EVR-registratie niet standaard acht jaar

2 februari 2024 om 13:59

In een eerdere uitspraak in een geschil tussen partijen oordeelde de geschillencommissie dat de duur van een EVR-registratie (Extern verwijzingsregister) niet standaard op 8 jaar mag worden gezet. Dit is een maximum termijn en is afhankelijk van de omstandigheden van het specifieke geval. De duur van de registratie kan dus ook korter zijn. De bank is het niet met deze uitspraak eens en gaat in beroep. Hoe denkt de Commissie van Beroep hierover?

De feiten

In 2021 hebben klanten samen een huis gekocht en hebben een hypothecaire lening aangevraagd bij de bank. De bemiddeling verliep op basis van execution only via een tussenpersoon. Bij de aanvraag heeft de klant een werkgeversverklaring ingediend met een bruto jaarinkomen van € 48.724,40. Eind maart 2021 heeft de bank een offerte uitgebracht voor een hypothecaire lening van € 311.500,-, die de klant heeft ondertekend. Medio april 2021 is de woning geleverd en werd de hypotheekakte gepasseerd.

Tijdens dezelfde periode heeft de klant nog een andere woning gekocht (de andere woning). Voor de financiering hebben ze op begin maart 2021 een hypothecaire lening bij een andere geldverstrekker aangevraagd. Hierbij heeft de klant dezelfde werkgeversverklaring gebruikt, maar met een bruto jaarinkomen van € 29.203,20. Medio maart 2021 heeft de geldverstrekker een kredietaanbod gedaan, dat door klanten is geaccepteerd. Medio april 2021 is ook deze woning geleverd en werd de hypotheekakte gepasseerd.

Daarnaast hebben klanten bij een kredietverstrekker een consumptief krediet van € 25.000,- aangevraagd, die ook medio april 2021 is uitbetaald.

Nadat de bank ontdekte dat de klant ook bij een andere geldverstrekker een hypotheek had afgesloten, heeft de bank in augustus 2021 vragen gesteld over de verschillende leningen en huizen. In oktober 2021 heeft de bank de relatie met de consument beëindigd en aan de hand van het opgebouwde dossier zijn persoonsgegevens geregistreerd in het Incidentenregister en het Extern Verwijzingsregister (EVR) voor de duur van acht jaar. De reden volgens de bank is dat de klant valse werkgeversverklaringen heeft aangeleverd en informatie heeft verzwegen.

De klant heeft bij het Kifid een klacht ingediend over het registreren van zijn persoonsgegevens in het Incidentenregister, het EVR, de Gebeurtenissenadministatratie en het Intern Verwijzigingsregister (IVR). De klant wilde dat de registraties zouden worden verwijderd, dan wel dat de duur werd verkort. De Geschillencommissie heeft de klant gedeeltelijk gelijk gegeven. Zij heeft de registratieduur in het EVR verkort tot vijf jaar, maar de registraties in de Gebeurtenissenadministratie en het IVR voor de duur van acht jaar behouden.

De bank gaat in beroep tegen dit oordeel met betrekking tot de registratieduur in het EVR.

De beoordeling

De bank heeft aangevoerd dat uit het relevante toetsingskader volgt dat als persoonsgegevens mogen worden geregistreerd in het EVR, dat in beginsel voor acht jaar dient te gebeuren. Tenzij bijzondere omstandigheden een kortere registratieduur vereisen. De duur van acht jaar is dus het uitgangspunt, niet een maximum, zoals aangegeven door de Geschillencommissie.

Het kader voor EVR-registraties is als volgt. De registratie van persoonsgegevens in het EVR valt onder de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). In de AVG staat dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verwerkt. Het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen 2021 (PIFI 2021) beschrijft de doeleinden voor registratie in externe registers en deze moeten gerechtvaardigd zijn volgens de AVG.

Registratie in het EVR betreft onder andere verwerking van strafrechtelijke persoonsgegevens. Verwerking van strafrechtelijke persoonsgegevens is in de AVG in beginsel verboden. Tenzij de wet voorziet in een expliciete vrijstelling of als er sprake is van een in de wet genoemde uitzonderingsgrond. De Autoriteit Persoonsgegevens (AP) heeft toestemming verleend voor het verwerken van persoonsgegevens op basis van het PIFI 2021, voor zover deze persoonsgegevens van strafrechtelijke aard zijn.

Het EVR hanteert criteria voor registratie, waarbij onder andere rekening wordt gehouden dat gedragingen van een persoon een bedreiging moeten vormen voor de belangen van klanten en/of medewerkers van een financiële instelling en de continuïteit en/of integriteit van de financiële sector. Het proportionaliteitsbeginsel (verhouding van overtreding ten opzichte van de opgelegde maatregel) en het subsidiariteitsbeginsel (de minst zwarte maatregel moet worden gekozen) moeten worden toegepast, waarbij de duur van registratie in het EVR maximaal acht jaar is.

De Commissie van Beroep stelt vast dat de registratieduur in het EVR geen vaststaand gegeven is van acht jaar, zoals de bank aangeeft. De duur moet worden bepaald door de specifieke omstandigheden van het geval. De Commissie van Beroep verwerpt het idee van een standaardtermijn van acht jaar, omdat dit strijdig is met de AVG en het PIFI 2021.

De Commissie van Beroep oordeelt dat de benadering van de Geschillencommissie, waarbij een op de zaak toegesneden belangenafweging wordt gemaakt, juist is. Het beroep van de bank wordt verworpen, en de registratieduur in het EVR wordt gehandhaafd op vijf jaar.

Wat kunt u doen?

Het is voor een gevolmachtigd agent belangrijk dat deze een fraudebeleid en heeft opgesteld waarin is vastgelegd wat het beleid van uw organisatie is in het geval er fraude wordt geconstateerd. Fraude is een incident in de zin van de Wft en zal moeten worden gemeld bij de AFM. Van een incident wordt gesproken als door een klant een strafbaar feit of andere wetsovertreding is begaan, waardoor het vertrouwen de financiële markten kan worden geschaad. En belangrijk dat in een procedure is vastgelegd hoe er door de fraudecontactpersoon binnen uw organisatie moet worden gehandeld in voorkomend geval. Een registratie in het EVR kan hier een onderdeel van zijn. Neem in voorkomende gevallen contact op met de fraudecoördinator van de volmachtgevende verzekeraar om de duur van de registratie af te stemmen.

Wat kan SVC voor uw doen?

De SVC Kennisportal bevat voorbeeld beleidsdocumenten, procedures, instructies en formulieren, die u in staat stellen om aan de wettelijke eisen op het gebied van de Wft en de AVG te voldoen. Onder andere op het gebied van incidenten. Neem voor informatie over de Kennisportal of een kosteloze demonstratie contact met ons op.