Algemene verordening gegevensbescherming (AVG). Persoonsgegevens betreffende strafbare feiten (art. 10 AVG)…

HOGE RAAD DER NEDERLANDEN

CIVIELE KAMER

Nummer 25/02752

Datum 6 november 2026

ARREST

In de zaak van

[cliënt] handelend onder de naam [naam onderneming] ,

wonende te [woonplaats] ,

EISER tot cassatie,

hierna: [cliënt] ,

advocaten: J.H.M. van Swaaij en R.J. ter Rele,

tegen

ING BANK N.V.,

gevestigd te Amsterdam,

VERWEERSTER in cassatie,

hierna: ING,

advocaat: A. Stortelder.

Voor het verloop van het geding in feitelijke instanties verwijst de Hoge Raad naar:

a. de vonnissen in de zaak C/13/723993 / HA ZA 22-820 van de rechtbank Amsterdam van 7 december 2022, 29 maart 2023 en 5 juli 2023;

b. het arrest in de zaak 200.332.935/01 van het gerechtshof Amsterdam van 13 mei 2025.

[cliënt] heeft tegen het arrest van het hof beroep in cassatie ingesteld.

ING heeft een verweerschrift tot verwerping ingediend.

De zaak is voor partijen toegelicht door hun advocaten, en voor ING mede door H.A.A. Essebai.

De conclusie van de Advocaat-Generaal B.J. Drijber strekt tot verwerping van het cassatieberoep.

De advocaten van [cliënt] hebben schriftelijk op die conclusie gereageerd.

In cassatie kan van het volgende worden uitgegaan.

[cliënt] heeft gevorderd ING te bevelen de registratie van [cliënt] in het IVR te schrappen, en geschrapt te houden, althans op een dusdanige wijze te wijzigen dat daaruit niet langer volgt dat [cliënt] op enigerlei wijze betrokken is bij enig misdrijf, althans dat het risico bestaat dat [cliënt] betrokken is of zou kunnen zijn bij enig misdrijf. De rechtbank heeft de vordering van [cliënt] afgewezen.

In hoger beroep heeft [cliënt] zijn eis gewijzigd. Voor zover in cassatie van belang heeft [cliënt] gevorderd ING te bevelen (i) om al die persoonsgegevens in de Gebeurtenissenadministratie te wissen waaruit volgt dat ten aanzien van [cliënt] niet uitgesloten kan worden dat hij zich schuldig heeft gemaakt aan witwassen en/of enige andere vorm van (financiële) criminaliteit en (ii) om de registratie in het IVR te schrappen.

Het hof heeft het vonnis bekrachtigd. Daartoe heeft het onder meer als volgt overwogen:

[cliënt] heeft betoogd dat de aantekening moet worden aangemerkt als de registratie van strafrechtelijke persoonsgegevens als bedoeld in artikel 10 AVG, die alleen onder de daarin genoemde voorwaarden mogen worden verwerkt. Volgens [cliënt] geldt voor de registratie van strafrechtelijke persoonsgegevens de hoge norm van ‘meer dan een redelijk vermoeden van schuld’ en is daaraan in deze zaak niet voldaan. Het hof verwerpt dit betoog. Strafrechtelijke persoonsgegevens zijn zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring – in de zin van art. 350 Sv. – kunnen dragen (Hoge Raad 29 mei 2009, ECLI:NL:HR:2009:BH4720). De feiten en omstandigheden die in de aantekening worden vermeld zijn, kort gezegd, het doen van grote cashuitgaven zonder verantwoording, het niet bijhouden van een adequate boekhouding van cashinkopen en het nemen van te weinig maatregelen om betrokkenheid bij een aantal genoemde misdrijven c.q. overtredingen uit te sluiten. Dit zijn naar het oordeel van het hof geen feiten en omstandigheden die een als strafbaar feit te kwalificeren bewezenverklaring kunnen dragen.

Het voorgaande betekent dat [cliënt] zijn vorderingen niet met succes kan baseren op de grond dat ING strafrechtelijke persoonsgegevens van hem heeft verwerkt.

Op grond van artikel 5 lid 1 sub b AVG mogen persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verwerkt. De verwerkte persoonsgegevens moeten juist zijn (artikel 5 lid 1 sub d AVG), en moeten beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (artikel 5 lid 1 sub c AVG).

De verwerking is gerechtvaardigd indien voldaan is aan ten minste één van de in artikel 6 lid 1 AVG opgesomde gevallen. Een daarvan is artikel 6 lid 1 sub f AVG, en de daarmee corresponderende bepaling artikel 4 lid 3 sub f van de Gedragscode. Dit laatste artikel noemt, kort gezegd, het geval dat de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke (de financiële instelling) of van een derde, mits de belangen van de betrokkene niet zwaarder wegen dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke. Dit wordt, voor zover hier van belang, als volgt uitgewerkt in de Gedragscode.

ING voert het verweer dat zij de persoonsgegevens van [cliënt] heeft verwerkt voor een gerechtvaardigd doel, namelijk het waarborgen van de veiligheid en de integriteit van de financiële sector, en dat haar belang daarbij zwaarder weegt dan het belang van [cliënt] . Volgens ING hebben de verwerkte persoonsgegevens van [cliënt] betrekking op een gebeurtenis die gelet op het bijzondere karakter van de financiële sector de aandacht van ING behoeft. Zij wijst erop dat deze persoonsgegevens verband houden met een cliëntenonderzoek op grond van de Wwft.

Dit verweer slaagt. Uit de hiervoor aangehaalde bepalingen van de Gedragscode volgt dat de verwerking van persoonsgegevens in verband met een cliëntenonderzoek op grond van de Wwft, door opname daarvan in het IVR en de Gebeurtenissenadministratie - die beide met waarborgen zijn omgeven - een gerechtvaardigd doel is. ING heeft een gerechtvaardigd en zwaarwegend belang, ook gelet op haar verplichtingen onder de Wwft, om gedurende zekere tijd bij te houden dat zij de relatie met een cliënt heeft beëindigd en waarom. Het - op zich zelf eveneens zwaarwegende - belang van [cliënt] dat zijn persoonsgegevens niet worden geregistreerd weegt hier onder de omstandigheden van dit geval niet tegen op. Niet gebleken is dat de persoonsgegevens van [cliënt] voor derden toegankelijk zijn of zijn geweest. Evenmin is gebleken dat [cliënt] als gevolg van de registratie wordt belemmerd bij het afnemen van financiële diensten van derden. ING heeft in eerste aanleg onbetwist gesteld dat [cliënt] relaties onderhoudt met verschillende banken. [cliënt] heeft zelf erkend dat hij na de opzegging door ING zijn zakelijke rekeningen heeft ondergebracht bij een Duitse bank en op dezelfde manier werkt als waarop hij werkte toen hij nog bij ING bankierde. Het hof neemt hierbij ook in aanmerking dat ING in eerste aanleg, eveneens onbetwist, heeft gesteld dat [cliënt] na de opzegging door ING een rekening heeft kunnen openen bij [naam andere bank] . Daaruit kan worden afgeleid dat [cliënt] evenmin is belemmerd bij het aangaan van een nieuwe bankrelatie.

Het hof verwerpt het betoog van [cliënt] dat de verwerking door ING van zijn persoonsgegevens niet accuraat is. ING heeft in het Gebeurtenissenregister niet meer opgenomen dan een vermelding van de redenen voor de beëindiging van de bankrelatie. Die vermelding - de aantekening - sluit aan bij de redenen die ING heeft genoemd in de brief aan [cliënt] (…). [cliënt] heeft (uiteindelijk) in de opzegging berust en in die omstandigheid kan niet worden aangenomen dat de aantekening niet accuraat is. De stelling van [cliënt] dat ING de aantekening alleen in het Gebeurtenissenregister zou mogen opnemen indien zij bewijst dat de redenen die zijn gegeven voor de beëindiging van de bankrelatie in voldoende mate vaststaan, gaat niet op. Een dergelijke verplichting volgt niet uit artikel 5 lid 2 AVG. [cliënt] stelling dat ING zou moeten bewijzen dat in voldoende mate vaststaat dat [cliënt] zich schuldig heeft gemaakt aan witwassen of een ander strafbaar feit mist feitelijke grondslag. Niet gebleken is dat ING iets dergelijks ergens in haar administratie heeft opgenomen. Uit de vermelding dat [cliënt] “te weinig maatregelen neemt om zijn betrokkenheid bij heling, witwassen en andere FEC uit te sluiten” volgt dat (ook) niet. De persoonsgegevens van [cliënt] die ING heeft verwerkt, strekken - anders dan [cliënt] heeft betoogd - naar het oordeel van het hof niet verder dan noodzakelijk is voor het doeleinde waarvoor zij zijn verwerkt.

[cliënt] heeft betoogd dat in het geval ING een melding over hem doet bij de Financiële inlichtingen eenheid (FIU) in de zin van artikel 16 Wwft, de informatie opgenomen in het IVR en de Gebeurtenissenadministratie aan de politie moet worden verstrekt. Dit betoog, dat ING heeft betwist, kan hem niet baten. Ook als het juist zou zijn, neemt dat de rechtmatigheid van de verwerking van zijn persoonsgegevens door ING niet weg.”

Onderdeel 1 van het middel keert zich tegen het oordeel van het hof in rov. 5.12 dat strafrechtelijke persoonsgegevens in de zin van art. 10 Algemene verordening gegevensbescherming (hierna: AVG) zodanige concrete feiten en omstandigheden zijn dat zij een als strafbaar feit te kwalificeren bewezenverklaring – in de zin van art. 350 Wetboek van Strafvordering (hierna: Sv) – kunnen dragen. Volgens het onderdeel heeft het hof miskend dat het begrip ‘strafbare feiten’ in art. 10 AVG een autonome Unierechtelijke betekenis heeft die inhoudt dat niet alleen de juridische kwalificatie van het desbetreffende feit naar nationaal recht van belang is, maar ook de aard zelf van het strafbare feit en de zwaarte van de sancties die daarvoor opgelegd kunnen worden.

Art. 10 AVG bepaalt dat persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen op grond van art. 6 lid 1 van die verordening alleen mogen worden verwerkt onder toezicht van de overheid of op voorwaarde dat de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden.

Het begrip ‘strafbaar feit’ in art. 10 AVG moet in de Europese Unie autonoom en uniform worden uitgelegd. Het Hof van Justitie van de Europese Unie (hierna: HvJEU) heeft in dit verband overwogen in de zaak B/Latvijas Republikas Saeima:

Voor de juridische kwalificatie van een strafbaar feit naar Nederlands recht is de beschikking van de Hoge Raad van 29 mei 2009 van belang. Hierin heeft de Hoge Raad over het begrip ‘strafrechtelijke persoonsgegevens’ als bedoeld in art. 16 en 22 van de toenmalige Wet bescherming persoonsgegevens overwogen dat hieronder wordt verstaan “zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring – in de zin van art. 350 Sv – kunnen dragen” en dat in dat verband als maatstaf geldt “of de vastgestelde gedragingen een zwaardere verdenking dan een redelijk vermoeden van schuld opleveren, in die zin dat de te verwerken strafrechtelijke persoonsgegevens in voldoende mate moeten vaststaan”.

Onderdeel 2.1 is gericht tegen het oordeel van het hof in rov. 5.19 waarin het hof, kort gezegd, heeft geoordeeld dat ING de persoonsgegevens van [cliënt] heeft verwerkt voor een gerechtvaardigd doel, nu ING een gerechtvaardigd en zwaarwegend belang heeft, ook gelet op haar verplichtingen onder de Wwft, om gedurende zekere tijd bij te houden dat zij de relatie met een cliënt heeft beëindigd, alsmede dat en waarom het – op zich zelf eveneens zwaarwegende – belang van [cliënt] dat zijn persoonsgegevens niet worden geregistreerd daar in de omstandigheden van dit geval niet tegen opweegt. Het onderdeel klaagt onder meer dat het hof heeft miskend dat ING op grond van art. 21 lid 1 AVG de verwerking van persoonsgegevens moet staken, tenzij zij dwingende gerechtvaardigde gronden voor de verwerking aanvoert. Het hof heeft ten onrechte nagelaten om te onderzoeken of sprake is van dergelijke dwingende gerechtvaardigde gronden, aldus de klacht.

Art. 21 lid 1 AVG bepaalt dat de betrokkene te allen tijde het recht heeft om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van art. 6 lid 1, aanhef en onder e of f, AVG, met inbegrip van profilering op basis van die bepalingen, en dat de verwerkingsverantwoordelijke de verwerking van de persoonsgegevens staakt tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

De overige klachten van het middel kunnen evenmin tot cassatie leiden. De Hoge Raad hoeft niet te motiveren waarom hij tot dit oordeel is gekomen. Bij de beoordeling van deze klachten is het namelijk niet nodig om antwoord te geven op vragen die van belang zijn voor de eenheid of de ontwikkeling van het recht (zie art. 81 lid 1 RO).

De Hoge Raad:

- verwerpt het beroep;

- veroordeelt [cliënt] in de kosten van het geding in cassatie, tot op deze uitspraak aan de zijde van ING begroot op € 905,-- aan verschotten en € 2.200,-- voor salaris, vermeerderd met de wettelijke rente over deze kosten indien [cliënt] deze niet binnen veertien dagen na heden heeft voldaan.

Dit arrest is gewezen door de president M.J. Kroeze als voorzitter, de vicepresident C.E. du Perron en de raadsheren H.M. Wattendorff, A.E.B. ter Heide en S.J. Schaafsma, en in het openbaar uitgesproken door de raadsheer F.R. Salomons op 6 november 2026.