Hof Arnhem-Leeuwarden, 09-11-2017, nr. 200.210.278/01

Voor het geding in eerste aanleg verwijst het hof naar de beschikking van de rechtbank Noord-Nederland, afdeling privaatrecht, locatie Groningen van 23 november 2016.

Het verloop van de procedure blijkt uit:- het beroepschrift met producties, ter griffie ontvangen op 21 februari 2017;- het verweerschrift (met producties), ter griffie ontvangen op 7 april 2017;- de mondelinge behandeling d.d. 5 oktober 2017, waarbij de advocaten van partijen het woord hebben gevoerd.

Na afloop van de mondelinge behandeling heeft het hof een datum voor de beschikking bepaald.

Rabobank verzoekt het hof de beschikking van de rechtbank te vernietigen en, opnieuw rechtdoende, de verzoeken van [verweerder] alsnog af te wijzen, met veroordeling van [verweerder] in de proceskosten.

Het hof gaat in hoger beroep uit van de feiten zoals beschreven in rechtsoverweging2 (2.1 tot en met 2.22) van de aangevallen beschikking, aangevuld met enkele andere feiten die tussen partijen vaststaan.

[verweerder] heeft in 2014 een spaarrekening geopend bij Rabobank. Hij heeft deze spaarrekening niet veelvuldig gebruikt. Naast zijn spaarrekeningen had hij twee betaalrekeningen bij Rabobank, waarvan hij één rekening geregeld gebruikte en de ander niet. Voor de beide betaalrekeningen beschikte [verweerder] over bankpassen. [verweerder] regelde zijn bankzaken vooral via een app van Rabobank. Als hij via deze app, die hij op zijn telefoon had geïnstalleerd, het saldo van een van zijn rekeningen wilde raadplegen, kreeg hij automatisch de saldi van al zijn rekeningen bij Rabobank te zien.

[verweerder] heeft vanaf 2015 een eenmanszaak, “Schildersbedrijf [verweerder] ”. Voor dit bedrijf bankiert hij bij ING Bank.

[verweerder] , die geboren is in 1993, woont bij zijn ouders. Voor bepaalde zaken is hij via hen verzekerd. Nadat in september 2015 een schademelding is gedaan betreffende een kapot scherm van de telefoon van [verweerder] , waarvoor van verzekeraar Univé een uitkering van€ 78,30 is ontvangen, is een nieuwe schademelding gedaan omdat de hele telefoon kapot was. In dat verband heeft [verweerder] de telefoon op 3 november 2015 ingeleverd. Op17 november 2015 heeft de vader van [verweerder] de bevestiging van Univé ontvangen dat in verband met deze laatste schade een bedrag van € 595,- wordt uitgekeerd, welk bedrag op18 november 2015 is overgemaakt op de bankrekening van de vader van [verweerder] .

Op 9 november 2015 is een tweetal klanten van Rabobank telefonisch benaderd door iemand die zich uitgaf voor een medewerker van de rechtbank Amsterdam. Volgens deze ‘medewerker’ dienden de klanten van de Rabobank een bedrag van € 13.000,- over te maken naar het rekeningnummer van de ‘slapende’ betaalrekening van [verweerder] . De klanten vertrouwden het niet en hebben contact opgenomen met Rabobank, waarna de bankrekeningnummers van [verweerder] zijn geblokkeerd.

Op 10 november 2015 is een andere klant van Rabobank telefonisch benaderd met een vergelijkbaar verhaal. Deze klant diende een bedrag van € 3.250,- over te maken naar de rekening van [verweerder] . De klant heeft een mislukte poging gedaan het bedrag over te maken en heeft nadien aangifte gedaan bij de politie.

Op 11 november 2015 is een klant van ING gebeld door een persoon die zich uitgaf voor een deurwaarder. De klant van ING heeft vervolgens een bedrag van € 3.000,- overgemaakt naar de rekening van [verweerder] , welk bedrag om 12:09 uur op de rekening is binnengekomen.

Op 9 november 2015 om 19:59 uur is met de pinpas en de pincode van [verweerder] het saldo van de ‘slapende’ betaalrekening van [verweerder] gecheckt. Op 11 november 2015 zijn om 12:33, 12:39, 12:42 en 12:44 uur pogingen gedaan om (een deel van) het overgemaakte bedrag met behulp van de pinpas en de pincode van [verweerder] op te nemen. Uit camerabeelden bij de opnamepunten waar de pogingen zijn gedaan, volgt dat de pogingen en het checken van het saldo zijn verricht door personen die ook geld hebben opgenomen / geprobeerd op te nemen van andere bankrekeningen, waarop bedragen zijn gestort door derden die daartoe onder valse voorwendsels waren bewogen.

Op 11 november 2015 heeft [verweerder] de opnamelimiet van zijn ‘slapende’ betaalrekening verhoogd naar € 5.000,-. Hij heeft die dag vanaf ongeveer 12:30 uur veelvuldig (bijna 30 maal) de saldi van zijn rekeningen geraadpleegd. Ook gedurende de middag van 12 november 2015 heeft [verweerder] veelvuldig (meer dan 30 maal) zijn rekeningen geraadpleegd.

Op 12 november 2015 heeft een medewerker van Rabobank [verweerder] gebeld en hem uitgenodigd voor een gesprek op 17 november 2015. [verweerder] heeft die dag om 18:15 uur zijn bankpas geblokkeerd.

Op 17 november 2015 heeft een gesprek plaatsgevonden tussen [verweerder] en medewerkers van Rabobank. Rabobank heeft naar aanleiding van dit gesprek een verslag opgesteld. In dat verslag is onder meer vermeld:“(…) Meneer is geconfronteerd met de transactie van € 3000,- die heeft plaatsgevonden op zijn rekening. De heer [verweerder] geeft aan dat hij dit had geconstateerd en dacht een mooie meevaller te hebben gekregen. Hij heeft inderdaad zijn paslimiet verhoogd en wilde het bedrag opnemen. Toen meneer volgens eigen zeggen bij de pinautomaat stond kwam hij erachter dat zijn pas was verloren.Hij kon niet aangeven waar het bedrag afkomstig van was en kent de persoon niet die de overboeking heeft uitgevoerd.Meneer heeft na ons telefoongesprek van 12 november via mobielbankieren aangegeven dat zijn pas is verloren en heeft deze laten blokkeren. In het gesprek van 17 november is hem gevraagd waarom hij de pas heeft vervangen en laten blokkeren na ons telefoongesprek in plaats van tijdens het telefoongesprek van 12 november. Meneer gaf aan dat hij er toen weer aan dacht en dit daarom toen pas heeft uitgevoerd. Over het veelal bekijken van zijn saldo via mobielbankieren heeft meneer ook een verklaring. Hij verwachte geld van een uitkering naar aanleiding van schade van zijn telefoon en vakantiegeld voor zijn schildersbedrijf.Meneer is achteraf blij dat hij het geld niet heeft opgenomen en beseft dat hij anders fout was geweest. (…)Op 24-11 is er telefonisch contact geweest met de heer [verweerder] over de voortgang van zijn aangifte. Hierbij heeft meneer aangegeven dat de politie een onderzoek heeft ingesteld en dit eerst wil afronden voordat hij aangifte kan doen. De rekeningen van meneer zijn geblokkeerd en zullen dit blijven totdat wij in het bezit zijn van een aangifte.”

Op 17 november 2015 heeft [verweerder] een brief van Rabobank ontvangen, gedateerd 13 november 2015, waarin was vermeld dat zijn gegevens in het “Incidentenregister” waren geplaatst en zijn rekeningen waren geblokkeerd.

Op 18 november 2015 is [verweerder] naar het politiebureau gegaan om aangifte te doen. Op 23 november 2015 is hij door de politie gehoord en op 7 december 2015 heeft hij aangifte gedaan van diefstal van zijn bankpas. In het proces-verbaal van aangifte is onder meer het volgende vermeld:“Hij deed aangifte en verklaarde het volgende over het in de aanhef vermelde incident, dat plaatsvond op de locatie genoemd bij plaats delict, tussen donderdag 1 januari 2015 te 8:00 uur en woensdag 11 11 november 2015 te 21:00 uur. (…)Ik bewaarde de pinpas in mijn portemonnee. Mijn pincode weet ik zo niet eens. Die bewaarde ik ook niet bij mijn pinpas. Ik heb sinds ik de bankrekening heb geopend eigenlijk nooit gebruik gemaakt van deze bankrekening. Ik heb er alleen kleine bedragen op gestort, zodat ik geen negatief saldo zou krijgen door bankkosten. Op woensdag 11 november 2015 zag ik tijdens het internetbankieren dat er een bedrag van 3000 Euro op deze bankrekening stond. Ik zag in de omschrijving dat het een spoedopdracht van (…) betrof.Ik dacht er is vast een fout gemaakt, dus ik laat het staan.Ik heb die avond in mijn portemonnee gekeken en zag dat mijn pinpas die bij de desbetreffende bankrekening hoort niet meer in mijn portemonnee zat.Omdat ik deze pinpas nooit gebruikte kan ik niet zeggen wanneer deze weggenomen is, of op welke wijze dat is gegaan. Het zou ook zo kunnen zijn dat ik hem verloren heb.Op donderdag 12 november 2015 werd ik door de Rabobank benaderd. Zij vroegen mij om langs te komen in verband met een rekening van mij. Tijdens dit bezoek bleek dat het geldbedrag dat ik had ontvangen verdacht was en dat mijn bankrekeningen geblokkeerd werden. Mijn vader heeft deze dag of de dag erna, contact gezocht met (…). Deze bleek aangifte te hebben gedaan. Zij zou zijn benaderd door een deurwaarderskantoor uit Amsterdam, die haar verzochten om een geldbedrag over te maken op mijn rekeningnummer.De politie heeft deze transactie in onderzoek. Hiervoor ben ik ook gehoord. Ik doe deze aangifte omdat ik weer gebruik wil kunnen maken van mijn bankrekeningen.”

In een brief van 4 december 2015 heeft Rabobank [verweerder] meegedeeld dat zijn rekeningen worden gedeblokkeerd.

Op 29 december 2015 heeft Rabobank de gegevens van [verweerder] opgenomen in het Incidentenregister, het bijbehorende Extern Verwijzingsregister (hierna: EVR) en het Intern Verwijzingsregister (hierna: IVR).

In een brief van 12 januari 2016 heeft Rabobank onder meer het volgende aan [verweerder] geschreven:“Rabobank heeft uw gegevens opgenomen in haar Incidentenregister, het bijbehorende Extern Verwijzingenregister alsmede het Intern Verwijzingsregister.Reden van opname is uw betrokkenheid bij een frauduleuze transactie d.d. 11-11-2015.Het Incidentenregister is een register waarin gegevens over incidenten en de bij die incidenten betrokken personen worden vastgelegd. Het register is bedoeld om de veiligheid en de integriteit van de financiële sector te waarborgen.Het Extern Verwijzingsregister bevat de personalia van personen en bedrijven die bij een incident betrokken zijn geweest. Het Extern Verwijzingsregister kan ook door andere financiële instellingen worden bekeken. Komen uw gegevens in het Extern Verwijzingsregister voor? Dan kan een bank bijvoorbeeld weigeren met u een relatie aan te gaan of een product aan u te verkopen.Het Intern Verwijzingsregister kan alleen door de Rabobank of één van de Rabobank Groepsonderdelen worden bekeken.De registratie is voor de duur van maximaal 8 jaar. Dit kan langer worden als er tussentijds andere incidenten plaatsvinden. (…)”

[verweerder] heeft bezwaar gemaakt tegen registratie in de diverse registers. Rabobank heeft de bezwaren van [verweerder] niet gehonoreerd.

[verweerder] heeft de rechtbank verzocht Rabobank te bevelen om de persoonsgegevens van [verweerder] uit haar administratie, het Incidentenregister en het Extern Verwijzingsregister te verwijderen, om alle derden aan wie Rabobank mededeling heeft gedaan over de verwerking van de persoonsgegevens van [verweerder] in het Incidentenregister (inclusief het Extern Verwijzingsregister) schriftelijk mee te delen dat deze inschrijving onterecht is en om aan [verweerder] opgave te doen van alle derden aan wie die mededelingen zijn gedaan, dit alles op straffe van verbeurte van een dwangsom en met veroordeling van Rabobank in de proceskosten.

Rabobank heeft verweer gevoerd. De rechtbank heeft de vorderingen van [verweerder] toegewezen, met veroordeling van Rabobank in de proceskosten.

Met de grieven komt Rabobank op tegen toewijzing van de verzoeken van [verweerder] door de rechtbank. De grieven leggen het geschil in volle omvang aan het hof voor.

Voordat het hof ingaat op de vraag of Rabobank (de gegevens van) [verweerder] terecht heeft geregistreerd in de diverse registers, zal het hof eerst ingaan op de diverse registers en op de vraag aan welke vereisten moet zijn voldaan wil Rabobank persoonsgegevens in deze registers kunnen opnemen.

Rabobank heeft naast de klantadministratie, waarin klantgegevens worden vastgelegd, een Gebeurtenissenadministratie, waarin gebeurtenissen worden vastgelegd die van belang zijn voor de veiligheid en integriteit van Rabobank. De vastgelegde ‘gebeurtenissen’ zijn gegevens van feitelijke aard met een uiteenlopend karakter, variërend van klachten van klanten tot screeningsverzoeken en gegevens over door de klant gepleegde fraude. De vastgelegde gegevens in de Gebeurtenissenadministratie zijn alleen te raadplegen door medewerkers van de afdeling Veiligheidszaken van Rabobank, niet door andere medewerkers van Rabobank en evenmin door medewerkers van een andere financiële instelling.

De afdeling Veiligheidszaken van Rabobank beslist of de gegevens in de Gebeurtenissenadministratie leiden tot een vermelding in het IVR van Rabobank. Het IVR fungeert als intern waarschuwingssysteem voor veiligheidsrisico's. Een dergelijke registratie is uitsluitend zichtbaar voor medewerkers van de Rabobank Groep, op basis van het principe ‘hit/no hit’. De medewerkers die het register raadplegen krijgen de reden van de registratie niet te zien, maar dienen bij een melding contact op te nemen met afdeling Veiligheidszaken, die adviseert over de te nemen beslissing.

Het verwerken van gegevens in de Gebeurtenissenadministratie en het IVR dient te worden getoetst aan de Wet bescherming persoonsgegevens (hierna: Wbp). De Nederlandse Vereniging van Banken en het Verbond van Verzekeraars hebben nadere regels opgesteld ter uitwerking van de Wpb, die zijn vastgelegd in de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (hierna: de Gedragscode). De Gedragscode is door het College Bescherming Persoonsgegevens (hierna: CBP) getoetst en van een goedkeurende verklaring voorzien. Op grond van artikel 8 sub f Wpb (vergelijk ook artikel 4.3 sub f van de Gedragscode) mogen de persoonsgegevens slechts worden verwerkt in het IVR indien dat noodzakelijk is voor de behartiging van het gerechtvaardigd belang van de bank, tenzij het belang van de fundamentele rechten en vrijheden van de betrokken klant (in het bijzonder het recht op bescherming van de persoonlijke levenssfeer) prevaleert. Bij het opnemen van gegevens in het IVR dient Rabobank dan ook een afweging te maken tussen het belang van Rabobank bij de vastlegging van deze gegevens met het oog op de bescherming van Rabobank tegen veiligheids- en integriteitsrisico’s en het belang van de betrokken klant.In artikel 5.1.2 van de Gedragscode is bepaald dat de financiële instelling niet meer gegevens verwerkt dan strikt noodzakelijk is en dat gegevens binnen de groep slechts beschikbaar worden gesteld aan daartoe bevoegde medewerkers.In artikel 5.5.1 van de Gedragscode is bepaald dat ten behoeve van de veiligheid en integriteit van de financiële sector onder meer gegevens die betrekking hebben op gebeurtenissen die gelet op het bijzondere karakter van de financiële sector de zorg en aandacht behoeven van de financiële sector mogen worden opgenomen in de Gebeurtenissenadministratie.Ten aanzien van de verwerking van persoonsgegevens van strafrechtelijke aard is in artikel 6.2.1 bepaald dat het financiële instellingen is toegestaan strafrechtelijke persoonsgegevens te verwerken voor zover dat noodzakelijk is voor onder meer de beoordeling en acceptatie van de cliënt en het waarborgen van de veiligheid en integriteit van de financiële instelling, waaronder is begrepen het onderkennen, voorkomen en onderzoeken van (pogingen tot) strafbare of laakbare gedragingen tegen de branche. Artikel 6.2.5 voorziet in de mogelijkheid om binnen een groep van verbonden financiële instellingen strafrechtelijke gegevens (onder voorwaarden) uit te wisselen.

Uit hetgeen hiervoor is overwogen, volgt dat het antwoord op de vraag of gegevens van een klant in de Gebeurtenissenadministratie en het IVR mogen worden opgenomen afhankelijk is van een afweging tussen het belang van veiligheid en integriteit van de financiële instelling en de belangen van de klant, in het bijzonder het belang bij eerbiediging van de persoonlijke levenssfeer. Daarbij tekent het hof aan dat de belangen van een klant om niet te worden geregistreerd in het IVR groter zijn dan het belang om niet te zijn vermeld in de Gebeurtenissenadministratie, vanwege de consequenties van het ‘hit / no hit’ systeem van het IVR.

Gegevens die zijn opgenomen in de Gebeurtenissenadministratie kunnen ook worden opgenomen in het Incidentenregister en het EVR. In de Gedragscode (artikel 5.5.2) is bepaald dat opname in deze registers mogelijk is indien wordt voldaan aan de vereisten van het Protocol Incidentenwaarschuwingssystemen financiële instellingen (hierna: het Protocol). Het CBP heeft goedkeuring aan dit protocol gegeven. Het Protocol reguleert de verwerking door financiële instellingen van incidenten. Een incident is (artikel 2 Protocol) “een gebeurtenis die als gevolg heeft, zou kunnen hebben, of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding”. Het Protocol voorziet in een Incidentenregister, waarin gegevens worden vastgelegd naar aanleiding van of met betrekking tot een incident, en daaraan gekoppeld het EVR. Het Incidentenregister wordt beheerd door de afdeling Veiligheidszaken van de desbetreffende financiële instelling, het EVR is raadpleegbaar door de aangesloten financiële instellingen.

Volgens artikel 4.1.1 van het Protocol is het doel van het Incidentenregister “het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, daaronder mede begrepen (het geheel van) activiteiten die gericht zijn:  op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;  op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers;  op het gebruik van en de deelname aan waarschuwingssystemen.”In het Incidentenregister legt een financiële instelling gegevens vast ten behoeve van het in artikel 4.1.1 van het Protocol genoemde doel naar aanleiding van een incident (artikel 3.1.1 Protocol). Indien niet langer wordt voldaan aan de voorwaarden van artikel 3.1.1 van het Protocol dient de financiële instelling de gegevens te verwijderen uit het Incidentenregister (artikel 4.3.1 Protocol).

In het EVR zijn zogenaamde verwijzingsgegevens opgenomen, te weten identificerende gegevens van personen die in het EVR zijn opgenomen. Deze gegevens zijn zichtbaar voor medewerkers van de afdeling Veiligheid van de financiële instellingen die toegang hebben tot het EVR, dit op basis van ‘hit / no hit’. Opname in het EVR vindt plaats wanneer aan de in artikel 5.2.1 van het Protocol vermelde vereisten is voldaan, te weten:“a) De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector. b) In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar. c) Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat Veiligheidszaken vaststelt, dat het belang van opname in het Externe Verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn Persoonsgegevens in het Extern Verwijzingsregister.”Op grond van artikel 5.3.1 van het Protocol zorgt de financiële instelling ervoor dat de verwijzingsgegevens worden verwijderd uit het EVR indien niet langer aan de voorwaarden van artikel 5.2.1 van het Protocol wordt voldaan.

Uit hetgeen hiervoor is overwogen, volgt dat een opname in het EVR verstrekkende gevolgen kan hebben. Alle deelnemende financiële ondernemingen kunnen immers door toetsing in het EVR vaststellen dat een persoon in het Incidentenregister van een andere deelnemer is opgenomen. Vervolgens kunnen zij nadere informatie over de reden van opname opvragen. Dit kan ertoe leiden dat niet alleen de deelnemer die tot opname in het Incidentenregister is overgegaan, maar ook andere deelnemers hun (financiële) diensten aan de opgenomen persoon zullen weigeren. Gelet hierop dienen hoge eisen te worden gesteld aan de gronden voor opname in het EVR. Opname in het EVR kan slechts plaatsvinden indien zij in overeenstemming is met de Wbp en het Protocol. Voor verwerking in overeenstemming met het Protocol van strafrechtelijke persoonsgegevens in bestanden als de onderhavige registers die onder het regime van de Wbp vallen, is een veroordeling door de strafrechter niet vereist. Blijkens de Memorie van Toelichting bij het wetsvoorstel van de Wbp is gedacht aan gegevens in verband met strafbaar of hinderlijk gedrag, die tot de gevoelige gegevens behoren omdat de betrokkenen in verband worden gebracht met verwijtbaar gedrag. Het ziet op veroordelingen en op min of meer gegronde verdenkingen (Kamerstukken II 1997–1998, 25 892, nr. 3, p. 102 en 118; zie ook, in een verder verwijderd verband, de beantwoording van vraag 26, Kamerstukken II 1998-1999, 25 892, nr. 13, p. 13/14). Uit een en ander valt op te maken dat de te verwerken gegevens in voldoende mate moeten vaststaan. Onder strafrechtelijke gegevens moeten daarom worden verstaan feiten en omstandigheden die zodanig concreet zijn dat zij een als strafbaar feit te kwalificeren bewezenverklaring - in de zin artikel 350 Sv - kunnen dragen. Dit brengt mee dat een redelijk vermoeden van schuld aan een strafbaar feit, zoals dat kan blijken uit een aangifte, onvoldoende is. De vastgestelde gedragingen dienen een zwaardere verdenking dan een redelijk vermoeden van schuld op te leveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan (vergelijk HR 25 mei 2009, ECLI:NL:HR:2009:BH4720). Daarnaast dient nog een belangenafweging overeenkomstig artikel 8 onder f Wbp plaats te vinden. Artikel 5.2.1 van het Protocol voorziet, onder c, ook in een dergelijke afweging. Bij deze afweging komt ook betekenis toe aan de duur van de opname in het EVR.

Het hof zal tegen de achtergrond van hetgeen hiervoor is overwogen over de diverse registers en de in aanmerking te nemen criteria voor opname in de registers - waarbij geldt dat de criteria voor opname in het Incidentenregister en het EVR niet gelijk zijn aan die voor opname in het IVR en zeker niet voor opname in de Gebeurtenissenadminstratie; in zoverre is grief 2 terecht voorgesteld - nagaan of Rabobank de gegevens van [verweerder] terecht heeft opgenomen in de diverse registers. Het zal daarbij eerst ingaan op de vraag of [verweerder] , zoals Rabobank betoogt, heeft gefungeerd als ‘geldezel’.

Rabobank heeft aangevoerd dat [verweerder] als ‘geldezel’ betrokken is geweest bij de (poging tot) oplichting van diverse personen. Volgens Rabobank was in en rondom Groningen in het laatste kwartaal van 2015 en het eerste kwartaal van 2016 een organisatie actief die zich bezighoudt met zogenaamde acquisitiefraude. De methode van deze organisatie is de volgende. Een ‘ronselaar’ van de organisatie vraagt personen om, vaak tegen de belofte van een vergoeding, hun bankpas met pincode voor enige tijd af te staan. De personen die hun bankpas afstaan, zijn de geldezels. De ronselaar vertelt de geldezels dat zij de bank of de politie, als deze contact opnemen, moeten vertellen dat zij hun pas zijn verloren, maar dat zij vergeten zijn dat te melden aan de bank en dat zij hun pincode, omdat ze het lastig vonden die te onthouden, ergens op hebben geschreven, bijvoorbeeld op de bankpas. De ronselaars stellen de geronselde bankpassen en pincodes beschikbaar aan ‘cashers’, die met behulp van de bankpassen geld opnemen bij een pinautomaat. Dat geld is op de bankrekening van de geldezel gestort door de slachtoffers, die telefonisch zijn benaderd door de ‘bellers’ van de organisatie. De bellers doen zich voor als medewerkers van de rechtbank of van een incassobureau, delen mee dat hun potentiële slachtoffers een schuld hebben die ze onmiddellijk moeten betalen op het rekeningnummer van een van de geldezels. Wanneer daadwerkelijk een bedrag wordt overgemaakt, probeert de casher het geld zo snel mogelijk op te nemen met behulp van de geronselde bankpas en pincode.

[verweerder] heeft de (onderbouwde) stellingen van Rabobank over de acquisitiefraude in en rondom Groningen slechts gedeeltelijk weersproken. Hij heeft alleen betwist dat de geldezels van de ronselaars te horen krijgen dat zij de bank of de politie moeten vertellen dat zij hun pas verloren hebben en de pincode op hun pas hebben geschreven. Naar het oordeel van het hof heeft Rabobank dit onderdeel van haar stellingen over de gang van zaken bij acquisitiefraude onvoldoende onderbouwd. Het hof wijst erop dat de overgelegde verklaringen van geldezels geen melding maken van hetgeen de geldezels van de ronselaar aan de politie of de bank moesten vertellen. Geen van deze geldezels heeft verklaard zijn pincode op de pas te hebben geschreven. Naar het oordeel van het hof heeft [verweerder] wel onvoldoende weersproken dat bij de acquisitiefraude gebruik wordt gemaakt van afgestane bankpassen. Het succes van de ‘formule’ staat of valt met de mogelijkheid om snel - het slachtoffer kan zich elk moment realiseren het slachtoffer te zijn geworden van fraude en contact opnemen met de politie en/of zijn bank - geld op te nemen van de bankrekening van de geldezel. Dat kan alleen wanneer de bankpas niet is geblokkeerd, hetgeen met een gestolen of een verloren bankpas veelal (na korte, soms na wat langere tijd) het geval zal zijn. Aan het gebruiken van een gestolen of verloren bankpas is het risico inherent dat deze is geblokkeerd. Het hof laat nog daar dat in veruit de meeste gevallen bij een gestolen of verloren bankpas de pincode niet beschikbaar is.

Naar het oordeel van het hof heeft Rabobank voldoende onderbouwd, en is dit onvoldoende weersproken door [verweerder] , dat van de bankpas en de pincode van [verweerder] gebruik is gemaakt in het kader van de hiervoor vermelde acquisitiefraude. De criminele organisatie die deze fraude pleegde, heeft gebruik gemaakt van de bankpas en de pincode van [verweerder] . Bellers van de organisatie hebben diverse personen benaderd en hen geprobeerd over te halen geld over te maken op de bankrekening van [verweerder] en toen een van hun pogingen slaagde, heeft een casher van de organisatie geprobeerd geld op te nemen van de bankrekening van [verweerder] . Deze casher is, naar Rabobank onbetwist heeft aangevoerd, zichtbaar op (de overgelegde) camerabeelden die beschikbaar zijn van de geldopnames op 11 november 2015 en is ook betrokken bij opnames van andere bankrekeningen. Een andere tot de organisatie behorende casher heeft, blijkt uit camerabeelden, op 9 november 2011 met behulp van bankpas en pincode het saldo van de rekening van [verweerder] gecontroleerd.

Volgens Rabobank heeft [verweerder] zijn bankpas en pincode vrijwillig afgestaan aan de organisatie. [verweerder] heeft dat bestreden. Naar het oordeel van het hof heeft [verweerder] zijn betwisting van de stellingen van Rabobank dat hij zijn bankpas en pincode vrijwillig heeft afgestaan, en daarmee als geldezel heeft gefungeerd, onvoldoende gemotiveerd. Daartoe is het volgende redengevend.

Het past, zoals hiervoor is overwogen, niet in de modus operandi van de organisatie die de acquisitiefraude pleegde om te werken met een gestolen pas. Nu vaststaat dat de pas en de pincode van [verweerder] zijn gebruikt bij de acquisitiefraude is het uiterst onwaarschijnlijk dat de organisatie met een gestolen of verloren pas van [verweerder] heeft gewerkt. In dit verband merkt het hof op dat van 9 tot 11 november pogingen zijn gedaan om geld overgemaakt te krijgen naar de bankrekening van [verweerder] . Dergelijke pogingen hadden alleen zin indien de organisatie een redelijke mate van zekerheid had dat van de pas van [verweerder] gebruik gemaakt kon worden (een casher had dat op 9 november 2015 gecontroleerd), welke zekerheid de organisatie niet had indien de pas gestolen of verloren was.

Het hof acht het niet aannemelijk dat [verweerder] , zoals hij in de procedure in hoger beroep heeft gesteld, zijn pincode op zijn pinpas heeft geschreven. Bij gelegenheid van de mondelinge behandeling van het beroep is naar voren gekomen dat deze pas niet de eerste pas van [verweerder] was en dat de moeder van [verweerder] hem erop heeft gewezen dat hij pinpas en pincode niet bij elkaar moet bewaren. [verweerder] heeft ook verklaard dat dit hem bekend was. Daar komt bij dat [verweerder] in zijn aangifte bij de politie juist heeft verklaard dat hij zijn pincode niet bij zijn pas bewaarde. Dat [verweerder] zijn pincode op zijn pas heeft geschreven is dan ook een weinig waarschijnlijke verklaring voor het feit dat de casher de pincode van [verweerder] kende. Een veel waarschijnlijker verklaring is dat [verweerder] hem de pincode heeft verstrekt.

[verweerder] heeft geen plausibele verklaring gegeven voor het feit dat hij zijn bankpas pas op 12 november 2015 heeft laten blokkeren. Volgens de eigen stellingen van [verweerder] bemerkte hij op 11 november 2015 dat hij zijn pas kwijt was. [verweerder] wist toen ook dat er € 3.000,- was overgemaakt op zijn bankrekening. Bij gelegenheid van de mondelinge behandeling in hoger beroep heeft hij verklaard dat hij dat bedrag zelf wilde opnemen en toen, bij de pinautomaat, bemerkte dat hij geen pas had. In die situatie, waarin hij zijn pas miste (waarop hij volgens zijn eigen stellingen ook zijn pincode had geschreven) en er op de bankrekening een bedrag was gestort waarvan [verweerder] wist dat het hem niet toekwam, acht het hof het onbegrijpelijk dat [verweerder] zijn pas niet heeft laten blokkeren toen hij zijn pas miste, al dan niet nadat [verweerder] thuis nog op zoek was gegaan naar de pas. Het nalaten van [verweerder] op dit punt is wel zeer begrijpelijk in de situatie dat [verweerder] zijn pas en pincode vrijwillig heeft afgestaan.

[verweerder] heeft op 11 en 12 november 2015 zeer vaak - veel vaker dan anders - de saldi van zijn rekeningen geraadpleegd. Aanvankelijk gaf hij aan dat hij bedragen verwachtte vanwege een schade-uitkering voor een beschadigde mobiel en vakantiegeld. Gebleken is dat de verzekering op naam stond van de ouders van [verweerder] en dat de betaling van een uitkering ook via zijn ouders verliep. Dat was ten aanzien van de in september 2015 ontvangen uitkering ook gebeurd. [verweerder] , die bij zijn ouders woonde, hoefde niet meermalen per dag zijn bankierenapp te raadplegen om na te gaan of de uitkering was overgemaakt; hij kon dat ook aan zijn ouders vragen. Ook de vakantiegeldbetaling is – uiteindelijk – via de ouders van [verweerder] verlopen, volgt uit de door Rabobank overgelegde bankgegevens. Bovendien heeft [verweerder] niet toegelicht waarom hij de betaling van zijn vakantiegeld nu juist op 11 en 12 november 2015 verwachtte en waarom hij, als hij de betaling al verwachtte, tientallen malen zijn saldi raadpleegde. De stellingen die [verweerder] over het raadplegen van zijn banksaldi heeft betrokken acht het hof dan ook ongeloofwaardig. Het hof tekent daarbij aan dat [verweerder] bij gelegenheid van de mondelinge behandeling in hoger beroep heeft verklaard dat hij zijn saldo vaak heeft geraadpleegd vanwege de ontvangst van € 3.000,-. Indien die ontvangst zo’n indruk op hem maakte, valt zonder nadere toelichting, die ontbreekt, niet in te zien dat [verweerder] op 11 en 12 november 2015 geen actie heeft ondernomen totdat Rabobank op 12 november 2015 contact met hem opnam.

[verweerder] heeft op 11 november 2015 de opnamelimiet voor zijn bankrekening verhoogd. Als hij dat heeft gedaan, zoals hij heeft verklaard, om zelf het op zijn rekening gestorte bedrag op te nemen, valt hem dat te verwijten (zeker in combinatie met zijn afwachtende houding nadien), maar het hof acht het gelet op hetgeen hiervoor is overwogen waarschijnlijker dat [verweerder] dat heeft gedaan om het de casher mogelijk te maken het gestorte bedrag zo snel mogelijk op te nemen. Het verhogen van de opnamelimiet past in de modus operandi van de organisatie die zich in de bewuste periode in en rond Groningen bezighield met acquisitiefraude.

Van elk van de hiervoor onder 5.17 tot en met 5.20 genoemde omstandigheden - het beschikbaar zijn van de pincode, het pas laat blokkeren van de pas, het zeer frequent raadplegen van de banksaldi en het verhogen van de opnamelimiet - kan mogelijk gelden dat sprake is van een toevalligheid, maar nu elk van deze omstandigheden past bij handelen van iemand die als geldezel fungeert, heeft [verweerder] de stelling van Rabobank dat geen sprake is van een samenstel van toevalligheden, maar van een patroon dat past bij het fungeren van [verweerder] als geldezel onvoldoende weersproken, zodat het hof ervan uitgaat dat [verweerder] als geldezel heeft gefungeerd.

[verweerder] heeft niet weersproken dat indien hij als geldezel heeft gefungeerd, hij zich heeft schuldig gemaakt aan een strafbaar feit. Dat hij (nog) niet strafrechtelijk is veroordeeld, betekent niet dat Rabobank de gegevens die betrekking hebben op het handelen van [verweerder] als geldezel niet mag verwerken. Daartoe is immers niet noodzakelijk dat [verweerder] strafrechtelijk is veroordeeld, maar dat te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan. Dat laatste is naar het oordeel van het hof, gelet op hetgeen het hof heeft vastgesteld, het geval.

Voor opname van de gegevens van [verweerder] in het Incidentenregister en het EVR is niet voldoende dat [verweerder] zich, door als geldezel te fungeren, heeft schuldig gemaakt aan een strafbaar feit, maar ook dat het belang van Rabobank bij opname in de registers prevaleert boven dat van [verweerder] . Daarbij dient in aanmerking te worden genomen dat opname in de registers ernstige gevolgen voor [verweerder] heeft.

Naar het oordeel van het hof heeft Rabobank groot belang bij het opnemen van de gegevens van [verweerder] in de beide registers. Door te fungeren als geldezel heeft [verweerder] eraan meegeholpen dat met behulp van een bankrekening bij Rabobank derden konden worden opgelicht. Daarmee is inbreuk gemaakt op de veiligheid en integriteit van het bankverkeer. [verweerder] heeft door te blijven ontkennen als geldezel te hebben gefungeerd er bovendien geen blijk van gegeven inzicht te hebben in zijn handelwijze, zodat Rabobank, mede gelet op de ernst van het aan [verweerder] te verwijten handelen, een risico kan zien in de moraliteit van [verweerder] .Daar staat tegenover dat [verweerder] jong was (en nog steeds is), waardoor zijn handelen deels verklaard kan worden door ‘jeugdige onbezonnenheid’ en dat de gevolgen van een registratie in het Incidentenregister en het EVR zeker op de lange termijn groot zijn. De kans is aanzienlijk dat [verweerder] niet althans zeer bezwaarlijk financiering kan krijgen voor zijn bedrijf, niet gemakkelijk verzekeringen zal kunnen afsluiten en grote problemen zal ondervinden wanneer hij een hypothecaire lening wil afsluiten ter financiering van een eigen woning.Onder die omstandigheden acht het hof een registratie in de beide registers voor de duur van de maximale termijn van acht jaren niet proportioneel. Het hof tekent daarbij aan dat Rabobank de registratie in deze registers van een andere geldezel geheel achterwege heeft gelaten vanwege het enkele feit dat deze geldezel heeft erkend als geldezel te hebben gefungeerd. Het hof acht een registratie tot en met 31 december 2020 proportioneel. Wanneer rekening wordt gehouden met de periode waarin [verweerder] geregistreerd is geweest - iets minder dan een jaar tot de beschikking van de rechtbank en ruim drie jaar vanaf heden -is sprake van een registratie voor de duur van omstreeks vier jaren.

Voor wat betreft de registratie in het IVR overweegt het hof dat uit hetgeen hiervoor is overwogen, volgt dat Rabobank belang heeft bij de vastlegging van deze gegevens met het oog op de bescherming van Rabobank tegen veiligheids- en integriteitsrisico’s. Die belangen wegen naar het oordeel van het hof zwaarder dan het belang van [verweerder] . Het hof ziet ook geen reden om de periode van registratie in het IVR te beperken, nu registratie in het IVR

[verweerder] weliswaar beperkt in het betrekken van financiële producten van Rabobank en leden van de Rabobank Groep, maar niet in het betrekken van vergelijkbare producten bij andere financiële instellingen. Gesteld noch gebleken is dat [verweerder] een bijzonder belang heeft bij een financiële relatie met (juist) Rabobank.

Voor het belang van Rabobank bij opname van de gegevens van [verweerder] betreffende de acquisitiefraude in de Gebeurtenissenadministratie geldt, naast hetgeen hiervoor al is opgemerkt over de opname in de andere registers, in het bijzonder het IVR, dat de Gebeurtenissenadministratie fungeert als het ‘geheugen’ van Rabobank en dat aan opname van die gegevens op zichzelf nog geen directe gevolgen voor de klant verbonden zijn. Onder die omstandigheden ziet het hof geen enkele reden om de duur van opname van die gegevens in de Gebeurtenissenadministratie te beperken.

De slotsom is dat de grieven grotendeels slagen. Het hof zal de beschikking van de rechtbank vernietigen en, opnieuw rechtdoende, de verzoeken van [verweerder] grotendeels afwijzen, behoudens voor wat betreft de registratie in het Incidentenregister en het EVR vanaf 1 januari 2021. Het hof ziet geen reden om aan het bevel aan Rabobank om de gegevens per 1 januari 2021 uit de twee laatstgenoemde registers te verwijderen nu reeds een dwangsom te verbinden.

Het hof merkt op dat met deze beslissing is gegeven dat het Rabobank is toegestaan de gegevens van [verweerder] opnieuw in de Gebeurtenissenadministratie, het IVR, het Incidentenregister en het EVR op te nemen. Een aparte beslissing, zoals verzocht door Rabobank, is daartoe niet noodzakelijk.

Bij deze stand van zaken is [verweerder] grotendeels in het ongelijk gesteld. Het hof zal hem dan ook veroordelen in de proceskosten in eerste aanleg en in hoger beroep (geliquideerd salaris van de advocaat in beide instanties: 2 punten, tarief II), te vermeerderen met nasalaris en wettelijke rente.

vanaf 14 dagen na betekening van deze uitspraak tot de dag der algehele voldoening, en met € 68,00 voor nasalaris van de advocaat indien niet binnen veertien dagen na

aanschrijving aan deze uitspraak is voldaan én betekening heeft plaatsgevonden;

verklaart deze beschikking tot zover uitvoerbaar bij voorraad;

wijst het meer of anders verzochte af.

Deze beschikking is gegeven door mr. H. de Hek, mr. L. Janse en mr. P. Roorda, in tegenwoordigheid van de griffier, in het openbaar uitgesproken op 2 november 2017.