Parket bij de Hoge Raad, 09-09-2011, BQ8097, 10/03988

Conclusie inzake:

tegen

1. Inleiding

1.1. Verzoekster in cassatie wordt, evenals haar rechtsvoorgangster Comfort Card, hierna aangeduid als Santander. Verweerder in cassatie wordt hierna aangeduid als [verweerder].

1.2. Het gaat in deze zaak - hoofdzakelijk - om de vraag of bij de verwerking van persoonsgegevens op grond van de Wet bescherming persoonsgegevens (hierna: Wbp) steeds een belangenafweging dient plaats vinden tussen het belang van het doel waarvoor wordt geregistreerd en het belang van de persoon van wie de gegevens geregistreerd worden, of dat een dergelijke belangenafweging uitsluitend dient plaats te vinden bij de registratie van persoonsgegevens op de grondslag als genoemd in art. 8 lid 1 onder f Wbp.

1.3. Uitleg van bepalingen in Richtlijn 95/46/EG (privacy en persoonsgegevens) en Richtlijn 2008/48/EG (consumentenkrediet) en hun onderlinge verhouding, wordt in deze zaak aangeraakt. Ik zie evenwel geen aanleiding om te adviseren tot het stellen van prejudiciële vragen aan het Hof van Justitie van de EU.

2. Feiten(1) en procesverloop

2.1. Bij brief van 17 juni 2006 heeft Santander [verweerder] gewezen op een betalingsachterstand op zijn doorlopend krediet van € 20,- en hem verzocht deze achterstand binnen tien dagen aan haar over te maken. Bij brief van 28 juni 2006 heeft Santander geconstateerd dat [verweerder] de betalingsachterstand van € 20,- niet heeft aangezuiverd. Zij heeft daarbij [verweerder] medegedeeld dat dit de volgende consequenties heeft:

2.2. Het Algemeen Reglement (versie april 2006) van de Stichting Bureau Kredietregistratie (BKR) te Tiel kent voor deelnemers in art. 23 de verplichting een melding bij de Stichting BKR te doen indien een betrokkene niet voldoet aan de overeengekomen betalingsverplichtingen uit hoofde van een overeenkomst. Uit overgelegde delen van de bij dit reglement behorende handleiding blijkt dat dit de 'bijzonderheidscode A' is. In de handleiding bij het Algemeen Reglement van BKR is de betekenis van de codes 1 tot en met 4 als volgt uitgelegd:

2.3. Op 7 juli 2006 is door Santander ten aanzien van [verweerder] 'bijzonderheid A' ter registratie gemeld in het CKI (Centraal Krediet Registratiesysteem) van het BKR.

2.4. Bij brief van 24 juli 2006 heeft Intrum Justitia [verweerder] namens Santander gesommeerd de totaal verschuldigde achterstand van € 320,18 binnen tien dagen na dagtekening van deze brief over te maken.

2.5. Bij brief van 18 augustus 2006 heeft Santander aangekondigd de vordering van, op dat moment € 324,76 op korte termijn over te dragen aan een incassobureau/deurwaarderskantoor.

2.6. Op 29 september 2006 is door Santander in het CKI de 'bijzonderheidscode 2' gemeld ter registratie.

2.7. [Verweerder] heeft op 13 oktober 2007 de vordering van Santander voldaan.

2.8. Bij brief van 26 juli 2008 heeft de gemachtigde van [verweerder] (hierna: [betrokkene 1]) Santander verzocht gegevens te verstrekken zoals bedoeld in art. 35 van de Wet bescherming persoonsgegevens (verder te noemen 'Wbp'). Bij brief van 30 september 2008 heeft Santander de verzochte informatie verstrekt.

2.9. [Betrokkene 1] heeft bij brief van 4 november 2008 bij Santander verzet aangetekend tegen de verwerking van gegevens van [verweerder] en verzocht de registratie betreffende bijzonderheden in het CKI van BKR binnen vier weken ongedaan te maken. Dit verzoek heeft [betrokkene 1] bij brief van 10 december 2008 aan Santander herhaald.

2.10. Uit de brief van 17 december 2008 gericht aan [verweerder] valt af te leiden dat Santander het verzet van [verweerder] niet heeft gehonoreerd. Bij brief van 23 januari 2009 heeft Santander vervolgens toegelicht dat het aan [verweerder] verleende krediet een limiet kende van € 1.225,- en dat dit bedrag daarom bij registratie van [verweerder] is gemeld aan BKR.

2.11. Bij verzoekschrift, ingekomen bij de rechtbank Utrecht op 29 januari 2009, heeft [verweerder] de rechtbank verzocht Santander te bevelen om de hem betreffende bijzonderheden uit het CKI van BKR te verwijderen, Santander te veroordelen tot het betalen van een dwangsom van € 1.000,- per dag, indien niet binnen twee werkdagen na de beschikking van de rechtbank uitvoering is gegeven aan het door de rechtbank uitgesproken bevel en Santander te veroordelen tot het vergoeden van de proceskosten.

2.12. De rechtbank heeft, bij beschikking van 24 juni 2009, Santander bevolen de bijzonderheden uit het CKI van het BKR betreffende [verweerder] onmiddellijk, in elk geval binnen vijf werkdagen, te verwijderen. Daarbij is Santander veroordeeld in de proceskosten.

2.13. Santander heeft naar aanleiding van de bestreden beschikking de in het CKI van het BKR opgenomen gegevens van [verweerder] laten verwijderen.

2.14. Santander heeft hoger beroep ingesteld bij het gerechtshof te Amsterdam (nevenzittingsplaats Arnhem). [Verweerder] heeft in appel verweer gevoerd.

2.15. Op 15 april 2010 heeft bij het hof de mondelinge behandeling plaatsgevonden.

2.16. Bij beschikking van 8 juni 2010 heeft het hof de beschikking van de rechtbank bekrachtigd. Het hof heeft overwogen:

'4.3 Aan de orde is de vraag of Santander terecht gegevens over [verweerder] heeft verwerkt in het CKI van het BKR en ook of zij terecht geweigerd heeft deze gegevens te verwijderen na een daartoe strekkend verzoek van [verweerder].

4.5 De Wbp vloeit voort uit de in lid 2 en 3 van artikel 10 van de Grondwet gegeven opdracht tot het stellen van nadere regels over het omgaan met persoonsgegevens. Daarenboven strekt de Wbp tot implementatie van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Gemeenschappen van 23 november 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoongegevens en betreffende het vrije verkeer van die gegevens (PbEG L281). Blijkens de Memorie van Toelichting (TK, vergaderjaar 1997-1998, 25 892, nr. 3, p. 8-9) bij de Wbp spelen bij de toepassing van de in de grondrechtbepalingen opgenomen beperkingsclausules, zoals die genoemd in artikel 10 lid 1 van de Grondwet, het proportionaliteits- en subsidiariteitsvereiste een grote rol. Het evenredigheids- of proportionaliteitsbeginsel geldt rechtstreeks op grond van artikel 8 van het Europees Verdrag voor de Rechten van de Mens (hierna 'EVRM') en houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwezenlijkt. Dat een verantwoordelijke reeds bij verwerking van de gegevens een belangenafweging dient te maken, komt onder meer tot uitdrukking in de artikelen 6, 8 en 9 van de Wbp. Indien tot gegevensverwerking wordt overgegaan, dient de verantwoordelijke in redelijkheid alle eventueel bestaande mogelijkheden te benutten om de inbreuk op de persoonlijke levenssfeer van betrokkenen te beperken.

4.7 In artikel 8 Wbp zijn volgens de wetgever (TK, vergaderjaar 1997-1998, 25 892, nr. 3, p. 79 e.v.) limitatief de gronden opgesomd die een gegevensverwerking rechtvaardigen. Deze opsomming is alternatief: elke gegevensverwerking of categorie van gegevensverwerkingen dient herleidbaar te zijn tot ten minste één van de in artikel 8 opgesomde gronden. Artikel 8 Wbp behelst bovendien dat bij elke verwerking moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Indien eenmaal vaststaat dat de gegevensverwerking toelaatbaar is, zijn er vervolgens eisen met betrekking tot de wijze waarop de gegevens mogen worden gebruikt.

4.9 Niet gebleken is dat Santander bij het verwerken van de persoonsgegevens van [verweerder] (voldoende) rekening heeft gehouden met de belangen van [verweerder]. Het hof stelt vast dat op Santander op grond van het systeem van de Wbp, in het bijzonder de artikelen 6 en 9, de verplichting rustte, alvorens de "bijzonderheid A" gevolgd door de "bijzonderheidscode 2" ter registratie te melden in het CKI van BKR op respectievelijk 7 juli 2006 en 29 september 2006, te beoordelen of deze registratie zorgvuldig was jegens [verweerder], en of de inbreuk op de privacy van [verweerder] niet onevenredig was in verhouding tot het met de registratie te dienen doel. Daarbij had Santander moeten onderzoeken of de hoogte van de betalingsachterstand en het betalingsgedrag van [verweerder] jegens Santander in het verleden een registratie van bijzonderheden rechtvaardigde. Indien Santander op dat moment de belangen van [verweerder] bij haar besluit tot registratie van de bijzonderheidscodes in het CKI van BKR niet heeft betrokken, dan had zij daartoe in ieder geval moeten overgaan op het moment dat [verweerder] zich bij brief van 4 november 2008 gemotiveerd verzette tegen de registratie van bijzonderheden bij het CKI van BKR. Dat Santander stelt zich te hebben gehouden aan het Algemeen Reglement van BKR, doet niet af aan de op haar rustende verplichting zich rekenschap te geven van de beginselen van proportionaliteit en subsidiariteit, die ten grondslag liggen aan de artikelen 8 en 9 van de Wbp. Grief 4 faalt in zoverre, terwijl bij bespreking van de grieven 1 en 2 geen belang (meer) bestaat.

4.10 Aan een beoordeling van grief 3 komt het hof niet toe. Santander diende voordat werd overgegaan tot registratie uitvoering te geven aan de bepalingen van de Wbp. Dit geldt onafhankelijk van het antwoord op de vragen of zij een wettelijke plicht heeft zich aan te sluiten bij een stelsel van kredietregistratie en of zij al dan niet in overeenstemming met het Algemeen Reglement en de handleiding van BKR heeft gehandeld.

4.11 Voor zover in grief 4 naar voren is gebracht dat bij een te maken belangenafweging de belangen van Santander dienen te prevaleren, overweegt het hof als volgt. Santander heeft gesteld dat zijzelf, BKR en kredietnemers zoals [verweerder], belang hebben bij een registratiesysteem dat juist verloopt. Op die wijze wordt een maatschappelijk verantwoorde dienstverlening op financieel gebied bevorderd, waarbij zowel voor kredietgevers als voor kredietnemers de risico's bij het verstrekken van kredieten worden beperkt. Dit systeem kan, aldus Santander, alleen functioneren indien alle kredieten én alle onregelmatigheden daadwerkelijk worden gemeld. Bovendien, zo heeft Santander ter mondelinge behandeling verklaard, zou het feitelijk niet mogelijk zijn om voor alle klanten na te gaan om welke redenen een betalingsachterstand ontstaat.

2.17. Santander heeft tijdig cassatieberoep(2) doen instellen. [Verweerder] heeft in cassatie verweer gevoerd.

2.18. Bij brief van 2 december 2010 heeft mr. Alt - namens [verweerder] en ter aanvulling van het procesdossier - een afschrift van het proces-verbaal van de mondelinge behandeling bij het hof op 15 april 2010 aan de griffie van de Hoge Raad gezonden. De griffie van de Hoge Raad heeft een afschrift van deze brief met een afschrift van het proces-verbaal van het hof bij brief van 10 mei 2011 aan mr. Duk gestuurd. Hierop is, hoewel daartoe - gedurende een periode van twee weken - de gelegenheid is geboden, niet meer gereageerd.

3. Inleiding op de bespreking van het cassatiemiddel

3.1. Met de Wet bescherming persoonsgegevens van 6 juli 2000(3) heeft de wetgever willen voldoen aan de verplichtingen die voortvloeien uit Richtlijn 95/46/EG van het Europees Parlement en de Raad van 25 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(4). De wet geeft ook gevolg aan de opdracht die in art. 10 van de Nederlandse Grondwet is neergelegd(5).

3.2. De preambule van Richtlijn 95/46 bepaalt onder 10:

'Overwegende dat met de nationale wetgevingen betreffende de verwerking van persoonsgegevens de eerbiediging moet worden gewaarborgd van de fundamentele rechten en vrijheden, en met name van het recht op bescherming van de persoonlijke levenssfeer, dat tevens in artikel 8 van het Europese Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en in de algemene beginselen van het Gemeenschapsrecht is erkend; dat derhalve de onderlinge aanpassing van deze wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen;'.

3.3. Artikel 8 EVRM laat een inmenging in het recht op eerbiediging van het privéleven toe, 'voor zover deze bij de wet is voorzien'. Wanneer een inbreuk voorligt, dient bij het onderzoek naar de verenigbaarheid met het Verdrag de vraag gesteld te worden of de inbreuk tot bescherming van één of meer van de in het tweede lid van art. 8 EVRM opgesomde rechtsbelangen strekt(6). Een volgende verdragseis is de noodzakelijkheidsvoorwaarde: ook wanneer in een inmenging wettelijk is voorzien en zij voldoet aan de doeleinden die in art. 8 EVRM zijn opgesomd, dan nog is vereist dat de beperking noodzakelijk is in een democratische samenleving en niet verder reikt dan strikt noodzakelijk is. Om noodzakelijk te zijn, moet een maatregel in elk geval relevant zijn om het beoogde doel te bereiken. Een tweede criterium is dat van de proportionaliteit. Daarbij is het de essentiële vraag of er een redelijke verhouding bestaat tussen de aantasting van het recht enerzijds en de legitieme doelstelling die nagestreefd wordt anderzijds. Een derde criterium dat bij art. 8 EVRM een rol speelt, is dat van de subsidiariteit. De overheid dient inbreuken op de rechten van burgers zoveel mogelijk te minimaliseren door alternatieve oplossingen te vergelijken en vervolgens te trachten haar doelen te bereiken 'in the least onerous way as regards human rights'(7).

3.4. De omstandigheid dat de Wbp in overeenstemming moet worden geacht respectievelijk uitgelegd met art. 8 EVRM, brengt reeds met zich dat steeds - dus ook in geval van art. 8 a tot en met e Wbp - een belangenafweging dient plaats te vinden. De toets van art. 8 EVRM behelst immers steeds de vraag of de inmenging gerechtvaardigd is. Dat de enkele aanwezigheid van een door de betrokkene gegeven 'ondubbelzinnige toestemming' in de zin van art. 8 onder a Wbp niet voldoende is om de inmenging blijvend 'art. 8 EVRM-proof' te laten zijn, blijkt (reeds) uit art. 5 lid 2 Wbp: 'Een toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken'.

3.5. Artikel 7 Wbp bepaalt - overeenkomstig art. 6 van Richtlijn 95/46/EG - dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden dienen te worden verzameld. 'Gerechtvaardigde doeleinden' betekent dat de doeleinden moeten kunnen worden bereikt met inachtneming van het - mede op art. 7 van Richtlijn 95/46/EG gebaseerde - art. 8 Wbp. Daarin zijn op limitatieve wijze de gronden opgesomd op basis waarvan de gegevensverwerking rechtens toelaatbaar is(8).

'In tegenstelling tot hetgeen soms wordt gesteld, heeft de Wbp - op enkele uitzonderingen na - geen verbiedend karakter. De wet reguleert daarentegen de omgang met persoonsgegevens doordat ze naast enkele procedureregels een algemeen toetsingskader biedt voor de afweging van de rechtmatigheid van verwerkingen in concrete situaties. In feite schrijft de Wbp afwegingen van belangen voor, stelt het diverse voorwaarden voor een zorgvuldige omgang met persoonsgegevens en biedt het bepaalde bandbreedte voor zelfregulering.'

En op p. 46:

'De wet schrijft een afweging van belangen voor en geeft de diverse betrokken partijen de instrumenten in handen om deze afweging te maken. [...] Uiteindelijk blijft ook onder de Wbp de omgang met persoonsgegevens een afwegingskwestie, waarbij behalve het wettelijk systeem ook de maatschappelijke normen en waarden en de specifieke context van de verwerking een belangrijke rol spelen.'

3.7. Het is (dus) omgekeerd ook niet zo dat de in de wet aan de burger ten aanzien van zijn persoonsgegevens toekende rechten zo ver gaan dat de betrokkene volledige zeggenschap heeft over die gegevens (wellicht met uitzondering van het recht van verzet als bedoeld in art. 41 Wbp). Naar geldende rechtsopvattingen hebben de aanspraken van het individu met betrekking tot hem betreffende persoonsgegevens niet zonder meer voorrang boven andere belangen. Er dient in beginsel dus steeds sprake te zijn van een afweging van belangen aan de hand van omstandigheden van het concrete geval(10).

3.8. Hoofdstuk 2 - artikelen 6 t/m 24 - van de Wbp bevat de voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens. Zoals de MvT aangeeft, bevatten de artikelen van hoofdstuk 2:

'inhoudelijke normen [...] voor de verwerking van persoonsgegevens, waarvan de uitkomst vatbaar is voor volledige toetsing door de rechter. Deze bepalingen geven niet steeds eenduidige gedragsvoorschriften, maar schrijven afweging voor op grond van bepaalde criteria met inachtneming van bepaalde belangen. In deze laatste zin vormt het een nadere normering van wat voor de publieke sector uit hoofde van algemene beginselen van behoorlijk bestuur geldt, terwijl het in de private sector gaat om een precisering van wat private partijen uit hoofde van maatschappelijke zorgvuldigheid jegens elkaar zijn verschuldigd. De verantwoordelijke blijft in rechte volledig aansprakelijk voor het resultaat van zijn afweging. Het kan dus voorkomen dat desgevraagd de rechter tot het oordeel komt dat de afweging tot een ander resultaat had behoren te leiden. Het gaat hier hoofdzakelijk om open normen die afhankelijk van omstandigheden en zich ontwikkelende opvattingen in rechtspraktijk en jurisprudentie zich verder moeten ontwikkelen.'(11)

3.9. De Wbp bevat, aldus nog steeds de MvT,

'geen sluitend stelsel van concrete materiële normen over wat wel en wat niet zou mogen bij de verwerking van persoonsgegevens. Weliswaar geldt voor gevoelige (bijzondere) gegevens dat zij ingevolge de richtlijn slechts kunnen worden verwerkt indien de wet of de Registratiekamer in individuele gevallen om redenen van zwaarwegend algemeen belang dit uitdrukkelijk toestaat. Andere persoonsgegevens kunnen daarentegen worden verwerkt - afgezien van enige met name genoemde doeleinden - na een zorgvuldige afweging van belangen van de verantwoordelijke en van de betrokkene'(12).

3.10. De MvT zegt in de artikelsgewijze toelichting voorts:

'Artikel 8 [Wbp] bevat een limitatieve opsomming van de gronden die een gegevensverwerking rechtvaardigen. Het artikel behelst bovendien dat bij elke verwerking [cursivering A-G] moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verstrekt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwerkelijkt.'(13)

3.11. In de toelichting op onderdeel c van art. 8 Wbp wordt de (steeds) vereiste belangenafweging nog eens geëxpliciteerd:

'De taak een wettelijke verplichting uit te voeren rechtvaardigt niet iedere gegevensverwerking. De verantwoordelijke mag ter uitvoering van de wettelijke verplichting bij voorbeeld niet meer of andere gegevens verwerken dan noodzakelijk is voor de uitvoering van de wettelijke verplichting. Gelet op de aard van de inbreuk op de privacy is een belangenafweging van geval tot geval nodig.'(14)

3.12. Biedt art. 8 Wbp - limitatief - de grondslagen op basis waarvan gegevensverwerking mogelijk is, art. 11 lid 1 Wbp schrijft - overeenkomstig art. 6, lid 1 onder c van Richtlijn 95/46/EG - nog voor dat persoonsgegevens slechts mogen worden verwerkt 'voor zover zij, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn'. 'Het artikel legt op degene die de gegevens verwerkt een continue verplichting tot toetsing' aldus de MvT(15). In de MvT bij art. 11 wordt verder opgemerkt:

'Indien de verantwoordelijke een zo beperkt aantal gegevens verwerkt dat in redelijkheid niet kan worden gezegd dat hij daarmee, gelet op de doeleinde[n] waarvoor hij de gegevens wenst te verwerken, een juist beeld van de betrokkene heeft, overtreedt hij het voorschrift dat de gegevens met het oog op het doel waarvoor ze worden verwerkt, toereikend dienen te zijn. Als voorbeeld kan worden genoemd de registratie van iemand die niet betaald heeft voor een produkt zonder daarbij te vermelden dat dit niet betalen te wijten is aan het feit dat die betrokkene niet tevreden is met dit produkt en om die reden de betaling heeft opgeschort. Eveneens kan in dit kader worden gedacht aan het verzuimen van het aanbrengen van herstelcodes in het BKR.'(16)

3.13. In de in 2002 door het Ministerie van justitie uitgegeven Handleiding voor verwerkers van persoonsgegevens wordt de verwerker van persoonsgegevens er nadrukkelijk erop gewezen: 'Bij het inrichten van uw gegevensverwerking moet u verder steeds nagaan of het verwerken van persoonsgegevens noodzakelijk is voor het doel'.(17)

3.14. In 2007-2009 vond een evaluatie van de Wbp plaats. In de evaluatierapporten wordt meermalen onderstreept dat de doelstellingen van de wet slechts zeer ten dele zijn gerealiseerd. In het Evaluatierapport 2008 is - in de woorden van Kranenborg en Verhey - 'een verontrustend beeld geschetst van de gebrekkige naleving van de wet'. Het (toenmalige) kabinet heeft in reactie hierop een 'nieuwe benadering' van de bescherming van de persoonlijke levenssfeer aangekondigd, met onder meer als thema de versterking van de positie van de burger(18).

Bespreking van het cassatiemiddel

4.1. Het door Santander voorgestelde cassatiemiddel is opgebouwd uit een onderdeel 1 (met subonderdelen a, b en c), gericht zich tegen de rov. 4.3 t/m 4.9; en een onderdeel 2 (met subonderdelen a en b), gericht tegen rov. 4.9 t/m 4.12.

4.2. Onderdeel 1 klaagt onder a, b en c dat het hof heeft miskend dat bij een verwerking van persoonsgegevens die herleidbaar is tot respectievelijk art. 8 sub a, b en c Wbp geen belangenafweging vereist is, althans dat bij een dergelijke verwerking van persoonsgegevens steeds, of ten minste in beginsel, de uitkomst van de belangenafweging is dat verwerking van persoonsgegevens is gerechtvaardigd. Het hof kon daarom niet in het midden laten of voldaan is aan de voorwaarden die gesteld worden in de tekst van art. 8 sub a, b en c Wbp.

4.3. De klacht is vergeefs voorgesteld. Uit hetgeen hiervoor onder 3.3 t/m 3.13 is aangegeven, volgt dat bij het verwerken van persoonsgegevens steeds een belangenafweging is vereist, en dat van een door het onderdeel subsidiair betoogde (kort gezegd:) voorrangsafweging (steeds) ten gunste van het belang bij verwerking geen sprake kan zijn. Voor de criteria onder b en c van art. 8 volgt dat (mede) uit de daar telkens vermelde noodzakelijkheidseis, die - als hoger aangegeven - proportionaliteit en subsidiariteit meebrengen.

4.5. Anders dan in de toelichting op de klachten van Santander is betoogd (nr. 47 e.v.), kan niet uit art. 40 Wbp - noch uit het corresponderende art. 14 sub a van Richtlijn 95/46/EG - worden afgeleid dat - volgens de (Unie-)wetgever - van een belangenafweging slechts sprake zou zijn in de situaties van de artikelen 8 sub e en sub f Wbp (art. 7 sub e en f van Richtlijn 95/46/EG). Ten opzichte van de algemene regels van het correctie-, verwijderings- en blokkeringsrecht in art. 36 jo. 35 Wbp (zie hieronder), heeft art. 40 Wbp slechts betrekking op het (bijzondere) geval van - op zich - rechtmatige gegevensverwerking, die pas onrechtmatig wordt nadat de betrokkene op grond van een bijzondere situatie verzet aantekent en dit verzet gerechtvaardigd wordt geacht(19). Artikel 40 opent de mogelijkheid dat op verzoek van de betrokkene daarenboven - dat wil zeggen bovenop de belangenafweging die (sowieso) reeds in verband met art. 8 onder e of f Wbp moest plaats vinden - een hernieuwde belangenafweging plaatsvindt 'in verband met zijn bijzondere persoonlijke omstandigheden(20). Artikel 40 Wbp ziet aldus slechts op deze 'te allen tijde'(21) mogelijk verklaarde hernieuwde belangenafweging, die slechts mogelijk is gemaakt voor de gevallen als bedoeld in art. 8 sub e en f Wbp.

4.6. Artikel 36 jo artikel 35 biedt - overeenkomstig art. 12 van Richtlijn 95/46/EG - de persoon van wie de gegevens zijn verwerkt (onder meer) de mogelijkheid de verantwoordelijke te verzoeken geregistreerde gegevens te verwijderen. Artikel 36 lid 1 Wbp bepaalt:

'1. Degene aan wie (...) kennis is gegeven van hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt.'

Met de name de passage 'voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn' impliceert een belangenafweging, die - al bij de verwerking van de persoonsgegevens - gemaakt had moeten worden. Anders dan bij art. 40 Wbp is de mogelijkheid een dergelijk verzoek in te dienen, niet beperkt tot bepaalde grondslagen, zodat zij ook heeft te gelden voor de andere categorieën dan die van e en f van art. 8 Wbp.

4.7. Onderdeel 2 richt zich met motiveringsklachten tegen het oordeel van het hof in de rov. 4.9 t/m 4.12, waarin het hof - samengevat - overweegt dat Santander niet had mogen overgaan tot registratie van bijzonderheden in het CKI van het BKR, althans deze registratie had moeten verwijderen. Volgens het onderdeel is dat oordeel van het hof onbegrijpelijk tegen de achtergrond van de stellingen van Santander. Santander verwijst in dit verband in het bijzonder naar stellingen die er op neerkomen dat Santander wettelijk verplicht is zich aan te sluiten bij een stelsel van kredietregistratie (in casu: BKR), terwijl Santander voorts door die aansluiting gebonden is aan het Algemeen Reglement van het BKR op grond waarvan alle kredieten en alle onregelmatigheden moeten worden gemeld.

4.8. Het onderdeel refereert - evenals de inleiding van het cassatierekest - aan het stelsel van art. 4.32-4.34 van de Wet op het financieel toezicht (Wft), medebrengend dat een kredietaanbieder als Santander verplicht is zich aan te sluiten aan een stelsel van kredietregistratie zoals dat in Nederland vorm gekregen heeft in het BKR. De betrokken bepalingen van de Wft hebben een Unierechtelijke basis in (thans) Richtlijn 2008/48/EG inzake kredietovereenkomsten voor consumenten (Pb. L133/26).

'1. Iedere lidstaat draagt er zorg voor dat kredietgevers uit andere lidstaten toegang hebben tot de gegevensbestanden die in de lidstaat in kwestie worden gebruikt om de kredietwaardigheid van de consument te beoordelen. De toegangsvoorwaarden moeten niet-discriminerend zijn.

in lid 4:

4. Dit artikel doet geen afbreuk aan de toepassing van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens'.

Zoals de privacyrichtlijn 95/46 moet prevaleren boven de consumentenkredietrichtlijn 2008/48, zo mag - ja moet - de Wbp prevaleren boven de Wft.

4.11. Terwijl Santander (terecht) afziet van een rechtklacht, brengt zij het punt wel in een motiveringsklacht te berde. Hier moet vooreerst in herinnering worden geroepen dat een motiveringsklacht tegen een juist rechtsoordeel niet tot cassatie kan leiden.

4.15. Onderdeel 2 klaagt onder b nog over een motiveringsgebrek in 's hofs deeloverweging in rov. 4.12 dat voldoende aannemelijk is dat de registratie van bijzonderheidscodes door Santander nadelige gevolgen kon hebben (en ook heeft gehad) voor [verweerder] bij financierings- en of hypotheekaanvragen, en dat de registratie bij BKR in dit geval niet in een redelijke verhouding staat tot de nadelige gevolgen die en dergelijke registratie voor [verweerder] met zich brengt. Santander verwijst in dit verband naar haar stellingen in haar beroepschrift onder 4.55 en de pleitnota in appel par. 56.

4.16. De klacht faalt m.i. reeds omdat het hof in rov. 4.12, direct na de deeloverweging dat '[v]oldoende aannemelijk is dat de registratie van bijzonderheidscodes door Santander nadelige gevolgen kon hebben (en ook heeft gehad) voor [verweerder] bij financierings- en of hypotheekaanvragen' ter motivering mede heeft overwogen: 'Ten tijde van de betalingsachterstand heeft Comfort Card(25) [verweerder] ook op deze nadelige gevolgen gewezen', en Santander daartegen geen klacht heeft gericht.

4.17. Ten overvloede merk ik nog het volgende op. In de passages waarnaar Santander verwijst, is betoogd dat [verweerder] geen bewijs heeft aangedragen van zijn stelling dat een hypotheekaanvraag is afgewezen vanwege de BKR-registratie. Namens [verweerder] zijn evenwel bij verweerschrift in appel stukken van verschillende kredietverstrekkers overgelegd (bijlage 22 e.v.) waarin - onder meer - valt te lezen onder welke voorwaarden (mogelijk) een (hypothecaire) geldlening kan worden verstrekt. De aanwezigheid van een bijzondere codering bij BKR blijkt (veelal) een contra-indicatie voor het verstrekken van een lening. Ter gelegenheid van de mondelinge behandeling bij het hof op 15 april 2010 van de zijde van [verweerder] nog - niet weersproken - betoogd dat 'in de praktijk aanvragen met een BKR-registratie toch echt worden afgewezen'.(26) Verder is er namens [verweerder] bij die gelegenheid nog op gewezen dat hij, nadat de registratie bij BKR na de beschikking van de rechtbank is geschrapt, inmiddels een hypothecaire lening heeft kunnen afsluiten (vgl. rov. 4.12, slot eerste alinea). Tegen die achtergrond is het oordeel van het hof dat 'voldoende aannemelijk is dat de registratie van de bijzonderheidscodes door Santander nadelige gevolgen kon hebben (en ook heeft gehad) voor [verweerder] bij financierings- en/of hypotheekaanvragen', niet onbegrijpelijk. Het onderdeel is ook in dit opzicht dus vergeefs voorgesteld.

4.18. Ten slotte klaagt het onderdeel nog dat het oordeel van het hof (ook) onbegrijpelijk is in het licht van de omstandigheid dat kredietregistratie ertoe dient om kredietaanbieders in staat te stellen bij nieuwe kredietaanvragen te beoordelen of de consument kredietwaardig is. Santander verwijst voor dit punt naar haar stelling in het beroepschrift onder 4.55.

4.19. Ook in zoverre kan de klacht niet tot cassatie leiden. De verwijzing is niet juist, omdat in het beroepschrift onder 4.55 niet een stelling van die strekking valt te lezen. Deze stelling valt wel te lezen in het beroepschrift onder 4.53, maar ook tegen de achtergrond van deze stelling kan de klacht niet slagen. Het hof heeft geoordeeld dat kredietregistratie weliswaar van belang is om een maatschappelijk verantwoorde dienstverlening op financieel gebied te waarborgen, maar dat dit niet wegneemt dat een dergelijke registratie met inachtneming van de Wbp en op een zorgvuldige wijze jegens de kredietnemer dient te geschieden. Het oordeel van het hof dat, na afweging van de betrokken belangen, Santander in redelijkheid niet tot een registratie van bijzonderheden bij BKR had moeten overgaan, of in elk geval na het bij brief van 4 november 2008 geuite bezwaar die registratie alsnog moeten verwijderen, is - tegen de achtergrond van de door het hof genoemde omstandigheden: langdurig correct betaalgedrag, een geringe betaalachterstand waarvan niet duidelijk is hoe die is ontstaan en het direct voldoen van de gehele openstaande vordering nadat deze [verweerder] bekend is geworden - niet onbegrijpelijk.

5. Conclusie

Mijn conclusie strekt tot verwerping van het beroep.

A-G i.b.d.