BKR probeerde AVG-boete te verdoezelen

BKR probeerde AVG-boete te verdoezelen

Laatst bijgewerkt: 9 juli 2020
Leestijd: 3 minuten, 27 seconden

Stichting BKR probeerde te verhinderen dat de boete die ze van de Autoriteit Persoonsgegevens had gekregen, openbaar gemaakt zou worden. De Stichting was bang dat dit tot negatieve media-aandacht zou leiden en daardoor imagoschade zou oplopen. De rechtbank ging niet mee in, omdat openbaring van het boetebesluit bij de handhavende taak van de toezichthouder hoort.

Dat blijkt uit documenten van de voorzieningenrechter die deze week online verschenen.

Privacyboete BKR

Sinds de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 in werking trad, heeft de Autoriteit Persoonsgegevens een handjevol boetes opgelegd. Het HagaZiekenhuis in Den Haag was de eerste instantie die een boete van 460.000 moest betalen, omdat al het medisch personeel toegang had tot patiëntendossiers. Dit jaar kregen de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) en een bedrijf dat vingerafdrukken verzamelde van medewerkers een sanctie opgelegd van respectievelijk 525.000 euro en 725.000 euro.

Deze week kwam daar de Stichting Bureau Kredietregistratie (BKR) bij. Net als in de andere gevallen is de Autoriteit Persoonsgegevens, die toeziet op naleving van Europese en nationale privacyregels, van mening dat de Stichting de AVG-regels heeft overtreden. Het BKR wekte geruime tijd de indruk dat burgers slechts één keer per jaar kosteloos hun persoonsgegevens mochten opvragen en inzien bij de Stichting. Mensen die online om inzage vroegen, moesten bovendien hiervoor betalen. Via de post was inzage weliswaar gratis, maar gemiddeld ging er een maand overheen voordat ze daadwerkelijk de juiste papieren in huis ontvingen.

In april 2019 paste het BKR haar werkwijze aan, maar de privacywaakhond nam daar genoegen mee. De Stichting wierp te lang hoge drempels op en brachten kosten in rekening, wat nooit had gemogen. Daarom kreeg het BKR een boete van 830.000 euro opgelegd van de Autoriteit Persoonsgegevens, tot op heden de allerhoogste privacyboete.

BKR-bestuursvoorzitter Peter van den Bosch merkte op dat zijn organisatie een boete kreeg “zonder de privacy te hebben geschonden”. Hij gaat de boete van de toezichthouder dan ook aanvechten in hoger beroep.

Imagoschade

Het liefst had het BKR dit achter gesloten deuren willen doen. Uit documenten van de rechtbank blijkt dat het BKR heeft geprobeerd om publicatie van het boetebesluit van de Autoriteit Persoonsgegevens tegen te houden. In het vonnis staat dat de Stichting vreest dat negatieve media-aandacht leidt tot “onherstelbare imagoschade en extra administratieve kosten” voor het bedrijf als het boetebesluit openbaar wordt gemaakt.

“Die imagoschade zal ook schade toebrengen aan het maatschappelijk doel dat met de kredietregistraties wordt nagestreefd, namelijk het voorkomen van overkreditering bij consumenten. De verwachte imagoschade wringt temeer omdat de overtredingen al geruime tijd zijn gestaakt”, zo voert het BKR aan. De extra administratieve lasten vloeien mogelijk voort als mensen die tussen mei 2018 en april 2019 een betaald abonnement voor elektronische inzage hadden hun geld terugvorderen.

De Autoriteit Persoonsgegevens voert als argument aan dat het effect op de marktpositie van het BKR door openbaring van het boetebesluit “verwaarloosbaar” zal zijn: het BKR is immers het enige kredietregistratiebureau in Nederland. De vermeende imagoschade komt bovendien voor rekening van het BKR, omdat ze de AVG heeft overtreden. Openbaarmaking van het boetebesluit draagt daar niet aan bij.

Onevenredige benadeling

De voorzieningenrechter deelt de opvatting dat het openbaar maken van het boetebesluit tot ruime media-aandacht en bepaalde mate van imagoschade kan leiden. Ook het argument dat publicatie mogelijk tot extra kosten kan leiden vindt gehoor bij de rechtbank. “Maar het is niet aannemelijk geworden dat die imagoschade en de administratieve kosten zodanig zullen zijn dat sprake is van een onevenredige benadeling van verzoekster [het BKR, red.], die zwaarder dient te wegen dan het algemeen belang dat met openbaarmaking is gediend”, aldus de rechtbank.

Het BKR wijst erop dat zij niet het enige kredietregistratiebureau in Nederland is, maar dat er al enige tijd “concurrerende handelsinformatiebureaus” actief zijn in Nederland. De vrees voor eventuele commerciële schade door openbaarmaking van het boetebesluit van de toezichthouder, vindt de rechter onterecht. “Verzoekster beschikt over de kredietgegevens van 12 miljoen personen. Niet aannemelijk is geworden dat eventuele andere marktpartijen een zodanige (informatie)positie hebben dat openbaarmaking van het boetebesluit daadwerkelijk tot het verlies van klanten zal leiden”, zo lezen we in het vonnis.

De uitspraak van de voorzieningenrechter dateert van 29 juni 2020. Het document is pas sinds deze week te lezen.

Privacy en security redacteur
Techliefhebber pur sang: Anton is gek op alles wat met technologie en internet te maken heeft. Cybersecurity, privacy en internetcensuur hebben dan ook zijn volle aandacht. 

Meer artikelen uit het ‘Nieuws’ dossier

Reacties
Plaats een reactie
Een reactie plaatsen