ECLI:NL:RBSGR:2012:BV9594

beschikking

RECHTBANK 'S-GRAVENHAGE

Sector civiel recht

zaaknummer / rekestnummer: 407193 / HA RK 11-695

Beschikking van 15 maart 2012

in de zaak van

1. [verzoeker sub 1] en

2. [verzoekster sub 2],

in de hoedanigheid van wettelijk vertegenwoordigers van hun minderjarige zoon

[kind van verzoekers],

allen wonende te [woonplaats],

verzoekers,

advocaat mr. W.B. van Rookhuijzen te Voorburg,

tegen

de naamloze vennootschap ING BANK N.V.,

gevestigd te Amsterdam,

verweerster,

advocaat mr. P. Smits te Amsterdam.

Verzoekers en verweerster worden hierna aangeduid als '[verzoekers cs]' en ING.

1.1.Het verloop van de procedure blijkt uit:

- het op 14 november 2011 ingekomen verzoekschrift,

- het verweerschrift van ING,

- de brief van ING van 6 februari 2012,

- de beschikking van de kantonrechter van deze rechtbank van 2 maart 2012, waarbij [verzoekers cs] zijn gemachtigd hun minderjarige zoon [kind van verzoekers] (hierna: [kind van verzoekers]) in deze procedure te vertegenwoordigen.

1.2. De mondelinge behandeling van het verzoekschrift heeft plaatsgevonden op

2 februari 2012. Verschenen zijn verzoekster sub 2 en [kind van verzoekers], vergezeld van mr. Van Rookhuijzen. Namens ING zijn verschenen de heren [A] en [B], vergezeld van mr. Smits. Mr. Van Rookhuijzen heeft pleitaantekeningen overgelegd.

2.1.[kind van verzoekers] is geboren op [geboortedatum] 1995. Hij had bij ING een Easy Blue rekening met nummer [nummer]. Aan deze rekening was een betaalpas met pincode gekoppeld.

2.2.Op 24 mei 2011 om ongeveer 10.00 uur heeft [kind van verzoekers] zijn pinpas en pincode afgegeven aan een derde.

2.3.Op 24 mei 2011 is ten laste van de ING bankrekening [nummer] van de heer

[C] een bedrag van € 3.500,-- overgeschreven naar de bankrekening van [kind van verzoekers]. De betaling is verricht door middel van internetbankieren. [C] heeft voor deze overboeking geen toestemming gegeven. Het gestorte bedrag is via meerdere transacties met gebruikmaking van bankpas en pincode op dezelfde dag tussen 18.13 uur en 18.39 uur van de rekening van [kind van verzoekers] opgenomen.

2.4.Door frauduleuze overboekingen is in totaal € 48.953,15 van de rekening van [C] weggesluisd. Door [C] is op 25 mei 2011 aangifte gedaan van oplichting. Op 26 mei 2011 heeft ING aangifte gedaan.

2.5.Op 27 mei 2011 hebben [verzoekers cs] aangifte gedaan en is [kind van verzoekers] bij de politie (als verdachte) verhoord. Het bijbehorende proces-verbaal luidt, voor zover hier van belang:

"(...)Ik ben hierom dat ik ben benaderd door een jongen die ik ken van het voetbal. Ik zal hem in mijn verdere verklaring [D] noemen. [D]s achternaam is [naam] (fon). Deze [D] vroeg mij of ik snel geld wilde verdienen. Ik vroeg hem dan hoe en hij legde mij uit dat hij dan mijn pinpas en pincode nodig had. Hij zei dat iemand anders dan geld op mijn rekening zou storten, zeg maar 300 en het er dan weer vanaf zou halen. Hij zou dit een paar keer doen. Het was volkomen legaal. Ik heb toen ja gezegd want ik wilde wel snel geld verdienen. Ik zou in totaal 500 tot 900 verdienen met deze actie. Uiteindelijk heb ik mijn pinpas en code aan een chinees gegeven. Ik besloot later het toch niet te willen doen en zei dit ook tegen [D]. [D] liet me toen weten dat het al te laat was en dat er al geld gestort en opgenomen was.

[kind van verzoekers] mag dat volgens jou?

Nee, nu dat ik er over nagedacht heb besef ik me ook wel dat het niet mag.

[kind van verzoekers], maar wat mag er dan niet. Iemand mag toch geld op jouw rekening storten?

Ja, maar hij mag het er niet met mijn pas en mijn pincode vanaf halen. Alleen ik mag dat.

[kind van verzoekers], Als ik de papieren lees die je hebt meegebracht dan lees ik dat je toch twijfels hebt gehad. Waarom heb je het uiteindelijk toch gedaan?

Ik wilde het geld wel hebben, maar toen ik besloot om het toch niet te doen, was het storten en opnemen al gebeurd.

[kind van verzoekers], het geld dat gestort zou worden, wat kun je me daar over vertellen?

Ja,dat het niet klopt dat wist ik ook wel.

(...)".

2.6.ING heeft bij brief van 30 mei 2011 [kind van verzoekers] bericht dat zijn gegevens naar voren zijn gekomen in een onderzoek naar fraude, waarbij met een valse betalingsopdracht € 3.500,-- op de rekening van [kind van verzoekers] is bijgeschreven. Gelet op deze frauduleuze bijschrijving en de omstandigheden waaronder de bijschrijving heeft plaatsgevonden staat voor ING de betrokkenheid van [kind van verzoekers] bij de fraude in voldoende mate vast. Dit is voor ING aanleiding om de persoonsgegevens van [kind van verzoekers] op te nemen in het incidentenregister voor een periode van vier jaar. De ING geeft voorts nog aan de gedupeerde rekeninghouder schadeloos te hebben gesteld en daarom nog een vordering op [kind van verzoekers] te hebben van € 3.500,--, die zij zal overdragen aan een incassobureau. Na afwikkeling van die vordering zal ING de relatie met [kind van verzoekers] beëindigen.

2.7.Bij brief van 20 juni 2011 heeft mr. Van Rookhuijzen betwist dat [kind van verzoekers] betrokken zou zijn bij de gestelde fraude en verzocht de persoonsgegevens van [kind van verzoekers] uit het incidentenregister te verwijderen.

2.8.Bij brief van 17 augustus 2011 heeft ING te kennen gegeven bij haar ingenomen standpunt te blijven. Tevens is in de brief vermeld dat [kind van verzoekers], voor het geval hij zich in het standpunt van ING niet zou kunnen vinden, daartegen binnen zes weken bezwaar zou kunnen (doen) aantekenen bij de directie van ING.

2.9.Bij brief van 9 september 2011 heeft mr. Van Rookhuijzen tegen die beslissing bezwaar aangetekend bij de directie van ING.

2.10.Bij brief van 3 oktober 2011 heeft de directie van ING bericht geen aanleiding te zien om de persoonsgegevens van [kind van verzoekers] uit het register te verwijderen.

3.Het verzoek

3.1.[verzoekers cs] verzoeken op de voet van artikel 46 van de Wet bescherming persoonsgegevens (Wbp) ING te bevelen over te gaan tot verwijdering van de persoonsgegevens van [kind van verzoekers] uit - primair - het incidentenregister en - subsidiair - uit het externe verwijzingsregister, alsmede bij de Stichting CIS, een en ander op straffe van een dwangsom, met veroordeling van ING in de kosten van deze procedure.

3.2.[verzoekers cs] stellen daartoe dat [kind van verzoekers] niets te maken heeft met een frauduleuze bijschrijving op zijn rekening dan wel met een kennelijke valse betalingsopdracht. [kind van verzoekers] heeft geen (valse) betalingsopdracht uitgevoerd. [kind van verzoekers] is onder valse voorwendselen overgehaald zijn pinpas en pincode af te staan. [kind van verzoekers] heeft dit vervolgens aan zijn moeder gemeld. Bij controle van zijn rekening op 25 mei 2011 was de € 3.500,-- al bijgeschreven en hebben [verzoekers cs] de rekening van [kind van verzoekers] laten blokkeren. [kind van verzoekers] heeft zich zelf op geen enkele wijze ten nadele van wie dan ook verrijkt. Voor zover [kind van verzoekers] ook maar iets te verwijten valt is hij in ieder geval een first-offender. Hij behoort gelet op zijn leeftijd ook nog tot een kwetsbare categorie personen. Daar komt bij dat ING zelf ook niet vrijuit gaat. Er zou maximaal maar € 1.000,-- per dag kunnen worden opgenomen bij geldautomaten van ING en € 250,-- per dag bij geldautomaten van andere banken. In een tijdsbestek van nog geen half uur is echter een veelvoud van die bedragen opgenomen. Dat valt ING te verwijten.

Voorts heeft ING de gestelde betrokkenheid van [kind van verzoekers] bij de fraude onvoldoende onderbouwd. Er heeft ook geen strafrechtelijke vervolging van [kind van verzoekers] plaatsgevonden.

ING heeft ook niet duidelijk gemaakt welk doel er is gediend met handhaving van de gegevens van [kind van verzoekers] in de registers. Ten slotte voeren [verzoekers cs] aan dat het proportionaliteitsbeginsel onvoldoende in acht is genomen.

3.3.ING voert gemotiveerd verweer.

4.1.ING heeft terecht aangevoerd dat [kind van verzoekers] als minderjarige niet zelfstandig in rechte kan optreden. Hij wordt dan ook in deze procedure vertegenwoordigd door zijn ouders, die daartoe bij brief van 7 maart 2012 een machtiging van de kantonrechter hebben overgelegd.

[verzoekers cs] kunnen in die hoedanigheid in hun verzoek worden ontvangen.

4.2.Aanvankelijk heeft ING ook het verweer gevoerd dat [verzoekers cs] in hun verzoek niet-ontvankelijk zijn doordat het verzoekschrift niet binnen de termijn van artikel 46 lid 2 Wbp is ingediend. Bij brief van 6 februari 2011 heeft ING doen weten dat dit verweer wordt ingetrokken. Dat verweer behoeft dan ook geen bespreking meer.

4.3.ING heeft zich verplicht bij de verwerking van persoonsgegevens in het kader van het door haar aangehouden incidentenregister te handelen conform het 'Protocol Incidentenwaarschuwingssysteem Financiële Instellingen' van de Nederlandse Vereniging van Banken, het Verbond van Verzekeraars, de Vereniging van Financieringsondernemingen in Nederland, de Stichting Fraudebestrijding Hypotheken en Zorgverzekeraars Nederland van 3 maart 2011 (hierna: het Protocol). Het Protocol is geen door het College bescherming persoonsgegevens (Cbp) getoetste gedragscode als bedoeld in artikel 25 Wbp. Wel heeft het Cbp op 18 mei 2011 naar aanleiding van de melding van het voornemen tot verwerking van strafrechtelijke gegevens voor zes jaar een verklaring omtrent de rechtmatigheid gegeven als bedoeld in artikel 32 lid 5 Wbp. Het Protocol is in zoverre dan ook te beschouwen als een regeling die voldoende waarborgen biedt voor een verwerking van persoonsgegevens zoals de Wbp die voorschrijft (zie ook het arrest van het gerechtshof Amsterdam van 18 januari 2007, LJN: BA5933).

4.4.Onder Incidentenregister wordt volgens het Protocol verstaan de gegevensverzameling(en) van de deelnemer (in dit geval ING), waarin - voor het doel van ondersteuning van, kort gezegd, activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector - gegevens zijn vastgelegd naar aanleiding van of betrekking hebbend op een (mogelijk) incident. Onder incident wordt verstaan een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota's, identiteitsfraude, skimming, verduistering in dienstbetrekking, phishing en opzettelijke misleiding.

4.5.Het Incidentenregister omvat een Extern Verwijzingsregister (EVR), waarin uitsluitend verwijzingsgegevens met betrekking tot (rechts)personen zijn opgenomen. Het EVR is raadpleegbaar door de (organisaties van de) deelnemers via een verwijzingsapplicatie. Betrokkene wordt opgenomen in het EVR indien is voldaan aan de hierna onder a en b vermelde criteria en voorts het onder c genoemde beginsel is toegepast.

(a)De gedraging(en) van de (rechts)persoon vormden, vormen of kunnen een bedreiging vormen voor (i) de (financiële) belangen van cliënten en/of medewerkers van een financiële instelling, alsmede de (organisatie van de) financiële instelling(en) zelf of (ii) de continuïteit en/of de integriteit van de financiële sector.

(b) In voldoende mate staat vast dat de betrokken (rechts)persoon betrokken is bij de onder a bedoelde gedraging(en). Deze vaststelling betekent dat in principe aangifte wordt gedaan of een klacht ingediend bij een opsporingsambtenaar indien de gedragingen als een strafbaar feit kunnen worden aangemerkt.

(c)Het proportionaliteitsbeginsel wordt in acht genomen. Dit houdt in dat moet zijn vastgesteld dat het belang van opname in het EVR prevaleert boven de mogelijk nadelige gevolgen voor de betrokkene als gevolg van opname van zijn persoonsgegeven in het EVR.

4.6.Indien er geen reden meer is voor het vastleggen van persoonsgegevens, draagt de financiële instelling zorg voor verwijdering en is deze verplicht zodanige maatregelen te treffen dat deze gegevens niet langer toegankelijk zijn. Verwijdering moet voorts plaatsvinden binnen een periode van maximaal acht jaar, indien zich ten aanzien van betrokkene geen nieuwe aanleiding voor vastlegging heeft voorgedaan.

4.7.Ingevolge artikel 22 Wbp is de verwerking van strafrechtelijke persoonsgegevens slechts bij uitzondering toegestaan. De Hoge Raad heeft in zijn arrest van 29 mei 2009 (LJN: BH4720) geoordeeld dat voor verwerking in overeenstemming met het Protocol van strafrechtelijke persoonsgegevens in registers die onder het regime van de Wbp vallen, een veroordeling door de strafrechter niet is vereist. Onder strafrechtelijke persoonsgegevens moeten worden verstaan "zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring (in de zin van artikel 350 van het Wetboek van Strafvordering) kunnen dragen". In dat verband dient volgens de Hoge Raad als maatstaf te worden genomen of de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan.

4.8.Opname in het Incidentenregister, vooral in het EVR, kan verstrekkende gevolgen hebben. Alle deelnemende banken en andere financiële instellingen kunnen immers door raadpleging van het EVR vaststellen dat betrokkene is opgenomen in het Incidentenregister van andere financiële instellingen. Dit kan ertoe leiden dat zij zullen weigeren aan de daarin opgenomen persoon hun (financiële) diensten te verlenen. Betrokkene kan dan nog slechts als meerderjarige een basisbetaalrekening aanvragen waarmee hij aan primaire financiële verplichtingen kan voldoen. Er mag daarom niet snel worden aangenomen dat de gronden voor opname in het EVR aanwezig zijn.

4.9.ING voert het verweer dat de frauduleuze betaling aan [kind van verzoekers] deel uitmaakt van een zogenaamde 'phishing-fraude', waarbij [kind van verzoekers] heeft gediend als zogenaamde 'money-mule'. Kort gezegd is de werkwijze bij deze fraudes de volgende. Criminelen ontfutselen bankgegevens aan klanten, waardoor zij de beschikking krijgen over gelden van die klanten. Deze geldbedragen worden overgeboekt naar de betaalrekening van de money-mule. De money-mule zorgt ervoor dat zijn of haar rekening nagenoeg leeg is en geeft vervolgens de betaalpas en pincode af aan degene door wie hij of zij is geronseld. Daarna kan het fraudebedrag op de rekening worden bijgeschreven en wordt dit zo snel mogelijk bij een of meer geld- en/of betaalautomaten opgenomen. Na de opnames doet de money-mule aangifte bij de politie van vermissing of diefstel van de betaalpas en/of vraagt deze een nieuwe betaalpas aan bij de bank.

4.10.Volgens ING past de overboeking van de € 3.500,-- van de rekening van [C] naar de rekening van [kind van verzoekers] volledig binnen dit patroon. Uit de verklaring die [kind van verzoekers] bij de politie heeft afgelegd blijkt dat hij heel goed wist dat hij met het uitlenen van zijn bankpas en pincode iets deed wat niet mocht en dat anderen de dupe daarvan zouden kunnen worden, dit alles met het oog op verkrijging van een gering voorgespiegeld gewin op korte termijn. Van bedrog of bedreiging daarbij is geen sprake geweest, aldus ING.

4.11.Tussen partijen is niet in geschil dat de betaalrekening van [kind van verzoekers] is gebruikt voor frauduleuze transacties. Gezien de verklaring van [kind van verzoekers] tegenover de politie is vast komen te staan dat [kind van verzoekers] daarbij betrokken was. Hij heeft in zijn verklaring toegegeven dat hij met het oog op een snelle verdienste van wel een paar honderd euro zijn pas en pincode aan een derde heeft afgegeven, zodat die zijn rekening zou kunnen gebruiken. Hij kwam zelf tot het besef dat een en ander niet klopte.

De rechtbank:

-wijst de verzoeken af,

-veroordeelt [verzoekers cs] in de kosten van dit geding, tot op heden aan de zijde van ING begroot op € 560,-- aan verschotten en € 904,-- aan salaris advocaat, te vermeerderen met de nakosten die forfaitair worden begroot op € 131,-- aan salaris advocaat, te vermeerderen met € 68,-- aan salaris indien tot betekening wordt overgegaan,

-verklaart deze proceskostenveroordeling uitvoerbaar bij voorraad.

Deze beschikking is gegeven door mr. P.A. Koppen en in het openbaar uitgesproken op 15 maart 2012.