BKR volledig verantwoordelijk bij verwijderingsverzoek

Gerechtshof Arnhem-Leeuwarden 6 juni 2023, IT 4308, ECLI:NL:GHARL:2023:4738 (Stichting Bureau Krediet Registratie/Geïntimeerde) Geïntimeerde heeft enkele schulden, die geregistreerd worden door de Stichting Bureau Krediet Registratie (hierna: BKR). Geïntimeerde heeft, ten aanzien van deze schulden, het BKR verzocht om de bijzonderheidscoderingen bij deze schulden weg te halen. Het BKR heeft dit afgewezen, waarop geïntimeerde naar de rechter is gegaan. Deze heeft hem gelijk gegeven en het BKR bevolen enkele van de bijzonderheidscodes weg te halen. Het BKR gaat in hoger beroep.

Het BKR heeft twee grieven tegen de uitspraak van de rechtbank. In de eerste grief komt het BKR op tegen het oordeel van de rechtbank dat zij gehouden is om het verwijderingsverzoek van geïntimeerde in behandeling te nemen. De tweede richt zich tegen het oordeel van het hof dat er geen gerechtvaardigde gronden die tot afwijzing van het verzoek hadden moeten leiden. Ten aanzien van de eerste grief stelt het hof dat geïntimeerde zich met het verwijderingsverzoek zowel tot het BKR als de kredietaanbieders kon wenden. Het BKR houdt het Centraal Krediet Informatiesysteem (hierna: het CKI) bij, waar kredietverstrekkers vooraf aan de kredietovereenkomst te rade gaan. Zij is daarom een verwerkingsverantwoordelijke die, in tegenstelling tot wat zij zelf stelt, door de rechter als volledig verantwoordelijk wordt gezien ten aanzien van de gegevensverwerking van geïntimeerde. Ongeacht of er sprake is van ketenverantwoordelijkheid zijn zowel BKR als de kredietverstrekkers ieder afzonderlijk verantwoordelijk voor het het geheel van de verwerking van persoonsgegevens in het CKI. 

Ten aanzien van de tweede grief stelt het hof dat het BKR slechts algemene verweren ter afwijzing van het verzoek heeft gevoerd en deze in hoger beroep niet heeft uitgewerkt. Daarbij is het BKR niet ingegaan op de persoonlijke situatie van geïntimeerde, terwijl dit wel van haar verwacht mocht worden. Het hoger beroep van het BKR faalt en de bestreden uitspraak wordt bekrachtigd. 

2.11 [...] BKR heeft aangevoerd dat sprake is van ketenverantwoordelijkheid en dat zij om die reden zelf slechts een beperkte uitvoerende verantwoordelijkheid heeft. Haar verantwoordelijkheid is volgens haar beperkt tot het waarborgen van de volledigheid, de accuraatheid en beschikbaarheid van de kredietgegevens in het CKI (in die zin dat de kredietgegevens in het CKI worden weergegeven zoals kredietaanbieders die op doorlopende basis aanleveren overeenkomstig het daadwerkelijke verloop van de kredietovereenkomsten) en strekt zich niet uit tot de rechtmatigheidstoets van de verwerking van de persoonsgegevens in het CKI.
Het hof volgt BKR hier niet in. Ook als sprake is van ketenverantwoordelijkheid, is BKR verwerkingsverantwoordelijke voor de gegevens zoals weergegeven in het CKI. BKR en de kredietaanbieders zijn ieder afzonderlijk verantwoordelijk voor het geheel van de verwerking van persoonsgegevens in het CKI en dus de registratie van achterstands- en bijzonderheidscoderingen. De kredietaanbieders hebben onderling afgesproken dat zij een deel van hun taken, namelijk het beheer van het stelsel van kredietregistratie in het CKI, bij BKR onderbrengen. De kredietaanbieders beoordelen bij het verstrekken en verhogen van kredieten de kredietwaardigheid van consumenten. Dit ontslaat de kredietaanbieders en BKR echter niet van de verantwoordelijkheid die zij ieder voor zich hebben voor een juiste en accurate verwerking van persoonsgegevens in het CKI. Bij deze constructie kan ook niet worden gezegd dat sprake is van bewerkingen die eerder in de verwerkingsketen plaatsvinden en waarvan BKR niet (mede) het doel en de middelen vaststelt. Indien een betrokkene bezwaren heeft tegen de verwerking van persoonsgegevens in het CKI, kan hij zijn rechten met betrekking tot en jegens iedere verwerkingsverantwoordelijke, en dus ook jegens BKR, uitoefenen. Een beperkte verwerkingsverantwoordelijkheid aan de zijde van BKR is niet aan de orde en past niet in het systeem van de AVG. BKR is (mede) voor het geheel van de verwerking van de persoonsgegevens in het CKI verantwoordelijk [...].