Het Interne en Externe Verwijzingsregister: de “zwarte lijst van de bank”

Blog

Financiële instellingen hanteren een Incidentenregister (hierna: “IR”), met daaraan gekoppeld het Interne Verwijzingsregister (hierna: “IVR”) en het Externe Verwijzingsregister (hierna: “EVR”). In deze registers kunnen personen (zowel natuurlijke personen als rechtspersonen) worden opgenomen, die volgens deze instellingen een risico vormen voor de goede werking van het financiële systeem.  

De betreffende personen zijn betrokken bij een incident (denk aan fraude), dat nadelig kan zijn voor een financiële instelling, haar klanten of medewerkers. In het dagelijkse leven worden deze registers ook wel “de zwarte lijsten van de banken” genoemd.

In eerste instantie vindt opname van het incident plaats in het IR en het IVR. In ernstige gevallen (zoals bij fraude en witwassen) vindt ook opname in het EVR plaatst. Het EVR heeft externe werking doordat ook andere financiële instellingen toegang hebben. Het betreft echter een verwijzingsregister, waardoor niet alle gegevens omtrent het incident zichtbaar zijn (alleen een naam en een geboortedatum of KvK-nummer). Financiële instellingen kunnen vervolgens wel om nadere gegevens vragen. Het doel van de registers is om risico’s op tijd te signaleren. Alleen speciale veiligheidsmedewerkers van de financiële instellingen hebben toegang tot deze registers.

De opname kan grote (financiële) gevolgen hebben, omdat dit vaak de opmaat is naar een beëindiging van de (financierings-)relatie. In de financieringsdocumentatie is doorgaans opgenomen dat een IVR/EVR registratie het recht geeft tot opzegging van deze relatie. Dit kan weer leiden tot financiële problemen en zelfs tot een faillissement. Opname in het EVR leidt er daarbij toe, dat ook de deuren van andere instellingen dichtgaan. Dit maakt herfinanciering lastig danwel onmogelijk. Opname in de registers is voor de maximale duur van 8 jaar. In de praktijk wordt vaak gezien, dat voor het IVR deze termijn wordt gehanteerd en voor het EVR een kortere termijn van 4 jaar.

Wat is nu de wettelijke basis van deze registers en wat zijn de voorwaarden van opname? En wat is er tegen te doen?

Op basis van de Algemene Verordening Gegevensbescherming (AVG) is het niet toegestaan persoonsgegevens te registeren zonder dat er aan de voorwaarden van de AVG is voldaan.

Voor wat betreft de opname van deze gegevens in het IVR en het EVR zijn in het door de Autoriteit Persoonsgegevens goedgekeurde Protocol Incidentenwaarschuwingssyteem Financiële Instellingen 2021 (hierna: “het Protocol”) strikte voorwaarden opgenomen.

In de eerste plaats dient sprake te zijn van een incident conform het Protocol (hierna: “het Incident”). De definitie hiervan is breed: het gaat (samengevat) om een gebeurtenis, die “de belangen, integriteit of veiligheid” van de financiële sector raakt.

Voor opname in het IR/IVR dient het Incident het doel te raken van het IR zoals aangegeven in artikel 4.1. van het Protocol. In het kort gezegd: het onderkennen, voorkomen, onderzoeken en bestrijden van nadelige gedragingen voor de financiële sector en oneigenlijk gebruik van haar producten en diensten. Aan deze norm en toets wordt naar mijn idee snel toegekomen bij een Incident: de link is snel te leggen.

De (aanvullende) voorwaarden van tevens registratie in het EVR zijn zwaarder en staan aangegeven in artikel 5.2 van het Protocol.

Voor deze registratie heeft de Hoge Raad in het arrest van 29 mei 2009 (NJ 2009/243) tevens de eis gesteld, dat er sprake moet zijn van zodanige concrete feiten en omstandigheden, die kunnen leiden tot een bewezenverklaring van een strafbaar feit in de zin van artikel 350 Sv.

Als maatstaf geldt daarvoor, dat de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld moeten opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan.

In alle gevallen dient te zijn voldaan aan het proportionaliteits- en subsidiariteitsbeginsel. En hier vindt vaak de discussie tussen partijen plaats: is het Incident dermate ernstig dat opname in het EVR ook aan de orde is? En is de duur wel proportioneel? In een casus waarin een persoon vanuit zijn beroep alleen maar werkzaam was voor financiële instellingen, betekende opname in feite dat hij niet meer zijn brood kon verdienen. De duur werd daardoor sterk gematigd.

Artikel 4.3 en 5.3 van het Protocol bepalen, dat verwijdering uit het IR, IVR en EVR aan de orde is, indien niet aan voornoemde voorwaarden is voldaan.

Indien de betreffende persoon het niet eens is met de eenzijdige registratie,  is het mogelijk om bezwaar in te dienen bij de betreffende financiële instelling. Ik zie in de praktijk, dat dit niet vaak leidt tot een oplossing. Banken hebben hun visie na (hopelijk een gedegen vooronderzoek) bepaald en wijken daar in de regel niet van af.

De vervolgstap kan zijn een procedure bij het Klachteninstituut Financiële Dienstverlening (KIFID) of de rechter. Vanwege het spoedeisend belang, dat vaak gemoeid is met de verwijdering van de registratie, wordt dan vaak gekozen voor een kort geding. Voor de voorzieningenrechter is het vaak lastig om een casus binnen het korte tijdsbestek en toetsingskader in een kort geding goed te beoordelen, hetgeen vaak in het nadeel van de geregistreerde persoon uitpakt. Bij hem/haar ligt de bal om de verwijdering voor elkaar te krijgen.

Dit maakt de registratie voor financiële instellingen een machtig maar voor de betrokken personen een risicovol middel. Een eenzijdige registratie kan grote impact hebben.