A-G: registratie persoonsgegevens door ING in IVR en Gebeurtenissenadministratie niet in strijd met AVG

Parket bij de Hoge Raad 24 april 2026, IEF 23518; IT 5249; ECLI:NL:PHR:2026:435 ([eiser] tegen ING). Deze conclusie van A-G Drijber (zitting 24 april 2026) betreft een geschil tussen een ondernemer (eiser) en ING over de verwerking van zijn persoonsgegevens in de Gebeurtenissenadministratie en het Intern Verwijzingsregister (IVR) van ING. ING had de zakelijke bankrelatie beëindigd omdat zij onvoldoende kon uitsluiten dat eisers cashgelden betrokken waren bij heling, witwassen en andere criminele activiteiten, mede vanwege het ontbreken van een adequate inkoopadministratie en schending van de registratieplicht ex art. 437 Sr. Eiser vorderde verwijdering van zijn persoonsgegevens uit het IVR en de Gebeurtenissenadministratie. Zowel de rechtbank als het hof wezen de vorderingen af. Het hof oordeelde dat de geregistreerde gegevens geen strafrechtelijke persoonsgegevens zijn in de zin van art. 10 AVG, de vastgelegde feiten en omstandigheden (grote cashuitgaven zonder verantwoording, het ontbreken van een adequate boekhouding en onvoldoende maatregelen om betrokkenheid bij strafbare feiten uit te sluiten) kunnen geen bewezenverklaring in de zin van art. 350 Sv dragen, en dat de verwerking een gerechtvaardigd doel dient op grond van art. 6 lid 1 onder f AVG (waarborging van de veiligheid en integriteit van de financiële sector, mede gelet op de Wwft-verplichtingen van ING), dat de persoonsgegevens uitsluitend intern toegankelijk zijn, dat eiser niet in zijn toegang tot financiële diensten elders is belemmerd, en dat de aantekening een correcte weergave vormt van de redenen voor de beëindiging van de bankrelatie.

De A-G concludeert tot verwerping van het cassatieberoep op alle vijf onderdelen en ziet geen aanleiding prejudiciële vragen aan het HvJEU te stellen. Bij onderdeel 1 (art. 10 AVG) acht hij de maatstaf uit HR 29 mei 2009, strafrechtelijke persoonsgegevens zijn feiten en omstandigheden die een bewezenverklaring in de zin van art. 350 Sv kunnen dragen, nog steeds relevant voor het eerste van de drie door het HvJEU in B/Latvijas Republikas Saeima geformuleerde criteria (juridische kwalificatie naar nationaal recht), zij het niet doorslaggevend voor het autonome Unierechtelijke begrip van art. 10 AVG; gelet op de feiten en het partijdebat behoefde het hof de overige twee criteria (aard van het feit en zwaarte van de sanctie) niet te onderzoeken, nu voor de geregistreerde gedragingen geen buiten het strafrecht gelegen sanctie was gesteld of gebleken. Bij onderdeel 2 (art. 21 lid 1 AVG) faalt subonderdeel 2.1 omdat eiser geen specifieke omstandigheden heeft aangevoerd die een hernieuwde individuele belangenafweging rechtvaardigden; subonderdeel 2.2 mist feitelijke grondslag omdat het hof niet heeft geoordeeld dat ING op grond van de Wwft verplicht was de specifieke aantekening op te nemen, maar slechts dat zij een gerechtvaardigd en zwaarwegend belang had mede gelet op haar Wwft-verplichtingen. Onderdeel 3 (toegankelijkheid voor derden) faalt bij gebrek aan belang, nu het hof onbestreden heeft geoordeeld dat eventuele toegankelijkheid voor de politie via art. 16 Wwft de rechtmatigheid van de verwerking onverlet laat. Bij onderdeel 4 (juistheidsbeginsel, art. 5 lid 1 onder d AVG) stelt de A-G voorop dat de aantekening zowel objectieve als subjectieve elementen bevat, maar dat geen redelijke twijfel bestaat dat ook dergelijke gemengde gegevens op juistheid kunnen worden getoetst, zij het dat die toetsing wordt ingekleurd door het doel van de verwerking; het hof heeft terecht vastgesteld dat de aantekening een correcte weergave is van de geconstateerde risico's die reden waren voor de beëindiging, zonder dat het de juistheid van de onderliggende risicoanalyse van ING behoefde te toetsen; de klacht dat het berusten in de opzegging niets zegt over de juistheid van de aantekening faalt bij gebrek aan belang én feitelijke grondslag, omdat het hof juist het omgekeerde bedoelde. Onderdeel 5 (beginsel van minimale gegevensverwerking, art. 5 lid 1 onder c AVG) treft evenmin doel: de gedetailleerdheid van de aantekening is noodzakelijk om de geconstateerde risico's voldoende in beeld te brengen voor het waarborgen van de veiligheid en integriteit van de financiële sector, een neutralere formulering zou dat doel niet adequaat dienen, terwijl de registratie bovendien tijdelijk en uitsluitend intern toegankelijk is en eiser niet heeft belemmerd bij het afnemen van financiële diensten elders.

4.3

Onderdeel 1 keert zich tegen rov. 5.12 van het bestreden arrest. Deze overweging luidt als volgt:

“5.12. [eiser] heeft betoogd dat de aantekening moet worden aangemerkt als de registratie van strafrechtelijke persoonsgegevens als bedoeld in artikel 10 AVG, die alleen onder de daarin genoemde voorwaarden mogen worden verwerkt. Volgens [eiser] geldt voor de registratie van strafrechtelijke persoonsgegevens de hoge norm van ‘meer dan een redelijk vermoeden van schuld’ en is daaraan in deze zaak niet voldaan. Het hof verwerpt dit betoog. Strafrechtelijke persoonsgegevens zijn zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring - in de zin van art. 350 Sv. - kunnen dragen (Hoge Raad 29 mei 2009, ECLI:NL:HR:2009:BH4720). De feiten en omstandigheden die in de aantekening worden vermeld zijn, kort gezegd, het doen van grote cashuitgaven zonder verantwoording, het niet bijhouden van een adequate boekhouding van cashinkopen en het nemen van te weinig maatregelen om betrokkenheid bij een aantal genoemde misdrijven c.q. overtredingen uit te sluiten. Dit zijn naar het oordeel van het hof geen feiten en omstandigheden die een als strafbaar feit te kwalificeren bewezenverklaring kunnen dragen.”

4.7

Onderdeel 2 is gericht tegen rov. 5.18-5.19 van het bestreden arrest. Deze overwegingen luiden als volgt:

“5.18. ING voert het verweer dat zij de persoonsgegevens van [eiser] heeft verwerkt voor een gerechtvaardigd doel, namelijk het waarborgen van de veiligheid en de integriteit van de financiële sector, en dat haar belang daarbij zwaarder weegt dan het belang van [eiser] . Volgens ING hebben de verwerkte persoonsgegevens van [eiser] betrekking op een gebeurtenis die gelet op het bijzondere karakter van de financiële sector de aandacht van ING behoeft. Zij wijst erop dat deze persoonsgegevens verband houden met een cliëntenonderzoek op grond van de Wwft.

5.19.

Dit verweer slaagt. Uit de hiervoor aangehaalde bepalingen van de Gedragscode volgt dat de verwerking van persoonsgegevens in verband met een cliëntenonderzoek op grond van de Wwft, door opname daarvan in het IVR en de Gebeurtenissenadministratie - die beide met waarborgen zijn omgeven - een gerechtvaardigd doel is. ING heeft een gerechtvaardigd en zwaarwegend belang, ook gelet op haar verplichtingen onder de Wwft, om gedurende zekere tijd bij te houden dat zij de relatie met een cliënt heeft beëindigd en waarom. Het - op zich zelf eveneens zwaarwegende - belang van [eiser] dat zijn persoonsgegevens niet worden geregistreerd weegt hier onder de omstandigheden van dit geval niet tegen op. Niet gebleken is dat de persoonsgegevens van [eiser] voor derden toegankelijk zijn of zijn geweest. Evenmin is gebleken dat [eiser] als gevolg van de registratie wordt belemmerd bij het afnemen van financiële diensten van derden. ING heeft in eerste aanleg onbetwist gesteld dat [eiser] relaties onderhoudt met verschillende banken. [eiser] heeft zelf erkend dat hij na de opzegging door ING zijn zakelijke rekeningen heeft ondergebracht bij een Duitse bank en op dezelfde manier werkt als waarop hij werkte toen hij nog bij ING bankierde. Het hof neemt hierbij ook in aanmerking dat ING in eerste aanleg, eveneens onbetwist, heeft gesteld dat [eiser] na de opzegging door ING een rekening heeft kunnen openen bij bunq. Daaruit kan worden afgeleid dat [eiser] evenmin is belemmerd bij het aangaan van een nieuwe bankrelatie.”

4.39

In casu draagt [eiser] verschillende alternatieve formuleringen aan, waaruit zou moeten blijken dat de bestreden aantekening niet noodzakelijk was voor het bereiken van het doel. Het is juist dat, indien een doelstelling ook bereikt kan worden met een minder vergaande verwerking, de bestreden verwerking niet noodzakelijk is. Anders dan [eiser] betoogt, heeft het hof dat niet miskend. Het hof heeft overwogen dat ING “niet meer [heeft] opgenomen dan een vermelding van de redenen voor de beëindiging van de bankrelatie” (rov. 5.20, tweede volzin). In de laatste volzin van rov. 5.20, gelezen in samenhang met rov. 5.7, 5.8, 5.17-5.19, komt tot uitdrukking dat het hof van oordeel is dat de aantekening dat [eiser] ‘te weinig maatregelen neemt om zijn betrokkenheid bij heling, witwassen en andere FEC uit te sluiten’ een relevante gebeurtenis is, die van belang kan zijn voor het waarborgen van de veiligheid en integriteit van de financiële sector, waaronder het onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot)(strafbare of laakbare) gedragingen gericht tegen de financiële branche en daarom de zorg en aandacht behoeven van de financiële instelling. In dit oordeel ligt besloten dat een minder gedetailleerde aantekening zoals door [eiser] aangedragen, niet voldoende duidelijk de geconstateerde risico’s in beeld brengt, waardoor de doelstelling niet behaald wordt.