Uitspraak Geschillencommissie Financiële Dienstverlening nr. 2020-386
(mr. R.J. Paris, voorzitter, mr. M.C.M. van Dijk, mr. dr. drs. R. Knopper, leden en mr. E.H.C. Vos, secretaris)
Klacht ontvangen op : 5 augustus 2019
Ingediend door : Consument
Tegen : ING Bank N.V., gevestigd te Amsterdam, verder te noemen de Bank
Datum uitspraak : 1 mei 2020
Aard uitspraak : Bindend advies
Uitkomst : Vordering afgewezen
Bijlage : Relevante bepalingen uit GVPFI
Samenvatting
Gebeurtenissenadministratie en Intern Verwijzingsregister (IVR). De Bank stelt zich op het standpunt dat Consument zich schuldig gemaakt heeft aan valsheid in geschrift door een rekening-afschrift van één van de betaalrekeningen die hij bij de Bank aanhoudt te vervalsen ten behoeve van de aanvraag van een krediet. Consument betwist dat hij het rekeningafschrift vervalst heeft of verzonden heeft. De Commissie is tot de conclusie gekomen dat sprake is van een zwaardere verdenking dan een redelijk vermoeden van schuld dat Consument betrokken is geweest bij de fraude. De registraties zijn bovendien proportioneel en de duur van de registraties is ook proportioneel. De vordering tot verwijdering van de registraties wordt afgewezen.
1. De procedure
1.1 De Commissie beslist op basis van haar Reglement en op basis van de door partijen aan Kifid ingestuurde documenten inclusief bijlagen. Het gaat hierbij om: 1) de klachtbrief die de advocaat van Consument ingediend heeft en de aanvullingen hierop van 19 april 2019 en
2 augustus 2019; 2) het verweerschrift van de Bank; 3) de repliek van Consument en 4) de dupliek van de Bank.
1.2 Partijen zijn opgeroepen voor een hoorzitting op 24 januari 2020 en zijn aldaar verschenen. Tijdens de hoorzitting heeft de Bank stukken ingediend. Consument heeft hierop met toestemming van de Commissie na de hoorzitting schriftelijk commentaar gegeven, waarna de Bank daarop heeft gereageerd. Ten slotte heeft Consument een laatste schriftelijke reactie ingediend. Ook deze uitwisseling van stukken tijdens en na de hoorzitting maken onderdeel uit van het dossier op basis waarvan de Commissie beslist.
1.3 Consument en de Bank hebben gekozen voor een bindend advies. De uitspraak is daarom bindend. Dit betekent dat partijen elkaar aan de uitspraak kunnen houden.
2. Het geschil
Wat is er gebeurd?
2.1 Consument houdt een betaalrekening aan bij de Bank (hierna: de Privérekening).
2.2 In januari 2014 is een krediet aangevraagd bij een kredietinstelling, niet zijnde de Bank (hierna: de Kredietinstelling). Bij de aanvraag is een rekeningafschrift aangeleverd (hierna: het Rekeningafschrift) van een bankrekening die bij de Bank werd aangehouden op naam van de eenmanszaak [naam bedrijf] (hierna: de Zakelijke rekening). Volgens het Kamer van Koophandel-uittreksel van [naam bedrijf] is Consument eigenaar van deze eenmanszaak. De Kredietinstelling heeft de Bank op de hoogte gesteld van deze kredietaanvraag, omdat het Rekeningafschrift vervalst is.
2.3 Op 21 januari 2014 ontving de Kredietinstelling via het contactformulier op haar website een bericht van iemand die zich opgaf als “[naam 1]”, via e-mailadres [e-mailadres] (hierna: het
E-mailadres), met de volgende inhoud:
“Ik heb van de week een lening bij jullie aangevraagd. Inmiddels zijn alle opgevraagde documenten en overeenkomsten heengezonden. Echter heb ik het verkeerde rekeningnummer ingevuld op het uitbetalingsopdracht formulier. Het rekeningnummer is namelijk nog niet geactiveerd ( duurt veel langer dan verwacht). Mijn vraag aan jullie is: Zou ik een andere tegenrekeningnummer aan u kunnen verstrekken zodat u deze op de uitbetalingsovereenkomst kunt wijzigen en uitbetaling wel in goede orde zal worden ontvangen?”
In de hierop volgende e-mailwisseling tussen de gebruiker van het E-mailadres en de Kredietinstelling is gespecificeerd dat de eerstgenoemde het verzoek deed om het krediet uit te betalen op de Zakelijke rekening.
2.4 Op 27 januari 2014 heeft de Bank een brief naar Consument gestuurd, waarin opgenomen is dat de Bank de relatie met Consument beëindigt en dat zijn persoonsgegevens voor de duur van 8 jaar worden opgenomen in haar interne register. De reden hiervoor is dat de Bank vindt dat in voldoende mate vaststaat dat Consument betrokken is bij een frauduleuze aanvraag van een krediet bij de Kredietinstelling, waarbij gebruik gemaakt is van een vervalst afschrift.
2.5 Op 17 februari 2014 heeft Consument een brief naar de Bank gestuurd met betrekking tot zijn Privérekening. In de brief is onder meer opgenomen:
“Wegens het niet beschikbaar te zijn geweest in de afgelopen periode, is mijn betaalrekening verlopen. Ik heb hierdoor mijn rekening niet opnieuw kunnen bevestigen.
Nu is het zo dat dit mijn enige rekeningnummer is waarop ik al mijn inkomsten krijg en ook mijn uitgaven vanuit doe.
Het gaat om het volgende rekeningnummer: [rekeningnummer van de privérekening].
Tevens is mij verteld door uw bedrijf dat er fraude is gepleegd op mijn naam. Ik heb een poging tot aangifte gedaan bij de politie, maar zij willen bewijs van de bank hebben om mijn aangifte te kunnen volbrengen.
Via deze weg wil ik graag mijn rekeningnummer deblokkeren en een bewijs van de fraude die is gepleegd volgens u krijgen zodat ik de aangifte kan volbrengen.”
2.6 Op 19 februari 2014 heeft de Bank op de brief van 17 februari 2014 gereageerd. In deze reactie is het volgende opgenomen:
“In januari 2014 heeft u een lening bij de [Kredietinstelling] aangevraagd. Bij deze aanvraag is er door u valsheid in geschrifte gepleegd. U heeft een overzicht met transacties van uw Betaalrekening [rekeningnummer van de Zakelijke rekening] vanuit Mijn ING opgeleverd waarbij er wijzigingen zijn aangebracht die niet voorkomen op de officiële rekeningafschriften van uw Betaalrekening. Door deze poging tot valsheid in geschrifte met een officieel ING document gaan wij op basis van geschaad vertrouwen de relatie met u opzeggen. Als bijlage ontvangt u het vervalste overzicht van Mijn ING. Voor meer informatie kunt u contact zoeken bij de [Kredietinstelling]. Uw Betaalrekeningen [rekeningnummer van de Zakelijke rekening] en [rekeningnummer van de Privérekening] worden opgeheven.
(…)
Indien gewenst kunt u beroep aantekenen tegen onze beslissing. Dit dient schriftelijk en binnen zes weken na dagtekening van deze brief voorgelegd te worden aan de Directie van de ING (…) De directie zal het beroep dan binnen zes weken behandelen.”
2.7 Consument heeft geen beroep aangetekend tegen de beslissing van de Bank van 19 februari 2014. In maart 2014 heeft de Bank een convenantrekening geopend voor Consument.
2.8 Begin 2019 heeft Consument een nieuwe betaalrekening met een creditcardfaciliteit bij de Bank aangevraagd. Consument heeft vervolgens bericht ontvangen dat de Bank een registratie op naam van Consument in een verwijzingsregister aangetroffen heeft. Vanwege de registratie heeft de Bank besloten de aanvraag van Consument niet in behandeling te nemen.
De klacht en vordering
2.9 Consument maakt bezwaar tegen het besluit van de Bank in 2019 om Consument geen betaalrekening met creditcard te verstrekken, en alles wat aan dat besluit ten grondslag ligt. De Bank stelt dat zij de producten niet aan Consument verstrekt heeft omdat de gegevens van Consument geregistreerd zijn in de Gebeurtenissenadministratie en het daaraan gekoppelde Intern Verwijzingsregister (IVR). Er zou volgens de Bank sprake zijn van valsheid in geschrift, maar Consument betwist dit ten stelligste. Hij kan zich niet voorstellen dat hij vanuit zijn Mijn ING-account wijzigingen zou hebben aangebracht die niet voorkomen op de officiële bankafschriften.
2.10 Consument weet wel dat er op een gegeven moment stortingen en opnames vanaf zijn betaalrekening gedaan werden. Hij heeft toen contact opgenomen met de politie. De politie meldde dat Consument een verklaring bij zijn bank moest gaan opvragen, ten behoeve van het doen van aangifte. Dat heeft Consument vervolgens gedaan, door middel van de brief van 17 februari 2014 (zie overweging 2.5).
2.11 Het is aan de Bank om te bewijzen dat Consument verantwoordelijk kan worden gehouden voor fraude en dat heeft zij niet gedaan.
Het verweer
2.12 De Bank heeft verweer gevoerd tegen de stellingen van Consument. Voor zover relevant zal de Commissie bij de beoordeling daarop ingaan.
3. De beoordeling
Kan Kifid de klacht behandelen?
3.1 Aanvankelijk heeft de Bank aangevoerd dat Consument zijn klacht buiten de daarvoor geldende termijnen ingediend heeft en dat de klacht daarom niet door Kifid behandeld kan worden. De Bank heeft namelijk op 19 februari 2014 haar standpunt aan Consument kenbaar gemaakt en Consument heeft pas in 2019 zijn klacht bij Kifid ingediend. Tijdens de mondelinge behandeling op 24 januari 2020 heeft de Bank dit verweer echter laten varen en heeft zij ingestemd met de inhoudelijke beoordeling van de klacht. Gelet op deze proceshouding van de Bank zal de Commissie overgaan tot de inhoudelijke beoordeling van de klacht.
3.2 De vraag die voorligt is of de gegevens van Consument op juiste gronden opgenomen zijn in de Gebeurtenissenadministratie en het daaraan gekoppelde IVR van de Bank. De conclusie luidt dat de Bank het recht had om de gegevens van Consument in deze registers op te nemen en dit oordeel wordt als volgt toegelicht.
Het toetsingskader
3.3 Het toetsingskader voor de onderhavige registratie wordt gevormd door de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (GVPFI).
Relevante bepalingen van de GVPFI zijn in de bijlage van deze uitspraak opgenomen. Ingevolge artikel 4.1 GVPFI worden persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. Van een zorgvuldige gegevensverwerking is sprake als de desbetreffende gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt. Dit vereiste is nader uitgewerkt in artikel 4.3 en artikel 5 GVPFI. Ingevolge artikel 5.5.1 GVPFI kunnen, ten behoeve van de veiligheid en integriteit van de financiële sector, persoonsgegevens die betrekking hebben op (onder meer) gebeurtenissen die de zorg en aandacht behoeven van de financiële instelling, worden opgenomen in de Gebeurtenissenadministratie. Het gaat daarbij om zaken die de veiligheid en integriteit van de instelling, die haar werknemers, klanten, overige relaties maar ook de financiële sector als geheel (kunnen) raken. Gebeurtenissen die een kleine impact, maar ook grote gevolgen kunnen hebben. In de toelichting op de GVPFI is hierover opgemerkt dat het kan gaan om uiteenlopende gebeurtenissen: van een melding van een gestolen laptop tot het vermoeden dat iemand betrokken is bij een vorm van fraude of criminaliteit.
3.4 Indien opname in de Gebeurtenissenadministratie gerechtvaardigd is, kunnen de verwijzings-gegevens ook in het daaraan gekoppelde IVR worden opgenomen. Het doel van de registratie is immers dat ook andere afdelingen dan de Afdeling Veiligheidszaken opmerk-zaam gemaakt worden op de persoon die was betrokken bij de ‘gebeurtenis’. Hiervan is geen sprake als uitsluitend de Afdeling Veiligheidszaken van de opname kennis draagt doordat volstaan wordt met een registratie in de Gebeurtenissenadministratie. Voor de vraag of registratie gerechtvaardigd is, is verder van belang of voldaan is aan de beginselen van subsidiariteit en proportionaliteit. Zie hiervoor de uitspraken van de Geschillencommissie onder nummers 2016-072, 2016-255 en 2017-186 en Rb. Midden-Nederland 11 januari 2017, ECLI:NL:RBMNE:2017:49 r.o. 4.2 en 4.13 e.v.
3.5 In de onderhavige zaak staat de verwerking van strafrechtelijke persoonsgegevens ter discussie. De Bank heeft de persoonsgegevens van Consument immers in de Gebeurtenissenadministratie en het IVR geregistreerd in verband met beweerdelijke betrokkenheid van Consument bij fraude. Volgens de Hoge Raad geldt als uitgangspunt
voor de verwerking van strafrechtelijke persoonsgegevens dat het moet gaan om zodanig concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezen-verklaring in de zin van artikel 350 van het Wetboek van Strafvordering kunnen dragen. Een strafrechtelijke veroordeling is niet vereist, maar anderzijds is de enkele verdenking van betrokkenheid bij een strafbaar feit in de zin van een redelijk vermoeden van schuld, zoals dat kan blijken uit een aangifte, niet voldoende. Als maatstaf heeft te gelden of de vast-gestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan (zie Hoge Raad 29 mei 2009, ECLI:NL:HR:2009:BH4720 onder 4.4).
Dat het gedrag in voldoende mate moet vaststaan vloeit niet voort uit de aard van het register, maar uit de strafrechtelijke aard van de geregistreerde persoonsgegevens (zie Gerechtshof Den Haag 15 december 2015, ECLI:GHDHA:2015:3815 onder 8.2 en Geschillencommissie Kifid 2016-061).
Mocht de Bank de persoonsgegevens van Consument registreren in de Gebeurtenissenadministratie en het IVR?
3.6 De Bank heeft de gegevens van Consument geregistreerd omdat volgens de Bank in voldoende mate vaststaat dat Consument zich schuldig gemaakt heeft aan valsheid in geschrift door het vervalste Rekeningafschrift aan te leveren bij de Kredietinstelling voor de aanvraag van een krediet. Consument heeft bevestigd dat het Rekeningafschrift opvallend valse kenmerken vertoont, maar hij stelt zich op het standpunt dat hij daar niets mee van doen heeft. Hij betwist dat hij valsheid in geschrift gepleegd heeft.
3.7 Aangezien Consument niet betwist heeft dat het Rekeningafschrift vervalst is, maar juist onderkent dat het Rekeningafschrift valse kenmerken vertoont, staat voor de Commissie vast dat het Rekeningafschrift vervalst is. Verder staat vast dat iemand onder de naam “[naam 1]” bij de Kredietinstelling het verzoek indiende om het krediet uit te betalen op de Zakelijke rekening. “[naam 1]” is gelijk aan de naam van Consument, maar de achternaam is als voornaam gebruikt en andersom. Volgens de Bank en de Kredietinstelling zijn de namen omgedraaid om een hit in het register van het Bureau Kredietregistratie (BKR) op naam van Consument te omzeilen.
3.8 De uitbetaling van het krediet op de Zakelijke rekening is relevant omdat degene die toegang tot deze rekening heeft, gebaat is bij die uitbetaling, of er op zijn minst actief bij betrokken is. Dit laatste zou het geval kunnen zijn als het uitbetaalde krediet zou worden doorbetaald aan een derde.
3.9 Betrokkenheid van Consument bij de Zakelijke rekening blijkt uit het feit dat de Zakelijke rekening op naam staat van een eenmanszaak waarvan Consument eigenaar is. Bovendien is bij de aanvraag voor de Zakelijke rekening in 2013 onder meer het legitimatiebewijs van Consument overgelegd. Consument heeft in eerste instantie zijn betrokkenheid bij de Zakelijke rekening volledig ontkend door te stellen dat hij dit rekeningnummer nooit van de Bank gekregen heeft. Later in de procedure heeft hij erkend dat de Zakelijke rekening aanvankelijk aan hem toegewezen is, maar hij heeft benadrukt dat hij het Rekeningafschrift niet vervaardigd en/of verzonden heeft. Omdat Consument zichzelf hiermee tegenspreekt, is zijn betoog over zijn betrokkenheid bij de Zakelijke rekening niet geloofwaardig – of beter gezegd: beide tegenstrijdige betogen zijn niet geloofwaardig. Bovendien heeft Consument geen verklaring gegeven wie gebaat zou zijn bij uitbetaling op de Zakelijke rekening als hij dat niet was.
3.10 Verder heeft Consument geen gemotiveerd verweer gevoerd tegen de stelling van de Bank dat het Rekeningafschrift alleen door Consument in zijn Mijn ING-account (internetbankieren) vervaardigd kan zijn. De Commissie houdt het er daarom voor dat het Mijn ING-account van Consument gebruikt is voor de vervalsing van het Rekeningafschrift. Met deze en bovengenoemde omstandigheden (overwegingen 3.7-3.9) heeft de Bank overtuigend bewijs geleverd voor haar stelling dat Consument valsheid in geschrift gepleegd heeft.
3.11 Consument heeft nog gesteld dat het E-mailadres (zie overweging 2.3) niet zijn e-mailadres is. Ter onderbouwing heeft hij aangetoond dat hij zelf een ander e-mailadres gebruikt. Gelet op de hierboven genoemde omstandigheden die wijzen op betrokkenheid van Consument bij de aanlevering van het vervalste Rekeningafschrift voor de aanvraag van het krediet, is deze ontkenning van Consument onvoldoende om het bewijs van de Bank onderuit te halen. Dat Consument zelf een ander e-mailadres gebruikt, betekent nog niet dat hij niet ook het
E-mailadres gebruikt kan hebben.
3.12 Verder heeft Consument erop gewezen dat in het fraudedossier van de Bank opgenomen is dat het krediet bij de Kredietinstelling aangevraagd is door ene ‘[naam 2]’, terwijl die naam niet in de personalia van Consument voorkomt. Het is denkbaar dat de naam [naam 2] een eenmalige verschrijving is, omdat de naam gelijkenissen vertoont met zowel de voornaam als de achternaam die gebruikt zijn voor de kredietaanvraag. Aangezien de naam [naam 2] bovendien slechts eenmaal gebruikt is en voor het overige voortdurend namen genoemd zijn die wel overeenkomen met de voor- en/of achternaam van Consument, is ook dit argument van Consument onvoldoende om zijn betrokkenheid bij de fraude te ontkrachten.
3.13 Het argument van Consument dat hij één van de transacties op het vervalste Rekeningafschrift niet herkent (een bedrag van € 2.252,27 van een bouwbedrijf) kan hem eveneens niet baten. Volgens Consument moet de Bank aantonen dat Consument dit bedrag van het bouwbedrijf ontvangen heeft, maar dat argument gaat niet op. Het Rekeningafschrift is namelijk vervalst in die zin dat daarop transacties vermeld zijn die in het geheel niet plaatsgevonden hebben. De Bank heeft met een origineel afschrift van de Zakelijke rekening aangetoond dat in de betreffende periode in het geheel geen transacties over de Zakelijke rekening gegaan zijn. De transacties zijn dus alle verzonnen, ook de betaling van het bouwbedrijf die Consument niet herkent.
3.14 Ten slotte heeft Consument erop gewezen dat de Zakelijke rekening slechts zeer sporadisch gebruikt is. Ook dit gegeven weerlegt het bewijs in de richting van betrokkenheid van Consument niet.
3.15 Gelet op de voorgaande overwegingen komt de Commissie tot de conclusie dat een zwaardere verdenking dan een redelijk vermoeden van schuld bestaat dat Consument betrokken is geweest bij de fraude.
Voldoen de registraties aan de beginselen van proportionaliteit en subsidiariteit?
3.16 De Bank dient (op grond van artikel 4.3 sub f GVPFI) bij de registratie van persoonsgegevens in het IVR en de Gebeurtenissenadministratie een proportionaliteitsafweging te maken bij de beoordeling van de vraag of zij de gegevens in die registers zal registeren, en zo ja, voor welke duur. Daarbij dient zij de belangen van de betrokkene mee te wegen. Consument zal als degene die verwijdering van de registratie wenst moeten onderbouwen op grond waarvan hij disproportioneel wordt geraakt in zijn belangen en waarom zijn belang dient te prevaleren boven dat van de Bank. Ook moet worden beoordeeld of het doel van de registratie in redelijkheid niet op een andere manier kan worden bereikt (beginsel van subsidiariteit).
3.17 Met de interne registratie wordt bereikt dat de eigen organisatie opmerkzaam wordt gemaakt op valsheid in geschrift waar Consument bij betrokken was. Er is geen lichter middel om dit doel te bereiken dan de gegevens op te nemen in de Gebeurtenissen-administratie en het IVR. Aan het subsidiariteitsbeginsel is dus voldaan.
3.18 Ten aanzien van de proportionaliteitsafweging geldt het volgende. De Bank heeft aangevoerd dat het belang van de registratie zwaarder weegt dan het mogelijk nadelige effect dat de registratie voor Consument heeft. Bovendien heeft de Bank erop gewezen dat de registraties intern van aard zijn, zodat deze registraties niet in de weg staan aan een aanvraag van producten bij andere banken. Consument heeft op zijn beurt niet betoogd waarom hij onevenredig hard geraakt is door de registraties in de Gebeurtenissenadministratie en het IVR. De Commissie stelt dan ook vast dat de registratie proportioneel is.
3.19 De gegevens van Consument zijn voor de duur van acht jaar geregistreerd. Tijdens de mondelinge behandeling heeft de advocaat van Consument aangedragen dat het verstrijken van ongeveer zes jaar sinds de registraties reden is om de duur te verkorten. Volgens de advocaat hebben zich in die tijd geen bijzonderheden voorgedaan. De Commissie is echter van oordeel dat die enkele omstandigheid in het onderhavige geval onvoldoende is voor een verkorting van de duur van de registraties. Gelet op het ontbreken van een toereikende onderbouwing van Consument van zijn belang bij het verwijderen van de registratie, het ontbreken van inzicht in zijn handelwijze en de ernst van het aan Consument te verwijten handelen, acht de Commissie de registratie voor de duur van acht jaar proportioneel.
De Commissie neemt daarbij in aanmerking dat de gevolgen van vermelding in de Gebeurtenissenadministratie en het IVR beperkt zijn, omdat zij uitsluitend werkt binnen de organisatie van de desbetreffende financiële instelling en deze Consument niet belet een relatie aan te gaan met andere financiële instellingen.
4. De beslissing
De Commissie wijst de vordering af.
Deze uitspraak is een bindend advies. Tegen deze uitspraak kunt u beroep instellen bij de Commissie van Beroep Financiële Dienstverlening wanneer wordt voldaan aan de vereisten van artikel 2 van het Reglement van de Commissie van Beroep Financiële Dienstverlening. Voor het instellen van beroep geldt een termijn van zes weken na verzending van deze uitspraak. Het Reglement van de Commissie van Beroep en meer informatie over het instellen van beroep kunt u vinden op de website www.kifid.nl/in-beroep-gaan-bij-kifid.
Binnen twee weken na de verzenddatum van deze uitspraak kunt u een verzoek indienen tot herstel van vergissingen in de uitspraak, zoals schrijffouten, een verkeerde naam/datum of rekenfouten. De beslissing van de Geschillencommissie in de uitspraak kan hiermee niet ter discussie worden gesteld. Meer informatie hierover staat in artikel 40 van het Reglement Geschillencommissie Financiële Dienstverlening, te vinden op de website www.kifid.nl/reglementen-en-statuten.
Bijlage – Relevante bepalingen uit de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (GVPFI)
“4. Beginselen van Verwerking van Persoonsgegevens
4.1 Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.
4.2 Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verkregen. In artikel 5 Gedragscode wordt dit nader bepaald.
4.3 Persoonsgegevens worden slechts verwerkt indien en voor zover is voldaan aan minimaal één van de volgende rechtmatige grondslagen:
a. de Betrokkene heeft voor de Verwerking van Persoonsgegevens zijn ondubbelzinnige toestemming verleend;
b. de Verwerking van Persoonsgegevens is noodzakelijk voor de uitvoering van een overeenkomst waarbij de Cliënt partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de Cliënt en die noodzakelijk zijn voor het sluiten van een overeenkomst;
c. de Verwerking van Persoonsgegevens is noodzakelijk om een wettelijke verplichting na te komen waaraan de Financiële instelling onderworpen is;
d. de Verwerking van Persoonsgegevens is noodzakelijk ter vrijwaring van een vitaal belang van de Betrokkene;
e. de Verwerking van Persoonsgegevens is noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt; of
f. de Verwerking van Persoonsgegevens is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de Financiële instelling of van een Derde aan wie de Persoonsgegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de Betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.
(…)
5. Doeleinden voor de Verwerking van Persoonsgegevens
5.1 Algemeen
5.1.1 Verwerking van Persoonsgegevens door Financiële instellingen vindt plaats, met inachtneming van de beginselen voor Verwerking van Persoonsgegevens ten behoeve van een efficiënte en effectieve bedrijfsvoering, in het bijzonder in het kader van het uitvoeren van de volgende activiteiten:
a. het beoordelen en accepteren van een Cliënt, het aangaan en uitvoeren van overeenkomsten met een Cliënt en het afwikkelen van het betalingsverkeer;
b. het verrichten van analyses van Persoonsgegevens ten behoeve van statistische en wetenschappelijke doeleinden;
c. het uitvoeren van (gerichte) marketingactiviteiten teneinde een relatie met een Betrokkene tot stand te brengen en/of met een Cliënt in stand te houden dan wel uit te breiden;
d. het waarborgen van de veiligheid en integriteit van de financiële sector, daaronder mede begrepen het onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot) (strafbare of laakbare) gedragingen gericht tegen de branche waar een Financiële instelling deel van uitmaakt, de Groep waartoe een Financiële instelling behoort, de Financiële instelling zelf, haar Cliënten en medewerkers, alsmede het gebruik van en de deelname aan waarschuwingssystemen;
e. het voldoen aan wettelijke verplichtingen;
f. het beheren van de relatie met de Cliënt.
5.1.2 Een Financiële instelling verwerkt niet meer Persoonsgegevens dan strikt noodzakelijk is. Financiële instellingen stellen deze Persoonsgegevens binnen de Groep slechts beschikbaar aan medewerkers die daartoe bevoegd zijn.
(…)
5.5 Verwerking van Persoonsgegevens in het kader van de veiligheid en integriteit van de Financiële sector alsmede het gebruik van waarschuwingssystemen
5.5.1 Ten behoeve van de veiligheid en integriteit van de Financiële sector kunnen gegevens, waaronder Persoonsgegevens, die betrekking hebben op: (i) gebeurtenissen die gelet op het bijzondere karakter van de Financiële sector de zorg en aandacht behoeven van de Financiële instelling; (ii) (potentiële) vorderingen onder meer ten aanzien van een met de Financiële instelling gesloten overeenkomst; (iii) het niet nakomen van contractuele verplichtingen of andere (toerekenbare) tekortkomingen; of (iv) handelingen van Financiële instellingen, waaronder onderzoek als bedoeld in artikel 5.6.1 Gedragscode, worden opgenomen in een Gebeurtenissenadministratie gehouden door Veiligheidszaken of een daartoe aangewezen afdeling van de betreffende Financiële instelling. Op deze Gebeurtenissenadministratie is de Gedragscode van toepassing.
5.5.1 Indien een in het eerste lid bedoelde gebeurtenis voldoet aan de criteria als opgenomen in het Protocol worden de met deze gebeurtenis verband houdende gegevens opgenomen in het incidentenregister en is opname in het EVR mogelijk (Bijlage I: Document B).”