In Nederland is de Wet Stelsel Kredietregistratie in voorbereiding. Deze wet heeft tot doel een regeling te bieden, waardoor het verzamelen van persoonsgegevens over kredietverstrekking en betaalgedrag door de Stichting Bureau Kredietregistratie, beter bekend als de “BKR”, een wettelijke basis te geven. De BKR was en is nog steeds een geheel privaat initiatief dat oorspronkelijk door kredietverstrekkers (lees: banken en verzekeraars) werd opgezet. In eerste instantie stond voorop de bewaking en reductie van de betalingsrisico’s van deze kredietverstrekkers. Vervolgens werd ook de bescherming van de consument tegen overkreditering ook als BKR-doel gezien. De BKR functioneert zonder toezicht van overheidswege.
In het recente verleden is er door consumenten en consumentenorganisaties veel geklaagd over de BKR, met name over de duur van en de daaraan verbonden negatieve gevolgen van BKR-registraties, voor consumenten die als wanbetalers werden aangemerkt. Onder andere is voormalig “Rijdende Rechter” Mr. Frank Visser in de media in de bres gesprongen ten behoeve van door de BKR al te zeer benadeelde consumenten. Dus werd het tijd dat de Nederlandse wetgever één en ander naar zich toe zou trekke om de BKR te regelen.
Het eerste ontwerp van die Wet Stelsel Kredietregistratie is niet best ontvangen. Voornamelijk omdat blijkt dat de BKR zelf eigenlijk teveel buiten schot blijft. Volgens artikel 8 van deze ontwerptekst mogen consumenten hun persoonsgegevens, die bij de BKR staan geregistreerd, namelijk niet opvragen bij de BKR, maar alleen bij de kredietverstrekkers, die contracteerden met de consument, en gehouden zijn om de krediet- en betaalgegevens van de consument door te geven aan de BKR. Dat opvragen bij deze kredietverstrekker hoeft dan alleen aan de consument te worden gehonoreerd voor zover de (BKR-) registratie zal leiden “tot een onbillijkheid van overwegende aard”. Deze juridische frase beteken in feite: bij hoge uitzondering.
Een zijstap: Schufa is net als de BKR een privaatrechtelijke vennootschap in Duitsland, die aan haar contractuele partners informatie verstrekt over de kredietwaardigheid van derden, met name consumenten. Dat gebeurt op basis van bepaalde kenmerken van een persoon en aan de hand van een wiskundig-statistische methode, die een zekere voorspelling doet over de waarschijnlijkheid van toekomstig betaalgedrag (score), zoals de terugbetaling van een lening. Het vaststellen van deze scores is gebaseerd op het uitgangspunt, dat een soortgelijk gedrag kan worden voorspeld door een persoon in te delen bij een groep van andere personen met vergelijkbare kenmerken, die zich op een bepaalde manier hebben gedragen.
Schufa lijkt daarmee in veel opzichten op het Nederlandse Stichting Bureau Kredietregistratie. Voor zover bekend werkt BKR niet met een soortgelijke wiskundig-statistische methode, echter BKR werkt als overheidsonafhankelijke stichting naast het verzamelen en aan kredietverstrekkers verstrekken van gegevens over personen met kredietafspraken wél met het toebedelen van zekere codes die worden toegekend aan personen, die behoren tot een groep die eenzelfde betaalgedrag of betaalstatus vertonen.
De Duitse wetgever heeft in het verleden wél in de nationale wet vastgelegd dat en op welke wijze een dergelijke score (waarschijnlijkheidswaarde), zoals door Schufa gehanteerd, is te gebruiken.
Wat was het geval bij het Hof? Aan Schmidt (fictief persoon) werd een lening geweigerd door een kredietverstrekker, nadat deze negatieve informatie had ontvangen van Schufa. Schmidt verzocht Schufa om de opgeslagen persoonsgegevens en betaalgegevens op te vragen en om de beweerdelijk onjuiste persoonsgegevens te wissen. Schufa heeft echter op grond van een geheimhoudingsplicht geweigerd om mee te delen welke verschillende soorten informatie in de score worden opgenomen en hoe deze worden gewogen. Schufa kan en mag zich alleen beperken tot het verstrekken van informatie aan haar contractuele partners, oftewel kredietverleners. Schmidt moet zich dus maar vervoegen bij die kredietverstrekkers, die immers de eigenlijke contractuele beslissingen plegen te nemen. Let op: dat is uiteindelijk precies datgene wat in het ontwerp van de Nederlandse Wet Stelsel Kredietregistraties is geregeld.
Schmidt dient een klacht in bij de Duitse toezichthoudende autoriteit, waarin werd verzocht dat Schufa Schmidt’s verzoek om inzage en het wissen van informatie diende te honoreren. Dit verzoek wordt afgewezen, onder meer ook omdat Schufa zich hield aan datgene wat in de Duitse wetgeving was geregeld over het gebruik van die score (waarschijnlijkheidswaarde). Schmidt gaat hiertegen in beroep bij de bestuursrechter te Wiesbaden, Duitsland. Die stelt vervolgens vragen van uitleg aan het Hof van Justitie EU.
Voor die uitleg verwijst het Hof van Justitie op 7 december 2023 net name naar artikel 22 (“Geautomatiseerde individuele besluitvorming, waaronder profilering”) van de Algemene Verordening Gegevensbescherming. Het eerste lid van dat artikel luidt:
- De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit, waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
- Lid 1 geldt niet indien het besluit:
a) …….
b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
c) ……………..”
Het is duidelijk dat uit lid 2 sub b. voortvloeit dat er wettelijk basis moet zijn om niet aan het gebod van lid te hoeven voldoen. Wat Schufa echter eigenlijk aanvoerde was dat de betrokkene (de geregistreerde krediet-consument) niet door Schufa was onderworpen aan een uitsluitend op geautomatiseerde verwerkring gebaseerd besluit, als bedoeld in het eerste lid.
Schufa ontving immens de krediet- en betaalgegevens slechts van de kredietverstrekkers. Bewaarde en verwerkte deze, zoals in de Duitse wet werd voorgeschreven. En verschafte deze gegevens weer aan kredietverstrekkers, die daarmee een besluit konden nemen over het verstrekken van een krediet aan een consument. Dus het was niet Schufa, die een zodanig besluit nam. Dus zou lid 1 van artikel 22 AVG niet van toepassing zijn op Schufa.
Dit is in essentie waar het ontwerp van de Wet Stelsel Kredietregistratie, met name in het genoemde artikel 8, ook vanuit gaat.
In zijn uitleg komt het Hof van Justitie tot de conclusie dat het begrip “besluit” in de AVG niet is gedefinieerd als zodanig. Dat begrip “besluit” in artikel 22 lid 1 van de AVG heeft een ruime strekking. Dat blijkt ook uit de inleidingen/overwegingen bij de AVG. Die hebben het namelijk over een besluit dat ook kan inhouden een “maatregel waaraan voor hem (consument) rechtsgevolgen zijn verbonden of die hem op vergelijkbare wijze aanmerkelijk kan treffen”. Als voorbeelden zijn genoemd: De automatische weigering van een online ingediende kredietaanvraag; de verwerking van sollicitaties via internet zonder menselijke tussenkomst. Het begrip “besluit” kan dus verschillende handelingen omvatten, die de consument op verschillende manieren kunnen treffen. Dat kan dus ook heel goed betreffen het hanteren van criteria, op te maken uit krediet- en betaalgegevens, die bepalen of en in hoeverre een consument in de toekomst in staat is achten te voldoen aan zijn betalingsverplichtingen. Anders gezegd is het dus wel Schufa, die dergelijke ‘besluiten neemt over consumenten.
Kort en goed: Instanties als Schufa – en zo ook waarschijnlijk BKR – nemen dus besluiten in de zin van dat artikel 22 lid 1 AVG. Zonder wettelijke grondslag zijn die besluiten, zoals die van de BKR mogelijk op dit moment nog, niet toegestaan. Het betekent dat het huiswerk voor het ontwerp Wet Stelsel Kredietregistratie voor een deel opnieuw zal moeten worden gedaan.
Het Hof van Justitie laat in het midden of de Duitse wet voldoet aan de eisen die AVG stelt. Dat moet de Duitse nationale rechter maar beslissingen. Bij deze uitleg steekt het Hof van Justitie overigens nog wel een waarschuwend vingertje op. Ook een nationale wettelijke regeling, zoals bedoeld in het geciteerde lid 2, moeten voor de Schufa, BKR en eendere instanties betekenen dat er passende maatregelen worden verlangd ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de geregistreerde consument. Daaronder ten minste het recht op menselijke tussenkomst van de zulke instanties, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. Het betekent ook dat zo’n wettelijke regeling steeds dient te voldoen aan de eisen, die artikel 5 (rechtmatigheid, behoorlijkheid en transparantie van de gegevensverwerking) en artikel 6 (rechtmatigheids-eisen) de AVG stellen. Het is goed mogelijk dat dit opgeven vingertje weer nieuw huiswerk betekent voor het ontwerp Wet Stelsel Kredietregistratie.
Meer weten of de Wet Stelsel Kredietregistratie? Bel of mail gerust. Wij denken graag met u mee!
Lees ook mijn voorgaande blogs, waaronder:
Auteursrechten, foto’s en geportretteerden: een juridisch bewerkelijke cocktail!
Niet informeren van de consument over diens herroepingsrecht
