Hoge Raad - grondslag - 21/00241

2.1 Deze prejudiciële beslissing gaat over de vraag aan welke van de in art. 6 Algemene verordening gegevensbescherming (hierna: AVG) genoemde gronden een registratie bij de Stichting Bureau Kredietregistratie (hierna: het BKR) moet worden getoetst. Vindt registratie bij het BKR plaats ter nakoming van een wettelijke plicht in de zin van art. 6 lid 1, onder c, AVG, of ter behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde in de zin van art. 6 lid 1, onder f, AVG? Het antwoord op deze vraag is onder meer van belang voor de aanspraak van de kredietnemer op het wissen van zijn persoonsgegevens op grond van art. 17 AVG, en voor de mogelijkheid van de kredietnemer om bezwaar te maken tegen de verwerking van zijn persoonsgegevens op grond van art. 21 AVG. 2.2 Bij de beantwoording van de prejudiciële vragen gaat de Hoge Raad uit van de volgende feiten: (i) Het BKR heeft een Centraal Krediet Informatie Systeem (hierna: het CKI). In dit systeem worden betalingsachterstanden of andere onregelmatigheden die ontstaan tijdens de looptijd van een kredietovereenkomst, met bijzonderheidscoderingen vermeld (hierna: de BKR-registratie). (ii) [verzoeker] heeft een krediet afgesloten bij (een rechtsvoorganger van) Hoist. Nadat een betalingsachterstand was ontstaan, heeft Hoist in juli 2006 het krediet opgeëist. (iii) In mei 2006 is in het CKI in verband met het verleende krediet onder de naam van [verzoeker] de bijzonderheidscode ‘A’ genoteerd. Deze codering betekent dat sprake is van een achterstand. Kort erna is aan de BKR-registratie van [verzoeker] een ‘2-codering’ toegevoegd, hetgeen inhoudt dat sprake is van een opgeëiste vordering. (iv) Op 1 juni 2017 is aan de BKR-registratie van [verzoeker] een ‘3-codering’ toegevoegd, wat betekent dat een bedrag groter dan € 250,-- op het krediet moest worden afgeboekt. (v) Op 27 juni 2017 heeft NDA Incasso, aan wie Hoist de vordering uit handen had gegeven en die met [verzoeker] een betalingsregeling was overeengekomen, aan [verzoeker] bericht dat de gehele vordering was voldaan. (vi) In juli 2020 heeft Hoist aan [verzoeker] bericht, naar aanleiding van een door [verzoeker] daartoe gedaan verzoek, dat zij de 3-codering in de BKR-registratie van [verzoeker] zou laten verwijderen. (vii) Op 10 september 2020 heeft [verzoeker] opnieuw een verzoek tot verwijdering van de BKR-registratie ingediend bij Hoist. Dit verzoek heeft Hoist bij e-mail van 21 september 2020 afgewezen. 2.3 In dit kort geding vordert [verzoeker] dat Hoist wordt opgedragen de BKR-registratie te doen wijzigen, in die zin dat de codes 2 en A achter zijn naam worden verwijderd. Hoist heeft zich tegen die vordering verweerd, onder meer met een beroep op niet-ontvankelijkheid op de grond dat [verzoeker] niet binnen zes weken in rechte is opgekomen tegen de afwijzende beslissing van 21 september 2020 op zijn tweede verwijderingsverzoek (zie hiervoor in 2.2 onder (vii)), zoals wordt voorgeschreven in art. 35 lid 2 van de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG). 2.4 De voorzieningenrechter heeft bij tussenvonnis op de voet van art. 392 e.v. Rv de volgende prejudiciële vragen gesteld aan de Hoge Raad. 1. Moet de verwerking van concrete persoonsgegevens door een kredietinstelling, door middel van een individuele registratie in het systeem van BKR, worden getoetst aan het bepaalde in art. 6 lid 1, aanhef en onder c, AVG, of aan art. 6 lid 1, aanhef en onder f, AVG, of aan beide bepalingen? 2. Betekent het antwoord op vraag 1: a. dat aan degene van wie de persoonsgegevens zijn geregistreerd, geen beroep toekomt op het recht van gegevenswissing als bedoeld in art. 17 AVG? b. dat aan diegene geen recht van bezwaar toekomt als bedoeld in art. 21 AVG? 3. Indien het antwoord op vraag 2b meebrengt dat bij een BKR-registratie geen recht van bezwaar als bedoeld in art. 21 AVG bestaat, leidt dat er dan toe dat art. 35 UAVG in de gerechtelijke procedure tot verwijdering van die registratie geen rol speelt?