ECLI:NL:GHARL:2024:1639

GERECHTSHOF ARNHEM-LEEUWARDEN zaaknummer gerechtshof: 200.322.167 (zaaknummer rechtbank Midden-Nederland, locatie Utrecht: 529285) arrest van 5 maart 2024 in de zaak van 1 [appellant1] 2. [appellant2] die wonen in [woonplaats1] die hoger beroep hebben ingesteld en bij de rechtbank optraden als eisers hierna: [appellanten] advocaat: mr. M. de Boorder tegen Defam B.V. die is gevestigd in Bunnik en bij de rechtbank optrad als gedaagde hierna: Defam advocaat: mr. J.M. Penders. 1Het verloop van de procedure in hoger beroep Naar aanleiding van het arrest van 25 juli 2023 heeft op 8 september 2023 een mondelinge behandeling bij het hof plaatsgevonden. Daarvan is een verslag gemaakt dat aan het dossier is toegevoegd (het proces-verbaal). Hierna hebben partijen het hof gevraagd opnieuw arrest te wijzen. 2De kern van de zaak 2.1. Defam heeft op 18 mei 2017 online een kredietaanvraag ontvangen voor een persoonlijke lening van € 45.500,-. De aanvraag is ingediend via een tussenpersoon: De Nederlandse Kredietmaatschappij (DNK). In de aanvraag staat het e-mailadres [de betrokkene] @gmail.com vermeld en het huwelijksjaar, de geboortedata en het adres van [de betrokkene] en [de echtgenoot] . Defam heeft vervolgens een ondertekende kredietovereenkomst met kopieën van identiteitsbewijzen, salarisstroken en een bankafschrift ontvangen via DNK. Defam is een onderzoek gestart, omdat zij twijfelde aan de juistheid van de aanvraag en de ontvangen stukken. Op de salarisstroken die zij had ontvangen stonden [de betrokkene] en [de echtgenoot] als werknemers en het bedrijf van [de betrokkene] en [de echtgenoot] als werkgever vermeld. Uit de salarisstroken bleek dat het loon werd gestort op een rekeningnummer bij de ING-bank. Op een bankafschrift met dit rekeningnummer stonden stortingen van het salaris, die gelijk waren aan de bedragen op de loonstroken. Nadat Defam daarover navraag had gedaan bij de ING-bank, heeft de ING-bank in een e-mailbericht van 23 mei 2017 gemeld dat de salarisbijschrijvingen niet correct zijn, omdat de enige inkomsten op deze rekening afkomstig zijn van het UWV, te weten een WAJONG-uitkering ter hoogte van € 988,54. 2.2. Defam heeft [de betrokkene] en [de echtgenoot] op 23 mei 2017 opgenomen in het incidentenregister en het Extern Verwijzingsregister (hierna: EVR). Zij zijn geregistreerd voor de duur van vijf jaar. Defam heeft deze registratie op 23 mei 2017 in een brief aan [de betrokkene] en [de echtgenoot] meegedeeld. Op 26 mei 2017 is er telefonisch contact geweest tussen Defam en [de betrokkene] . Tijdens dat telefoongesprek heeft [de betrokkene] onder meer gezegd dat zowel hij als [de echtgenoot] van niets weten. Op 15 juni 2017 heeft Defam bij de politie aangifte gedaan tegen [de betrokkene] en [de echtgenoot] van poging tot oplichting en het plegen van valsheid in geschrifte. Daarop volgde een strafrechtelijke vervolging van [de betrokkene] die heeft geleid tot een veroordelend vonnis van de politierechter in de rechtbank Zeeland-West-Brabant. In het daarop volgende hoger beroep heeft het gerechtshof te ’s-Hertogenbosch een aanvullend politieonderzoek verzocht. In het proces-verbaal van de politie eenheid Zeeland-West-Brabant van 12 augustus 2020 staat onder meer dat in de metadata van de kredietaanvraag twee e-mailadressen staan, te weten [naam1] @hetnet.nl en [de betrokkene] @gmail.com en dat uit de metadata niet gehaald kan worden met welk mailadres de aanvraag gedaan is. Het gerechtshof te ’sHertogenbosch heeft [de betrokkene] op 23 oktober 2020 vrijgesproken. Daarbij overwoog het hof dat [de betrokkene] de ondertekening van de kredietovereenkomst heeft betwist en niet kan worden vastgesteld dat hij de stukken naar Alfam Holding N.V. (de moedermaatschappij van Defam) heeft gestuurd. De zaak tegen [de echtgenoot] is door de officier van justitie vanwege onvoldoende bewijs geseponeerd. [de betrokkene] en [de echtgenoot] hebben Defam op 26 november 2020 hierover ingelicht en verzocht om de registraties te verwijderen. Op 6 januari 2021 heeft Defam de persoonsgegevens van [de betrokkene] en [de echtgenoot] verwijderd uit de registers. 2.3. De ING bank heeft bij brieven van 13 oktober 2017 [de betrokkene] en [de echtgenoot] geïnformeerd dat de betaalrekeningen die zij bij de ING bank aanhielden zijn geblokkeerd en dat zij bijbehorende producten niet meer kunnen gebruiken. Daarnaast zijn zij door de ING bank geregistreerd in het IVR (het Intern Verwijzingsregister) van deze bank. Ook kwamen [de betrokkene] en [de echtgenoot] niet meer in aanmerking voor een creditcard bij de ING bank, omdat zij geregistreerd stonden in een verwijzingsregister. 2.4. [appellanten] hebben bij de rechtbank een verklaring voor recht gevorderd dat Defam door het doen van valse aangifte tegenover [de betrokkene] en [de echtgenoot] aansprakelijk is voor de hieruit voorvloeiende schade op grond van onrechtmatige daad. Daarnaast vorderden zij een verklaring voor recht dat Defam door het onterecht registreren en/of het ten onrechte langer handhaven van de persoonsgegevens in het incidentenregister en/of het EVR de Algemene Verordening Gegevensbescherming (hierna: AVG) heeft geschonden en daarom op grond van onrechtmatige daad aansprakelijk is voor de daaruit voortvloeiende schade van [appellanten] , nader op te maken bij staat. Tevens vorderden zij veroordeling van Defam in de daadwerkelijke proceskosten, dan wel de proceskosten inclusief de nakosten. 2.5. De rechtbank heeft deze vorderingen afgewezen en [appellanten] veroordeeld in de proceskosten die Defam in die procedure had gemaakt. De bedoeling van [appellanten] met het hoger beroep is dat de afgewezen vorderingen alsnog worden toegewezen, met dien verstande dat zij geen veroordeling van Defam meer vorderen in de werkelijke proceskosten, maar slechts in de “gebruikelijke” proceskosten van beide instanties.

De kern van de beslissing van het hof 3.1. Het hof zal beslissen dat Defam ten onrechte persoonsgegevens van [appellanten] heeft geregistreerd en gehandhaafd. Daardoor heeft Defam de privacy regelgeving geschonden en is zij aansprakelijk voor de daaruit voortvloeiende schade. Deze schade moet nader worden opgemaakt bij staat. Defam heeft niet onrechtmatig gehandeld door het doen van een valse aangifte 3.2. [appellanten] hebben in de eerste plaats gevorderd dat voor recht zal worden verklaard dat Defam onrechtmatig jegens hen heeft gehandeld door het doen van een valse aangifte jegens [appellanten] 3.3. Artikel 188 van het Wetboek van Strafrecht over valse aangifte luidt als volgt: “Hij die aangifte of klacht doet dat een strafbaar feit gepleegd is, wetende dat het niet gepleegd is, wordt gestraft met gevangenisstraf van ten hoogste een jaar of geldboete van de derde categorie.” De ratio van de strafbaarstelling is gelegen in het gevaar voor misleiding van politie en justitie dat in een valse aangifte of valse klacht ligt besloten. Artikel 188 van het Wetboek van Strafrecht heeft betrekking op het geval dat aangifte of klacht is gedaan van een strafbaar feit met de wetenschap dat dit feit in het geheel niet is gepleegd, met dien verstande dat voor toepassing van die bepaling voldoende is dat in de aangifte opzettelijk in strijd met de waarheid, feiten worden meegedeeld in zodanige bewoordingen dat degene aan wie de aangifte wordt gedaan, daaruit moet begrijpen dat op zekere tijd en plaats een bepaald strafbaar feit is gepleegd. 3.4. In de aangifte die de medewerkster van Alfam op 15 juni 2017 tegen [appellanten] heeft gedaan staat onder meer:“Op of omstreeks 18-05-2017 werd bij Defam door [de betrokkene] en [de echtgenoot] via tussenpersoon De Nederlandse Kredietmaatschappij een kredietaanvraag ontvangen. De nieuwe aanvraag betrof een Persoonlijke lening van € 45.500,00 (zegge: vijfenveertig duizend vijfhonderd euro en 0,00 cent) Door Defam werd een toetsing verricht bij het Bureau Krediet Registratie te Tiel, hetgeen geen aanleiding gaf de kredietaanvraag te weigeren. Aangezien er echter op de overlegde stukken onregelmatigheden waren geconstateerd (conform de loonstroken hebben [de betrokkene] en [de echtgenoot] hetzelfde personeelsnummer, het vermelde minimumloon is niet correct en er worden geen cumulatieve vermeld) is de afdeling Fraudepreventie van Defam een onderzoek gestart. Ook blijkt [de betrokkene] de groot aandeelhouder te zijn van de opgegeven werkgever (…). [de echtgenoot] is daarvan de gevolmachtigde. (…) De afdeling Fraudepreventie heeft het bankafschrift vervolgens naar de afdeling Veiligheidszaken van de ING gemaild om de salarisbijschrijvingen te controleren. (…) Volgens het bankafschrift zou er op 21/03 een salarisbijschrijving van € 3.008,87 t.n.v. [de echtgenoot] zijn overgemaakt en op 23/03/2017 een salarisbijschrijving van € 3.008,87 t.n.v. [de betrokkene] . De afdeling Veiligheidszaken van de ING heeft echter bevestigd dat beide salarisbijschrijvingen in werkelijkheid niet voorkomen. Conform de administratie van de ING worden er enkel inkomsten van het UWV ontvangen (…). Hieruit blijkt dat het bankafschrift is vervalst. Tevens kan worden geconcludeerd dat ook de overlegde loonstroken zijn vervalst, aangezien de dienstverbanden in werkelijkheid niet blijken te bestaan. (…) Door het overleggen van een vervalst bankafschrift en vervalste loonstroken hebben [de betrokkene] en [de echtgenoot] Defam gepoogd te bewegen tot het aangaan van een relatie en het beschikbaar stellen van een krediet groot € 45.5000,00. Defam heeft de aanvraag afgewezen. (…)” 3.5. In deze aangifte zijn vooral de constateringen opgenomen die door de afdeling Fraudepreventie van Defam zijn gedaan. Op het moment dat de medewerkster van Alfam aangifte deed, ging zij ervan uit dat [de betrokkene] en [de echtgenoot] zich schuldig hadden gemaakt aan een strafbaar feit. De aangifte strekte er juist toe dat daarnaar nader onderzoek zou worden ingesteld door de politie en het openbaar ministerie. Er is dan ook geen sprake van wetenschap aan de zijde van deze medewerkster dat er geen strafbaar feit is gepleegd, dan wel dat er opzettelijk, in strijd met de waarheid, feiten zijn meegedeeld aan de politie. Daarom kan de verklaring voor recht dat Defam onrechtmatig jegens [appellanten] heeft gehandeld door het doen van een valse aangifte niet worden toegewezen. Registraties in het incidentenregister en het EVR 3.6. [appellanten] hebben vervolgens onder meer gevorderd dat voor recht zal worden verklaard dat Defam onrechtmatig jegens hen heeft gehandeld door hun (bijzondere) persoonsgegevens ten onrechte te registreren in het incidentenregister en het EVR. Overigens merkt het hof op dat [appellanten] in hoger beroep, anders dan in de dagvaarding bij de rechtbank, het IVR (intern verwijzingsregister) noemen in plaats van het incidentenregister. Het hof gaat ervan uit dat dit berust op een vergissing, omdat in de brief van Defam van 23 mei 2017 over de registraties wel het incidentenregister wordt genoemd, maar niet het IVR. 3.7. De registratie van de persoonsgegevens van [appellanten] in het incidentenregister en het EVR is een verwerking van persoonsgegevens, zodat voldaan moet worden aan de eisen van de Algemene Verordening Gegevensbescherming (AVG) en vóór 25 mei 2018 aan de eisen van de Wet bescherming persoonsgegevens (Wbp). In het incidentenregister van Alfam worden incidenten vastgelegd, zoals strafbare feiten, waaronder valsheid in geschrifte, opzettelijke misleiding of misbruik van de gegevens van een ander. Dit register is alleen toegankelijk voor de aan Alfam verbonden ondernemingen. Het EVR is een register dat ook toegankelijk is voor andere financiële instellingen. Daarin worden de naam en geboortedatum vermeld van degene die daarin is geregistreerd. Indien een andere financiële instelling meer informatie wil krijgen over een incident, moet zij contact opnemen met Alfam. In het Protocol incidentenwaarschuwingssysteem Financiële Instellingen (hierna: PiFi) - een door de Autoriteit Persoonsgegevens goedgekeurd protocol - is onder meer geregeld in welke gevallen een financiële instelling persoonsgegevens mag opnemen in het incidentenregister en het EVR. Dit is een uitwerking van de geldende privacyregels. Ten tijde van de registratie en handhaving daarvan gold het PiFi 2013. Op grond van artikel 3.1.1 PiFi 2013 mogen persoonsgegevens in het incidentenregister worden geregistreerd als sprake is van een incident in de zin van artikel 2 PiFi, namelijk een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de financiële sector als geheel in het geding (kunnen) zijn. Voor rechtmatige opname van persoonsgegevens in het EVR bepaalt artikel 5.2.1 van het PiFi 2013: “De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister. De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële Instelling, alsmede de (Organisatie van de) Financiële Instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.

Het hof: 4.1. vernietigt het vonnis van de rechtbank Midden-Nederland, locatie Utrecht van 26 oktober 2022 en beslist als volgt: 4.2. verklaart voor recht dat Defam door het ten onrechte registreren van (bijzondere) persoonsgegevens en het ten onrechte handhaven van die gegevens in het EVR, de bepalingen van de Wbp en AVG heeft geschonden en daarom aansprakelijk is voor de daaruit voortvloeiende materiële en/of immateriële schade, nader op te maken bij staat; 4.3. veroordeelt Defam tot betaling van de volgende proceskosten van [appellanten] tot aan de uitspraak van de rechtbank: € 309,- aan griffierecht € 125,09 aan kosten voor het betekenen (bekendmaken) van de dagvaarding aan Defam € 1.126,- aan salaris van de advocaat van [appellanten] (2 procespunten x tarief € 563,-) en tot betaling van de volgende proceskosten van [appellanten] in hoger beroep: € 343,- aan griffierecht € 132,29 aan kosten voor het betekenen (bekendmaken) van de dagvaarding aan Defam € 2.428,- aan salaris van de advocaat van [appellanten] (2 procespunten x appeltarief € 1.214,-) 4.4. verklaart de proceskostenveroordeling uitvoerbaar bij voorraad; 4.5. wijst af wat verder is gevorderd. Dit arrest is gewezen door mrs. S.B. Boorsma, M.P.M. Hennekens en J.G. Rinkes, en is door de rolraadsheer in tegenwoordigheid van de griffier in het openbaar uitgesproken op 5 maart 2024. HR 13 december 2011, NJ 2012/10; HR 9 december 2014, NJ 2015/26; HR 4 december 2018, NJ 2019/11

GERECHTSHOF ARNHEM-LEEUWARDEN zaaknummer gerechtshof: 200.322.167 (zaaknummer rechtbank Midden-Nederland, locatie Utrecht: 529285) arrest van 5 maart 2024 in de zaak van 1 [appellant1] 2. [appellant2] die wonen in [woonplaats1] die hoger beroep hebben ingesteld en bij de rechtbank optraden als eisers hierna: [appellanten] advocaat: mr. M. de Boorder tegen Defam B.V. die is gevestigd in Bunnik en bij de rechtbank optrad als gedaagde hierna: Defam advocaat: mr. J.M. Penders. 1Het verloop van de procedure in hoger beroep Naar aanleiding van het arrest van 25 juli 2023 heeft op 8 september 2023 een mondelinge behandeling bij het hof plaatsgevonden. Daarvan is een verslag gemaakt dat aan het dossier is toegevoegd (het proces-verbaal). Hierna hebben partijen het hof gevraagd opnieuw arrest te wijzen. 2De kern van de zaak 2.1. Defam heeft op 18 mei 2017 online een kredietaanvraag ontvangen voor een persoonlijke lening van € 45.500,-. De aanvraag is ingediend via een tussenpersoon: De Nederlandse Kredietmaatschappij (DNK). In de aanvraag staat het e-mailadres [de betrokkene] @gmail.com vermeld en het huwelijksjaar, de geboortedata en het adres van [de betrokkene] en [de echtgenoot] . Defam heeft vervolgens een ondertekende kredietovereenkomst met kopieën van identiteitsbewijzen, salarisstroken en een bankafschrift ontvangen via DNK. Defam is een onderzoek gestart, omdat zij twijfelde aan de juistheid van de aanvraag en de ontvangen stukken. Op de salarisstroken die zij had ontvangen stonden [de betrokkene] en [de echtgenoot] als werknemers en het bedrijf van [de betrokkene] en [de echtgenoot] als werkgever vermeld. Uit de salarisstroken bleek dat het loon werd gestort op een rekeningnummer bij de ING-bank. Op een bankafschrift met dit rekeningnummer stonden stortingen van het salaris, die gelijk waren aan de bedragen op de loonstroken. Nadat Defam daarover navraag had gedaan bij de ING-bank, heeft de ING-bank in een e-mailbericht van 23 mei 2017 gemeld dat de salarisbijschrijvingen niet correct zijn, omdat de enige inkomsten op deze rekening afkomstig zijn van het UWV, te weten een WAJONG-uitkering ter hoogte van € 988,54. 2.2. Defam heeft [de betrokkene] en [de echtgenoot] op 23 mei 2017 opgenomen in het incidentenregister en het Extern Verwijzingsregister (hierna: EVR). Zij zijn geregistreerd voor de duur van vijf jaar. Defam heeft deze registratie op 23 mei 2017 in een brief aan [de betrokkene] en [de echtgenoot] meegedeeld. Op 26 mei 2017 is er telefonisch contact geweest tussen Defam en [de betrokkene] . Tijdens dat telefoongesprek heeft [de betrokkene] onder meer gezegd dat zowel hij als [de echtgenoot] van niets weten. Op 15 juni 2017 heeft Defam bij de politie aangifte gedaan tegen [de betrokkene] en [de echtgenoot] van poging tot oplichting en het plegen van valsheid in geschrifte. Daarop volgde een strafrechtelijke vervolging van [de betrokkene] die heeft geleid tot een veroordelend vonnis van de politierechter in de rechtbank Zeeland-West-Brabant. In het daarop volgende hoger beroep heeft het gerechtshof te ’s-Hertogenbosch een aanvullend politieonderzoek verzocht. In het proces-verbaal van de politie eenheid Zeeland-West-Brabant van 12 augustus 2020 staat onder meer dat in de metadata van de kredietaanvraag twee e-mailadressen staan, te weten [naam1] @hetnet.nl en [de betrokkene] @gmail.com en dat uit de metadata niet gehaald kan worden met welk mailadres de aanvraag gedaan is. Het gerechtshof te ’sHertogenbosch heeft [de betrokkene] op 23 oktober 2020 vrijgesproken. Daarbij overwoog het hof dat [de betrokkene] de ondertekening van de kredietovereenkomst heeft betwist en niet kan worden vastgesteld dat hij de stukken naar Alfam Holding N.V. (de moedermaatschappij van Defam) heeft gestuurd. De zaak tegen [de echtgenoot] is door de officier van justitie vanwege onvoldoende bewijs geseponeerd. [de betrokkene] en [de echtgenoot] hebben Defam op 26 november 2020 hierover ingelicht en verzocht om de registraties te verwijderen. Op 6 januari 2021 heeft Defam de persoonsgegevens van [de betrokkene] en [de echtgenoot] verwijderd uit de registers. 2.3. De ING bank heeft bij brieven van 13 oktober 2017 [de betrokkene] en [de echtgenoot] geïnformeerd dat de betaalrekeningen die zij bij de ING bank aanhielden zijn geblokkeerd en dat zij bijbehorende producten niet meer kunnen gebruiken. Daarnaast zijn zij door de ING bank geregistreerd in het IVR (het Intern Verwijzingsregister) van deze bank. Ook kwamen [de betrokkene] en [de echtgenoot] niet meer in aanmerking voor een creditcard bij de ING bank, omdat zij geregistreerd stonden in een verwijzingsregister. 2.4. [appellanten] hebben bij de rechtbank een verklaring voor recht gevorderd dat Defam door het doen van valse aangifte tegenover [de betrokkene] en [de echtgenoot] aansprakelijk is voor de hieruit voorvloeiende schade op grond van onrechtmatige daad. Daarnaast vorderden zij een verklaring voor recht dat Defam door het onterecht registreren en/of het ten onrechte langer handhaven van de persoonsgegevens in het incidentenregister en/of het EVR de Algemene Verordening Gegevensbescherming (hierna: AVG) heeft geschonden en daarom op grond van onrechtmatige daad aansprakelijk is voor de daaruit voortvloeiende schade van [appellanten] , nader op te maken bij staat. Tevens vorderden zij veroordeling van Defam in de daadwerkelijke proceskosten, dan wel de proceskosten inclusief de nakosten. 2.5. De rechtbank heeft deze vorderingen afgewezen en [appellanten] veroordeeld in de proceskosten die Defam in die procedure had gemaakt. De bedoeling van [appellanten] met het hoger beroep is dat de afgewezen vorderingen alsnog worden toegewezen, met dien verstande dat zij geen veroordeling van Defam meer vorderen in de werkelijke proceskosten, maar slechts in de “gebruikelijke” proceskosten van beide instanties.

De kern van de beslissing van het hof 3.1. Het hof zal beslissen dat Defam ten onrechte persoonsgegevens van [appellanten] heeft geregistreerd en gehandhaafd. Daardoor heeft Defam de privacy regelgeving geschonden en is zij aansprakelijk voor de daaruit voortvloeiende schade. Deze schade moet nader worden opgemaakt bij staat. Defam heeft niet onrechtmatig gehandeld door het doen van een valse aangifte 3.2. [appellanten] hebben in de eerste plaats gevorderd dat voor recht zal worden verklaard dat Defam onrechtmatig jegens hen heeft gehandeld door het doen van een valse aangifte jegens [appellanten] 3.3. Artikel 188 van het Wetboek van Strafrecht over valse aangifte luidt als volgt: “Hij die aangifte of klacht doet dat een strafbaar feit gepleegd is, wetende dat het niet gepleegd is, wordt gestraft met gevangenisstraf van ten hoogste een jaar of geldboete van de derde categorie.” De ratio van de strafbaarstelling is gelegen in het gevaar voor misleiding van politie en justitie dat in een valse aangifte of valse klacht ligt besloten. Artikel 188 van het Wetboek van Strafrecht heeft betrekking op het geval dat aangifte of klacht is gedaan van een strafbaar feit met de wetenschap dat dit feit in het geheel niet is gepleegd, met dien verstande dat voor toepassing van die bepaling voldoende is dat in de aangifte opzettelijk in strijd met de waarheid, feiten worden meegedeeld in zodanige bewoordingen dat degene aan wie de aangifte wordt gedaan, daaruit moet begrijpen dat op zekere tijd en plaats een bepaald strafbaar feit is gepleegd. 3.4. In de aangifte die de medewerkster van Alfam op 15 juni 2017 tegen [appellanten] heeft gedaan staat onder meer:“Op of omstreeks 18-05-2017 werd bij Defam door [de betrokkene] en [de echtgenoot] via tussenpersoon De Nederlandse Kredietmaatschappij een kredietaanvraag ontvangen. De nieuwe aanvraag betrof een Persoonlijke lening van € 45.500,00 (zegge: vijfenveertig duizend vijfhonderd euro en 0,00 cent) Door Defam werd een toetsing verricht bij het Bureau Krediet Registratie te Tiel, hetgeen geen aanleiding gaf de kredietaanvraag te weigeren. Aangezien er echter op de overlegde stukken onregelmatigheden waren geconstateerd (conform de loonstroken hebben [de betrokkene] en [de echtgenoot] hetzelfde personeelsnummer, het vermelde minimumloon is niet correct en er worden geen cumulatieve vermeld) is de afdeling Fraudepreventie van Defam een onderzoek gestart. Ook blijkt [de betrokkene] de groot aandeelhouder te zijn van de opgegeven werkgever (…). [de echtgenoot] is daarvan de gevolmachtigde. (…) De afdeling Fraudepreventie heeft het bankafschrift vervolgens naar de afdeling Veiligheidszaken van de ING gemaild om de salarisbijschrijvingen te controleren. (…) Volgens het bankafschrift zou er op 21/03 een salarisbijschrijving van € 3.008,87 t.n.v. [de echtgenoot] zijn overgemaakt en op 23/03/2017 een salarisbijschrijving van € 3.008,87 t.n.v. [de betrokkene] . De afdeling Veiligheidszaken van de ING heeft echter bevestigd dat beide salarisbijschrijvingen in werkelijkheid niet voorkomen. Conform de administratie van de ING worden er enkel inkomsten van het UWV ontvangen (…). Hieruit blijkt dat het bankafschrift is vervalst. Tevens kan worden geconcludeerd dat ook de overlegde loonstroken zijn vervalst, aangezien de dienstverbanden in werkelijkheid niet blijken te bestaan. (…) Door het overleggen van een vervalst bankafschrift en vervalste loonstroken hebben [de betrokkene] en [de echtgenoot] Defam gepoogd te bewegen tot het aangaan van een relatie en het beschikbaar stellen van een krediet groot € 45.5000,00. Defam heeft de aanvraag afgewezen. (…)” 3.5. In deze aangifte zijn vooral de constateringen opgenomen die door de afdeling Fraudepreventie van Defam zijn gedaan. Op het moment dat de medewerkster van Alfam aangifte deed, ging zij ervan uit dat [de betrokkene] en [de echtgenoot] zich schuldig hadden gemaakt aan een strafbaar feit. De aangifte strekte er juist toe dat daarnaar nader onderzoek zou worden ingesteld door de politie en het openbaar ministerie. Er is dan ook geen sprake van wetenschap aan de zijde van deze medewerkster dat er geen strafbaar feit is gepleegd, dan wel dat er opzettelijk, in strijd met de waarheid, feiten zijn meegedeeld aan de politie. Daarom kan de verklaring voor recht dat Defam onrechtmatig jegens [appellanten] heeft gehandeld door het doen van een valse aangifte niet worden toegewezen. Registraties in het incidentenregister en het EVR 3.6. [appellanten] hebben vervolgens onder meer gevorderd dat voor recht zal worden verklaard dat Defam onrechtmatig jegens hen heeft gehandeld door hun (bijzondere) persoonsgegevens ten onrechte te registreren in het incidentenregister en het EVR. Overigens merkt het hof op dat [appellanten] in hoger beroep, anders dan in de dagvaarding bij de rechtbank, het IVR (intern verwijzingsregister) noemen in plaats van het incidentenregister. Het hof gaat ervan uit dat dit berust op een vergissing, omdat in de brief van Defam van 23 mei 2017 over de registraties wel het incidentenregister wordt genoemd, maar niet het IVR. 3.7. De registratie van de persoonsgegevens van [appellanten] in het incidentenregister en het EVR is een verwerking van persoonsgegevens, zodat voldaan moet worden aan de eisen van de Algemene Verordening Gegevensbescherming (AVG) en vóór 25 mei 2018 aan de eisen van de Wet bescherming persoonsgegevens (Wbp). In het incidentenregister van Alfam worden incidenten vastgelegd, zoals strafbare feiten, waaronder valsheid in geschrifte, opzettelijke misleiding of misbruik van de gegevens van een ander. Dit register is alleen toegankelijk voor de aan Alfam verbonden ondernemingen. Het EVR is een register dat ook toegankelijk is voor andere financiële instellingen. Daarin worden de naam en geboortedatum vermeld van degene die daarin is geregistreerd. Indien een andere financiële instelling meer informatie wil krijgen over een incident, moet zij contact opnemen met Alfam. In het Protocol incidentenwaarschuwingssysteem Financiële Instellingen (hierna: PiFi) - een door de Autoriteit Persoonsgegevens goedgekeurd protocol - is onder meer geregeld in welke gevallen een financiële instelling persoonsgegevens mag opnemen in het incidentenregister en het EVR. Dit is een uitwerking van de geldende privacyregels. Ten tijde van de registratie en handhaving daarvan gold het PiFi 2013. Op grond van artikel 3.1.1 PiFi 2013 mogen persoonsgegevens in het incidentenregister worden geregistreerd als sprake is van een incident in de zin van artikel 2 PiFi, namelijk een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de financiële sector als geheel in het geding (kunnen) zijn. Voor rechtmatige opname van persoonsgegevens in het EVR bepaalt artikel 5.2.1 van het PiFi 2013: “De Deelnemer dient de Verwijzingsgegevens van (rechts)personen die aan de hierna onder a en b vermelde criteria voldoen en na toepassing van het onder c genoemde proportionaliteitsbeginsel op te nemen in het Extern Verwijzingsregister. De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (I) de (financiële) belangen van cliënten en/of medewerkers van een Financiële Instelling, alsmede de (Organisatie van de) Financiële Instelling(en) zelf of (II) de continuïteit en/of de integriteit van de financiële sector.

Het hof: 4.1. vernietigt het vonnis van de rechtbank Midden-Nederland, locatie Utrecht van 26 oktober 2022 en beslist als volgt: 4.2. verklaart voor recht dat Defam door het ten onrechte registreren van (bijzondere) persoonsgegevens en het ten onrechte handhaven van die gegevens in het EVR, de bepalingen van de Wbp en AVG heeft geschonden en daarom aansprakelijk is voor de daaruit voortvloeiende materiële en/of immateriële schade, nader op te maken bij staat; 4.3. veroordeelt Defam tot betaling van de volgende proceskosten van [appellanten] tot aan de uitspraak van de rechtbank: € 309,- aan griffierecht € 125,09 aan kosten voor het betekenen (bekendmaken) van de dagvaarding aan Defam € 1.126,- aan salaris van de advocaat van [appellanten] (2 procespunten x tarief € 563,-) en tot betaling van de volgende proceskosten van [appellanten] in hoger beroep: € 343,- aan griffierecht € 132,29 aan kosten voor het betekenen (bekendmaken) van de dagvaarding aan Defam € 2.428,- aan salaris van de advocaat van [appellanten] (2 procespunten x appeltarief € 1.214,-) 4.4. verklaart de proceskostenveroordeling uitvoerbaar bij voorraad; 4.5. wijst af wat verder is gevorderd. Dit arrest is gewezen door mrs. S.B. Boorsma, M.P.M. Hennekens en J.G. Rinkes, en is door de rolraadsheer in tegenwoordigheid van de griffier in het openbaar uitgesproken op 5 maart 2024. HR 13 december 2011, NJ 2012/10; HR 9 december 2014, NJ 2015/26; HR 4 december 2018, NJ 2019/11

In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar. Het proportionaliteitsbeginsel wordt in acht genomen. (…)” Registratie persoonsgegevens in het EVR 3.8. Defam heeft de persoonsgegevens van [appellanten] op 23 mei 2017 geregistreerd in het EVR voor een termijn van vijf jaar. Uit haar interne controle was gebleken dat er onregelmatigheden voorkwamen op de salarisstroken die zij via DNK had ontvangen bij de kredietaanvraag op naam van [appellanten] Zij heeft toen navraag gedaan bij de ING (zie hiervoor in 2.1). Op de mondelinge behandeling bij het hof heeft Defam toegelicht dat zij - na het bericht van ING op 23 mei 2017 dat de salarisbijschrijvingen die op de door haar ontvangen bankafschriften stonden niet correct zijn - een belangenafweging heeft gemaakt en is overgegaan tot de EVR-registraties. De gedraging waarvoor Defam deze registraties heeft verricht zijn het verstrekken van vervalste bankafschriften en vervalste loonstroken om een krediet van Defam te krijgen. Deze gedragingen, waarvan Defam het vermoeden had dat zij door [appellanten] waren begaan, kunnen een bedreiging vormen voor de financiële belangen van financiële instellingen. Aan het in artikel 5.2.1 onder a) PiFi 2013 genoemde criterium is dus voldaan. Betrokkenheid [de echtgenoot] stond onvoldoende vast 3.9. Op grond van artikel 5.2.1 onder b) PiFi 2013 moest voorafgaand aan de registratie ook voldoende vast staan dat [appellanten] betrokken waren bij het verstrekken van de vervalste bankafschriften en loonstroken. Dat Defam dat voldoende heeft onderzocht is niet gebleken. Ten aanzien van [de echtgenoot] geldt dat in het door Defam overgelegde aanvraagformulier zijn naam alleen genoemd staat als “partner” en dus niet als aanvrager. Zijn e-mailadres staat ook niet op het formulier en door Defam is niet gesteld dat zijn e-mailadres zou zijn gebruikt bij de aanvraag of bij het verstrekken van de vervalste documenten. Bovendien is noch in de aanvraag, noch in de getekende kredietovereenkomst vermeld dat [de echtgenoot] de begunstigde was van het aangevraagde krediet. Er is geen rekeningnummer vermeld waarop het krediet uitgekeerd zou moeten worden. Dat dit wel “uit het systeem” zou blijken is door Defam op geen enkele manier onderbouwd. Volgens Defam leek de handtekening van [de echtgenoot] op de ondertekende kredietovereenkomst voldoende op de handtekening op de kopie van zijn identiteitsbewijs. Zelfs als dit zo zou zijn - wat het hof niet goed kan nagaan, omdat door Defam alleen (slechte) kopieën van deze stukken zijn overgelegd - blijkt daar nog niet uit dat [de echtgenoot] betrokken was bij het verstrekken van vervalste documenten. Defam had daarom eerst nader onderzoek moeten instellen naar de betrokkenheid van [de echtgenoot] alvorens zijn gegevens in het EVR te registreren. Dat heeft Defam nagelaten. Zij heeft geen contact gezocht met [de echtgenoot] of nader onderzoek ingesteld naar zijn betrokkenheid. 3.10. Het telefoongesprek tussen [de betrokkene] en een medewerker van de fraudeafdeling van Defam op 26 mei 2017 is daarvoor ook onvoldoende. Uit het transcript dat van gedeeltes van dit telefoongesprek is gemaakt en uit de opname van het telefoongesprek blijkt dat [de betrokkene] overvallen is door de vragen die hem gesteld werden en dat hij niet wist waarvoor hij en [de echtgenoot] geregistreerd waren. Uit het gesprek blijkt ook niet dat [de betrokkene] voorafgaand informatie werd verstrekt over het verwijt dat hem en [de echtgenoot] werd gemaakt. In de brief die hij en [de echtgenoot] hadden ontvangen over de registratie stond uitsluitend dat Defam een sterk vermoeden had dat zij betrokken waren bij “een incident”, zonder enige nadere toelichting. De medewerker van Defam heeft tijdens dat telefoongesprek gevraagd of [de betrokkene] en [de echtgenoot] samen de overeenkomst hebben ingediend. [de betrokkene] heeft daarop wel het antwoord “samen” gegeven, maar hem was toen nog steeds niet duidelijk gemaakt waar het “incident” betrekking op had. Verder is het enkele feit dat [de betrokkene] heeft geantwoord dat hij samen met [de echtgenoot] de overeenkomst heeft ingediend ook onvoldoende om de conclusie te rechtvaardigen dat in voldoende mate vaststaat dat [de echtgenoot] zich schuldig heeft gemaakt aan valsheid in geschrifte met het oog op het verkrijgen van een financiering. [de betrokkene] heeft namelijk ook gezegd dat zowel hij als [de echtgenoot] van niks wisten. Dat de betrokkenheid van [de echtgenoot] op een ander moment nog voldoende vast is komen te staan is door Defam niet gesteld en is ook niet gebleken. De aangifte door Defam tegen [de echtgenoot] heeft ook niet geleid tot vervolging. Door de persoonsgegevens van [de echtgenoot] in het EVR te registreren zonder dat zijn betrokkenheid in voldoende mate vast stond, heeft Defam in strijd met artikel 5.2.1 van het PiFi 2013 en dus in strijd met de geldende privacyregels en daarmee onrechtmatig gehandeld ten opzichte van [de echtgenoot] . Defam had meer onderzoek moeten doen naar betrokkenheid [de betrokkene] 3.11. [de betrokkene] stond op het aanvraagformulier wel als aanvrager genoemd en ook zijn emailadres staat daarop vermeld. Op de mondelinge behandeling bij het hof heeft Defam toegelicht dat de fraudeafdeling de identiteit controleert aan de hand van de beschikbare kopie van het identiteitsbewijs. De controle of de aanvrager de persoon is die op die kopie staat, gaat via de tussenpersoon, in dit geval DNK. Volgens Defam heeft DNK bevestigd dat de stukken via het e-mailadres van [de betrokkene] zijn toegestuurd. Daarvoor verwijst zij naar een e-mail van 21 mei 2021 waarin een medewerker wijst op de vermelding van het e-mailadres van [de betrokkene] op het aanvraagformulier en naar haar brief aan [de betrokkene] waarin zij schrijft dat de tussenpersoon heeft verklaard dat de vervalste documenten via het e-mailadres van [de betrokkene] zijn verstuurd. Defam voert weliswaar aan dat dit het “logisch gevolg” is van het feit dat het e-mailadres van [de betrokkene] in de aanvraag stond, maar zij heeft dit kennelijk niet nader onderzocht. Een dergelijke e-mail die [de betrokkene] aan DNK zou hebben verzonden ontbreekt namelijk in het dossier. Er is überhaupt geen mailwisseling tussen [de betrokkene] en DNK overgelegd, zodat niet duidelijk is of die mailwisseling daadwerkelijk heeft plaatsgevonden. Het hof is van oordeel dat Defam onvoldoende heeft onderbouwd dat zij genoegzaam heeft onderzocht of [de betrokkene] betrokken was bij het vervalsen van de loonstroken en bankafschriften. Defam heeft voorafgaand aan de registratie geen contact gezocht met [de betrokkene] of onderzoek naar hem gedaan of naar hem laten doen om te controleren of hij zelf de kredietaanvraag had gedaan en of de valse gegevens inderdaad van hem afkomstig waren. Net zoals hiervoor in 3.9 ten aanzien van [de echtgenoot] is geoordeeld, heeft Defam ook onvoldoende onderbouwd dat uit de aanvraag bleek dat [de betrokkene] de begunstigde was van het krediet. Daarbij wijst [de betrokkene] er nog terecht op dat ook op de incassomachtiging het IBAN-nummer ontbreekt. Het is ook niet duidelijk of Defam dit daadwerkelijk gecontroleerd heeft. 3.12. Ten aanzien van [de betrokkene] geldt ook, om dezelfde redenen als hiervoor in 3.10 genoemd, dat uit het telefoongesprek van 26 mei 2017 niet kan worden afgeleid dat [de betrokkene] zich schuldig zou hebben gemaakt aan valsheid in geschrifte. Daarbij komt dat [de betrokkene] tijdens dit gesprek verwees naar zijn accountant.

In voldoende mate staat vast dat de betreffende (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat van strafbare feiten in principe aangifte of klachten wordt gedaan bij een opsporingsambtenaar. Het proportionaliteitsbeginsel wordt in acht genomen. (…)” Registratie persoonsgegevens in het EVR 3.8. Defam heeft de persoonsgegevens van [appellanten] op 23 mei 2017 geregistreerd in het EVR voor een termijn van vijf jaar. Uit haar interne controle was gebleken dat er onregelmatigheden voorkwamen op de salarisstroken die zij via DNK had ontvangen bij de kredietaanvraag op naam van [appellanten] Zij heeft toen navraag gedaan bij de ING (zie hiervoor in 2.1). Op de mondelinge behandeling bij het hof heeft Defam toegelicht dat zij - na het bericht van ING op 23 mei 2017 dat de salarisbijschrijvingen die op de door haar ontvangen bankafschriften stonden niet correct zijn - een belangenafweging heeft gemaakt en is overgegaan tot de EVR-registraties. De gedraging waarvoor Defam deze registraties heeft verricht zijn het verstrekken van vervalste bankafschriften en vervalste loonstroken om een krediet van Defam te krijgen. Deze gedragingen, waarvan Defam het vermoeden had dat zij door [appellanten] waren begaan, kunnen een bedreiging vormen voor de financiële belangen van financiële instellingen. Aan het in artikel 5.2.1 onder a) PiFi 2013 genoemde criterium is dus voldaan. Betrokkenheid [de echtgenoot] stond onvoldoende vast 3.9. Op grond van artikel 5.2.1 onder b) PiFi 2013 moest voorafgaand aan de registratie ook voldoende vast staan dat [appellanten] betrokken waren bij het verstrekken van de vervalste bankafschriften en loonstroken. Dat Defam dat voldoende heeft onderzocht is niet gebleken. Ten aanzien van [de echtgenoot] geldt dat in het door Defam overgelegde aanvraagformulier zijn naam alleen genoemd staat als “partner” en dus niet als aanvrager. Zijn e-mailadres staat ook niet op het formulier en door Defam is niet gesteld dat zijn e-mailadres zou zijn gebruikt bij de aanvraag of bij het verstrekken van de vervalste documenten. Bovendien is noch in de aanvraag, noch in de getekende kredietovereenkomst vermeld dat [de echtgenoot] de begunstigde was van het aangevraagde krediet. Er is geen rekeningnummer vermeld waarop het krediet uitgekeerd zou moeten worden. Dat dit wel “uit het systeem” zou blijken is door Defam op geen enkele manier onderbouwd. Volgens Defam leek de handtekening van [de echtgenoot] op de ondertekende kredietovereenkomst voldoende op de handtekening op de kopie van zijn identiteitsbewijs. Zelfs als dit zo zou zijn - wat het hof niet goed kan nagaan, omdat door Defam alleen (slechte) kopieën van deze stukken zijn overgelegd - blijkt daar nog niet uit dat [de echtgenoot] betrokken was bij het verstrekken van vervalste documenten. Defam had daarom eerst nader onderzoek moeten instellen naar de betrokkenheid van [de echtgenoot] alvorens zijn gegevens in het EVR te registreren. Dat heeft Defam nagelaten. Zij heeft geen contact gezocht met [de echtgenoot] of nader onderzoek ingesteld naar zijn betrokkenheid. 3.10. Het telefoongesprek tussen [de betrokkene] en een medewerker van de fraudeafdeling van Defam op 26 mei 2017 is daarvoor ook onvoldoende. Uit het transcript dat van gedeeltes van dit telefoongesprek is gemaakt en uit de opname van het telefoongesprek blijkt dat [de betrokkene] overvallen is door de vragen die hem gesteld werden en dat hij niet wist waarvoor hij en [de echtgenoot] geregistreerd waren. Uit het gesprek blijkt ook niet dat [de betrokkene] voorafgaand informatie werd verstrekt over het verwijt dat hem en [de echtgenoot] werd gemaakt. In de brief die hij en [de echtgenoot] hadden ontvangen over de registratie stond uitsluitend dat Defam een sterk vermoeden had dat zij betrokken waren bij “een incident”, zonder enige nadere toelichting. De medewerker van Defam heeft tijdens dat telefoongesprek gevraagd of [de betrokkene] en [de echtgenoot] samen de overeenkomst hebben ingediend. [de betrokkene] heeft daarop wel het antwoord “samen” gegeven, maar hem was toen nog steeds niet duidelijk gemaakt waar het “incident” betrekking op had. Verder is het enkele feit dat [de betrokkene] heeft geantwoord dat hij samen met [de echtgenoot] de overeenkomst heeft ingediend ook onvoldoende om de conclusie te rechtvaardigen dat in voldoende mate vaststaat dat [de echtgenoot] zich schuldig heeft gemaakt aan valsheid in geschrifte met het oog op het verkrijgen van een financiering. [de betrokkene] heeft namelijk ook gezegd dat zowel hij als [de echtgenoot] van niks wisten. Dat de betrokkenheid van [de echtgenoot] op een ander moment nog voldoende vast is komen te staan is door Defam niet gesteld en is ook niet gebleken. De aangifte door Defam tegen [de echtgenoot] heeft ook niet geleid tot vervolging. Door de persoonsgegevens van [de echtgenoot] in het EVR te registreren zonder dat zijn betrokkenheid in voldoende mate vast stond, heeft Defam in strijd met artikel 5.2.1 van het PiFi 2013 en dus in strijd met de geldende privacyregels en daarmee onrechtmatig gehandeld ten opzichte van [de echtgenoot] . Defam had meer onderzoek moeten doen naar betrokkenheid [de betrokkene] 3.11. [de betrokkene] stond op het aanvraagformulier wel als aanvrager genoemd en ook zijn emailadres staat daarop vermeld. Op de mondelinge behandeling bij het hof heeft Defam toegelicht dat de fraudeafdeling de identiteit controleert aan de hand van de beschikbare kopie van het identiteitsbewijs. De controle of de aanvrager de persoon is die op die kopie staat, gaat via de tussenpersoon, in dit geval DNK. Volgens Defam heeft DNK bevestigd dat de stukken via het e-mailadres van [de betrokkene] zijn toegestuurd. Daarvoor verwijst zij naar een e-mail van 21 mei 2021 waarin een medewerker wijst op de vermelding van het e-mailadres van [de betrokkene] op het aanvraagformulier en naar haar brief aan [de betrokkene] waarin zij schrijft dat de tussenpersoon heeft verklaard dat de vervalste documenten via het e-mailadres van [de betrokkene] zijn verstuurd. Defam voert weliswaar aan dat dit het “logisch gevolg” is van het feit dat het e-mailadres van [de betrokkene] in de aanvraag stond, maar zij heeft dit kennelijk niet nader onderzocht. Een dergelijke e-mail die [de betrokkene] aan DNK zou hebben verzonden ontbreekt namelijk in het dossier. Er is überhaupt geen mailwisseling tussen [de betrokkene] en DNK overgelegd, zodat niet duidelijk is of die mailwisseling daadwerkelijk heeft plaatsgevonden. Het hof is van oordeel dat Defam onvoldoende heeft onderbouwd dat zij genoegzaam heeft onderzocht of [de betrokkene] betrokken was bij het vervalsen van de loonstroken en bankafschriften. Defam heeft voorafgaand aan de registratie geen contact gezocht met [de betrokkene] of onderzoek naar hem gedaan of naar hem laten doen om te controleren of hij zelf de kredietaanvraag had gedaan en of de valse gegevens inderdaad van hem afkomstig waren. Net zoals hiervoor in 3.9 ten aanzien van [de echtgenoot] is geoordeeld, heeft Defam ook onvoldoende onderbouwd dat uit de aanvraag bleek dat [de betrokkene] de begunstigde was van het krediet. Daarbij wijst [de betrokkene] er nog terecht op dat ook op de incassomachtiging het IBAN-nummer ontbreekt. Het is ook niet duidelijk of Defam dit daadwerkelijk gecontroleerd heeft. 3.12. Ten aanzien van [de betrokkene] geldt ook, om dezelfde redenen als hiervoor in 3.10 genoemd, dat uit het telefoongesprek van 26 mei 2017 niet kan worden afgeleid dat [de betrokkene] zich schuldig zou hebben gemaakt aan valsheid in geschrifte. Daarbij komt dat [de betrokkene] tijdens dit gesprek verwees naar zijn accountant.

Hij heeft wel gezegd dat deze accountant gegevens heeft aangeleverd, maar daarmee staat nog niet vast dat er ook valse gegevens zijn aangeleverd, laat staan dat duidelijk is geworden waarvoor die gegevens zijn aangeleverd. [appellanten] wijzen in dit verband op een verklaring van hun account, die op 28 maart 2018 aan [de betrokkene] heeft geschreven: “Op jouw naam of die van [de echtgenoot] zijn nooit loonstroken door onze WGS verzorgd.” 3.13. Zelfs als ervan uit wordt gegaan dat het voor Defam op het moment van registratie op 23 mei 2017 en na het telefoongesprek van 26 mei 2017 voldoende vast stond dat [de betrokkene] betrokken was bij het verstrekken van de valse documenten, had Defam in ieder geval nader onderzoek moeten verrichten nadat [de betrokkene] bezwaar had gemaakt tegen zijn registratie. Op 30 juli 2017 hebben [appellanten] per e-mail bezwaar gemaakt tegen de registratie van hun persoonsgegevens. Daarin schrijven zij onder meer dat zij Alfam (Defam) niet kennen, geen aanvraag hebben gedaan en slachtoffer zijn van identiteitsfraude, waar zij aangifte voor hebben gedaan. Tijdens het telefoongesprek dat tussen een medewerker van Defam en [de betrokkene] vervolgens op 1 augustus 2017 is gevoerd, legt [de betrokkene] uit dat zijn privé mailaccount is gehackt. Hij ontkent in dat gesprek ook dat hij een krediet heeft aangevraagd. Het bezwaar per e-mail en dit telefonisch contact had aanleiding moeten zijn voor Defam om een nader onderzoek in te stellen. Dat heeft Defam niet gedaan, zoals zij ook op de mondelinge behandeling bij het hof heeft bevestigd. Defam heeft geen nader onderzoek ingesteld naar de handtekeningen van [appellanten] op de kredietovereenkomst, geen onderzoek naar het IP-adres van waaruit de aanvraag en de valse stukken zijn verstuurd en zij heeft geen nader onderzoek gedaan naar de (herkomst van) de valse bankafschriften of loonstroken. Dit klemt te meer, omdat in de strafzaak duidelijk werd dat in de kredietaanvraag een aan [appellanten] onbekend e-mailadres is vermeld waar Defam ook geen aanvullend onderzoek naar had gedaan. Dit onderzoek had wel in de rede gelegen, nu de gegevens uitsluitend digitaal waren aangeleverd en in een portaal van Defam zijn ge-upload. In tegenstelling tot wat Defam meermaals aanvoert, is het niet aan [de betrokkene] om te bewijzen dat hij niet betrokken was bij het verstrekken van de valse stukken, maar was het aan Defam om nader te onderzoeken of voldoende vast staat dat [de betrokkene] bij het verstrekken van valse stukken was betrokken. Gelet op de concrete betwisting van hun aanvraag stond het voor Defam in ieder geval op dat moment onvoldoende vast dat [appellanten] waren betrokken bij de verweten gedraging en was dus ook ten aanzien van [de betrokkene] niet voldaan aan het vereiste van artikel 5.2.1 onder b) PiFi 2013. Dat [de betrokkene] in juni 2018 wel door de politierechter is veroordeeld, maakt niet dat de registratie tot dan toe in overeenstemming was met de geldende privacyregels. Het nadere onderzoek van het gerechtshof te ’sHertogenbosch heeft er ook juist toe geleid dat [de betrokkene] is vrijgesproken van de aan hem ten laste gelegde poging tot oplichting en van valsheid in geschrifte, omdat het gerechtshof te ’sHertogenbosch niet kon vaststellen dat [de betrokkene] op of omstreeks 18 mei 2017 de in de tenlastelegging genoemde stukken heeft gezonden aan Alfam (Defam). De registratie in het EVR en de handhaving daarvan waren in strijd met de geldende privacyregels 3.14. Het voorgaande betekent dat de in mei 2017 gedane registratie in het EVR in strijd was met de destijds geldende Wet bescherming persoonsgegevens (Wbp) en dat de handhaving daarvan na 25 mei 2018 in strijd was met de AVG (met voor [de betrokkene] weliswaar een uitzondering voor de periode tussen het veroordelende vonnis en de vrijspraak bij het gerechtshof). Registratie incidentenregister 3.15. Omdat reeds is geoordeeld dat de registraties in het EVR in strijd waren met de geldende privacyregels en daarmee onrechtmatig waren tegenover [appellanten] , is er geen belang meer voor [appellanten] bij een afzonderlijke beoordeling van de registraties in het incidentenregister. Zoals hiervoor in 3.7 overwogen, waren deze registraties alleen toegankelijk voor de aan Alfam verbonden ondernemingen. Dat [appellanten] daardoor enige schade zouden hebben geleden, hebben zij ook onvoldoende aannemelijk gemaakt. Aannemelijkheid schade 3.16. Het hof zal de door [appellanten] gevorderde verklaring voor recht dat Defam aansprakelijk is voor de schade die zij hebben geleden als gevolg van de registratie in het EVR en de handhaving daarvan, toewijzen. Voor een verwijzing naar de schadestaatprocedure is voldoende dat aannemelijk is dat [appellanten] schade hebben geleden als gevolg van dit handelen van Defam. Het is voldoende aannemelijk dat [appellanten] schade hebben geleden als gevolg van de onterechte registratie en de handhaving daarvan, omdat zij geen financiering meer konden verkrijgen, zoals is toegelicht op de mondelinge behandeling bij het hof. De conclusie 3.17. Het hoger beroep slaagt, voor zover dat ertoe strekt dat een verklaring voor recht wordt gegeven dat Defam de geldende privacyregels door het ten onrechte registreren en handhaven van persoonsgegevens van [appellanten] in het EVR en dat Defam daarom aansprakelijk is voor de daaruit voortvloeiende schade, nader op te maken bij staat. Omdat Defam in het ongelijk zal worden gesteld, zal het hof Defam tot betaling van de proceskosten zowel in hoger beroep als bij de rechtbank veroordelen. Onder die kosten vallen ook de nakosten die nodig zijn voor de betekening van de uitspraak. Voor het overige wordt de vordering van [appellanten] afgewezen. 3.18. De proceskostenveroordeling in deze uitspraak kan ook ten uitvoer worden gelegd als een van partijen de beslissing van het hof voorlegt aan de Hoge Raad (uitvoerbaarheid bij voorraad).

Hij heeft wel gezegd dat deze accountant gegevens heeft aangeleverd, maar daarmee staat nog niet vast dat er ook valse gegevens zijn aangeleverd, laat staan dat duidelijk is geworden waarvoor die gegevens zijn aangeleverd. [appellanten] wijzen in dit verband op een verklaring van hun account, die op 28 maart 2018 aan [de betrokkene] heeft geschreven: “Op jouw naam of die van [de echtgenoot] zijn nooit loonstroken door onze WGS verzorgd.” 3.13. Zelfs als ervan uit wordt gegaan dat het voor Defam op het moment van registratie op 23 mei 2017 en na het telefoongesprek van 26 mei 2017 voldoende vast stond dat [de betrokkene] betrokken was bij het verstrekken van de valse documenten, had Defam in ieder geval nader onderzoek moeten verrichten nadat [de betrokkene] bezwaar had gemaakt tegen zijn registratie. Op 30 juli 2017 hebben [appellanten] per e-mail bezwaar gemaakt tegen de registratie van hun persoonsgegevens. Daarin schrijven zij onder meer dat zij Alfam (Defam) niet kennen, geen aanvraag hebben gedaan en slachtoffer zijn van identiteitsfraude, waar zij aangifte voor hebben gedaan. Tijdens het telefoongesprek dat tussen een medewerker van Defam en [de betrokkene] vervolgens op 1 augustus 2017 is gevoerd, legt [de betrokkene] uit dat zijn privé mailaccount is gehackt. Hij ontkent in dat gesprek ook dat hij een krediet heeft aangevraagd. Het bezwaar per e-mail en dit telefonisch contact had aanleiding moeten zijn voor Defam om een nader onderzoek in te stellen. Dat heeft Defam niet gedaan, zoals zij ook op de mondelinge behandeling bij het hof heeft bevestigd. Defam heeft geen nader onderzoek ingesteld naar de handtekeningen van [appellanten] op de kredietovereenkomst, geen onderzoek naar het IP-adres van waaruit de aanvraag en de valse stukken zijn verstuurd en zij heeft geen nader onderzoek gedaan naar de (herkomst van) de valse bankafschriften of loonstroken. Dit klemt te meer, omdat in de strafzaak duidelijk werd dat in de kredietaanvraag een aan [appellanten] onbekend e-mailadres is vermeld waar Defam ook geen aanvullend onderzoek naar had gedaan. Dit onderzoek had wel in de rede gelegen, nu de gegevens uitsluitend digitaal waren aangeleverd en in een portaal van Defam zijn ge-upload. In tegenstelling tot wat Defam meermaals aanvoert, is het niet aan [de betrokkene] om te bewijzen dat hij niet betrokken was bij het verstrekken van de valse stukken, maar was het aan Defam om nader te onderzoeken of voldoende vast staat dat [de betrokkene] bij het verstrekken van valse stukken was betrokken. Gelet op de concrete betwisting van hun aanvraag stond het voor Defam in ieder geval op dat moment onvoldoende vast dat [appellanten] waren betrokken bij de verweten gedraging en was dus ook ten aanzien van [de betrokkene] niet voldaan aan het vereiste van artikel 5.2.1 onder b) PiFi 2013. Dat [de betrokkene] in juni 2018 wel door de politierechter is veroordeeld, maakt niet dat de registratie tot dan toe in overeenstemming was met de geldende privacyregels. Het nadere onderzoek van het gerechtshof te ’sHertogenbosch heeft er ook juist toe geleid dat [de betrokkene] is vrijgesproken van de aan hem ten laste gelegde poging tot oplichting en van valsheid in geschrifte, omdat het gerechtshof te ’sHertogenbosch niet kon vaststellen dat [de betrokkene] op of omstreeks 18 mei 2017 de in de tenlastelegging genoemde stukken heeft gezonden aan Alfam (Defam). De registratie in het EVR en de handhaving daarvan waren in strijd met de geldende privacyregels 3.14. Het voorgaande betekent dat de in mei 2017 gedane registratie in het EVR in strijd was met de destijds geldende Wet bescherming persoonsgegevens (Wbp) en dat de handhaving daarvan na 25 mei 2018 in strijd was met de AVG (met voor [de betrokkene] weliswaar een uitzondering voor de periode tussen het veroordelende vonnis en de vrijspraak bij het gerechtshof). Registratie incidentenregister 3.15. Omdat reeds is geoordeeld dat de registraties in het EVR in strijd waren met de geldende privacyregels en daarmee onrechtmatig waren tegenover [appellanten] , is er geen belang meer voor [appellanten] bij een afzonderlijke beoordeling van de registraties in het incidentenregister. Zoals hiervoor in 3.7 overwogen, waren deze registraties alleen toegankelijk voor de aan Alfam verbonden ondernemingen. Dat [appellanten] daardoor enige schade zouden hebben geleden, hebben zij ook onvoldoende aannemelijk gemaakt. Aannemelijkheid schade 3.16. Het hof zal de door [appellanten] gevorderde verklaring voor recht dat Defam aansprakelijk is voor de schade die zij hebben geleden als gevolg van de registratie in het EVR en de handhaving daarvan, toewijzen. Voor een verwijzing naar de schadestaatprocedure is voldoende dat aannemelijk is dat [appellanten] schade hebben geleden als gevolg van dit handelen van Defam. Het is voldoende aannemelijk dat [appellanten] schade hebben geleden als gevolg van de onterechte registratie en de handhaving daarvan, omdat zij geen financiering meer konden verkrijgen, zoals is toegelicht op de mondelinge behandeling bij het hof. De conclusie 3.17. Het hoger beroep slaagt, voor zover dat ertoe strekt dat een verklaring voor recht wordt gegeven dat Defam de geldende privacyregels door het ten onrechte registreren en handhaven van persoonsgegevens van [appellanten] in het EVR en dat Defam daarom aansprakelijk is voor de daaruit voortvloeiende schade, nader op te maken bij staat. Omdat Defam in het ongelijk zal worden gesteld, zal het hof Defam tot betaling van de proceskosten zowel in hoger beroep als bij de rechtbank veroordelen. Onder die kosten vallen ook de nakosten die nodig zijn voor de betekening van de uitspraak. Voor het overige wordt de vordering van [appellanten] afgewezen. 3.18. De proceskostenveroordeling in deze uitspraak kan ook ten uitvoer worden gelegd als een van partijen de beslissing van het hof voorlegt aan de Hoge Raad (uitvoerbaarheid bij voorraad).