ECLI:NL:RBMNE:2019:2639

Uitspraak

vonnis

_________________________________________________________________ _

RECHTBANK MIDDEN-NEDERLAND

Civiel recht

Zittingsplaats Utrecht

zaaknummer: NL18.12042

Vonnis van 12 juni 2019

in de zaak van

[eiser],
wonende te [woonplaats] (Portugal),
eiser, hierna te noemen: [eiser] ,
advocaat mr. J. de Haan te Grave (Gelderland),

tegen

de coöperatie
COÖPERATIEVE RABOBANK U.A.,
gevestigd te Utrecht,
verweerster, hierna te noemen: Rabobank,
advocaat mr. D.S. van Lith te Utrecht.

1.De procedure

1.1.

Het verloop van de procedure blijkt uit:

de procesinleiding
het verweerschrift
het proces-verbaal van mondelinge behandeling op 23 mei 2019.

1.2.

Ten slotte heeft de rechtbank een datum bepaald waarop vonnis gewezen zal worden.

2.Inleiding

2.1.

Banken en andere financiële instellingen houden een incidentenwaarschuwingssysteem aan waarin zij gegevens registreren van (rechts)personen die gefraudeerd hebben of op een andere wijze een risico vormen voor de financiële instelling of de gehele financiële sector (hierna te noemen: Incidentenregister). Het Incidentenregister van de Rabobank is alleen toegankelijk voor de afdeling Veiligheidszaken van de Rabobank.

2.2.

Er is ook een Extern Verwijzingsregister (hierna te noemen: EVR). Het doel van het EVR is het voorkomen van fraude in de financiële sector. Banken kunnen onder voorwaarden (rechts)personen opnemen in het EVR. De banken die lid zijn van de Nederlandse Vereniging van Banken (, en de financieringsinstellingen die lid zijn van de Vereniging van Financieringsinstellingen in Nederland hebben de mogelijkheid om via een verwijzingsapplicatie te toetsen of een (rechts)persoon in het EVR voorkomt. Zij kunnen dan contact opnemen met de bank die de (rechts)persoon heeft geregistreerd in het EVR om informatie te krijgen over de reden voor opname in het EVR.

2.3.

Op het Incidentenregister en het EVR is het Protocol

Incidentenwaarschuwingssysteem Financiële Instellingen (hierna te noemen: PIFI) van

toepassing (laatstelijk vastgesteld in 2013). Dit is een gezamenlijke gedragscode van

het Verbond van Verzekeraars en de Nederlandse Vereniging van Banken .

2.4.

[eiser] vindt dat Rabobank onrechtmatig handelt omdat Rabobank zijn persoonsgegevens ten onrechte heeft opgenomen en opgenomen houdt in haar Incidentenregister en het EVR. Daarom vordert hij dat Rabobank:

(i) die persoonsgegevens verwijdert (op straffe van een dwangsom);

(ii) schadevergoeding aan hem betaalt, en

(iii) zijn proceskosten vergoed.

2.5.

Rabobank heeft verweer gevoerd. Zij zegt dat [eiser] , via vennootschappen waar hij verantwoordelijk voor was, betrokken is bij drie gevallen van oplichting van klanten van de Rabobank. Zij vindt daarom dat ze de persoonsgegevens van [eiser] op goede gronden in haar Incidentenregister en het EVR heeft opgenomen. Rabobank wil dat de vorderingen worden afgewezen en dat [eiser] haar proceskosten (met nakosten) betaalt.

2.6.

Partijen hebben over dezelfde kwestie al eerder in kort geding een procedure gevoerd. De voorzieningenrechter en, in hoger beroep, het hof hebben toen de vorderingen van [eiser] afgewezen.

2.7.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

3.De beoordeling

Samenvatting

3.1.

Het gaat er in deze procedure om of Rabobank terecht (dus in overeenstemming met geldende wet- en regelgeving) de persoonsgegevens van [eiser] heeft opgenomen in haar Incidentenregister en het EVR. De rechtbank oordeelt dat dit zo is. Dat betekent dat Rabobank niet onrechtmatig heeft gehandeld door de persoonsgegevens van [eiser] op te nemen in haar Incidentenregister en het EVR. Rabobank hoeft die dus niet te verwijderen en hoeft ook geen schadevergoeding aan [eiser] te betalen. De rechtbank zal hieronder uitleggen hoe zij tot deze conclusie is gekomen.

Wat zijn de regels voor opname van persoonsgegevens in het Incidentenregister en het EVR?

3.2.

Op deze zaak is de Algemene verordening gegevensbescherming (hierna: AVG) van toepassing, die de Wet bescherming persoonsgegevens (Wbp) vervangt. De AVG is op 25 mei 2018 in werking getreden. Deze zaak is daarna aanhangig gemaakt en daarom is de Wbp niet meer van toepassing (artikel 48 lid 10 Uitvoeringswet AVG).

3.3.

De grondslag voor de verwerking van de persoonsgegevens is in dit geval gelegen in het gerechtvaardigd belang van Rabobank (en haar klanten en andere financiële instellingen) als bedoeld in artikel 6 lid 1 aanhef en onder f AVG. Dit artikel schrijft voor dat er een belangenafweging moet worden gemaakt.

3.4.

Volgens vaste rechtspraak kan het PIFI worden beschouwd als een regeling die voldoende waarborgen biedt voor een rechtmatige verwerking van persoonsgegevens zoals de Wbp destijds voorschreef in artikel 8 aanhef en sub f. Artikel 6 lid 1 aanhef en onder f AVG wijkt niet af van het hiervoor genoemde artikel van de Wbp, dus ook hier geldt dat de opname van de persoonsgegevens rechtmatig is als Rabobank heeft voldaan aan de opnamecriteria van het PIFI.

3.5.

Rabobank mag volgens artikel 3.1.1 van het PIFI persoonsgegevens in het Incidentenregister opnemen als er sprake is van een “
Incident” (hierna: Incident) en als de opname in overeenstemming is met het doel van het Incidentenregister.

3.6.

Artikel 2 van het PIFI vermeldt als definitie van een Incident:

“
een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, identiteitsfraude, skimming, verduistering in dienstbetrekking, phising en opzettelijke misleiding”

3.7.

Het doel van het Incidentenregister is (artikel 4.1.1 PIFI):

“
Het geheel aan verwerkingen ten aanzien van het Incidentenregister heeft tot doel

het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de

integriteit van de financiële sector, daaronder mede begrepen (het geheel van)

activiteiten die gericht zijn:

• op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers;

• op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk

gebruik van producten, diensten en voorzieningen en/of (pogingen) tot strafbare

of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht

tegen de branche waar de financiële instelling deel van uitmaakt, de

economische eenheid (groep) waartoe de financiële instelling behoort, de

financiële instelling zelf, alsmede haar cliënten en medewerkers:

• op het gebruik van en de deelname aan waarschuwingssystemen.”

3.8.

In artikel 5.2.1 van het PIFI staat vermeld aan welke criteria moet zijn voldaan om persoonsgegevens in het EVR te mogen opnemen:

“5.2 Vastlegging van gegevens in het Extern Verwijzingsregister

5.2.1

De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister.

a) De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een

bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële instelling, alsmede de (Organisatie van de) Financiële instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.

b) In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een

opsporingsambtenaar.

c) Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat

Veiligheidszaken vaststelt, dat het belang van opname in het Externe

Verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor de Betrokkene als gevolg van opname van zijn Persoonsgegevens in het Extern Verwijzingsregister.”

3.9.

In dit geval zijn de persoonsgegevens van [eiser] in het Incidentenregister en het EVR opgenomen omdat Rabobank van mening is dat [eiser] betrokken is bij drie gevallen van oplichting. Oplichting is een strafbaar feit, zie artikel 326 Wetboek van Strafrecht (Sr). Het gaat dus om strafrechtelijke persoonsgegevens. Bij verwerking van strafrechtelijke persoonsgegevens geldt volgens de Hoge Raad (HR 29 mei 2009, ECLI:HR:2009:BH4720) dat deze alleen verwerkt mogen worden als sprake is van zodanig concrete feiten en omstandigheden dat zij de conclusie kunnen dragen dat sprake is van een als strafbaar feit te kwalificeren bewezenverklaring in de zin van artikel 350 Wetboek van strafvordering (Sv). Een redelijk vermoeden van schuld is niet voldoende. Dit geldt zowel voor opname in het Incidentenregister als voor opname in het EVR. In dit concrete geval moet dus voldoende vast staan dat [eiser] zelf iemand heeft opgelicht of dat hij daar medeplichtig (artikel 48 Sr) aan was (omdat hij opzettelijk behulpzaam was bij de oplichting of gelegenheid of middelen daarvoor heeft verschaft). Een vervolging of strafrechtelijke veroordeling is niet noodzakelijk.

Van welke vennootschappen was [eiser] (middellijk) bestuurder en/of aandeelhouder?

3.10.

In de periode dat de drie gebeurtenissen hebben plaatsgevonden (maart tot en met juni 2015) was [eiser] als volgt betrokken bij de vennootschappen die in deze zaak genoemd worden:

i) [eiser] was enig bestuurder en enig aandeelhouder van [bedrijfsnaam 1] B.V (hierna: [bedrijfsnaam 1] ).
ii) [bedrijfsnaam 1] was enig aandeelhouder en bestuurder van [bedrijfsnaam 2] B.V. (hierna: [bedrijfsnaam 2] ).
iii) [bedrijfsnaam 1] was samen met [bedrijfsnaam 3] B.V. (een vennootschap van de heer [A] , een bekende van [eiser] ) bestuurder en aandeelhouder van [bedrijfsnaam 4] B.V. (hierna: [bedrijfsnaam 4] ).
iv) [bedrijfsnaam 1] was samen met [bedrijfsnaam 3] B.V. bestuurder en aandeelhouder van [bedrijfsnaam 5] B.V. (hierna: [bedrijfsnaam 5] ).
v) [bedrijfsnaam 5] was enig aandeelhouder en bestuurder van [bedrijfsnaam 6] B.V. (hierna: [bedrijfsnaam 6] ).
vi) [bedrijfsnaam 1] was bestuurder van [bedrijfsnaam 7] B.V. (hierna: [bedrijfsnaam 7] ).

3.11.

Vanaf 1 maart 2016 was [bedrijfsnaam 7] bestuurder van [bedrijfsnaam 8] B.V. (hierna: [bedrijfsnaam 8] ). Enig aandeelhouder van [bedrijfsnaam 8] was de heer [B] (hierna: [B] ).

3.12.

[bedrijfsnaam 5] , [bedrijfsnaam 6] en [bedrijfsnaam 8] waren vanaf maart 2015 gevestigd op hetzelfde adres. [bedrijfsnaam 8] was daarvoor gevestigd op een adres waar ook [bedrijfsnaam 2] gevestigd was. [bedrijfsnaam 4] , [bedrijfsnaam 7] , [bedrijfsnaam 2] en [bedrijfsnaam 8] zijn ook allen gevestigd geweest op hetzelfde adres.

Om welke drie gebeurtenissen gaat het?

Eerste gebeurtenis

3.13.

Rabobank heeft begin maart 2015 een melding ontvangen van een vrouw van 91 jaar die dacht dat ze voor € 5,95 een pannenset kocht, maar die uiteindelijk € 575,- heeft betaald via een mobiele pinautomaat. De verkoper heeft dat bedrag ingetypt in de mobiele pinautomaat. De vrouw, die niet had opgemerkt dat het bedrag niet klopte, heeft vervolgens met gebruikmaking van haar pinpas opdracht gegeven voor de betaling. Gelet op de verschillen tussen € 5,95 en € 575,- is van een vergissing geen sprake. Dat betekent dat die vrouw is opgelicht. Daarvan heeft zij aangifte gedaan. Verder staat vast dat de € 575,- op de bankrekening van [bedrijfsnaam 2] is bijgeschreven en dat [bedrijfsnaam 2] de mobiele pinautomaat heeft gehuurd van het verhuurbedrijf [..] .

3.14.

[eiser] zegt dat hij niet betrokken was bij de oplichting. Volgens hem kan het zo zijn dat - niet met naam genoemde - klanten van [bedrijfsnaam 2] , aan wie de pinautomaten werden onderverhuurd, de klant van de Rabobank hebben opgelicht. In de procedure in kort geding heeft [eiser] verklaard dat hij mobiele pinautomaten aan [B] heeft verhuurd en dat de rekening van [bedrijfsnaam 2] een derdengeldrekening was (het geld daarop was bestemd voor klanten van [bedrijfsnaam 2] ). De bankrekening van [bedrijfsnaam 2] (bij ING) werd echter niet gebruikt als een derdengeldrekening maar was een gewone betaalrekening. Als indirect bestuurder van [bedrijfsnaam 2] kon [eiser] dus over het geld op deze rekening beschikken. Uit overweging 3.10 tot en met 3.12 volgt dat [eiser] en [B] bij dezelfde vennootschap ( [bedrijfsnaam 8] ) betrokken zijn geweest en dat hun vennootschappen in hetzelfde pand gevestigd waren. [eiser] heeft geen stukken overgelegd waaruit kan worden afgeleid dat [bedrijfsnaam 2] de bij deze oplichting gebruikte mobiele pinautomaat heeft verhuurd. Als veronderstellenderwijs echter wordt aangenomen dat die pinautomaat wel aan een derde (zoals [B] ) is verhuurd, dan is het opmerkelijk dat [eiser] ook een bankrekening van zijn vennootschap [bedrijfsnaam 2] aan die derde ter beschikking heeft gesteld. [eiser] heeft daarvoor geen verklaring gegeven, laat staan een verklaring die geloofwaardig is.

Tweede gebeurtenis

3.15.

Dit gaat over een melding uit april 2015 van een andere klant van de Rabobank. Die klant zegt dat hij op 26 maart 2015 een (phishing)e-mail heeft ontvangen, die afkomstig leek van de Rabobank. In de mail werd de klant gevraagd om op een link te klikken om de rekening gereed te maken voor de Raboscanner. Na het klikken op de link werd de klant meerdere keren gebeld door iemand die zich voordeed als medewerkster van de Rabobank. De klant moest steeds bepaalde codes doorgeven die zij met haar ‘Rabo Reader’ moest genereren. Daarna werd de klant gebeld door een medewerkster van de Rabobank die vertelde dat er € 7.345,29 was afgeboekt van de rekening van de klant. De klant heeft verteld dat dit niet klopte en dat daarvoor geen opdracht was gegeven. De Rabobank heeft de overboeking teruggedraaid en de rekening van de klant geblokkeerd. De klant heeft aangifte gedaan van deze poging tot oplichting. Het rekeningnummer waar het bedrag naar was overgeboekt was van [bedrijfsnaam 4] . [eiser] kon als bestuurder van [bedrijfsnaam 4] over die bankrekening beschikken.

3.16.

Vast staat dat [eiser] niet degene is geweest die de klant van Rabobank heeft gebeld, want dat was een vrouw. Maar [eiser] heeft geen plausibele verklaring gegeven voor het feit dat het bedrag van € 7.345,29 (voor de terugboeking) is overgemaakt naar de rekening van zijn vennootschap [bedrijfsnaam 4] . Van een vergissing, zoals [eiser] zegt, kan geen sprake zijn. Ten eerste wijst de mededeling bij de betaalopdracht erop dat er bewust geld naar [bedrijfsnaam 4] is overgemaakt (“
NAAM BEGUNSTIGDE VOLGENS BETALER: [bedrijfsnaam 4] b.v”). Ten tweede heeft Rabobank uitgelegd dat een IBAN-rekeningnummer een controlegetal kent waardoor het bijna onmogelijk is om per ongeluk geld naar een verkeerde rekening over te maken.

Derde gebeurtenis

3.17.

In juni 2015 ontvangt Rabobank opnieuw een melding van een mogelijke oplichting. Dit keer gaat het om een klant, een man van 78 jaar, die op straat werd aangesproken door een man in een auto. Deze man vertelde de klant dat hij een pannenset, messenset en bestekset kon krijgen door alleen de btw te betalen. De klant had wel interesse en de man haalde de spullen uit de auto. Toen de klant moest pinnen bleek dat het ging om een bedrag van € 1.200,-. De klant zegt dat hij door de hele situatie overrompeld werd en daarom heeft gepind. De man is daarna weggereden in zijn auto. De klant heeft van de transactie een melding gedaan bij de Rabobank en heeft aangifte gedaan van oplichting. Uit de door de klant beschreven gang van zaken maakt de rechtbank op dat de klant onder valse voorwendselen is overgehaald om een geldbedrag te pinnen. Dat is dus oplichting. De bij de oplichting gebruikte pinautomaat is van [....] gehuurd door [bedrijfsnaam 6] . Het geld dat gepind werd kwam op de bankrekening van [bedrijfsnaam 8] terecht.

3.18.

Volgens [eiser] heeft hij niks te maken met de oplichting. Hij zegt dat hij [bedrijfsnaam 6] heeft opgericht voor een klant van hem, maar dat die de vennootschap nooit heeft afgenomen. Dat betekent dat [eiser] als bestuurder nog steeds (mede)verantwoordelijk was voor die vennootschap. [eiser] heeft geen plausibele verklaring gegeven voor het feit dat deze oplichting is gepleegd met behulp van een mobiele pinautomaat die is gehuurd door zijn vennootschap [bedrijfsnaam 6] . [eiser] heeft ook niet uitgelegd waarom hij op 1 maart 2016 indirect bestuurder is geworden van [bedrijfsnaam 8] , de vennootschap waarnaar het geld van deze oplichting is overgemaakt.

Beoordeling opname persoonsgegevens in het Incidentenregister en het EVR

3.19.

De hiervoor genoemde gebeurtenissen gaan over (poging tot) oplichting. Deze gedragingen vormen een bedreiging voor de (financiële) belangen van cliënten en Rabobank zelf en voor de continuïteit en/of de integriteit van de financiële sector. In alle drie de gevallen is dus sprake van een Incident in de zin van het PIFI en is voldaan aan het eerste vereiste voor opname in het Incidentenregister en het EVR (artikel 5.2.1 onder a van het PIFI). De opname in het Incidentenregister heeft tot doel het voorkomen van nieuwe gevallen van oplichting en is daarmee in overeenstemming met het doel van het Incidentenregister (artikel 4.1.1. van het PIFI).

3.20.

De omstandigheden die zijn genoemd in 3.13 tot en met 3.18 geven reden om te veronderstellen dat [eiser] samen met anderen twee personen heeft opgelicht en geprobeerd heeft om een derde op te lichten. De beschikbare gegevens kunnen echter niet leiden tot een als medeplegen van oplichting (tweemaal) en een poging daartoe te kwalificeren bewezenverklaring. Maar medeplichtigheid van [eiser] aan die misdrijven kan wel bewezen worden verklaard (in de zin van artikel 350 Sv). Gelet op de hiervoor genoemde omstandigheden, in hun samenhang bezien, kan het namelijk niet anders dan dat [eiser] de dader(s) behulpzaam is geweest bij, en/of gelegenheid en middelen heeft verschaft voor het plegen van deze misdrijven.

3.21.

[eiser] benadrukt dat er geen vervolging tegen hem is ingesteld door het Openbaar Ministerie, maar dat is niet van belang. Een strafrechtelijke veroordeling of een vervolging is namelijk niet een vereiste voor opname in het Incidentenregister en het EVR (zie 3.9). De rechtbank heeft getoetst aan de vereiste wet- en regelgeving (zie 3.2 tot en met 3.9).

3.22.

Kortom, aan het tweede vereiste voor opname in het Incidentenregister en het EVR (artikel 5.2.1 onder b van het PIFI) is voldaan.

3.23.

Opname in het Incidentenregister en het EVR moet ten slotte ook proportioneel zijn (het derde vereiste genoemd in artikel 5.2.1 onder c van het PIFI). Ook aan dit vereiste is voldaan. Het belang van Rabobank, haar klanten en de financiële sector is dat zij beschermd moeten worden tegen personen die betrokken zijn bij oplichting. Het belang van [eiser] is dat hij kan deelnemen aan het betalingsverkeer en bankproducten kan afsluiten. Volgens de rechtbank heeft Rabobank terecht geoordeeld dat het belang van haar klanten, de financiële sector en zichzelf zwaarder weegt dan het belang van [eiser] . Oplichting is namelijk een ernstig strafbaar feit. Daar komt in dit geval bij dat geen sprake is van een eenmalig incident, maar van drie incidenten waar [eiser] steeds bij betrokken is.

Conclusie

3.24.

De conclusie van het bovenstaande is dat Rabobank de gegevens van [eiser] heeft mogen opnemen in het Incidentenregister en het EVR en dat deze gegevens daarin geregistreerd mogen blijven (voor de duur die het PIFI voorschrijft). Van onrechtmatig handelen van Rabobank is dan ook geen sprake. De vorderingen zullen daarom worden afgewezen.

Proceskosten en nakosten

3.25.

[eiser] krijgt ongelijk in deze procedure. Daarom zal hij de proceskosten van Rabobank moeten vergoeden. De kosten aan de zijde van Rabobank worden begroot op:

- griffierecht 626,-

- salaris advocaat
922,-(2 punt × tarief € 461,00)

Totaal € 1.548,-

3.26.

[eiser] zal ook in de nakosten worden veroordeeld zoals Rabobank heeft gevorderd.

4.De beslissing

De rechtbank

4.1.

wijst de vorderingen af,

4.2.

veroordeelt [eiser] in de proceskosten, aan de zijde van Rabobank tot op heden begroot op € 1.548,-,

4.3.

veroordeelt [eiser] in de na dit vonnis ontstane kosten, begroot op € 157,- aan salaris advocaat:

i) te vermeerderen met de wettelijke rente als bedoeld in art. 6:119 BW over dit bedrag met ingang van de vijftiende dag na de datum van dit vonnis tot de dag van volledige betaling; en
ii) indien [eiser] niet binnen 14 dagen na aanschrijving aan het vonnis heeft voldaan en er vervolgens betekening van de uitspraak heeft plaatsgevonden, te vermeerderen met een bedrag van € 82,- aan salaris advocaat en de explootkosten van betekening van de uitspraak, en te vermeerderen met de wettelijke rente als bedoeld in art. 6:119 BW over € 82,- met ingang van de vijftiende dag na de betekening van dit vonnis tot aan de voldoening,

4.4.

verklaart dit vonnis wat betreft de kostenveroordelingen uitvoerbaar bij voorraad.

Dit vonnis is gewezen door mr. N.P.J. Janssens en in het openbaar uitgesproken op 12 juni 2019.

Coll: JvdB/4223