PG: kredietregistratie niet aan juiste artikel getoetst

1. 20 oktober 2021
2. 1 reactie

(Rechtspraak) Het bepaalde in art. 6 lid 1, aanhef en onder c, AVG leent zich volgens de Procureur-Generaal bij de Hoge Raad der Nederlanden - bij de huidige stand van de wet- en regelgeving – niet voor toepassing op de verwerking van persoonsgegevens in het Centraal Krediet Informatiesysteem van het BKR. Dit bepaalde luidt: “De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.”

De PG concludeert dat thans “niet is voldaan aan de door art. 6 lid 3 AVG gestelde eis van een rechtsgrond in het Unierecht of het lidstatelijke recht, en aan de desbetreffende eisen van duidelijkheid, nauwkeurigheid en voorspelbaarheid. Voor zover toch gezegd zou kunnen worden dat een voldoende duidelijke, nauwkeurige en voorspelbare verplichting tot gegevensverwerking besloten ligt in het wettelijk voorgeschreven systeem van kredietregistratie, voldoet die verplichting mijns inziens niet aan het noodzakelijkheidsvereiste van art. 6 lid 3 (slot) AVG, te weten dat de verplichting beantwoordt aan een doelstelling van algemeen belang en evenredig is met het nagestreefde gerechtvaardigde doel. Het betreft dan immers een niet geclausuleerde, impliciete wettelijke verplichting, waaraan geen kenbare afweging van de betrokken privacyaspecten door de wetgever ten grondslag ligt”.

Volgens de PG moet de verwerking van persoonsgegevens door een kredietinstelling, door middel van een registratie in het CKI van het BKR, worden getoetst aan het bepaalde in artikel 6 lid 1, aanhef en onder f, AVG (“De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”).