inloggen / registreer

Jurisprudentie

BF5923

Datum uitspraak2008-10-06
Datum gepubliceerd2008-10-06
RechtsgebiedHandelszaak
Soort ProcedureEerste aanleg - enkelvoudig
Instantie naamRechtbank Arnhem
Zaaknummers171494
Statusgepubliceerd

Indicatie

Verzoek aan BKR om mededeling van persoonsgegevens op grond van de Wet bescherming persoonsgegevens; kosten van de mededeling en de eis van deugdelijke identificatie. Artikel 35, 37 lid 2, 39 en 46 Wbp. BKR wijst een verzoek om mededeling te doen van persoonsgegevens af omdat de verzoeker zich niet in persoon heeft gelegitimeerd en geen € 4,50 heeft betaald, zoals BKR verlangt. De vraag is of de rechtbank BKR moet bevelen om alsnog mededeling te doen. Daarvoor dient beoordeeld te worden of BKR indentificatie in persoon mag verlangen en of zij € 4,50 in rekening mag brengen in plaats van € 0,23 per pagina. De rechtbank beantwoordt beide vragen bevestigend. De wet vereist deugdelijke vaststelling van de identiteit van de verzoeker. BKR heeft een zekere mate van vrijheid bij de bepaling wat deugdelijk is. Van belang zijn de aard van de gegevens en de belemmering die ontstaat voor het doen van een verzoek. Omdat BKR vertrouwelijke gegevens verwerkt en een verzoek bij ieder bankfiliaal kan worden gedaan waardoor de inzagedrempel beperkt is, komt de rechtbank tot het oordeel dat BKR in redelijkheid identificatie in persoon heeft kunnen verlangen. BKR beroept zich wat de kosten betreft op de uitzondering dat de mededeling die zij moet doen "bestaat uit een afschrift van een, vanwege de aard van de verwerking, moeilijk toegankelijke gegevensverwerking". Vastgesteld wordt dat BKR bewerkelijke handelingen moet verrichten om mededeling van persoonsgegevens te doen. Met een verwijzing naar de totstandkomingsgeschiedenis van de betreffende bepaling oordeelt de rechtbank dat de verwerking moeilijk toegankelijk is. Het verzoek wordt afgewezen.

Uitspraak

beschikking RECHTBANK ARNHEM Sector civiel recht zaaknummer / rekestnummer: 171494 / HA RK 08-177 Beschikking van 6 oktober 2008 in de zaak van [verzoeker], wonende te Amsterdam, verzoeker, verschenen in persoon, tegen de stichting BUREAU KREDIET REGISTRATIE, gevestigd te Tiel, verweerster, advocaat mr. M.J. Muller. De partijen worden verder met [verzoeker] en BKR aangeduid. 1. De procedure Het verloop van de procedure blijkt uit: - het verzoekschrift - het verweerschrift - de mondelinge behandeling. Verschenen zijn [verzoeker], en [(naam)], senior bedrijfsjurist van BKR, vergezeld van mr. Muller voornoemd. 2. De beoordeling 2.1. Het verzoek strekt ertoe dat de rechtbank BKR op de voet van artikel 46 van de Wet bescherming persoonsgegevens (Wbp) beveelt alsnog te voldoen aan een verzoek van [verzoeker] aan BKR om mededeling te doen van de persoonsgegevens die BKR van [verzoeker] verwerkt, zoals bedoeld in artikel 35 Wbp. 2.2. BKR heeft om twee redenen geweigerd aan het verzoek van [verzoeker] te voldoen. [verzoeker] heeft zich niet, zoals BKR voorschrijft, in persoon gelegitimeerd, maar volstaan met een schriftelijk inzageverzoek vergezeld van een kopie van zijn paspoort. [verzoeker] heeft BKR niet de voorgeschreven € 4,50 betaald voor de mededeling van zijn gegevens. [verzoeker] heeft aangevoerd dat BKR in strijd handelt met de Wbp door deze eisen te stellen. BKR heeft dat betwist. Op de standpunten van partijen wordt hierna voor zover van belang ingegaan. 2.3. Ter zake van het legitimatievereiste geldt het volgende. De Wbp schrijft niet voor op welke wijze een betrokkene zich tot een verantwoordelijke dient te wenden met een verzoek om mededeling te doen zoals bedoeld in artikel 35 Wbp. De verantwoordelijke dient wel zorg te dragen voor een deugdelijke vaststelling van de identiteit van de verzoeker, zo is in artikel 37 lid 2 Wbp bepaald. Noch de Wbp noch de daarop gebaseerde lagere regelgeving geeft concrete aanknopingspunten ten aanzien van de wijze waarop zorg kan of moet worden gedragen voor een ‘deugdelijke vaststelling van de identiteit van de verzoeker’. De toelichting op artikel 37 lid 2 Wbp vermeldt (Tweede Kamer, vergaderjaar 1997-1998, 25 892, nr. 3, pagina 161): “De verantwoordelijke moet de identiteit van de verzoeker vaststellen om te voorkomen dat iemand door het gebruik van de naam van een ander gegevens over deze kan krijgen (tweede lid). Welke waarborgen in een bepaald geval voldoende zijn hangt af van de aard van de registratie. Zo zouden bijvoorbeeld, wanneer het belang van de betrokkene daardoor niet kan worden geschaad, de gegevens slechts naar het adres dat in de registratie staat vermeld kunnen worden verzonden. In andere gevallen zal de verzoeker eventueel in persoon moeten verschijnen.” 2.4. Uit het ontbreken van concrete aanknopingspunten volgt dat aan BKR in beginsel ten aanzien van de wijze waarop zij de identiteit van de verzoeker wil vaststellen een zekere mate van vrijheid, een discretionaire bevoegdheid, toekomt. Die vrijheid wordt enerzijds beperkt door het uitgangspunt dat de identiteitsvaststelling deugdelijk moet zijn en anderzijds door het gegeven dat die niet zo belemmerend mag werken dat daarmee de facto aan het recht van de betrokkenen zich vrijelijk tot BKR te wenden in de zin van artikel 35 Wbp afbreuk wordt gedaan. 2.5. In haar privacy gedragscode (artikel 7) heeft BKR omschreven op welke wijze betrokkenen kennis kunnen nemen van de hen betreffende persoonsgegevens die BKR heeft verwerkt. Lid 2 van dit artikel bepaalt: “De procedure voor de uitoefening van het recht op kennisneming is als volgt: - de Betrokkene vervoegt zich bij een bij de Stichting (rb: BKR) aangesloten Deelnemer (rb: een bankfiliaal) en geeft te kennen geïnformeerd te willen worden omtrent hem betreffende door de Stichting verwerkte Persoonsgegevens; - de Deelnemer, die conform het Algemeen Reglement verplicht is zijn medewerking te verlenen, vult aan de hand van een geldig legitimatie- en/of identiteitsbewijs van de Betrokkene een daartoe bestemd formulier in, dat na ondertekening door de Betrokkene, door de Deelnemer naar de Stichting wordt gestuurd; - de Stichting verstrekt (...) rechtstreeks aan Betrokkene per post de opgave van de eventueel verwerkte Persoonsgegevens; - voor de verstrekking van de gegevens betaalt de Betrokkene € 4,50 aan de Deelnemer.” 2.6. Uit de onder 2.3 geciteerde toelichting op artikel 37 lid 2 Wbp volgt dat, in het algemeen, het enkele feit dat een verantwoordelijke legitimatie in persoon verlangt niet reeds betekent dat zij op ongeoorloofde wijze het recht beperkt van een betrokkene op inzage in zijn persoonsgegevens. De waarborg die legitimatie in persoon biedt kan immers volgens de wetgever geboden zijn. Of BKR bij de inrichting van de procedure waarmee zij de identiteit van verzoekers controleert binnen de grenzen is gebleven, is dus onder meer afhankelijk van de aard van de gegevens die BKR verwerkt. 2.7. De stellingen van [verzoeker] komen er op neer dat BKR door identificatie in persoon te verlangen voor een disproportionele wijze van vaststelling van de identiteit van de verzoeker heeft gekozen, die niet wordt gerechtvaardigd door de aard van de verwerkte gegevens. Daardoor wordt [verzoeker] belemmerd in zijn recht zich vrijelijk tot BKR te wenden. De rechtbank volgt [verzoeker] daarin niet. BKR verwerkt gegevens over (de nakoming van) (krediet)overeenkomsten bij banken, postorderbedrijven en telecomaanbieders. Dit betreft gegevens die niet uit openbare bronnen zijn af te leiden en die een vertrouwelijk karakter hebben. De aard van deze gegevens rechtvaardigt een grondige controle van de identiteit van de verzoeker. Identificatie in persoon aan de balie bij een bank biedt een grotere waarborg tegen misbruik of fraude dan het verzenden van een aanvraag met een kopie van een paspoort. Dat mogelijk door de verzending van de gegevens per post deze nog in handen van derden zouden kunnen komen, maakt het voorgaande niet anders. De drempel die met de door BKR gekozen procedure wordt opgeworpen is voorts relatief gering, aangezien bij ieder bankfiliaal een inzageverzoek kan worden gedaan. BKR kon, gezien enerzijds de vertrouwelijke aard van de gegevens en anderzijds de relatief beperkte drempel van het in persoon verschijnen bij een bankfiliaal, in redelijkheid tot de door haar gekozen procedure komen en heeft daarmee de grenzen van haar discretionaire bevoegdheid niet overschreden. 2.8. [verzoeker] heeft nog verwezen naar de Richtlijn (nr. 95/46/EG van 24 oktober 1995, betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van gegevens, Publicatieblad L 281, 23 november 1995, p. 31-51), waarvan de Wbp de implementatie vormt. Art. 12 van de Richtlijn schrijft weliswaar voor dat de Lid-Staten waarborgen dat een betrokkene kort gezegd, ‘vrijelijk en zonder beperking’ inzage kan vragen. Naar het oordeel van de rechtbank geeft deze formulering echter geen duidelijk aanknopingspunt voor de te beantwoorden vraag van uitleg van de artikelen 35 en 37 Wbp. Uit de tekst van artikel 12 volgt immers tevens dat dit artikel niet zo kan worden uitgelegd dat aan het doen van inzageverzoeken geen enkele – praktische - beperking zal zijn verbonden; artikel 12 spreekt immers ook van ‘met redelijke tussenpozen en zonder bovenmatige vertraging of kosten’. Ter zake van de identificatie van de verzoeker bepaalt de richtlijn niets. De wijze waarop dat dient te geschieden wordt door de richtlijn dus opengelaten. 2.9. [verzoeker] heeft nog aangevoerd dat de meeste met BKR vergelijkbare organisaties in andere landen van de EU wel schriftelijke of zelfs online inzageverzoeken toestaan. Dat op zichzelf betekent echter niet dat BKR de grenzen van haar discretionaire bevoegdheid overschrijdt en disproportionele belemmeringen voor inzage opwerpt. 2.10. De brief van het College Bescherming Persoonsgegevens (CBP) van 4 februari 2003 (productie XIII bij het verweerschrift), waarnaar [verzoeker] nog heeft verwezen, leidt niet tot een ander oordeel. Die brief ziet op een onvergelijkbaar geval, te weten op een inzageverzoek aan een handelsinformatiebureau door tussenkomst van een advocaat. 2.11. Ten aanzien van de vraag of BKR [verzoeker] € 4,50 in rekening mag brengen voor de mededeling van persoonsgegevens, wordt als volgt overwogen. Voor zover hier van belang luidt artikel 39 Wbp: “1. De verantwoordelijke kan voor een bericht als bedoeld in artikel 35 een bij of krachtens algemene maatregel van bestuur vast te stellen vergoeding van kosten verlangen die ten hoogste € 5 bedraagt. (…) 3. Het bedrag genoemd in het eerste lid kan in bijzondere gevallen bij algemene maatregel van bestuur worden gewijzigd.” 2.12. Bij het Besluit kostenvergoeding rechten betrokkene Wbp (Staatsblad 2001, 305), zijn onder meer de volgende nadere regels gesteld. “Artikel 2 1. De vergoeding voor de kosten van het bericht als bedoeld in artikel 35 van de wet bedraagt € 0.23 per pagina met een maximaal bedrag van € 4.50 per bericht. 2. De verantwoordelijke mag voor de kosten van een bericht dat op een andere gegevensdrager wordt verstrekt dan papier een redelijke vergoeding in rekening brengen met dien verstande dat deze ten hoogste € 4.50 bedraagt. Artikel 3 De verantwoordelijke mag in afwijking van artikel 2 een redelijke vergoeding in rekening brengen met dien verstande dat deze ten hoogste € 22.50 bedraagt in het geval dat: a. het afschrift bestaat uit meer dan honderd pagina’s, of b. het bericht bestaat uit een afschrift van een, vanwege de aard van de verwerking, moeilijk toegankelijke gegevensverwerking.” 2.13. Het geschil spitst zich in dit verband toe op de vraag of de mededeling die BKR op grond van artikel 35 Wbp aan [verzoeker] moet doen “bestaat uit een afschrift van een, vanwege de aard van de verwerking, moeilijk toegankelij¬ke gegevensverwerking”. In de Nota van Toelichting bij het Besluit kostenvergoeding rechten betrokkene Wbp is hierover het volgende vermeld: “In bepaalde gevallen kan een gegevensverstrekking zo bewerkelijk zijn dat de vergoeding van ten hoogste € 4.50 niet geacht kan worden in een redelijke verhouding te staan tot de kosten en moeite. De Registratiekamer wees hier op in haar advies van oktober 1995. Dit advies lag ten grondslag aan de wijziging van de oorspronkelijke vergoedingsregeling in 1998. Bij deze wijziging werd in verband met onder meer de omvang van het aantal pagina's of de complexiteit van de toegang in het besluit de mogelijkheid opgenomen een hogere vergoeding dan f 10,00 te vragen met een maximum van f 100,00. Deze gevallen zijn thans opgenomen in artikel 3. Indien het afschrift van een bericht meer dan honderd pagina's bevat mag de verantwoordelijke een redelijke vergoeding verlangen die ten hoogste € 22.50 bedraagt. Dit geldt eveneens voor het geval het bericht bestaat uit een afschrift van een moeilijk toegankelijke gegevensverwerking. Met de «toegankelijkheid» wordt gedoeld op de toegankelijkheid in technische zin, dat wil zeggen vanwege de aard van de vastlegging van de gegevens. Worden gegevens bijvoorbeeld vastgelegd op microfilm, dan is verstrekking pas na het verrichten van enige bewerking mogelijk: opzoeken, vergroten en vervolgens afdrukken. Deze handelingen kosten meer tijd en moeite dan eenvoudige vermenigvuldiging door het kopiëren van papier of elektronisch mailen. Een vergoeding (ter hoogte van de kostprijs) van ten hoogste € 22.50 is dan redelijk en sluit aan bij de bedoelingen van het amendement-[(naam)] en Scheltema-De Nie. Het feit dat een verwerking niet door de verantwoordelijke zelf wordt verricht maar bijvoorbeeld een derde is geen «moeilijke toeganke¬lijkheid» in de zin van artikel 3 onder b. Deze omstandigheid rechtvaardigt geen vergoeding op basis van dit voorschrift. Een vergoeding als bedoeld in dit voorschrift zal slechts plaatsvinden in bijzondere gevallen als bedoeld in artikel 39, derde lid, van de wet.” 2.14. De uitzondering van artikel 3 aanhef en onder b van het Besluit kostenvergoeding rechten betrokkene Wbp is terug te voeren op artikel 1 lid 3 van het Besluit vaststelling vergoeding kosten bericht Wet persoonsregistraties (Staatsblad 1989, 281), dat daaraan, na wijziging in 1998, in de kern gelijkluidend is. In de Nota van Toelichting bij deze wijziging (Staatsblad 1998, 594, p. 3) is nog het volgende vermeld: “(...) De verwachting, dat de verstrekking van gegevens uit een persoonsregistratie niet onevenredig veel extra inspanning en tijd kan kosten omdat zij reeds in een bestand zijn opgenomen, is, zo leert de praktijk inmiddels, niet geheel uitgekomen. Ook een gegevensverstrekking uit een geautomatiseerde of systematisch toegankelijke persoonsregistratie kan zo bewerkelijk zijn, dat de vergoeding van ten hoogste f 10,00 niet geacht kan worden in een redelijke verhouding tot de kosten en moeite te staan.” 2.15. Het CBP werd naar aanleiding van een klacht van 6 januari 2006 voor dezelfde vraag gesteld als hierboven onder 2.13 weergegeven. Bij brief van 2 juni 2008 (productie XIV bij het verweerschrift) heeft het CBP BKR van haar bevindingen op de hoogte gebracht. In de bijlage bij deze brief is onder ‘Nadere beschrij¬ving van feiten’ het volgende vermeld: “Het CBP heeft bij bestudering van de gewisselde stukken en bij het onderzoek ter plaatse (waaronder de behandeling van een aantal willekeurige inzageverzoeken) het volgende vastgesteld. Het BKR hanteert een procedure voor de afhandeling van inzageverzoeken. Het CBP heeft geconstateerd dat in deze procedure elf stappen zijn te onderscheiden. Zes van deze stappen, van stap drie (invoeren in het systeem) tot en met stap acht (controle van het outputresul¬taat), hebben betrekking op de aard van de gegevensverwerking. Als de aanvrager het inzageformulier volledig heeft ingevuld, voert het BKR een geautomatiseerde zoekopdracht (query) uit op basis van negen zoekcriteria (ook genoemd ‘zoekcodes’ ) zoals naam, voorletters, huidig adres, vorig adres, postcode, huisnummer, geboortedatum en eventueel een tweede naam (naam echtgenoot of meisjesnaam). De zoekopdracht kan resultaat, een zogenaamde ‘hit’, genereren. Deze ‘hits’ worden opgenomen in een resultatenoverzicht. Niet elke hit levert automatisch een resultaat op dat behoort bij de persoon die inzage heeft gevraagd. Het resultatenoverzicht kan daarom gegevens van de aanvrager vermelden, maar ook gegevens van andere personen. Dit laatste komt in ongeveer de helft van de gevallen voor. Het gaat hierbij om (bijna) naamgenoten op het huidige en eventueel vroegere adres. Het BKR controleert alle gegevens op het resultatenoverzicht handmatig op relevantie (heeft de informatie betrekking op de betrokkene of niet; stap 5). Als de gegevens afwijken van de gegevens op de aanvraag raadpleegt het BKR een viertal interne en externe informatie¬bron¬nen om vast te stellen of de gegevens moeten worden toegerekend aan de aanvrager.” BKR heeft bevestigd dat deze beschrijving klopt. [verzoeker] heeft de juistheid van de beschrijving niet betwist, maar slechts ongemotiveerd gesteld dat BKR onvolledig onderzoek heeft verricht. In deze procedure staat dan tussen partijen vast dat BKR de hierboven beschreven handelingen moet verrichten om te voldoen aan het verzoek van [verzoeker] om mededeling te doen van persoonsgegevens die zij van hem verwerkt. 2.16. Hoewel de verwerking van persoonsgegevens bij BKR geautomatiseerd geschiedt en derhalve op zichzelf eenvoudig toegankelijk is, kan BKR niet met ‘een druk op de knop’ een betrouwbaar en volledig overzicht in begrijpelijk vorm produceren van de persoonsge¬gevens die zij van [verzoeker] verwerkt. Daarvoor zijn aanvullende handmatige handelingen noodzakelijk die de nodige tijd en inspanning van medewerkers van BKR vergen. De prak¬tijk bij BKR is derhalve vergelijkbaar met de situatie die in de toelichting zoals geciteerd onder 2.14 is voorzien en met het oog waarop de uitzondering mede in het leven is geroe¬pen. Dit brengt de rechtbank tot het oordeel dat de gegevensverstrekking door BKR zo be¬werkelijk is dat een vergoeding van € 0,23 per pagina daarmee niet in redelijke verhouding staat, en dat sprake is van een vanwege de aard van de verwerking moeilijk toegankelijke gegevensverwerking. Dat kredietverleners voor gemiddeld € 0,30 bij BKR kredietgegevens kunnen opvragen doet hieraan niet af, nu BKR voor deze verstrekking niet de hiervoor bedoelde bewerkelijke handelingen verricht. 2.17. [verzoeker] heeft nog gewezen op de volgende passage uit de behandeling van het wetsvoorstel dat tot de Wbp heeft geleid (Handelingen 1999-2000, nr. 23, 25892, Tweede Kamer, pag. 1689-1714): “De heer [(naam)] (VVD): Als het reeël is dat er veel meer kosten dan een tientje moeten worden gemaakt, mogen dan de werkelijke kosten in rekening worden gebracht? Mevrouw [(naam)] (PvdA): In het amendement staat dat er bij AMvB uitzonderingen kunnen worden gemaakt. Daar moeten dan uiteraard goede argumenten voor zijn. Mijn belangrijkste punt is dat aan een dergelijk verzoek simpel voldaan kan worden als de geautomatiseerde systemen goed zijn ingericht. Als dat het geval is, doen zich geen problemen voor. Ik hoop dat wij in Nederland zover komen. Dit kan zeker als Nederland een digitale delta wordt.” [verzoeker] heeft daarbij aangevoerd dat het aan BKR is haar systemen zo in te richten dat zij niet ‘moeilijk toegankelijk’ zijn in de bovenbedoelde zin. Als al sprake zou zijn van een moeilijk toegankelijke gegevensverwerking, dan heeft BKR dat aan zichzelf te wijten en kan zij voor een afschrift dus in redelijkheid niet een andere vergoeding dan € 0,23 per pagina vragen. Die conclusie kan uit de door [verzoeker] geciteerde passage uit de Parlementaire Geschiedenis echter niet zonder meer worden afgeleid. Deze stelling van [verzoeker] gaat in zijn algemeenheid naar het oordeel van de rechtbank ook te ver. Uitgangspunt is dat wordt beoordeeld welke handelingen feitelijk moeten worden verricht. Nu het bij deze algemene stelling is gebleven, wordt daaraan voorbij gegaan. 2.18. Niet in geschil is dat de kostprijs van verstrekking hoger is dan € 4,50. € 4,50 is dan een redelijke vergoeding in de zin van artikel 3 van het Besluit kostenvergoeding rechten betrokkene Wbp. De conclusie is dat BKR aan [verzoeker], in plaats van € 0,23 per pagina, € 4,50 in rekening mag brengen voor het doen van mededeling in de zin van artikel 35 Wbp. 2.19. BKR kan nu niet worden bevolen aan [verzoeker] een volledig overzicht te ver¬strekken van de persoons¬gegevens die zij van hem verwerkt, dus inclusief zijn eventuele ‘credit-score’ en gegevens over derden aan wie zijn persoonsgegevens zijn verstrekt. [verzoeker] heeft niet voldaan aan de vereisten die BKR aan het in behandeling nemen van zijn inzageverzoek mag stellen. Of de mededeling die hem zou zijn gedaan indien hij die vereisten wel zou hebben nageleefd volledig zou zijn geweest kan daarom niet worden beoordeeld. Overigens heeft BKR tijdens de behandeling aangegeven dat de mededeling die zij op een regelmatig verzoek van [verzoeker] zal doen volledig zal zijn zoals bedoeld in artikel 35 Wbp. 2.20. Het voorgaande brengt mee dat het verzoek moet worden afgewezen. [verzoeker] zal als de in het ongelijk gestelde partij in de proceskosten worden veroordeeld. 3. De beslissing De rechtbank wijst het verzoek af, veroordeelt [verzoeker] in de proceskosten, aan de zijde van BKR tot op heden begroot op EUR 904,00 aan salaris advocaat (2 punten, € 452,00 per punt), verklaart de kostenveroordeling uitvoerbaar bij voorraad. Deze beschikking is gegeven door mr. A.E.B. ter Heide en in het openbaar uitgesproken op 6 oktober 2008.