signalen’ aangaande [verzoeker] niet zijn ontvangen. Tijdens de looptijd van de Gebruiksovereenkomst heeft Mollie op basis van doorlopend toezicht van de zakelijke relatie met [stichting 1] en [stichting 2] onderzoek gedaan naar de aard, omvang en hoeveelheid transacties die via de betaalsystemen van Mollie worden verricht. Inzage in de enige transactie waarbij de persoonsgegevens van [verzoeker] zijn betrokken, is reeds verstrekt door overlegging van de onder 3.11 opgenomen reactie op een compliance vraag van ABN AMRO. Dat daarop alleen de naam van [verzoeker] staat vermeld en niet de namen van de twee andere UBO’s is verklaarbaar doordat Mollie uitsluitend bekend was met [verzoeker] als enige UBO van deze stichting. Dat blijkt uit het verstrekte overzicht met de gegevens van Stichting [stichting 2] . Het monitoren en analyseren van transacties vindt plaats op het niveau van de ‘merchant’ (in dit geval de stichtingen) op grond van art. 16 Wwft (over de melding van ongebruikelijke transacties). Transacties van de UBO zelf zijn geen onderdeel van dit onderzoek. De opzegging hield verband met het te hoge risicoprofiel van [stichting 1] in verband met de verbondenheid van deze stichting met stichting [stichting 2] via [verzoeker] als UBO. Om redenen van geheimhouding kan Mollie geen inzage geven in documenten en gegevens-dragers aangaande transacties en monitoring daarvan, of andere gegevens op basis waarvan Mollie heeft besloten om de samenwerking met de stichtingen te beëindigen, aldus Mollie.
5.15.
De rechtbank oordeelt dat uit de stellingen van [verzoeker] niet kan worden afgeleid dat meer dan eenmaal persoonsgegevens van [verzoeker] zijn verwerkt in het kader van het doorlopende toezicht. Het had op de weg van [verzoeker] gelegen om duidelijk te maken op grond waarvan moet worden aangenomen dat Mollie andere stukken achterhoudt. Anders dan [verzoeker] lijkt te suggereren, heeft Mollie in haar brief van
15 oktober 2021 (zie 3.6) niet geschreven dat zij signalen heeft ontvangen over [verzoeker] nu in die brief wordt geschreven over ‘signalen die haar in dat verband hebben bereikt’. Gesteld noch gebleken is dat Mollie een melding zou hebben gedaan van een ongebruikelijke transactie bij de Financiële inlichtingeneenheid waarbij de stichtingen waren betrokken, zodat de enkele verwijzing naar art. 16 lid 2 Wwft geen doel treft. De rechtbank kan dan ook ten aanzien van dit deel van het verzoek niet concluderen dat Mollie onvolledige inzage zou hebben verschaft.
5.16. Het verzoek onder I sub i zal daarom worden afgewezen.
Het verzoek onder I sub ii.
5.17.
[verzoeker] heeft tevens inzage verzocht in de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, en de ontvangers of categorieën aan wie persoonsgegevens zijn of zullen worden verstrekt.
5.18. Mollie heeft aangevoerd dat zij deze inzage reeds heeft gegeven door middel van haar brieven aan [verzoeker] van 23 november 2021 en 19 april 2022 en door te verwijzen naar de informatie die hierover is opgenomen in haar Privacyverklaring.
5.19. Nu [verzoeker] in reactie hierop niet heeft aangegeven welke informatie hierin niet zou zijn verstrekt en die wel onder art. 15 lid 1 onder a, b en c AVG valt, gaat de rechtbank er vanuit dat dit deel van het inzageverzoek afdoende is beantwoord. Het verzoek onder I sub ii zal daarom worden afgewezen.
Het verzoek onder I sub iii.
5.20.
[verzoeker] verzoekt tenslotte inzage in het bestaan van geautomatiseerde besluitvorming, en informatie over – kort gezegd – de verwachte gevolgen van die verwerking voor [verzoeker] . Mollie maakt volgens [verzoeker] gebruik van volledig geautomatiseerde besluitvorming nu haar verwerkers gebruik maken van artificiële intelligentie en algoritmes om het cliëntenonderzoek te verrichten voor Mollie, waarbij ook onderzoek wordt gedaan naar de UBO. Zij leidt dit af uit de producten en diensten die een aantal van de door Mollie ingeschakelde verwerkers blijkens hun websites aanbieden. Mollie kan niet volstaan met haar stelling dat besluiten altijd door een mens worden beoordeeld. Gelet op de tot nu toe verstrekte informatie en de vergaande technologische werkprocessen van Mollie en door haar ingeschakelde verwerkers is niet geloofwaardig dat er een betekenisvolle toets door een mens plaatsvindt van automatisch genomen besluiten. Er worden door Mollie op grote schaal gegevens verwerkt en stelselmatig financiële gegevens gemonitord. Dit kan [verzoeker] niet controleren en daarvoor dient Mollie inzicht te geven in de logica van haar verwerkings- of algoritmeproces. Indien mocht blijken dat automatisch genomen besluiten door een mens worden gecontroleerd, dan dient Mollie inzage te geven in de logica en parameters van een dergelijk traject. [verzoeker] betoogt dat Mollie geen beroep kan doen op wetgeving die haar bedrijfsgeheimen moet beschermen, omdat [verzoeker] geen inzage vraagt in de techniek zelf, maar alleen in zijn persoonsgegevens.
5.21. Mollie voert aan dat zij niet doet aan geautomatiseerde besluitvorming of profilering, en ook niet aan geautomatiseerde besluitvorming op basis van profilering. Alle besluiten worden door gespecialiseerde en getrainde medewerkers genomen. Mollie neemt van de door [verzoeker] genoemde derde partijen niet alle producten en/of diensten af die op de websites van de betreffende partijen worden aangeboden. De door Mollie ingeschakelde derde partijen maken mogelijk gebruik van ‘artificial intelligence’ en ‘machine learning’ technologieën in hun producten en/of diensten, maar Mollie neemt nooit een besluit dat volledig geautomatiseerd is. Er is altijd menselijke tussenkomst alvorens een besluit wordt genomen. Van volledig geautomatiseerde besluitvorming ex art. 22 AVG is daarom geen sprake. Van profilering is evenmin sprake, aldus Mollie.
5.22. De rechtbank stelt voorop dat op grond van de artikelen 13, 14 en 15 AVG informatie moet worden gegeven over het verwerken van persoonsgegevens in algoritmes aan degenen op wie deze persoonsgegevens betrekking hebben (de ‘betrokkene’) en dat als er sprake is van profilering en/of geautomatiseerde besluitvorming, dit kenbaar dient te worden gemaakt. Mollie betwist dat van profilering of geautomatiseerde besluitvorming sprake is. Het lag daarom op de weg van [verzoeker] om concrete aanwijzingen te geven waaruit het tegendeel blijkt. Die aanwijzingen heeft de rechtbank echter niet gevonden in hetgeen door [verzoeker] is gesteld. Ook anderszins is niet gebleken dat Mollie bij het besluit op een aanvraag dan wel tijdens de looptijd van de Gebruiksovereenkomst, besluiten neemt die volledig geautomatiseerd zijn. Dat Mollie op grond van haar Privacyverklaring persoonsgegevens met derden mag delen als dat nodig is om haar producten en diensten te kunnen leveren, en dat de door Mollie ingeschakelde derde partijen mogelijk gebruik maken van artificial intelligence en machine learning, is onvoldoende om aannemelijk te achten dat Mollie een verboden vorm van automatische besluitvorming toepast. Bij deze stand van zaken zal ook het verzoek onder I sub iii worden afgewezen.
5.23. Gelet op het voorgaande worden de verzoeken om inzage onder I afgewezen. Hieruit volgt dat ook de verzoeken om afschriften te verstrekken (verzoek II) en een dwangsom op te leggen (verzoek III) worden afgewezen.
5.24. De rechtbank overweegt ten aanzien van de proceskosten dat Mollie eerst na indiening van het verzoekschrift de verzochte afschriften van stukken met persoonsgegevens van [verzoeker] heeft verstrekt, en niet direct nadat [verzoeker] hierom in zijn brieven had gevraagd. Anderzijds komen de verzoeken voor het grootste deel niet voor toewijzing in aanmerking. De rechtbank beschouwt elk van de partijen daarom als op enig punt in het (on)gelijk gesteld. De proceskosten zullen om die reden worden gecompenseerd.
6 De beslissing
De rechtbank
6.1. wijst de verzoeken af,
6.2. compenseert de proceskosten tussen partijen, in die zin dat iedere partij de eigen kosten draagt.
Deze beschikking is gegeven door mr. M.S.T. Belt en in het openbaar uitgesproken op 1 november 2022.