Uitspraak
beschikking
RECHTBANK 'S-GRAVENHAGE
Sector civiel recht
zaaknummer / rekestnummer: 390113 / HA RK 11-168
Beschikking van 22 september 2011
in de zaak van
1. [verzoeker 1],
2. [verzoekster 2],
in de hoedanigheid van wettelijk vertegenwoordigers van hun minderjarige dochter:
[kind van verzoekers],
allen wonende te [woonplaats],
verzoekers,
gemachtigde mr. T.C. de Roon te Rijswijk,
tegen
de naamloze vennootschap ING BANK N.V.,
gevestigd en kantoorhoudend te Amsterdam,
verweerster,
advocaat mr. L.Ph.J. baron van Utenhove te Den Haag.
Partijen worden hierna aangeduid als '[verzoekers c.s.]' en 'ING'.
1.De procedure
Het verloop van de procedure blijkt uit:
- het op 21 maart 2011 ingekomen verzoekschrift;
- de beschikking van de kantonrechter van deze rechtbank van 18 mei 2011, waarbij verzoekers zijn gemachtigd hun dochter [kind van verzoekers] (hierna: [kind van verzoekers]) in deze procedure te vertegenwoordigen;
- het verweerschrift;
- de aantekeningen van de mondelinge behandeling op 11 augustus 2011.
Ter zitting zijn [verzoeker 1] en [kind van verzoekers] verschenen, vergezeld van mr. T.C. de Roon. Namens ING zijn de heren [A] en [B], medewerkers van de afdeling fraude, verschenen, vergezeld van mrs. A.L. de Vogel en P. Smits, advocaten te Amsterdam.
2.De feiten
2.1. [kind van verzoekers] heeft bij ING een betaalrekening voor jongeren onder nummer [nummer]. Aan deze rekening was een betaalpas met pincode gekoppeld.
2.2. Op 2 oktober 2010 is op de rekening van [kind van verzoekers] een bedrag van € 2.000,-- bijgeschreven vanaf ING rekeningnummer [nummer] ten name van de vereniging met volledige rechtsbevoegdheid Comité Buurtbelang. Op 4 oktober 2010 zijn bedragen bijgeschreven van in totaal van € 3.535,-- vanaf ING rekeningnummer [nummer] ten name van RK Schaakvereniging De Pion. De betalingen zijn verricht door middel van internetbankieren. Voor de betalingen was door de rekeninghouders geen toestemming gegeven. Door beide rekeninghouders is aangifte gedaan bij de politie van frauduleuze overboekingen en is de schade bij ING gemeld. De gestorte bedragen zijn op 2 en 4 oktober 2010 via meerdere transacties in Rotterdam opgenomen en van de rekening van [kind van verzoekers] afgeschreven.
2.3.Bij brief van 23 november 2010 heeft ING aan [kind van verzoekers] bericht dat voormelde stortingen en opnames ertoe hebben geleid dat het voor bankieren benodigde vertrouwen ernstig is geschaad en dat dit voor ING aanleiding is om de relatie met [kind van verzoekers] te beëindigen en haar persoonsgegevens op te nemen in het incidentenregister. ING stelt in die brief een vordering te hebben op [kind van verzoekers] die zij heeft overgedragen aan een incassobureau.
2.4.Bij brief van 4 december 2010 heeft [kind van verzoekers] de tegen haar geuite beschuldiging van frauduleus handelen en de vordering van de ING betwist. In die brief verklaarde zij voorts: "Wel ben ik mijn pinpas kort voor 4 oktober ergens kwijtgeraakt, waar precies weet ik niet, maar had dit nog niet in de gaten totdat ik uw brief ontving."
2.5.Mr. De Roon heeft bij brief van 1 februari 2011 ING gesommeerd binnen vijf dagen de blokkering van de betaalrekening van [kind van verzoekers] op te heffen en de persoonsgegevens van [kind van verzoekers] uit het incidentenregister te verwijderen. Nadat ING bij brief van 10 februari 2011 had medegedeeld dat er voor haar geen aanleiding is om op haar eerder ingenomen standpunt terug te komen, heeft mr. De Roon bij brief van 24 februari 2011 ING aansprakelijk gesteld voor alle schade die [kind van verzoekers] in deze kwestie lijdt en nog zal lijden en heeft hij ING nogmaals gesommeerd binnen vijf dagen de blokkering van de betaalrekening van [kind van verzoekers] op te heffen en de persoonsgegevens van [kind van verzoekers] uit het incidentenregister te verwijderen. ING heeft bij brief van 5 april 2011 afwijzend gereageerd op deze sommaties.
3.Het verzoek
3.1.[verzoekers c.s.] verzoeken op de voet van artikel 46 van de Wet bescherming persoonsgegevens (Wbp) ING te veroordelen om binnen twee dagen na betekening van de beschikking over te gaan tot verwijdering van de persoonsgegevens van [kind van verzoekers] uit de registers waarin zij naar aanleiding van de onder 2.2 vermelde transacties is ingeschreven en hiervoor afdoende schriftelijk bewijs te leveren aan [verzoekers c.s.], op straffe van een dwangsom, met veroordeling van ING in de kosten van dit geding.
3.2.[verzoekers c.s.] stellen ter onderbouwing van hun verzoek dat [kind van verzoekers] niet direct of indirect betrokken is geweest bij c.q. medewerking heeft verleend aan frauduleuze praktijken in welke vorm of van welke aard dan ook, en dat ING daarom in alle redelijkheid niet tot registratie van haar persoonsgegevens in het Intern Verwijzingsregister (verder te noemen: IVR) en het Extern Verwijzingsregister (verder te noemen: EVR) mocht overgaan. Zij gebruikte haar pinpas slechts op incidentele basis en zij heeft pas na ontvangst van de brief van de ING van 23 november 2010 bemerkt dat zij niet meer over de betreffende pinpas beschikte. Zij heeft nimmer haar betaalpas met bijbehorende pincode aan derden verstrekt en zij heeft haar geheimhoudingsplicht niet geschonden. Haar pincode kan door middel van skimming door derden zijn achterhaald. Ten tijde van de bewuste transacties op 2 en 4 oktober 2010 bevond [kind van verzoekers] zich in Hoenderloo voor een opleiding tot horeca-assistente, zodat zij in de feitelijke onmogelijkheid verkeerde de bewuste transacties in Rotterdam te verrichten. In verband met haar verblijf in Hoenderloo, controleert [kind van verzoekers] haar bankafschriften, die naar haar adres in [woonplaats] worden verzonden, niet regelmatig.
3.3.ING heeft volgens [verzoekers c.s.] niet onderbouwd dat er ten aanzien van [verzoeker 1] sprake is van een zwaardere verdenking van een strafbaar feit dan een redelijk vermoeden van schuld. Door ING is geen aangifte gedaan en het openbaar ministerie heeft geen strafvervolging jegens [kind van verzoekers] ingesteld. Voorts merken [verzoekers c.s.] op dat registratie van strafrechtelijke gegevens in beginsel verboden is en pas is toegestaan nadat er passende en specifieke waarborgen zijn getroffen en na een voorafgaand onderzoek door het College bescherming persoonsgegevens. Een dergelijk onderzoek heeft volgens [verzoekers c.s.] niet plaatsgevonden.
3.4.Subsidiair stellen [verzoekers c.s.] dat de door ING genomen maatregelen disproportioneel en daarom onrechtmatig zijn.
4.Het verweer
4.1.ING voert gemotiveerd verweer. Zij stelt zich op het standpunt dat zij met recht is overgegaan tot opneming van [kind van verzoekers] in de betreffende registers en tot opzegging van de relatie met [kind van verzoekers]. Zij voert daartoe het volgende aan.
4.2.ING heeft geconstateerd dat de frauduleuze betalingen aan [kind van verzoekers] deel uitmaken van een zogenaamde "phishing-fraude". [kind van verzoekers] fungeerde daarbij als "money-mule" of "katvanger". Kort gezegd komt dit er op neer dat bankgegevens van klanten worden ontfutseld, waarna gelden worden overgeboekt naar de betaalrekening van de money-mule. De money-mule zorgt ervoor dat zijn of haar rekening nagenoeg leeg is en geeft vervolgens zijn of haar betaalpas en pincode af, waarna het fraudebedrag op de rekening kan worden bijgeschreven en vervolgens zo snel mogelijk door middel van geldopnames (in de regel rond middernacht) wordt opgenomen. Na de opnames meldt de money-mule bij ING dat de betaalpas is zoekgeraakt dan wel is gestolen en doet daarvan aangifte bij de politie. ING meent dat in de onderhavige zaak niet van dit patroon is afgeweken. Voordat de frauduleuze bijboekingen op de betaalrekening van [kind van verzoekers] plaatsvonden was het saldo op de betaalrekening van [kind van verzoekers] nagenoeg nihil (€ 0,01). Omstreeks 2 en 4 oktober 2010 vonden veel saldochecks plaats. Deze checks weken sterk af van het eerdere patroon in de voorafgaande periode. De gestorte bedragen zijn via meerdere transacties in een kort tijdsbestek opgenomen. Pas nadat [kind van verzoekers] door ING werd geïnformeerd over de geconstateerde fraude, heeft [kind van verzoekers] ING bericht dat zij haar betaalpas kwijt was. ING meent dat hiermee op voldoende overtuigende wijze is aangetoond dat [kind van verzoekers] actief betrokken is geweest bij phishing-fraude.
4.3.De pincode van de betaalpas van [kind van verzoekers] kan niet via skimming zijn achterhaald, omdat met skimming alleen een gekopieerde magneetstrip van de betaalpas wordt verkregen en niet het rekeningnummer dat bij de betaalpas hoort.
4.4.Het feit dat [kind van verzoekers] zich ten tijde van de betreffende transacties niet in Rotterdam maar in Hoenderloo zou hebben bevonden, sluit niet uit dat zij een ander de gelegenheid heeft geboden haar betaalpas en pincode te gebruiken.
4.5.Een bankafschrift van 8 oktober 2010 bevat enige voor [kind van verzoekers] onbekende transacties. Het afschrift is voor [kind van verzoekers] echter geen aanleiding geweest haar betaalrekening te controleren en ING in te lichten. Deze passieve houding van [kind van verzoekers] maakt het volgens ING aannemelijk dat [kind van verzoekers] (in)direct betrokken was bij de geconstateerde fraude.
5.De beoordeling
5.1.De rechtbank heeft geconstateerd dat het verzoek tijdig, binnen de in artikel 46 lid 2 Wbp bedoelde termijn, is ingediend.
5.2.[kind van verzoekers] is opgenomen in het incidentenregister van ING. Dat wil zeggen dat er door ING over [kind van verzoekers] persoonsgegevens zijn vastgelegd. ING heeft zich verplicht bij de verwerking van persoonsgegevens in het kader van het door ING aangehouden incidentenregister te handelen conform het "Protocol Incidentenwaarschuwingssysteem financiële instellingen" van de Nederlandse Vereniging van Banken, het Verbond van Verzekeraars en de Vereniging van Financieringsondernemingen in Nederland (verder te noemen: het Protocol). Het Protocol is een door het College bescherming persoonsgegevens getoetste gedragscode als bedoeld in artikel 25 Wbp. Het Protocol is daarom te beschouwen als een regeling die in beginsel voldoende waarborgen biedt voor een verwerking van persoonsgegevens zoals de Wbp die voorschrijft.
5.3.Onder incidentenregister wordt volgens het Protocol verstaan de gegevensverzameling(en) van de deelnemer (in casu ING), waarin incidentgegevens zijn vastgelegd. Het doel van het incidentenregister is - kort gezegd - het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector. Het Protocol spreekt van twee deelverzamelingen van het incidentenregister, het IVR en het EVR, die slechts verwijzingsgegevens bevatten. De in het IVR opgenomen gegevens zijn uitsluitend bestemd voor gebruik door (de eigen organisatie van) de deelnemer (in deze zaak ING). De in het EVR opgenomen gegevens zijn bestemd voor gebruik door (de organisaties van) alle deelnemers. Deze beide verwijzingsregisters worden toegankelijk gemaakt door de externe verwijzingsapplicatie. Indien er geen reden meer is voor het vastleggen van persoonsgegevens, draagt de deelnemer zorg voor verwijdering en is deze verplicht zodanige maatregelen te treffen dat deze gegevens niet langer toegankelijk zijn. Verwijdering moet voorts plaatsvinden binnen een periode van maximaal acht jaar, indien zich ten aanzien van betrokkene geen nieuwe aanleiding voor vastlegging heeft voorgedaan.
5.4.In het IVR kunnen uitsluitend gegevens worden opgenomen van (rechts)personen die een risico vormen voor (de organisatie van) de deelnemer. Voor opname in het IVR kunnen volgens het Protocol de volgende criteria als richtsnoer gelden:
- (redelijk vermoeden van) opzettelijke benadeling van de deelnemer, oneigenlijk gebruik van producten, diensten en voorzieningen en/of poging daartoe;
- (redelijk vermoeden van) het plegen van strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften dan wel pogingen daartoe, gericht tegen de deelnemer, de organisatie van de deelnemer, haar cliënten en medewerkers.
5.5.Voor opname in het EVR gelden volgens het Protocol de volgende criteria:
- De activiteiten van de (rechts)persoon kunnen een bedreiging vormen voor de continuïteit en de integriteit van financiële instellingen, de financiële belangen van cliënten en/of de financiële belangen van de (organisatie van de) deelnemer.
- Er dient een proportionaliteitsafweging plaats te vinden, waarbij de betreffende functionaris vaststelt, dat het belang van de opname in het verwijzingsregister prevaleert boven de mogelijk nadelige gevolgen voor betrokkene als gevolg van de opname van zijn gegevens.
- De betreffende (rechts)persoon moet betrokken zijn bij een benadeling van enige financiële instelling (of poging daartoe) of bij onoorbaar gebruik (of poging daartoe) van het financieel stelsel van zodanige aard
* dat aangifte bij een opsporingsinstantie is gedaan of kan worden gedaan of
* de relatie of overeenkomst is opgezegd of het besluit daartoe is genomen of
* is geweigerd om een relatie of overeenkomst aan te gaan.
5.6.Ingevolge artikel 22 van de Wbp is de verwerking van strafrechtelijke persoonsgegevens slechts bij uitzondering toegestaan. De Hoge Raad heeft in zijn arrest van 29 mei 2009 (LJN: BH4720) geoordeeld dat voor verwerking in overeenstemming met het Protocol van strafrechtelijke persoonsgegevens in registers die onder het regime van de Wbp vallen, een veroordeling door de strafrechter niet is vereist. Onder strafrechtelijke persoonsgegevens moeten worden verstaan "zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring (in de zin van artikel 350 van het Wetboek van Strafvordering) kunnen dragen". In dat verband dient volgens de Hoge Raad als maatstaf te worden genomen of de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan.
5.7. Opname in het incidentenregister, vooral in het EVR, kan verstrekkende gevolgen hebben. Alle deelnemende banken en financiële instellingen kunnen immers door raadpleging van het EVR vaststellen dat betrokkene is opgenomen in het incidentenregister van (een) andere deelnemer (s). Dit kan ertoe leiden dat zij zullen weigeren aan de daarin opgenomen persoon hun (financiële) diensten te verlenen. Betrokkene kan dan nog slechts gebruik maken van basisbankdiensten. Er mag daarom niet snel worden aangenomen dat de gronden voor opname in het EVR aanwezig zijn.
5.8.Tussen partijen staat niet ter discussie dat op 2 en 4 oktober 2010 bedragen onverschuldigd op de betaalrekening van [kind van verzoekers] zijn bijgeschreven, dat deze bedragen kort na de bijschrijvingen zijn opgenomen en dat [kind van verzoekers] deze transacties niet zelf heeft verricht. Daarmee staat vast dat de betaalrekening van [kind van verzoekers] is gebruikt voor frauduleuze transacties. In het incidentenregister van ING is over [kind van verzoekers] onder meer vastgelegd dat zij heeft gefungeerd als katvanger en daarom betrokken is geweest bij de gepleegde fraude.
5.9.Partijen verschillen van mening over de betrokkenheid van [kind van verzoekers] bij de geconstateerde fraude. [kind van verzoekers] stelt dat zij haar betaalpas begin oktober 2010 (onvrijwillig) is kwijt geraakt, terwijl ING volhoudt dat [kind van verzoekers] haar betaalpas met pincode aan een derde heeft verstrekt. Van doorslaggevend belang in de onderhavige zaak is derhalve het antwoord op de vraag op welke wijze [kind van verzoekers] haar betaalpas is kwijtgeraakt en of zij al dan niet haar pincode aan derden kenbaar heeft gemaakt. De omstandigheden dat [kind van verzoekers] na ontvangst van het bankafschrift van 8 oktober 2010 en na de vermissing van haar betaalpas een afwachtende houding heeft aangenomen en dat [kind van verzoekers] geen reële verklaring heeft hoe de transacties, anders dan met haar medeweten en betrokkenheid, hebben kunnen plaatsvinden, vormen naar het oordeel van de rechtbank voldoende aanwijzingen voor oneigenlijk gebruik door [kind van verzoekers] van haar betaalrekening, betaalpas en pincode. Dezelfde omstandigheden zijn naar het oordeel van de rechtbank echter onvoldoende om bewezen te achten dat [kind van verzoekers] zich heeft laten gebruiken als katvanger en zich daarmee heeft schuldig gemaakt aan fraude. In dit verband is van belang dat ING kennelijk zelf geen aangifte heeft gedaan van de fraude waarvan zij zegt het slachtoffer te zijn.
5.10.ING heeft bewijs aangeboden van haar stellingen. De rechtbank zal ING daarom in de gelegenheid stellen met getuigen te bewijzen dat [kind van verzoekers] haar betaalpas en daarbij behorende pincode vrijwillig ter beschikking heeft gesteld aan derden. Indien ING in deze bewijsopdracht slaagt, kan de opname in het EVR niet disproportioneel worden geacht en dient het verzoek tot verwijdering uit de registers integraal te worden afgewezen. Indien ING van bewijs afziet of er niet in slaagt het bedoelde bewijs te leveren, zal het verzoek gedeeltelijk worden toegewezen, namelijk voor zover dit betrekking heeft op de strafrechtelijke persoonsgegevens die over [kind van verzoekers] in de registers van ING zijn opgenomen.
5.11. Iedere verdere beslissing, waaronder die over de proceskosten, wordt aangehouden.
6.De beslissing
De rechtbank:
- laat ING toe het hiervoor onder 5.10 bedoelde getuigenbewijs te leveren;
- bepaalt dat, indien ING getuigen wil voorbrengen, dezen zullen worden gehoord door mr. P.A. Koppen op een door hem te bepalen dag en uur in een van de zalen van het Paleis van Justitie aan de Prins Clauslaan 60 te Den Haag;
- bepaalt dat de advocaat van ING binnen twee weken na de datum van deze beschikking schriftelijk aan de rechtbank - ter attentie van de griffie van de sector civiel, afdeling algemene zaken (kamer P2-1730) - opgave zal doen van de namen van de voor te brengen getuigen en van de verhinderdata van alle betrokkenen voor een periode van drie maanden na heden, waarna dag en uur voor de verhoren zullen worden bepaald;
- houdt iedere verdere beslissing aan.
Deze beschikking is gegeven door mr. P.A. Koppen en in het openbaar uitgesproken op 22 september 2011.