Nieuws

Met het vragen van een vergoeding voor het via elektronische wijze verkrijgen van inzage in persoonsgegevens heeft Bureau Krediet Registratie (BKR) één van de belangrijkste beginselen, namelijk het transparantiebeginsel, van de AVG geschonden. De AP legt een boete van € 830.000 op.

BKR vreesde voor onherstelbare imagoschade en had een kort geding aangespannen om de openbaarmaking van het besluit tegen te gaan. BKR vond dat de hoogte van de AVG-boete van ruim acht ton een vertekend beeld gaf van omvang van de overtredingen van de Privacywetgeving (AVG). De voorzieningenrechter in Gelderland was het hier niet mee eens. Afgelopen maandag 6 juli heeft de AP het besluit alsnog gepubliceerd.

‍

Wat doet BKR?

BKR is het enige kredietregistratiebureau in Nederland en houdt bij welke leningen en schuldenmensen hebben. Bijvoorbeeld als je een nieuwe Iphone aanschaft bij een telefoonabonnement en de telefoon in het maandbedrag is inbegrepen. Ook worden jouw gegevens geregistreerd als je een private-lease auto hebt aangeschaft. Om welke gegevens gaat het precies?

• jouw NAW-gegevens;
• het soort lening en de hoogte daarvan;
• de ingangsdatum van de lening;
• de maand waarin de lening wordt afgelost en
• de maand waarin de lening daadwerkelijk is beëindigd;
• eventuele bijzonderheden gedurende de looptijd van de lening.

Van ongeveer 12 miljoen Nederlanders verwerkt BKR deze persoonsgegevens. Deze verwerking kan grote gevolgen hebben. Zo kan je er onverwachts mee geconfronteerd worden dat je vanwege een registratie bij BKR geen hypotheek of lening kan afsluiten. De inzage mogelijkheid uit de AVG is van groot belang om te kunnen controleren of een registratie bij BKR juist is of geëindigd is. Temeer omdat deze gegevens nog 5 jaar nadat jouw lening is afgelost zichtbaar blijven.

‍

Waarom een AVG- boete?

Tot mei 2019 bood BKR op haar website twee mogelijkheden aan om inzage te verkrijgen in de persoonsgegevens die BKR verwerkt. Consumenten konden via een elektronische klantomgeving inzage krijgen in hun persoonsgegevens. Daarvoor moest de consument wel eerst even een betaalde dienst (abonnement) afsluiten bij BKR. Basis à € 4,95 per jaar, plus à € 7,50 per jaar en Premium à € 12,50 per jaar. De consument kon er ook voor kiezen om handmatig een inzageformulier uit te printen, in te vullen en per post op te sturen (gratis).

De AP oordeelde dat BKR met die werkwijze de AVG heeft overtreden. BKR heeft niet kosteloos op elektronische wijze inzage in persoonsgegevens gegeven en BKR heeft het recht van inzage niet goed gefaciliteerd. Het maximeren van één kosteloos inzageverzoek per post per jaar kwalificeert niet als het faciliteren van het recht op inzage als bedoeld in artikel 12 lid 2 van de AVG. BKR dient het recht op inzage te faciliteren en juist niet te bemoeilijken door betrokkenen op voorhand te ontmoedigen het recht op inzage uit te oefenen.

Wat betekent dit voor de praktijk?

In het kader van het transparantiebeginsel moet je als verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene, zoals het recht op inzage, faciliteren. De betrokkene moet dit recht eenvoudig en met redelijke tussenpozen kunnen uitoefenen. Je kunt een verzoek tot inzage pas weigeren als je kan aantonen dat het verzoek kennelijk ongegrond of buitensporig is. Je mag dus geen kosten rekenen voor het verlenen van inzage.

Verwerk je persoonsgegevens van bijvoorbeeld werknemers, klanten of consumenten? Zorg ervoor dat jouw privacybeleid zo is ingericht dat deze personen kosteloos inzage kunnen krijgen in hun persoonsgegevens.

Heb je vragen over het privacybeleid? Neem dan contact met ons op.