Frauderegistratie onder de AVG: duur van de registratie moet proportioneel zijn

Hof Arnhem-Leeuwarden 2 december 2025, IT 5186; ECLI:NL:GHARL:2025:7685 ([appellante] tegen ASR). Het gerechtshof Arnhem-Leeuwarden oordeelt dat een verzekeraar (ASR) persoonsgegevens mag opnemen in interne en externe frauderegisters bij opzettelijke misleiding door een verzekeringnemer, maar dat de duur van die registratie afzonderlijk moet worden getoetst aan het proportionaliteitsbeginsel van de AVG. De zaak betreft een arbeidsongeschiktheidsverzekering (AOV) die was aangevraagd in het kader van een financieringstraject. Bij de aanvraag had [appellante] in de gezondheidsverklaring relevante medische informatie niet gemeld, waaronder een recent verkeersongeval en langdurige klachten. Nadat de verzekeraar via externe bronnen kennis kreeg van deze informatie, werd een onderzoek ingesteld. Dit leidde tot registratie van [appellante] in het Interne Verwijzingsregister (IVR) en het Externe Verwijzingsregister (EVR) voor de maximale duur van acht jaar. Centraal stond de vraag of deze registratie in strijd was met de Algemene verordening gegevensbescherming en het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI).

Het hof oordeelt dat de verzekeraar de registratie terecht heeft aangemerkt als een “incident” in de zin van het PIFI. Doorslaggevend is dat [appellante] haar precontractuele mededelingsplicht heeft geschonden met opzet tot misleiding (art. 7:930 lid 5 BW). Daarbij acht het hof van belang dat de vragen in de gezondheidsverklaring duidelijk waren, de verzwegen informatie recent en substantieel was en [appellante] een evident belang had bij acceptatie van de verzekering. De onjuiste informatie heeft de risicobeoordeling van de verzekeraar direct geraakt. Daarmee is voldaan aan de voorwaarden voor opname in het EVR en IVR. Vervolgens toetst het hof de registratie aan de AVG, in het bijzonder het recht van bezwaar en verwijdering (art. 21 en 17 AVG). Dit vereist een actuele belangenafweging. Hoewel het belang van de financiële sector bij fraudepreventie zwaar weegt, onderkent het hof dat registratie ingrijpende gevolgen heeft voor [appellante], onder meer bij het verkrijgen van financiering en verzekeringen en bij het starten van een onderneming. Het hof oordeelt dat de verzekeraar onvoldoende heeft gemotiveerd waarom een registratie voor de maximale termijn van acht jaar noodzakelijk is. De duur van de verwerking moet zelfstandig proportioneel zijn. In dit geval acht het hof een termijn van vier jaar passend en toereikend.

3.24 Uit deze omstandigheden kan worden afgeleid dat [appellante] niet alle feiten aan ASR heeft meegedeeld die zij kende of behoorde te kennen en waarvan zij wist of behoorde te begrijpen dat de beslissing van ASR of, en zo ja op welke voorwaarden, zij de verzekering zou willen sluiten, zou afhangen. Ook volgt hieruit dat [appellante] aldus heeft gehandeld met de bedoeling ASR ertoe te bewegen een overeenkomst aan te gaan die zij anders niet of niet op dezelfde voorwaarden zou hebben gesloten.2 Er is dus sprake van opzettelijke misleiding in de zin van artikel 7:930 lid 5 BW. ASR voert terecht aan dat dit een gebeurtenis is die als gevolg heeft of zou kunnen hebben dat de belangen, integriteit of veiligheid van ASR of de financiële sector als geheel in het geding komt (een ‘incident’ in de zin van het PIFI, zie hiervoor bij 3.16). Dat [appellante] bij deze gebeurtenis was betrokken, staat niet ter discussie. Aan de eisen van artikel 5.2.1 onder a en b van het PIFI is dan ook voldaan.

De belangen van [appellante] om niet in het EVR te worden geregistreerd waren groot, omdat een registratie haar ernstig belemmert in het verkrijgen van financiële producten en diensten. Daar tegenover staat het belang van de bescherming van de continuïteit en integriteit van de financiële sector. Gelet op de aard en ernst van het betreffende incident en de specifieke omstandigheden van het geval heeft ASR voldoende onderbouwd dat de registratie in het EVR noodzakelijk was om haar belangen en die van de financiële sector te behartigen en dat die belangen zwaarder wogen dan de belangen van [appellante] om niet te worden geregistreerd. Op het moment van registratie werd dan ook aan het proportionaliteitsvereiste van artikel 5.2.1 onder c van het PIFI voldaan.

Gezien het voorgaande heeft ASR de gegevens van [appellante] rechtmatig in het EVR opgenomen.

3.30 ASR heeft haar stelling dat de handelwijze van [appellante] een bedreiging zou vormen voor de zorgverzekeraars die tandartsen financieren niet onderbouwd. Bovendien volgt uit hetgeen ASR naar voren heeft gebracht niet hoe zij de belangen van [appellante] heeft meegewogen. Dat en waarom de registratie voor de resterende 5,5 jaar, bezien tegen de belangen van [appellante] gehandhaafd moet blijven, heeft zij onvoldoende toegelicht. Dat [appellante] zeer vermogend is en daarom minder belang zou hebben bij (de mogelijkheid tot) een betere verzekering, zoals ASR heeft aangevoerd, doet er niet aan af dat [appellante] in haar belangen wordt geraakt, bijvoorbeeld met betrekking tot haar ernstig zieke zoontje. Wel is het zo dat, zoals hiervoor is geoordeeld, de handelwijze van [appellante] de belangen van ASR heeft geschaad en een bedreiging kan vormen voor de financiële sector. Het hof acht aan de andere kant relevant dat [appellante] tijdens de mondelinge behandeling herhaaldelijk heeft erkend dat zij haar mededelingsplicht heeft geschonden en daarmee een ernstige fout heeft gemaakt. De door ASR aangevoerde gronden, afgewogen tegen de belangen van [appellante] , rechtvaardigen daarom een registratie van vier jaar na opname, maar niet langer dan dat.

Dit geldt zowel voor de registratie in het EVR als in het IVR. ASR heeft immers geen specifieke argumenten aangevoerd waaruit zou volgen dat de registratie in het IVR wel (langer) in stand zou moeten blijven. Dit geldt ook voor de melding van de registraties bij het CBV.