Mr. R.W.A. Wishaw M.S. VOORWOORD DE GEWAARDEERDE KLANT. Privacyregels voor credit scoring. Achtergrondstudies en Verkenningen 18

R e g i s t r a t i e k a m e r

Mr. R.W.A. Wishaw M.S.

VOORWOORD

DE GEWAARDEERDE KLANT

Privacyregels voor credit scoring

Achtergrondstudies en Verkenningen

18

Mr. R.W.A. Wishaw M.S.

DE GEWAARDEERDE KLANT Privacyregels voor credit scoring

Achtergrondstudies en Verkenningen 18

Voorwoord Voorwoord Een bedrijf moet winstgevend zijn om te kunnen overleven. Een bedrijf dat producten op krediet levert, wil daarom alleen ‘goede’ klanten aan zich binden. Goede klanten zijn o.a. die klanten die hun rekeningen betalen. Een techniek om het betalingsgedrag te voorspellen is ‘credit scoring’. Een score wordt vaak in een getal uitgedrukt. Als een klant onder een bepaalde waarde scoort, wordt deze klant niet (meteen) geaccepteerd. De nadruk in deze studie ligt bij kredietbeoordelingen waarbij derden zijn betrokken zoals informatiebureaus. Mede op grond van de adviezen van informatiebureaus verlenen aanbieders wel of geen krediet en kan al dan niet door de klant een product worden aangeschaft. In de studie wordt het voorbeeld van de aanschaf van een mobiel telefoonabonnement gebruikt. Vaak weet de klant niet dat er een credit score van hem wordt gemaakt. Bij een afwijzing weet een klant ook vaak niet waarom deze is afgewezen en op grond waarvan. Een schuld bij het ene bedrijf kan gevolgen hebben voor de acceptatie bij een ander bedrijf. Het privacybelang van klanten is hier in het geding. Wat zijn de normen waar een bedrijf aan moet voldoen als dit de (potentiële) klanten wil scoren? Een bedrijf zal dit privacybelang in het oog moeten houden. In ‘credit scoring; de gewaardeerde klant’ kunt u zien hoe de regels van de nieuwe Wet bescherming persoonsgegevens van toepassing zijn op het verwerken van persoonsgegevens tot credit scores. Het normatieve kader dat in deze publicatie wordt gepresenteerd en met voorbeelden uit de praktijk wordt geïllustreerd, geeft een handvat om behoorlijk en zorgvuldig om te gaan met de gegevens van de klant.

mr. P.J. Hustinx Voorzitter van de Registratiekamer

<

VORIGE

INHOUD

VOLGENDE

>

Publicaties in de serie Achtergrondstudies en Verkenningen zijn het resultaat van onderzoeken uitgevoerd door of in opdracht van de Registratiekamer. Met het uitbrengen van de publicaties beoogt de Registratiekamer de discussie en meningsvorming te stimuleren over ontwikkelingen in de samenleving waarin de persoonlijke levenssfeer van de burger in het geding is.

De Gewaardeerde Klant – Privacyregels voor credit scoring Registratiekamer, Den Haag, september 2000

Niets uit deze uitgave mag worden verveelvoudigd en/of openbaar gemaakt door middel van druk, fotocopie, microfilm of op welke wijze dan ook, zonder voorafgaande schriftelijke toestemming van de Registratiekamer. ISBN 90 740 8722 1 Druk: Sdu Grafisch Bedrijf bv

De gewaardeerde klant Inhoud

Inhoud 1

Inleiding

2

Het fenomeen credit scoring

2.1

3

6.1 6.2 6.3 6.4 6.5

Credit scoring 47 Werkwijze 47 Knelpunten 47 Wettelijk kader 48 Wettelijk kader en de toepassing op de knelpunten 49 Aanbevolen werkwijze: het voorbeeld van de aanvraag van een mobiel telefoonabonnement 51

Het eerste informatiebureau 15 Het tweede informatiebureau 16

6.6

Knelpunten in de praktijk

4.1 4.2 4.3 4.4 4.5 4.6

5

Wat is credit scoring en hoe wordt het toegepast? 11

Conclusies

De werkwijze van informatiebureaus

3.1 3.2 4

6

Gegevens verkregen van derden op naamniveau 19 Gegevens verkregen van derden en de verbanden tussen de gegevens 19 Gegevens verkregen van derden op straat- en postcodeniveau 19 Het (verdere) gebruik van gegevens van betrokkene 20 Uitsluiting bij het gebruik van socio-demografische gegevens Ontwijking van de verantwoordelijkheid voor voorlichting 20

Bijlage Bijlage Bijlage Bijlage

1 2 3 4

Het neurale netwerk Ontwikkelingen in het buitenland Zwarte lijsten Verslag van de bijeenkomst voor betrokken bedrijven en instanties

Het wettelijk kader uitgewerkt en toegepast

5.1 5.2 5.3 5.4 5.4.1 5.4.2 5.4.3 5.5 5.6 5.6.1 5.6.2 5.6.3 5.7 5.7.1 5.7.2 5.7.3 5.7.4 5.8

Persoonsgegevens 23 Verwerking van gegevens 23 Verantwoordelijke, betrokkene en bewerker 24 De uitgangspunten bij de verwerking 25 Doeleinden 25 Rechtmatige grondslagen voor verwerking 25 (On)verenigbaarheid: het verder verwerken van persoonsgegevens 30 Bijzondere gegevens 36 Transparantie 38 Verkrijging van betrokkene 38 Verkrijging uit andere bron 38 Uitzonderingen op de informatie verplichting 39 Overige rechten van de consument 40 Inzage en correctie 40 Recht van verzet 42 Geautomatiseerde beslissingen 42 Logica 44 Kwaliteit 44

<

VORIGE

INHOUD

VOLGENDE

> 5

Inleiding

1

De gewaardeerde klant Hoofdstuk 1 Inleiding

Het ontwikkelen en toepassen van geautomatiseerde beslissingsmodellen op consumenten kan in de informatiesamenleving leiden tot een aanzienlijke inperking van de vrijheid van de consument 1.

Inleiding 1 Inleiding ‘Never under- or overestimate your opponent’, is een veel gebruikte uitdrukking onder militaire strategen. Ook binnen het bedrijfsleven is steeds meer behoefte om de wederpartij te kunnen plaatsen in het spectrum van de markt. Wanneer een aanbieder van producten (of diensten) die op kredietbasis worden verstrekt, een klantengroep heeft gevonden en deze klanten vervolgens ook interesse tonen in het product, zal er vaak een controle worden uitgevoerd om de klant tot op zekere hoogte te kunnen inschatten. In de precontractuele fase zal de aanbieder zijn potentiële klant financieel willen inschatten. Zal de klant zijn rekening (kunnen) betalen? Er kan bij de afweging om het contract al dan niet af te sluiten, een derde partij worden ingeschakeld. Vaak is dat een (handels- of krediet)informatiebureau. Zo’n bureau geeft binnen een afgesproken kader advies aan de aanbieder van het product. In het advies wordt weergegeven wat de kans is dat de klant zijn betalingsverplichtingen zal (kunnen) voldoen: de credit score. Credit scoring kan ook een effectief middel zijn om overcreditering tegen te gaan. Er wordt voorkomen dat de klant te zware lasten op zich neemt. Hiermee zijn zowel de klant als de aanbieder gebaat. Credit scoring wordt als techniek en door techniek meer en meer bruikbaar en de verwachting is dat het op steeds grotere schaal zal worden toegepast. De spelregels voor credit scoring zijn echter lang niet altijd duidelijk en overzichtelijk. De positie van de klant is daar niet bij gebaat. Bovendien komt bij credit scoring de privacy van consumenten in het geding. Er is vaak sprake van meerdere partijen bij het credit scoring proces. Zo hebben de aanbieder en het informatiebureau een contractuele relatie, maar hebben de consument en het informatiebureau dat vaak niet. In de verhouding tussen de aanbieder en de consument is er sprake van een pre-contractuele verhouding die, afhankelijk van de uitkomst van de credit score, overgaat in een contractuele rechtsverhouding. Scope rapport

1

Vrij naar ‘report on the operation of directive 87/102/EEC for the approximation of the laws,

Credit scoring is een methode om de kredietwaardigheid van een persoon te beoordelen. Het kan zijn dat credit scoring als enige methode wordt gebruikt. Het kan ook onderdeel zijn van een bredere werkwijze. Banken en andere kredietverlenende instellingen maken vaak van meer methoden gebruik voor het beoordelen van de kredietwaardigheid van klanten. In Nederland worden miljoenen credit scores per jaar vervaardigd. Al of niet in relatie met andere methoden vormt een credit score een belangrijk onderdeel van de uiteindelijke beoordeling van een klant.

regulations and administrative provisions of member states concerning consumer credit, paragraph B. ‘credit scoring’.

De scope van dit rapport ligt bij kredietbeoordelingen waarbij credit scores worden vervaardigd door derden, zoals informatiebureaus. Verder spitst het rapport zich toe op credit scoring voor consumenten-aankopen (Business-toConsumer). De reden voor deze afbakening is dat de meeste klachten van

<

VORIGE

INHOUD

VOLGENDE

> 7

burgers die de Registratiekamer ontvangt, zich richten op de ondoorzichtigheid van de wijze waarop een kredietbeoordeling waarbij derden zijn betrokken, tot stand komt. Uit een bijeenkomst voor betrokken bedrijven en instanties, die de Registratiekamer naar aanleiding van de conceptversie van dit rapport in augustus 2000 organiseerde, bleek ook dat behoefte bestond aan een toespitsing op credit scoring door derden (het verslag van deze bijeenkomst is als bijlage 4 opgenomen). Er wordt hierna van uitgegaan dat een credit score wordt berekend door een gespecialiseerd bedrijf: het handelsinformatiebureau (hierna: het informatiebureau). Als voorbeeld van een aanbieder wordt een telecomaanbieder gebruikt die mobiele telefoonabonnementen wil afsluiten. Het informatiebureau combineert de aangeleverde gegevens met gegevens uit haar eigen -vaak over de jaren- opgebouwde database en uit gegevens die verkregen worden uit openbare bronnen. Na een geautomatiseerde berekening wordt de credit score verstrekt aan de aanbieder. Zie figuur 1. De beperking tot deze methode laat onverlet dat diverse conclusies van het rapport ook betrekking hebben op andere methoden van het beoordelen van de kredietwaardigheid van klanten. Dit geldt in het bijzonder voor de transparantie van het beoordelingsproces voor de klant die hieraan wordt onderworpen. We hebben bij credit scoring te maken met een aanbieder, een consument en een informatiebureau. Vaak komen ook andere partijen in het gezichtsveld. Partijen ruilen onderling gegevens uit over (ervaringen met) klanten. Er zijn informatiebureaus die maandelijks betalingsoverzichten krijgen van leveranciers (met noemt dit ‘dumps’). In ruil voor deze informatie verstrekt het informatiebureau bepaalde diensten zoals bijvoorbeeld een credit score. Het kan hierbij gaan om partijen behorende tot Same Service Groups (SSG; groepen die een zelfde soort product of dienst op de markt aanbieden) en Other Service Groups (OSG; groepen die andersoortige producten of diensten aanbieden (zie hoofdstuk 5.4.3). Opbouw rapport

Allereerst wordt een korte inleiding gegeven op het fenomeen credit scoring. Daarna wordt de werkwijze van een tweetal informatiebureaus bij het scoren van consumenten belicht. Vervolgens worden knelpunten behandeld die zich voordoen rond zorgvuldige en rechtmatige omgang met persoonsgegevens. In het daarop volgend hoofdstuk wordt het wettelijk kader, de Wet bescherming persoonsgegevens (WBP; Stb. 2000, 302) die de Wet persoonsregistraties opvolgt, beschreven en meteen toegepast op de eerder gesignaleerde knelpunten. In het laatste hoofdstuk wordt een samenvatting gegeven en worden aanbevelingen geformuleerd.

Consument C

Telecomaanbieder T

Same Service Group (SSG) S++S++S

Other Service Group (OSG) O++O++O

Informatiebureau

overige informatiebronnen Figuur 1: Globale representatie van de diverse relaties tussen partijen

< 8

VORIGE

INHOUD

VOLGENDE

>

9

De gewaardeerde klant Hoofdstuk 1 Inleiding

Het fenomeen credit scoring

2

De gewaardeerde klant Hoofdstuk 2 Het fenomeen credit scoring

2 Het fenomeen credit scoring Het fenomeen credit scoring Binnen de ‘customer cycle’ kunnen vier afzonderlijke fasen worden onderscheiden: targeting prospective customers, acquiring profitable new business, managing customer accounts en developing customer relationships. Bij het vinden van nieuwe klanten (nieuwe accounts) worden bestaande klanten geanalyseerd en worden de geidentificeerde nieuwe (potentiële) klanten benaderd. Wanneer een klant interesse toont voor een product, kan de aanbieder daarvan een zekere controle willen uitvoeren om de kredietwaardigheid van de klant te kunnen inschatten: credit scoring (fase 2 binnen de customer cycle). Na het afsluiten van de overeenkomst zal de account administratief worden verwerkt. Hierna volgt de fase van het beter leren kennen van de klant om hem meer en mogelijk ook andere producten te kunnen aanbieden. Binnen al deze fasen staat informatiemanagement centraal. Persoonsgegevens worden hierbij in alle fasen van de cycle intensief verwerkt. Het komt vaak voor dat een bedrijf het managen van de informatie uitbesteedt aan een hierin gespecialiseerde onderneming. Dit rapport gaat hiervan uit.

2

‘Credit scoring is an attempt to rationalise the use of information collected by the credit institution in order to assess its debtors’ solvency. It involves allocating a number of points

Informatiebureaus kennen grosso modo twee kernactiviteiten. Naast het leveren van kredietinformatie (w.o. het berekenen van credit scores) leveren zij ook verhaalsinformatie-rapportages. Dit is een onderzoek naar de financiele positie van een debiteur, om te beoordelen of het loont om een schuld te verhalen op een debiteur. Naast deze twee hoofdactiviteiten wordt de tendens zichtbaar dat ook andere diensten worden aangeboden zoals het detecteren van (mogelijke) fraude, het samenstellen van profielen voor marketing doeleinden en het beheren en exploiteren van zowel ‘positive’- als ‘negative’ credit ratings op persoonsniveau (een – al dan niet met toestemming van de consument – opgebouwde historie van betalingservaringen). Dit wordt ook wel het bijhouden van ‘zwarte’ en ‘witte’ lijsten genoemd. De beschikbare gegevens in de database, de geautomatiseerde systemen (soft- en hardware) en de kennis en ervaring van de medewerkers van een informatiebureau zijn zeer geschikt om deze activiteiten te combineren. In dit rapport staat credit scoring door derden en de kredietbeoordeling door de aanbieder van een dienst of product, centraal. Deze dienstverlening door derden steunt sterk op diverse, uiteenlopende gegevens(bronnen). De (persoons)gegevens zijn vaak verkregen voor andere doeleinden dan voor ‘credit scoring’. Met name zal dan ook aan de verenigbaarheid (zie 5.4.3) van het gebruik van persoonsgegevens voor diverse doeleinden uitgebreid aandacht worden geschonken.

to each data element, which are then added and com-

2.1 Wat is credit scoring en hoe wordt het toegepast?

pared to a statistically pre-established grid, on the basis of which a credit is granted or refused’. (report on the operation of directive 87/102/EEC for the approximation of the laws, regulations and administrative provisions of member

Credit scoring voorspelt de toekomstige performance van groepen cliënten met specifieke kenmerken door hen te vergelijken met de historische performance van vergelijkbare groepen met dezelfde kenmerken. Credit scoring is een poging om beschikbare informatie zo te bewerken dat deze uiteindelijk een inzicht in en voorspelling van de kans op (wan)betaling geeft. De inschatting wordt meestal weergegeven in de vorm van een getal. Als een consument binnen een vastgesteld kader onder een bepaalde waarde scoort, zal deze worden afgewezen 2.

states concerning consumer credit, paragraph E.’ The credit consumer ’s privacy’.

Het blootleggen van een historie van (laks) betalingsgedrag geeft een indicatie van toekomstig betalingsgedrag. Een bestedingspatroon dat afwijkt van een

<

VORIGE

INHOUD

VOLGENDE

> 11

gangbaar, historisch patroon kan een indicatie geven van mogelijke fraude. Zo ontstaat een cyclische proces: een databank met (wan)betalingsgegevens van consumenten leidt tot profilering van (groepen van) consumenten. Dit levert een voorspelling(s model) op. De terugkoppeling van voorspellende- en voorspelde gegevens met het feitelijke betalingsgedrag zorgt voor optimalisering van het voorspellingsmodel met als resultaat meer betrouwbare credit scores. Het voortdurend toevoegen van gegevens en terugkoppelen van de resultaten uit de praktijk is zeer belangrijk en leidt tot verbetering van de voorspellingen. Deze terugkoppeling wordt feedback loop genoemd. Het is duidelijk dat voorspellende modellen zeer waardevol zijn om wanbetaling en overkreditering te vermijden. Knelpunten (zie verder hoofdstuk 4) ontstaan omdat diverse gegevensbronnen nodig zijn die het systeem voeden met de nodige informatie. Als er persoonsgegevens worden verwerkt, geldt het wettelijk vereiste dat deze juist en nauwkeurig zijn. Ook geldt de norm dat gegevens toereikend, ter zake dienend en niet bovenmatig zijn 3. In de praktijk blijkt nogal eens dat niet altijd duidelijk is welke factoren van belang zijn bij het maken van een voorspelling. Er kan dan ook niet in alle gevallen vooraf worden bepaald welke gegevens belangrijke indicatoren zijn en welke gegevens niet. In hoofdstuk 4 wordt hier verder op ingegaan. De werking van geautomatiseerde systemen die de profielen samenstellen is ook niet altijd doorzichtig. Welke indicator is significant in een voorspelling? Welke onderlinge verbanden zijn belangrijker dan andere? Welke waarden dienen daaraan gegeven te worden in het beoordelingssysteem? Bij het werken met statistische modellen is duidelijk welke variabele factor een overwegende rol heeft gespeeld bij de uitkomst van een credit score. Het wordt echter onduidelijker wanneer gebruik wordt gemaakt van andere methoden om een credit score te berekenen zoals een neuraal netwerk 4 Knelpunt bij dit soort systemen is de vaak ondoorzichtige wijze waarop een resultaat is verkregen. De verwachting is dat steeds meer gebruik zal worden gemaakt van dergelijke systemen. Het basisconcept van credit scoring gaat uit van het verzamelen van alle intern en extern aanwezige informatie over klanten. Een bedrijf kan intern (bijvoorbeeld op een afdeling credit management) een systeem opzetten om voorspellingen te maken over het betalingsgedrag van zijn (potentiële) klanten maar kan dit ook overlaten aan een gespecialiseerd bedrijf. De analyse van betalingsgedrag dient te gebeuren voor alle bestaande klanten die op grond van ervaring goede of slecht betalende klanten zijn gebleken. Daarna wordt de verzamelde informatie geanalyseerd om te onderscheiden welke kenmerken krachtig genoeg zijn om goed en slecht betalingsgedrag te voorspellen. Na vaststelling van de kenmerkende voorspellende elementen wordt gekeken naar de onderlinge samenhang. Door middel van o.a. mathematische methoden kan op een effectieve wijze de samenhang van kenmerkende elementen in de beoordeling vertaald worden naar goed en slecht (krediet)risico. Het statistische hulpmiddel om voorspellingen te kunnen doen over het gedrag van consumenten noemt men score-card 5.

3

Artikel 11 WBP

4

Bijlage 1: neuraal netwerk

5

Tekst bewerkt uit Controllers magazine, nr. 4, 1994

Een credit scoring analyse kent de volgende fases: 1. Analyse van de bestaande portefeuille; 2. Analyse per fase van het debiteurentraject; 3. Verhoudingen goede/slechte betalers per scoringgroep; 4. Volume consequenties bij upgrading van acceptatie; 5. Scoringgroep en invorderingskansen.

< 12

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 2 Het fenomeen credit scoring

Na analyse kunnen er voorspellingen worden gedaan. Vervolgens zal bepaald moeten worden of leveranties aan bepaalde (potentiële) klanten moeten worden afgewezen, voortgezet of dat de condities waaronder levering plaats zal vinden, dienen te veranderen. De aanbieder stelt samen met het handelsinformatiebureau de acceptatiegrens op. Boven deze grens worden bijvoorbeeld consumenten geaccepteerd, daaronder vindt levering onder condities plaats of wordt men afgewezen. De aanbieder kan van een consument vaak de score on-line en real-time opvragen. Er zijn voorbeelden te noemen dat hele postcode gebieden onder de acceptatiegrens vallen. Dit heeft tot gevolg dat een ieder die in een dergelijk gebied woont wordt afgewezen. Dit noemt men ‘redlining’. In hoofdstuk 5.5 wordt hierop nader ingegaan.

<

VORIGE

INHOUD

VOLGENDE

> 13

De werkwijze van informatiebureaus

3

De gewaardeerde klant Hoofdstuk 3 De werkwijze van informatiebureaus

De werkwijze van De3 werkwijze vaninformatiebureaus informatiebureaus In dit hoofdstuk wordt in het kort de werkwijze beschreven van twee (grote) informatiebureaus. De werkwijzen van de beide bureaus wijken niet veel van elkaar af, slechts de presentatie van de score verschilt.

3.1 Het eerste informatiebureau Er wordt op drie niveaus een risico-inventarisatie gemaakt: 1. Naam, voorletters en geboortedatum; 2. Postcode met huisnummer; 3. Postcode zonder huisnummer. De kwalificaties normaal risico, verhoogd risico en hoog risico worden gebruikt. Naam, voorletters en geboortedatum

Via de naam, voorletters en geboortedatum van de betrokken persoon wordt in de database gezocht op eerdere betalingservaringen en andere beschikbare gegevens. Deze gegevens kunnen uit diverse bronnen zijn verzameld. Een ‘hit’ in de databank levert meestal de kwalificatie ‘verhoogd’ of ‘hoog’ risico op. Voorbeeld Incassobureau ‘De Gouden Munt Geïnd (GMG)’ heeft een vordering van ƒ 1000,op meneer Wishaw. Om in te kunnen schatten wat de kans is om het bedrag te kunnen verhalen in een incassoprocedure, zal het incassobureau een verhaalsrapportage laten opmaken door een handelsinformatiebureau. Het gegeven dat er een andere vordering bestaat (of bestond) op meneer Wishaw is voor het informatiebureau bij de berekening van de credit score voldoende reden om de kwalificatie ‘risicovol’ aan de naam te verbinden. Postcode met huisnummer

Via postcode met huisnummer wordt de database doorzocht op betalingservaringen, telefoonaansluitingen, gevestigde bedrijven (met weergave van bedrijfsnaam, handelsnaam, bestuurder en status) en gegevens over faillissementen/surseances. Een ‘hit’ in de databank levert de kwalificatie ‘verhoogd’ of ‘hoog’ risico op als er betalingsproblemen waren op dat adres. De naam van de bewoners doet er niet toe. Postcode zonder huisnummer

Een andere mogelijkheid is onderzoek van socio-demografische gegevens van een postcodegebied. Een gebied wordt in kaart gebracht op betalingservaringen en algemeen statistische gegevens. Zo kunnen er bijvoorbeeld acht betalingservaringen bestaan op een totaal van twintig percelen. Dit wordt in percentages afgezet tegen het landelijk gemiddelde. Daarnaast wordt de perceelaanduiding onderzocht (hoogbouw, woning met tuin en overige), het onroerend goed bezit in de buurt, de onroerend goed waarde van de percelen in de buurt, de arbeidsverdeling in de buurt (hoeveel personen werken er, wat is de verhouding parttime- en fulltime werkenden, wat is het percentage pensioengerechtigden, studenten, werklozen) en het gemiddeld inkomen. Vervolgens volgt hier een kwalificatie van de buurt uit. De uitkomst van de hierboven genoemde onderzoeksniveaus kan worden samengevoegd zodat de credit score in één getal of kwalificatie kan worden weergegeven.

<

VORIGE

INHOUD

VOLGENDE

> 15

De – – –

score bij dit bureau kan er dus als volgt uitzien: Naam en geboortedatum: normaal; Postcode met huisnummer: hoog; Postcode zonder huisnummer: normaal.

3.2 Het tweede informatiebureau Het bedrijf werkt met vier maal drie cijfer combinaties (van 001-001-001-001 oplopend tot 100-100-100-100). Na het invoeren van achternaam, voorletters, voorvoegsel, adres, postcode, geboortedatum en telefoonnummer van de (potentiële) consument, wordt een beoordeling gegeven. Deze wordt vervolgens weergegeven in de reeks cijfers. Het eerste getal betreft persoonsgebonden gegevens. Het geeft antwoord op de vragen of er sprake is geweest van incasso- of deurwaardersinterventie, surséance van betaling, faillissement of schuldsanering. Het tweede getal geeft een beoordeling van socio-demografische aard. Het betreft hier de wijk-, buurtinformatie zoals leeftijdsopbouw, percentage werkenden en gemiddeld inkomen. Het derde getal betreft het bestand dat is opgebouwd uit betalingservaringen en deurwaarders die met het bureau samenwerken. De gegevens zijn weergegeven op postcodeniveau. Het vierde getal geeft de gewogen totaalscore weer. De score bij dit bureau kan er dus als volgt uitzien: 46. Bij de getallen geldt hoe lager de waarde, hoe hoger het risico dat een persoon een potentiële wanbetaler is. De acceptatiegrens wordt in overleg met de klant vastgesteld. Als een persoon wordt afgewezen, wordt deze nog in de gelegenheid gesteld om aanvullende informatie te verstrekken. De score wordt dan opnieuw berekend met inachtneming van de additionele informatie. In het volgende hoofdstuk worden diverse knelpunten behandeld die zich in de praktijk voordoen vanuit het oogpunt van een zorgvuldige omgang met persoonsgegevens.

< 16

VORIGE

INHOUD

VOLGENDE

>

17

De gewaardeerde klant Hoofdstuk 3 De werkwijze van informatiebureaus

Knelpunten

4

De gewaardeerde klant Hoofdstuk 4 Knelpunten

4 Knelpunten Knelpunten In een Europees rapport 6 worden twee algemene knelpunten voor consumenten gesignaleerd bij credit scoring: het gebruik van discriminatoire criteria en het volledig geautomatiseerde proces waarop de beslissing is gebaseerd. De Registratiekamer heeft ook nog enkele andere knelpunten gesignaleerd.

4.1 Gegevens verkregen van derden op naamniveau Het incassobureau ‘GMG’ (dat een contract heeft met het informatiebureau) laat een verhaalsrapportage opmaken in verband met het innen van een vordering op meneer Wishaw. In de praktijk is het zo dat jaren daarna deze vordering nog steeds wordt genoemd in andere verhaalsinformatie-opdrachten die worden opgemaakt en tevens bij de berekening van de credit score. Niet het feit of meneer Wishaw een schuld had, maar het feit dat er om een verhaalsrapportage is gevraagd is voldoende om opgenomen te worden in de database. Zo kan het voorkomen dat een onterechte vordering een persoon indringend kan blijven achtervolgen. Zelfs als de crediteur (de opdrachtgever van het incassobureau) zou doorgeven aan het incassobureau dat de vordering onterecht bleek, is het zeer de vraag of dit ook wordt doorgegeven aan het handelsinformatiebureau. Het komt voor dat een incassobureau de melding krijgt dat het om een onterechte vordering ging, maar de persoonsgegevens en de vordering niet uit het systeem verwijdert. De vordering wordt slechts ‘afgeboekt’. Er vindt ook geen terugkoppeling plaats met het informatiebureau, zodat de persoon ook in die database opgenomen blijft.

4.2 Gegevens verkregen van derden en de verbanden tussen de gegevens Uit het handelsregister worden de namen van oprichters, bestuurders en (groot)aandeelhouders van bedrijven verzameld. Uit het faillissementsregister worden de namen van gefailleerde bedrijven verzameld. Vervolgens worden links gelegd met oprichters en bestuurders die betrokken waren bij de gefailleerde bedrijven. De oprichters hoeven echter niet niet (meer) betrokken zijn bij het faillissement van het bedrijf. Oprichters verkopen hun bedrijf of trekken zich terug uit bestuursfuncties. Handelsinformatiebureaus maken dit onderscheid niet altijd. Zo is het voorgekomen dat een bestuurder die niet betrokken was bij een faillissement van een bedrijf (hij werd niet genoemd in het faillissementsregister bij de griffie) werd geweigerd voor een mobiel telefoonabonnement voor privé-gebruik.

4.3 Gegevens verkregen van derden op straat- en postcodeniveau 6

Operation of Directive 87/102/EEC for the approximation of the Laws, Regulations and Administrative Provisions of Member States concerning Consumer Credit, Chapter VIII: Operation of

De database bevat opdrachten van eerder uitgevoerde verhaalsinformatieonderzoeken op een bepaalde persoon (zie 3.1). De opdrachtgever was bijvoorbeeld een incassobureau of deurwaarder. Een dergelijk verzoek wordt nu gebruikt als indicatie dat er problemen waren op dat adres. De gegevens van de eerdere opdracht worden aldus gebruikt op zowel naam als adres als op postcode niveau. Zo komt het voor dat nieuwe bewoners op een adres hardnekkig worden geconfronteerd met de slechte betalingsmoraal van de vorige bewoners.

the Market, par. E: The Credit Consumer ’s Privacy, consideration 319

Hierbij geldt als complicatie dat niet in alle gevallen huisnummertoevoegingen (bijv. 13b) worden opgenomen in de database. Het is dus een zogenaamd ‘grof ’

<

VORIGE

INHOUD

VOLGENDE

> 19

gegeven waarbij alle bewoners op een adres over één kam worden geschoren. Het komt voor dat een wanbetaler op nummer 13b de credit score van de bewoner op nummer 13f zodanig negatief beinvloedt dat deze bewoner wordt afgewezen.

4.4 Het (verdere) gebruik van gegevens van betrokkene Potentiële klanten geven voordat de credit score kan worden berekend informatie over zichzelf prijs. Deze informatie kan bestaan uit gegevens over inkomen, werkgever, nationaliteit, enz. Deze gegevens worden opgeslagen in de database van het informatiekantoor en worden vaak gebruikt voor andere doeleinden dan waarvoor ze zijn verkregen. Het kan gebeuren dat meneer Wishaw bij de aanvraag van een mobiel telefoonabonnement de naam van zijn werkgever en hoogte van zijn salaris prijsgeeft om vervolgens te ervaren dat het informatiebureau zijn werkgever benadert met de vraag of deze wil meewerken aan een afbetalingsregeling, omdat meneer Wishaw zijn schulden bij een computerleverancier niet heeft betaald. Ook gegevens die indirect van klanten worden verkregen zijn een punt van aandacht. Mogen gegevens over het betalingsgedrag van klanten worden gebruikt om het score systeem te optimaliseren of om de klanten te profileren om deze vervolgens op passende wijze te benaderen?

4.5 Uitsluiting bij het gebruik van socio-demografische gegevens Zoals in hoofdstuk 2 is beschreven wordt er gebruik gemaakt van statistische gegevens over een postcodegebied. Het is in de praktijk niet ongebruikelijk dat wijken met een bovengemiddeld aantal allochtonen, woonwagenkampen, studentenhuizen enz. een ‘bijzondere status’ in bestanden krijgen. Het komt voor dat bewoners in een dergelijk gebied worden afgewezen puur en alleen omdat ze in een dergelijk postcodegebied wonen. Sommige aanvraagformulieren (zie 3.1) bevatten vragen waaruit rasgegevens kunnen worden afgeleid. Op een formulier kan bijvoorbeeld gevraagd worden naar het geboorteland.

4.6 Ontwijking van de verantwoordelijkheid voor voorlichting Vaak is het voor de consument (én trouwens ook voor de verkoper van bijvoorbeeld een telefoonabonnement) niet duidelijk hoe de berekening van de credit score tot stand is gekomen. Zeker als een klant is afgewezen is de behoefte groot om informatie te krijgen over de werking van credit scoring. Vaak wordt een consument dan van het kastje naar de muur verwezen. De aanbieder verwijst naar het informatiebureau, dat de score heeft berekend, en het informatiebureau verwijst naar de aanbieder, omdat deze immers de beslissing neemt om een contract aan te gaan of niet. Het is uiteraard zeer onbevredigend dat de klant met een kluitje in het riet wordt gestuurd. De consument heeft vaak geen idee wat zijn rechten zijn en bij wie hij moet zijn. In het volgende hoofdstuk wordt het wettelijk kader voor de verwerking van gegevens geschetst. Hierin zullen de genoemde knelpunten worden behandeld.

< 20

VORIGE

INHOUD

VOLGENDE

>

21

De gewaardeerde klant Hoofdstuk 4 Knelpunten

Het wettelijk kader uitgewerkt en toegepast

5

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

5 Het wettelijk kader uitgewerkt en toegepast Het wettelijk kader uitgewerkt en toegepast De Wet Bescherming persoonsgegevens 7 is van toepassing op het verwerken van persoonsgegevens. Bij de verwerking van persoonsgegevens gelden een aantal spelregels. Zo dienen de gegevens op behoorlijke en zorgvuldige wijze te worden verwerkt. Maar wat is behoorlijk en wat is zorgvuldig? Gegevens dienen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden te worden verzameld. Maar bij credit scoring worden vaak gegevens uit diverse bronnen geput. Als de gegevens nu voor een ander doel zijn verkregen, is er dan automatisch sprake van een onrechtmatige verwerking? De wet geeft de betrokkene een aantal rechten zoals het recht op informatie en het recht om zich tegen bepaalde verwerkingen te verzetten. Hoe kan hier in de praktijk uitwerking aan worden gegeven? 7

WBP; Stb. 2000, 302. Inwerkingtreding eerste kwartaal 2001

8

Kamerstukken II, 19971998, 25 892, nr. 3; B.M.A.

Deze vragen worden in de paragrafen beantwoord. De relevante onderdelen van de Wet bescherming persoonsgegevens voor het verwerken van persoonsgegevens, komen aan bod. Daarna volgt meteen de toepassing van de WBP-onderdelen op de gesignaleerde knelpunten uit hoofdstuk 4.

van Eck, U. van de Pol, C.G. Zandee,

5.1 Persoonsgegevens

Persoonsgegevens beschermd, van Wpr naar WBP, april 1999, p.1 e.v. 9

J. Borking, M. Artz en L. Van Almelo, Gouden Bergen van gegevens; over datawarehousing, datamining en privacy, Registratiekamer, 1998,

Bij persoonsgegevens gaat het om alle gegevens die informatie over een geïdentificeerde of identificeerbare natuurlijke persoon kunnen verschaffen zoals bijvoorbeeld diens eigenschappen, opvattingen of (betaal)gedrag. Van belang is of het gegeven bepalend kan zijn voor de wijze waarop de betrokkene in het maatschappelijk verkeer wordt beoordeeld of behandeld. In dit verband gaat het veelal om informatie over het (te verwachten) betalingsgedrag van een persoon 8.

p. 11 10

Zie hierover ook Kamerstukken, 1999-2000, 25 892, nr. 92c, p. 13 ev. en Handelingen I, 1999/2000, p. 1628

11

Artikel 1, onder b, WBP luidt: Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaron-

Een profiel van een bepaalde categorie burgers zal in de regel niet kunnen worden aangemerkt als een persoonsgegeven 9. Denk bijvoorbeeld aan de groep alleenstaanden met een inkomen tussen ƒ 30.000 en ƒ 50.000 in postcodegebied 2500. Dit profiel wordt een persoonsgegeven wanneer het in verband wordt gebracht met een bepaalde persoon zoals een (potentiële) klant. Met andere woorden zodra de ‘virtuele’ entiteit ‘voelbaar ’ wordt voor het individu, wordt het gegeven een persoonsgegeven. Het credit score getal leidt ertoe dat iemand in het maatschappelijk verkeer de kans loopt anders te worden bejegend dan wanneer dit gegeven niet over hem bekend was. Een credit score uitkomst van bijvoorbeeld 35 is een persoonsgegeven als het gaat om een onderzoek naar bijvoorbeeld meneer Wishaw 10.

der in ieder geval het verzamelen, vastleggen, orde-

5.2 Verwerking van gegevens

nen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar

Verwerking is het geheel van bewerkingen, van verzamelen tot en met vernietigen, waaraan een gegeven kan worden onderworpen 11. Bij de berekening van een credit score die wordt gerelateerd aan een individu, is er sprake van het verwerken van persoonsgegevens. Dit geldt ook voor het koppelen van een profiel aan een consument. De ruime omschrijving van het begrip verwerken omvat dus in feite elk gebruik van persoonsgegevens bij het proces van credit scoring.

in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens

Het verzamelen van gegevens hoeft niet gepaard te gaan met de vastlegging van deze gegevens. Van verzameling is al sprake als de gegevens worden verkregen en vervolgens terstond worden vernietigd. Een score berekening kan

<

VORIGE

INHOUD

VOLGENDE

> 23

real time worden samengesteld en verstrekt zonder dat de score wordt vastgelegd. De score kan per dag verschillen en is dynamisch.

5.3 Verantwoordelijke, betrokkene en bewerker Bij het berekenen van een credit score zijn doorgaans drie partijen betrokken. De aanbieder, de consument en het informatiebedrijf dat de score berekent. De wettelijke regels gelden voor degene die verantwoordelijk is voor de verwerking (de verantwoordelijke), degene die de gegevens in opdracht bewerkt (de bewerker) en degene om wiens gegevens het gaat (de betrokkene). Het centrale begrip is de zeggenschap over de verwerking van de persoonsgegevens. De verantwoordelijke (artikel 1, onder d, WBP) stelt het doel en de middelen van de verwerking vast. De verantwoordelijke bij het samenstellen en het berekenen van de credit score, is het informatiebureau dat de score vaststelt. We gaan er dan vanuit dat dit bedrijf zeggenschap heeft over de database met de gegevens op grond waarvan de score wordt berekend. De opdrachtgever, die de credit score krijgt aangeleverd en vervolgens de beslissing neemt om de overeenkomst al dan niet met de consument af te sluiten, is verantwoordelijke voor wat betreft de persoonsgegevens die hij aan het informatiebureau levert. De opdrachtgever is ook verantwoordelijke voor de (verwerking van de) credit score zelf, als zij zeggenschap heeft over de verwerking van gegevens in de database waarmee de score tot stand is gekomen. In de praktijk zullen de opdrachtgever en het informatiebureau bij het aangaan van de overeenkomst om een credit score te berekenen, vooraf afspreken welke acceptatiegrens (‘cut-off point’) zal worden gehanteerd. Hierbij zal het informatiebureau zijn expertise inbrengen en zijn contractspartij met advies bijstaan. De uiteindelijke beslissing om op grond van een bepaalde score wel of niet de klant te accepteren berust uiteindelijk bij de aanbieder. Welke gevolgen dit heeft voor de mededelingsplicht naar de klant toe, zal verderop worden besproken. De betrokkene (artikel 1, onder f, WBP) is de persoon wiens persoonsgegevens worden verwerkt. Hierna zal ook gesproken worden over de consument of de klant.

12

Kamerstukken, 1997-1998, 25 892, nr. 3, p. 70 “Voor de afgrenzing van het begrip ‘bewerker ’ ten opzichte van het begrip ‘verantwoordelijke’ is de inhoud van de overeenkomst die de bewerker sluit met de verantwoordelijke”. Zie ook Kamerstukken, 1997-1998, 25 892, nr. 13, p. 3

De bewerker (artikel 1, onder e, WBP) is degene die de persoonsgegevens van en voor de verantwoordelijke verwerkt. De bewerker mag de gegevens alleen bewerken volgens de opdracht die hem is verstrekt. Van belang is of de verantwoordelijke voor zichzelf persoonsgegevens verwerkt of doet verwerken. Doet hij dit voor een ander, dan is hij bewerker. Een handelsinformatiebureau dat bijvoorbeeld voor een aanbieder van een mobiele telefoon een credit score berekent, doet dit doorgaans (ook) met gebruikmaking van gegevens die door het informatiebureau zelf over een periode (en uit verschillende bronnen) zijn verzameld. Voor deze gegevens is het bureau verantwoordelijk(e); de gegevens zijn opgenomen in de database van het IB waar deze zeggenschap over uitoefent. Als de score echter uitsluitend tot stand komt op grond van gegevens die door de telecomaanbieder zelf zijn/worden verzameld en aan het informatiebureau worden verstrekt, zal het bureau als bewerker kunnen worden aangemerkt. Het informatiebureau mag dan zelf geen gebruik maken van de persoonsgegevens voor eigen doeleinden. Contractueel zal met de verantwoordelijke (opdrachtgever) moeten worden vastgelegd dat (en onder welke condities) het bureau als bewerker zal optreden 12.

< 24

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

5.4 De uitgangspunten bij de verwerking De gegevensverwerking dient in overeenstemming met de wet, behoorlijk en op zorgvuldige wijze te geschieden (artikel 6 WBP). 1. De persoonsgegevens moeten verzameld zijn voor welbepaalde uitdrukkelijk omschreven en gerechtvaardigde doeleinden (artikel 7 WBP, zie 5.4.1); 2. De verwerking moet een rechtmatige grondslag hebben (artikel 8 WBP, zie 5.4.2); 3. De verwerking mag niet onverenigbaar zijn met het doel waarvoor de persoonsgegevens zijn verzameld (artikel 9 WBP, zie 5.4.3). Er zijn twee blokkades voor de rechtmatigheid van gegevensverwerkingen: 1. Als er gevoelige of bijzondere gegevens verwerkt worden (artikelen 16 tot en met 24 WBP). Dit is verboden tenzij de wet dit uitdrukkelijk toestaat (zie 5.5); 2. Als de betrokkene bezwaar maakt tegen een bepaalde verwerking die plaatsvindt op grond van artikel 8, onder f, WBP: het recht van verzet (artikelen 40 en 41 WBP, zie 5.7.2).

5.4.1 Doeleinden Gegevens mogen alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Samen met het vereiste van verenigbaar gebruik (zie 5.4.3) vormt dit het beginsel van de doelbinding. De verantwoordelijke moet de doelstelling(en) voor de verwerking specifiek omschrijven. Voor de betrokkene moeten al de verwerkingsdoeleinden duidelijk zijn. Voorbeeld

Een doelomschrijving die een bedrijf formuleert als “het economisch welzijn van Nederland bevorderen” of “wanbetalingen in Nederland voorkomen” is onvoldoende specifiek. Een doelomschrijving als ”het verwerken van betalingsgegevens in verband met de afrekening van de verleende dienstverlening; mobiele telefonie” voldoet wel aan de wettelijke eis. Het is mogelijk dat ook subdoeleinden worden geformuleerd. Zo’n subdoel zou kunnen zijn: “Betalingsgegevens kunnen worden gebruikt voor het op maat kunnen aanbieden van bepaalde abonnementsvormen binnen de dienstverlening mobiele telefonie”, en/of “gegevens kunnen worden gebruikt voor het kunnen detecteren, opsporen en voorkomen van fraude van de dienstverlening; mobiele telefonie”. Voor een handelsinformatiebureau is de doelomschrijving “het op commerciële basis verwerken van gegevens over natuurlijke en/of rechtspersonen, ter ondersteuning van door de ontvangers te nemen beslissingen over het selecteren van potentiële handelspartners, het al dan niet of onder bepaalde voorwaarden aangaan, dan wel continueren dan wel beëindigen van handelstransacties, en het bepalen van verhaalsmogelijkheden”, voldoende specifiek 13. 13

Deze definitie is opgenomen in de (nieuwe concept)

5.4.2 Rechtmatige grondslagen voor verwerking

gedragscode van de Nederlandse Vereniging van Handelsinformatiebureaus (NVH)

Artikel 8 van de WBP bevat een limitatieve opsomming van de gronden die een gegevensverwerking rechtvaardigen. Elk gebruik van persoonsgegevens dient te berusten op ten minste één van de in dit artikel opgesomde gronden. Voor

<

VORIGE

INHOUD

VOLGENDE

> 25

credit scoring -en wat daarmee samenhangt- is met name relevant dat de verwerking van persoonsgegevens: a. noodzakelijk is voor de uitvoering of voorbereiding van een overeenkomst; b. geschiedt met ondubbelzinnige toestemming van de betrokkene; c. noodzakelijk is in verband met een gerechtvaardigd belang van de verantwoordelijke. Op grond van artikel 8, onder c, mogen persoonsgegevens ook worden verwerkt indien de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke is onderworpen. Banken wijzen hierbij vaak naar de artikelen 28 en 29 van de Wet op de Consumenten Krediet (WCK) als grondslag voor de verwerking. Zonder op deze kwestie in het bestek van dit rapport verder in te gaan, kan erop worden gewezen dat het desbetreffende artikel niet is geformuleerd als een dringende verplichting voor bijvoorbeeld een bank om door middel van credit scoring de kredietwaardigheid van een klant te onderzoeken. Wel blijkt ook uit de toelichting op dit artikel dat credit scoring een hiervoor aangewezen werkwijze kan zijn. a Uitvoering van de overeenkomst

Artikel 8, onder b, WBP luidt: Persoonsgegevens mogen slechts worden verwerkt Als de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst. De verwerking van gegevens is toegestaan, als dit noodzakelijk is om de overeenkomst waarbij de betrokkene partij is, uit te kunnen voeren. Om te kunnen beoordelen of een gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst, zijn twee elementen van belang: 1. De betrokkene moet (al dan niet via een vertegenwoordiger) partij zijn bij de overeenkomst. Met het begrip ‘partij’ wordt bedoeld een bewuste deelneming van de betrokkene aan de overeenkomst. Achterliggende gedachte is dat de betrokkene zelf in principe kan overzien met welke verwerkingen hij heeft rekening te houden en de mogelijkheid heeft objectief vast te stellen welke verwerkingen in dit kader toelaatbaar zijn. 2. De gegevensverwerking moet een noodzakelijk onderdeel zijn van de uitvoering van de overeenkomst. De verwerking van gegevens moet dan behoren tot de kern van de overeenkomst. Dat wil zeggen zonder aanvaarding van deze voorwaarde komt de overeenkomst niet tot stand. Een aanbieder bepaalt zelf de voorwaarden om een overeenkomst met zijn klanten af te sluiten. Hij heeft de mogelijkheid om een bepaalde gegevensverwerking als een kernbeding te kwalificeren. Wanneer een potentiële klant deze voorwaarde aanvaardt, komt de overeenkomst tot stand. Voor het aanvaarden van een kernbeding is het noodzakelijk dat de aanbieder dit uitdrukkelijk heeft voorgelegd aan de potentiële abonnee, zodat deze het beding als zodanig kan herkennen. Daarnaast kunnen randbedingen onderdeel uitmaken van een overeenkomst. Bij credit scoring is er vaak sprake van diverse rechtsverhoudingen. Er is een contract tussen de aanbieder en het informatiekantoor en er is een (pre)contractuele relatie tussen de klant en de aanbieder. Er is doorgaans (nog) geen relatie tussen de klant en het informatiebureau. Deze kan later wel ontstaan, Als de klant is afgewezen en vervolgens zelf gegevens afstaat aan het informatiebureau om een nieuwe score te laten berekenen.

< 26

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

Artikel 8, onder b, spreekt ook over gegevensverwerking die geoorloofd is als deze noodzakelijk is in de precontractuele fase. Het moet gaan om handelingen die op verzoek van de betrokkene worden verricht ten einde een overeenkomst te kunnen sluiten. Het berekenen van een credit score gebeurt bijna nooit op verzoek van een klant. Het vindt plaats in het gerechtvaardigde belang van de aanbieder om informatie te hebben over de financiële positie van de betrokkene. De gegevensverwerkingen die in het kader van deze handelingen plaatsvinden kunnen wel worden gerechtvaardigd door artikel 8, onder f. 14. Ook is het goed denkbaar dat de betrokkene zijn ondubbelzinnige toestemming verleent om in het kader van de uitvoering van de overeenkomst of in een precontractuele fase gegevens van hem te verwerken. De gegevensverwerking vindt dan plaats op grond van artikel 8, onder a, (zie onder) indien de toestemming rechtsgeldig is verleend. Hiervoor is gesproken over kern- en randbedingen. Het onderscheid daartussen is van belang voor de al dan niet rechtmatige verdere verwerking van persoonsgegevens (zie 5.4.3). Een afgesloten contract met randbedingen tussen aanbieder en consument werkt door in de verdere verwerkingsmogelijkheden van persoonsgegevens. b Toestemming

Artikel 8, onder a, WBP luidt: Persoonsgegevens mogen slechts worden verwerkt indien de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend. De verwerking van persoonsgegevens is toegestaan, indien de betrokkene voor die verwerking zijn ondubbelzinnige toestemming heeft verleend. Om te kunnen spreken van een daadwerkelijke toestemming van de betrokkene moet aan drie punten worden voldaan. Allereerst moet de betrokkene in vrijheid zijn wil kunnen uiten. Er kan bijvoorbeeld niet van een rechtsgeldige toestemming worden gesproken als de betrokkene onder druk van omstandigheden waarin hij verkeert of de relatie waarin hij staat tot de verantwoordelijke, tot toestemming is overgegaan. Ten tweede moet de wilsuiting betrekking hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen. Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden. Als het gaat om een verstrekking aan derden, moet duidelijk zijn aan welke derden de gegevens worden verstrekt. Dit betekent dat een zeer brede en onbepaalde machtiging tot het verwerken van gegevens geen rechtsgeldige machtiging is.

14

Kamerstukken, 1997–1998,

De ondertekening door de betrokkene van een formulier voldoet niet aan het criterium als in het formulier een algemeen geformuleerde machtiging voor de verantwoordelijke is opgenomen, om de persoonsgegevens van de betrokkene te verwerken zonder nadere specificatie van bijvoorbeeld de categorieën van derden aan wie de verantwoordelijke de gegevens voornemens is te verstrekken en de soorten van gegevens die aan deze personen zullen worden verstrekt. De betrokkene moet weten om welke gegevensverwerking het gaat en hiervoor gerichte toestemming geven. Er kan evenmin van een rechtsgeldige toestemming worden gesproken wanneer de betrokkene geconfronteerd wordt met een geheel andere gegevensverwerking dan waarvoor hij toestemming had verleend.

25 892, nr. 3, p. 81

<

VORIGE

INHOUD

VOLGENDE

> 27

Ten derde moet de betrokkene voor een goede oordeelsvorming over de noodzakelijke inlichtingen beschikken. Het vragen van de toestemming van de betrokkene betekent dat hij op de hoogte moet worden gesteld van de gegevensverwerking. Deze (informatie)plicht berust in beginsel bij de verantwoordelijke c.q. bewerker. De betrokkene moet voldoende en begrijpelijk door de verantwoordelijke worden geinformeerd over de verschillende aspecten van de gegevensverwerking die voor hem van belang zijn. De informatieplicht van de verantwoordelijke wordt begrensd door de feiten die de betrokkene reeds kent of zou moeten kennen. De betrokkene die zijn toestemming heeft gegeven tot het verzamelen van gegevens kan deze te allen tijde intrekken. Een dergelijke intrekking heeft echter geen consequenties voor gegevensverwerkingen die vóór het moment van de intrekking hebben plaatsgevonden. Dit geldt voor alle soorten van verwerkingen. c Behartiging van het gerechtvaardigd belang van de verantwoordelijke

Artikel 8, onder f, WBP luidt: Persoonsgegevens mogen slechts worden verwerkt indien de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert. De noodzaak van de behartiging van het gerechtvaardigd belang van een verantwoordelijke of derde, kan een grondslag voor gegevensverwerking zijn. Deze verwerkingsgrond is algemeen geformuleerd en vergt een belangenafweging. Deze bepaling is in het bijzonder van belang voor aanbieders en informatiebureaus die persoonsgegevens willen verwerken voor een doel waarop de overige gronden niet van toepassing zijn. Een gerechtvaardigd belang is in de regel aanwezig bij handelingen die plaatsvinden voor de normale bedrijfsvoering of het dagelijks beheer van de organisatie van de verantwoordelijke. De verantwoordelijke kan zijn beroep of bedrijf niet goed uitoefenen, Als hem de mogelijkheid zou worden ontzegd de daarvoor noodzakelijke gegevens te verwerken. De verwerking is uitsluitend toelaatbaar, als deze noodzakelijk is voor het belang van de verantwoordelijke of een derde én het belang van degene van wie de gegevens worden verwerkt niet prevaleert. De elementen van artikel 8, onder f, vergen dus een belangenafweging. De verantwoordelijke moet de volgende vragen kunnen beantwoorden: a. Is er werkelijk een belang dat verwerking van persoonsgegevens rechtvaardigt? b. Wordt met de verwerking een inbreuk gemaakt op belangen of fundamentele rechten van degene wiens gegevens worden verwerkt en zo ja, moet dan – afhankelijk van de ernst van de inbreuk – gegevensverwerking niet achterwege blijven? c. Kan het doel dat met de verwerking wordt nagestreefd ook langs andere weg – zonder verwerking – worden bereikt (subsidiariteit)? d. Is de verwerking in de mate die is beoogd evenredig aan het nagestreefde doel (proportionaliteit)? 15 15

Kamerstukken II, 19971998, 25 892, nr. 3, p. 86

< 28

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

Indien een aanbieder gebruik wil maken van zijn eigen (historische) klantgegevens voor credit scoring, is de eerste vraag of er persoonsgegevens worden verwerkt. Het is goed mogelijk dat een profiel van goede klanten wordt gemaakt (indicatoren worden verzameld) zonder dat dit herleidbaar is tot individuen. Indien wel gebruik wordt gemaakt van persoonsgegevens, zal dit bijvoorbeeld gebeuren op het niveau van een persoonsgebonden klantprofiel. Ook al zou de verantwoordelijke het belang van de verwerking van een persoonsgebonden klantprofiel kunnen aangeven, dan nog is het vervaardigen van een dergelijk profiel ingrijpend voor de betreffende klant. Deze hoeft er niet van uit te gaan dat er een profiel van hem wordt gemaakt. Zonder medeweten van de klant en zonder de mogelijkheid om zich tegen een dergelijke verwerking van zijn (al dan niet geaggregeerde) persoonsgegevens te verzetten, is het niet rechtmatig om een persoonlijk, op hem betrekking hebbend profiel te vervaardigen. De Memorie van Toelichting noemt als voorbeeld een bank die een analyse maakt van het betalingsverkeer van haar klanten en op grond daarvan adviezen geeft over efficienter betaalgedrag. Een dergelijke analyse is alleen gerechtvaardigd nadat de desbetreffende clienten zijn benaderd met het verzoek een dergelijke analyse te mogen doen en zij in de gelegenheid zijn gesteld daartegen bezwaar te maken (opt-out). Het ongevraagd analyseren en adviseren op basis van een analyse van persoonlijke gegevens, zal in het algemeen niet met een verwijzing naar artikel 8, onder f, kunnen worden gerechtvaardigd. 16 Onderdeel f laat in beginsel verwerking in het gerechtvaardigde belang van een derde toe, tenzij het belang van de betrokkene zwaarder moet wegen. In de regel zal diens belang vergen dat hij vooraf in de gelegenheid wordt gesteld bezwaar te maken tegen een dergelijke voorgenomen verstrekking (opt-out), tenzij een dergelijke handelwijze van de betrokkenen een onevenredige inspanning zou vergen. Bij gegevensverwerking noodzakelijk voor de behartiging van een gerechtvaardigd belang van een derde, dient de verantwoordelijke -alvorens tot verwerking over te gaan- op de hoogte te zijn van het belang dat de derde heeft bij de gegevensverwerking. Ook moet de verantwoordelijke weten welke van de gegevens die hij tot zijn beschikking heeft, in het licht van het derdenbelang van betekenis zijn 17. Ongeacht de verantwoordelijkheid van de derde moet de verantwoordelijke afwegen of de verwerking noodzakelijk is met het oog op diens belang en of het belang van de betrokkene niet dient te prevaleren.

16

Kamerstukken II, 1997-

Een aanvaardbare doelstelling voor een (handels)informatiebureau is “het op commerciële basis verwerken van gegevens over natuurlijke en of rechtspersonen, ter ondersteuning van door de ontvangers te nemen beslissingen over het selecteren van potentiële handelspartners, het al dan niet of onder bepaalde voorwaarden aangaan, dan wel continueren dan wel beëindigen van handelstransacties, en het bepalen van verhaalsmogelijkheden”. Informatiebureaus voorzien in een maatschappelijke behoefte. Het vergaren, inzichtelijk maken en verstrekken van handelsinformatie is een gerechtvaardigd belang zolang de belangen van de betrokkene niet onevenredig worden geschaad. Voor een informatiebureau is de verenigbaarheidseis bij de verwerking van persoonsgegevens zeer belangrijk. Hierop wordt in hoofdstuk 5.4.3 ingegaan.

1998, 25 892, nr. 3, p. 88) 17

zie bij voorbeeld HR 10 december 1993, NJ 1994, 667

Voor telecomaanbieders geldt de Telecommunicatiewet (TW; Stb. 1998, 610). In hoofdstuk 11:5 TW worden specifieke eisen geformuleerd voor de bescherming van persoonsgegevens en de persoonlijke levenssfeer. Artikel 11:5 TW geeft

<

VORIGE

INHOUD

VOLGENDE

> 29

nadere regels voor het bewaren van verkeersgegevens. Dit artikel is dwingend recht waarvan niet kan worden afgeweken. Voorzover het bewaren van verkeersgegevens niet is toegestaan, is een verdere verwerking van deze gegevens niet mogelijk. Zelfs wanneer de abonnee hiervoor zijn toestemming zou geven, mogen de gegevens niet bewaard worden. 18

5.4.3 (On)verenigbaarheid: het verder verwerken van persoonsgegevens Artikel 9 WBP luidt: 1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. 2. Bij de beoordeling of een verwerking onverenigbaar is als bedoeld in het eerste lid, houdt de verantwoordelijke in elk geval rekening met: a. de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen; b. de aard van de betreffende gegevens; c. de gevolgen van de beoogde verwerking voor de betrokkene; d. de wijze waarop de gegevens zijn verkregen en e. de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen. 3. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden. 4. De verwerking van persoonsgegevens blijft achterwege voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat. De eis van het verenigbaar gebruik geldt zowel binnen als buiten de organisatie van de verantwoordelijke. Binnen de organisatie van de verantwoordelijke kunnen persoonsgegevens worden gebruikt voor andere doeleinden dan waarvoor zij zijn verzameld, zolang deze andere doeleinden verenigbaar zijn met het oorspronkelijke doel waarvoor de gegevens worden verwerkt en er voor de verwerking een wettelijke grondslag bestaat. Dit artikel speelt indien het hoofddoel en de subdoelen niet of onvoldoende specifiek zijn over de gewenste verwerking. Ook kan het zijn dat op een later tijdstip een verwerking plaatsvindt, die bij het aangaan van de overeenkomst onvoorzien was. Bij de beantwoording van de vraag of er sprake is van verenigbaar gebruik, leggen een aantal factoren gewicht in de schaal: a.

18

Zie ook het rapport Klant in het web, Den Haag: Registratiekamer, A&V

De vraag of het doel van de gegevensverwerking verwant is aan het doel waarvoor de gegevens zijn verkregen; b. De aard of gevoeligheid van de betreffende gegevens; c. De vraag of er beslissingen genomen worden die gevolgen hebben voor de betrokkene; d. De wijze waarop gegevens zijn verkregen. Hierbij verschilt het of de gegevens van de betrokkene zelf zijn verkregen of uit andere bronnen; e. De mate waarin jegens de betrokkene wordt voorzien in passende waarborgen. Hierbij valt te denken aan de mogelijkheden die de betrokkene (expliciet) worden geboden om bezwaar te maken tegen bepaalde verwerkingen van zijn gegevens (opt-out). Om te kunnen beoordelen of er sprake is van verenigbaar gebruik zullen al deze factoren in onderling verband moeten worden afgewogen.

studie nr. 17

< 30

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

De bepaling voor verenigbaar gebruik geeft uitdrukking aan het doelbindingsprincipe. Daarom ligt het voor de hand om eerst te onderzoeken welke verwantschap er bestaat tussen het oorspronkelijke doel en het doel waarvoor de verantwoordelijke het zou willen gebruiken. Hoe nauwer de verwantschap hoe eerder er sprake kan zijn van verenigbaar gebruik. Vervolgens is de aard van de gegevens van belang. Artikel 16 WBP 19 somt de gegevens op die bijzonder / gevoelig zijn. Daarnaast kunnen gegevens gevoelig zijn door de context waarin zij worden gebruikt, zoals iemands kredietwaardigheid of welstand. Hoe gevoeliger het gegeven, hoe minder snel er sprake is van verenigbaar gebruik. Verder is van belang in welke mate de betrokkene gevolgen ondervindt van het gebruik van de gegevens voor een ander doel. Worden de gegevens gebruikt als basis voor mogelijke beslissingen met betrekking tot hem, dan is er eerder sprake van onverenigbaar gebruik dan wanneer de gegevens worden gebruikt voor wetenschappelijk onderzoek of voor direct marketing. In hoofdstuk 4 zijn knelpunten opgesomd. De knelpunten die rond verenigbaar gebruik spelen zijn: a. Mag informatie die door handelsinformatiebureaus is verkregen voor het samenstellen van een verhaalsrapportage ook zonder meer gebruikt worden voor credit score berekeningen? (zie 4.1 en 4.3) b. Mogen de gegevens die zijn verkregen van een potentiële klant door een aanbieder van een produkt vervolgens verder worden verwerkt voor het vervaardigen van een profiel van de klant? (zie 4.4) c. Mogen gegevens die uit openbare bronnen zijn verkregen zonder meer worden gebruikt voor credit score berekeningen? (zie 4.2) d. Mogen de gegevens van een eventueel aangebrachte ‘feedback-loop’ gebruikt worden ten behoeve van het optimaliseren van een credit scoring systeem? (zie 4.4)

19

Artikel 16 luidt: De verwer-

Hieronder worden deze vragen met behulp van het aangegeven wettelijk kader, beantwoord.

king van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden behou-

a Mag informatie die door informatiebureaus is verkregen voor het samenstellen van een verhaalsrapportage ook zonder meer gebruikt worden voor credit score berekeningen?

Er bestaat een zekere verwantschap tussen een vordering waarbij een verhaalsinformatie is aangevraagd bij een informatiebureau en een credit score berekening die gebaseerd is op (vroeger) betalingsgedrag. Statistisch behoort de correlatie tussen vroegere wanbetaling en (toekomstige) wanbetaling door de verantwoordelijke zichtbaar te worden gemaakt.

dens het bepaalde in deze paragraaf. Hetzelfde geldt voor strafrechtelijke per-

De aard van de gegevens is gevoelig. Het gaat immers om financiele gegevens en veel consumenten houden dit soort gegevens bij voorkeur privé. 20

soonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag 20

De (verdere) verwerking van de gegevens kan voor de betrokkene vergaande gevolgen hebben. Zo kan een wanbetaling (om wat voor reden dan ook) uiteindelijk leiden tot een lage credit score en een daaruit voortvloeiende afwijzing. De gevolgen worden indringender naarmate ook meerdere derden gebruik maken van de persoonsgegevens.

Financiële gegevens behoren overigens niet tot de ‘bijzondere gegevens’ die worden genoemd in paragraaf 2 van de WBP

Bij de vaststelling of er sprake kan zijn van verenigbaar gebruik, is tevens van belang op welke wijze de gegevens zijn verkregen: bij de betrokkenen zelf en/of bij derden en/of uit een openbare bron? De gegevens zijn meestal niet van de betrokkene zelf verkregen maar geaggregeerd door de klant zelf (bijvoorbeeld

<

VORIGE

INHOUD

VOLGENDE

> 31

zijn belgedrag, de bestelde producten, zijn betalingsgedrag) of verzameld bij derden. Als in de overeenkomst tussen consument en aanbieder in de randvoorwaarden de mogelijke verwerkingen worden genoemd en de belangen van de consument daarbij in acht zijn genomen (bijvoorbeeld opt-out) is verwerking eerder verenigbaar. Om te voorzien in passende waarborgen jegens betrokkene, kan worden gedacht aan het informeren van de klant en hem de mogelijkheid bieden om zijn zienswijze naar voren te brengen. Het kan bijvoorbeeld zijn dat incassogegevens zijn gebruikt voor de berekening van de credit score maar deze (incassogegevens) door de klant worden betwist. Naarmate de procedure bij de verwerking van gegevens inzichtelijker is en de rechten van de klant hierin expliciet worden verwerkt, is er eerder sprake van passende waarborgen. Het antwoord op de bovengestelde vraag leidt ertoe dat slechts de oorspronkelijke aanbieder die het informatiebureau heeft verzocht om een informatierapport samen te stellen, gebruik mag maken van de persoonsgegevens betreffende de betrokkene. De verwantschap is hier het grootst. Het gebruik van de persoonsgegevens door een same service group (SSG; groepen die een zelfde soort product of dienst op de markt aanbieden) is minder verwant en ligt het verst van het oorspronkelijke doel voor het verzamelen bij het gebruik van een other service group (OSG; groepen die andersoortige producten of diensten aanbieden). Het is algemeen bekend en aanvaard dat een wanbetaler bekend blijft bij de aanbieder, zodat deze daar in het vervolg rekening mee kan houden. Ook een SSG kan gebruik maken van de wanbetalingsgegevens. Deze moet echter een extra zorgvuldige procedure volgen. De aard van de gegevens en de (vergaande) gevolgen voor de betrokkene verhinderen veelal dat OSG’s van de persoonsgegevens gebruik mogen maken. Een klant van een telecomaanbieder die een schuld heeft, verwacht niet -en hoeft niet te verwachten- dat een postorderbedrijf van de schuld bij de telecomaanbieder op de hoogte is. Overigens verwacht de klant die een schuld heeft bij telecomaanbieder A ook niet dat telecomaanbieder B op de hoogte is van de schuld. b Mogen de gegevens die zijn verkregen van een potentiële klant door een aanbieder van een product vervolgens verder worden verwerkt voor het vervaardigen van een profiel van de klant?

21

A. Vedder, ‘Privacybescherming over een nieuwe boeg: datamining, ethische problemen en hunoplossing’, Privacy & Informatie, 1999 nr. 3, p. 110 e.v.

In de literatuur 21 wordt een onderscheid gemaakt naar profielen die distributief en non-distributief zijn. Distributief wil zeggen dat de gegevens gelden voor de personen en de groep; het betreft een natuurlijke relatie. Non-distributief betekent dat de gegevens gelden voor de groep en voor de persoon als lid van de groep, maar niet met zekerheid voor de persoon als individu; het duidt op een statistische relatie. Er kleven nadelen aan het gebruik van non-distributieve profielen. De profielen zijn grofmazig en tonen geen respect voor individuele kenmerken en merites. De profielen kunnen discriminerend zijn door het gebruik van bijzondere gegevenssets (bijvoorbeeld geboorteplaats, nationaliteit enz.) en kunnen leiden tot maatschappelijke uitsluiting. Zo kan het voorkomen dat in een selectie meneer Wishaw niet wordt geselecteerd of geaccepteerd voor een bepaalde aanbieding omdat hij in een postcode gebied woont waar het gemiddeld inkomen tussen de ƒ 35.000 en ƒ 45.000 gulden ligt, ondanks zijn hogere inkomen. Als dit soort profielen in belangrijke mate worden gebruikt in een credit score berekening, kan dit leiden tot een onrechtvaardige beoordeling en is daarmee aan te merken als een onzorgvuldige verwerking van persoonsgegevens. Het kan ook een vermoeden van discriminatie opleveren Als de woonomgeving een oververtegenwoordiging van allochtonen kent.

< 32

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

In hoofdstuk 5.4.2, onder c, is ingegaan op de mogelijke grondslag van de verwerking van persoonsgegevens. Het vervaardigen van een profiel van een klant wordt niet gedekt met slechts een verwijzing naar artikel 8, onder f. Indien in de doel- of subdoelomschrijving geen link wordt gelegd met het verwerken van persoonsgegevens voor klantprofilering voor direct marketing of andere doeleinden, dient de verenigbaarheidstoets te worden uitgevoerd. (zie 5.4.3) Er bestaat geen voor de hand liggende verwantschap tussen het verkrijgen van informatie voor de aanschaf van een product en het (ongevraagd) vervaardigen van een profiel van een klant. Als klant verwacht je niet dat er een persoonlijk profiel van je gemaakt wordt en hoef je dit ook niet te verwachten. De aard van de gegevens kan gevoelig zijn. De (verdere) verwerking van de gegevens kan voor de betrokkene vergaande gevolgen hebben. Het kan leiden tot uitsluiting van bepaalde diensten en/of producten. Bij de vaststelling of er sprake kan zijn van verenigbaar gebruik, is tevens van belang op welke wijze de gegevens zijn verkregen, bij de betrokkenen zelf of bij derden of uit een openbare bron? De gegevens zijn meestal niet via de betrokkene zelf verkregen. Vaak worden ook gegevens door de klant over een bepaalde periode (ongemerkt) gegenereerd. Bij het voorzien in passende waarborgen jegens de betrokkene, kan worden gedacht aan het informeren van de klant en het geven van de mogelijkheid om zijn zienswijze naar voren te brengen. De klant dient op de hoogte te zijn van alle doeleinden van de verwerkingen. c Mogen gegevens die uit openbare bronnen zijn verkregen zonder meer worden gebruikt voor credit score berekeningen?

Om deze vraag te kunnen beantwoorden is het noodzakelijk om eerst in algemene zin in te gaan op de werkingsomvang van openbare bronnen. Algemeen De WBP is ook van toepassing op openbare registers. Er zijn registers waarvan de openbaarheid is voorgeschreven bij wet, zoals het handelsregister, het voogdijregister, het huwelijksgoederenregister, het openbaar register voor registergoederen, de kadastrale registratie e.d. Daarnaast zijn er registers die feitelijk openbaar zijn, zoals telefoonboeken, almanakken e.d. Bij de eerste heeft de wetgever bepaald dat de verantwoordelijke zonder toets van de motieven van de verzoeker, gegevens dient te verstrekken. Bij de tweede categorie vloeit de openbaarheid voort uit de aard van de publicatie en hebben betrokkenen in de regel gelegenheid gekregen bezwaar te maken tegen openbaarmaking van hun gegevens. Ook al is een register openbaar, als het doel ervan is informatie te geven met het oog op het waarborgen van een bepaald belang, is dit doel bij verstrekking van persoonsgegevens medebepalend voor de wijze waarop de gegevens worden verstrekt. Artikel 13 verplicht de verantwoordelijke bijvoorbeeld om bij ontsluiting van een openbaar register via Internet of CD-ROM, de gegevens adequaat te beveiligen tegen enige vorm van onrechtmatige verwerking. Dit

<

VORIGE

INHOUD

VOLGENDE

> 33

omvat mede een vorm van verstrekking die inherent zou zijn aan een dergelijk onverenigbaar gebruik. Zo is het telefoonboek in digitale vorm, bijvoorbeeld op CD-ROM, voor het publiek beschikbaar. Daarop kan op personen worden gezocht. Er zijn evenwel beveiligingen aangebracht tegen het zoeken op telefoonnummer. Zo kunnen verder uit de kadastrale registratie gegevens worden verstrekt over de eigenaar van een bepaald erf. Het zou evenwel onverenigbaar zijn met het doel van deze registratie wanneer een eventuele, digitaal ter beschikking staande versie van de registratie, tot gevolg zou hebben dat ieder zonder bijzondere inspanning lijsten kan opvragen van alle personen die een pand in eigendom hebben boven een bepaalde waarde. Een laatste voorbeeld is het handelsregister. Het zou niet verenigbaar zijn met het doel van dit register wanneer nagegaan kan worden welke personen bij hoeveel rechtspersonen zijn betrokken. Een voorbeeld is artikel 30, derde lid, van de Handelsregisterwet, waarin de verstrekking van overzichten van gegevens gerangschikt naar individuele natuurlijke personen aan beperkingen is onderworpen. 22 Faillissementsregister Artikel 19, lid 3, van de Faillissementswet bepaalt dat de griffier verplicht is om iedereen kosteloos inzage in het faillissementsregister te geven. De Minister van Justitie merkt hierover het volgende op “Hoewel de wet daarover verder zwijgt, meen ik dat er, gelet op hetgeen verder in het genoemde artikellid is vermeld (“…en tegen betaling een uittreksel daaruit te verstrekken…”), voldoende grond is voor het standpunt dat inzage van het faillissementsregister beperkt dient te blijven tot het faillissement of de faillissementen van de (rechts)perso(o)n(en), waarnaar gericht wordt gevraagd. Het is naar mijn mening niet de bedoeling dat aan degene die inzage wenst het faillissementsregister wordt voorgelegd en de gelegenheid wordt geboden dit geheel door te nemen”. De conclusie is dus dat ook bij gegevens uit openbare bronnen het gebruik van de persoonsgegevens wordt begrensd door het oorspronkelijke doel waarvoor de openbare bron is aangelegd. Deze beperking van het gebruik die in de relevante wetgeving is opgenomen, werkt door in de verdere verwerking van de gegevens. Handhaving van deze begrenzing is in de praktijk niet eenvoudig. d Mogen de gegevens van de feedback-loop gebruikt worden ten behoeve van het optimaliseren van het credit scoring proces?

Aan de hand van de criteria van artikel 9 (de verenigbaarheidstoets) verkennen we hier wie wanneer gebruik mag maken van persoonsgegevens voor de optimalisatie van het credit scoring systeem. Van belang is om voor ogen te houden wie verantwoordelijk is voor het feedback-systeem: de aanbieder of het informatiebureau. We kiezen als voorbeeld een credit scoring systeem dat door een informatiebureau wordt geëxploiteerd. Het gebruikt daarbij historische gegevens over klanten van de aanbieder en bepaalt welke groep klanten een groter risico vormt voor de aanbieder dan andere groepen klanten. De verwerking kan plaatsvinden op geaggregeerd niveau waarbij geen sprake is van het verwerken van persoonsgegevens. Vervolgens worden potentiële klanten gescoord en over een periode qua betalingsgedrag gevolgd (het is nu een persoonsgegeven geworden). Op deze wijze wordt het systeem geoptimaliseerd en kunnen er betrouwbaarder voorspellingen worden gedaan. 22

Kamerstukken, 1997–1998, 25 892, nr. 3, p. 24 ev.

De verantwoordelijke (de aanbieder van een product) kan de optimalisatie van het credit scoring systeem als subdoel omschrijven voor de verwerking van de

< 34

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

gegevens. Ook in het contract dat is afgesloten met de consument komt deze verwerking van gegevens tot uiting (randbeding). Het gebruiken van een betrouwbaar scoring model dat potentiële wanbetalers kan voorspellen is evident. De gegevens die worden verwerkt hebben echter een gevoelig karakter. Het antwoord op de vraag of de verwerking gevolgen heeft voor de betrokkene is niet eenduidig te beantwoorden. Voorzover het persoonsgegevens betreft die niet worden teruggekoppeld met hem en ook niet gebruikt worden voor toekomstige beslissingen omtrent hem persoonlijk, heeft dit minimale gevolgen. Eerder zal dan sprake zijn van een beoordeling van de groep waar de betrokkene een lid van is. Als er directe gevolgen voor de betrokkene uit voortvloeien, is de beantwoording van de vraag welke (directe) verwantschap er bestaat tussen de gegevensverwerking voor de feed back koppeling en het doel waarvoor de gegevens zijn verkregen, van belang. Men zal dan al vlug het domein van profilering betreden. Daarvoor is het verkrijgen van toestemming van de betrokkene de aangewezen weg (zie hiervoor 5.4.3 onder b). Als een informatiebureau het credit scoring systeem beheert en daar ook (mede)verantwoordelijke voor is, kan verdere verwerking van gegevens op persoonsniveau onder voorwaarden plaatsvinden. Allereerst kan verwerking alleen plaatsvinden met toestemming van betrokkene. De grondslag voor de verwerking is artikel 8, onder a. De verwerking kan ook plaatsvinden op grond van artikel 8, onder f, indien voldaan wordt aan een aantal voorwaarden. De betrokkene moet duidelijk voorgelicht worden over de (verdere) verwerking van zijn (betalingsgedrags)gegevens. De betrokkene moet in de gelegenheid gesteld worden om zich hiertegen te verzetten (opt-out in het contract). Als de betrokkene niet op de hoogte is van deze verwerking (optimalisatie van het systeem), ontbreekt de rechtsgrond om de persoonsgegevens voor dit doel te verwerken. De uitkomsten van de analyse van de feed-back-loop kunnen gebruikt worden voor de optimalisering van het credit scoring systeem van die specifieke aanbieder en mogelijk ook voor derden zoals een Same Service Group als de belangen van de betrokkene voldoende zijn gewaarborgd. Hiervoor is bij de beantwoording van de eerder gestelde vragen al op ingegaan. Ook hier dienen dus passende waarborgen te worden geimplementeerd. Gedacht kan worden aan (kwaliteits- en procedure) eisen waaraan de gegevens moeten voldoen voordat deze verder worden verwerkt. Bijvoorbeeld de eis dat gegevens over wanbetaling niet worden verwerkt totdat onweerlegbaar vast staat dat er sprake is van wanbetaling en er geen sprake is van een administratieve fout of relevant verweer van de betrokkene. Het betreft hier financiële (betalings)gegevens met een gevoelig karakter. Als de negatieve betalingservaringsgegevens zonder waarborgen aan derden worden verstrekt kan dit vergaande gevolgen hebben voor de consument. Gegevens mogen in niet-herleidbare vorm zonder meer dienen voor de optimalisatie van het credit score systeem. Tot slot staat het de aanbieders en het informatiebureau vrij staat om consumenten te belonen voor de gewenste medewerking bij de verwerking van persoonsgegevens voor bepaalde doeleinden. Op deze wijze kunnen zowel aanbieders en consumenten profiteren. Gedacht kan worden aan de opzet van een ‘witte lijst’ in tegenstelling tot de ‘zwarte lijst’. Op deze lijst worden positieve betalingservaringen bijgehouden met toestemming van de klant. De voordelen zijn zowel voor de klant als de aanbieder voor de hand liggend.

<

VORIGE

INHOUD

VOLGENDE

> 35

e Het verwerken van socio-demografische gegevens

Geografische data, socio-demografische data, socio-economische data, gedragsdata, psychografische data en gegevens over lifestyle worden verkregen op geaggregeerd niveau en zijn op zich geen persoonsgegevens. Zodra deze gegevens in verband worden gebracht met een individu, zijn het persoonsgegevens waarop de WBP van toepassing is. Dit hoeft geen belemmering te zijn voor het gebruik. Wel moet het individu met de unieke individuele eigenschappen in het oog worden gehouden (zie 5.4.3 onder b, en hierna 5.5). Als gegevenssets worden gebruikt waarbij etnische factoren betrokken zijn, kan dit in strijd zijn met de eis dat verwerking in overeenstemming met de wet moet gebeuren (artikel 16 WBP en de Algemene Wet Gelijke Behandeling). Direct onderscheid op basis van gevoelige gegevens zoals bedoeld in de AWGB is verboden. Slechts Als er een objectieve rechtvaardigingsgrond voor de verwerking van dit soort gegevens aanwezig is, mogen de gegevens worden verwerkt. Noodzakelijke voorwaarde is dat het (beoordelings)systeem openheid geeft over de gebruikte gegevensset en over het beoordelingsproces en daarmee controleerbaar is.

5.5 Bijzondere gegevens Niet alleen de WBP maar ook de Algemene wet gelijke behandeling is van toepassing op het verwerken van bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn: godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, strafrechtelijke persoonsgegevens en persoonsgegevens betreffende het lidmaatschap van een vakvereniging. De AWGB kent niet het vereiste dat er sprake moet zijn van persoonsgegevens. De gelijke behandelingswetgeving biedt al bescherming op het moment dat jegens de betrokkene onderscheid wordt gemaakt op grond van de in de AWGB genoemde persoonskenmerken. Met onderscheid wordt bedoeld dat hij een rechtens relevant nadeel ondervindt. 23 Beide wetten kennen het systeem dat ook indirect inbreuk kan worden gemaakt op de beschermde belangen. Als de gegevens niet naar hun aard, maar wel gezien de context betrekking hebben op een gevoelig kenmerk, geldt het strenge regime van artikel 16 WBP. Het is verboden om deze persoonsgegevens te verwerken tenzij de wet dit toestaat. In de (oude) Wet Persoonsregistraties en het daarop gebaseerde Besluit Gevoelige Gegevens is opgemerkt dat gegevens zoals nationaliteit en geboorteplaats als gevoelige gegevens worden aangemerkt indien zij uitsluitend of in hoofdzaak met het oog op het bepalen van iemands ras in een registratie worden opgenomen. In de WBP geldt dit nog steeds. Bij de AWGB kan er in geval van indirect onderscheid (dat wil zeggen dat door middel van onderscheid naar een niet in de wet genoemd kenmerk in overwegende mate personen worden getroffen met wel door de wet beschermd persoonskenmerk) sprake zijn van een objectieve rechtvaardiging. Het onderscheid moet dan noodzakelijk en geschikt zijn om het legitieme doel dat wordt nagestreeft te bereiken. 24

23

Kamerstukken I, 1992-1993, 22014, nr. 212c, p.14

24

Helden van, W.J. (2000). Etnomarketing, A&V 19, Den Haag: Registratiekamer

In het geval van indirect onderscheid dient er sprake te zijn van een onevenredig nadeel voor allochtonen. Bij het gebruik van kenmerken als woongebied, postcode, kindertal of achternamen ligt het nadeel voor de hand. Allochtonen zijn in Nederland oververtegenwoordigd in achterstandbuurten die bij aanbieders als riskanter te boek staan. Ook het aantal kinderen per gezin ligt bij allochtonen hoger dan bij autochtonen. Een objectieve rechtvaardiging kan

< 36

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

voor dit onderscheid niet gemakkelijk worden aangevoerd, omdat bij buurtgebonden risico’s of kinderrijke gezinnen de oplossing ook kan worden gezocht in minder vergaande maatregelen dan non-acceptatie. Als bijvoorbeeld op grond van het neutrale criterium van buurtgebonden risico indirect onderscheid naar ras wordt gemaakt, kan premiedifferentiatie eerder objectief gerechtvaardigd zijn dan non-acceptatie. Indirect onderscheid door contractsweigering voldoet namelijk zelden aan het vereiste van proportionaliteit. Hetzelfde geldt voor onderscheid naar nationaliteit op grond van de AWGB. Redlining

Op 20 oktober 1999 meldde de Volkskrant dat banken arme wijken in Rotterdam uitsluiten van hypotheek (redlining). De banken hanteren plattegronden die rood (groot risico), geel (risico gebied) en groen (normaal risico) zijn ingekleurd. In de rode wijken is het onmogelijk om een hypotheek te krijgen. In de Verenigde Staten staat deze methode bekend als redlining. Postcodegebieden die een (te) hoog risico zouden opleveren voor financiële dienstverlening worden daarvan uitgesloten. Aanbieders van financiële diensten trachten op deze wijze grote risico’s te vermijden. Als persoonskenmerken zoals genoemd in de AWGB bij redlining direct leiden tot non-acceptatie is dit handelen in strijd met de wet. Daarnaast is het de vraag of contractsweigering op grond van neutrale buurtgebonden gegevens (kindertal, inkomen) toelaatbaar is. In het geval dat een buurt, die door de ondernemer uitgesloten wordt, een oververtegenwoordiging van allochtone bewoners kent, levert deze uitsluiting indirect onderscheid naar ras of nationaliteit op. Dit indirecte onderscheid is in strijd met de AWGB, tenzij de ondernemer een objectieve rechtvaardiging voor zijn handelen kan aantonen. Afgezien van de discriminatie die het gevolg is van non-acceptatie van bepaalde buurten, zijn er meer algemene bezwaren tegen uitsluiting van bepaalde woongebieden. Het aanbieden van (massa)goederen en diensten aan de consument vindt veelal plaats door middel van een openbaar aanbod. De aanbieder kan alleen nog weigeren tot verkoop wanneer essentiële elementen van de overeenkomst ontbreken of op grond van de ongeschreven clausule ‘zolang de voorraad strekt’ (artikel 6:219 BW). Een weigering op buurtgebonden factoren hoeft daarentegen geen betrekking te hebben op de individuele omstandigheden van de potentiële contractant en vormt daarom geen essentieel element. Ook Als er geen sprake is van een aanbod maar van een zogenoemde uitnodiging om in onderhandeling te treden, is een ondernemer niet vrij bepaalde buurten uit te sluiten. Deze uitnodigingen aan consumenten worden meestal in het openbaar gedaan. Een afwijzing op grond van onaangekondigde generieke buurtkenmerken is in strijd met de redelijkheid en billijkheid. Voorzover een openbare uitnodiging om in onderhandeling te treden zich niet uitstrekt tot bepaalde consumenten, is de ondernemer gehouden zijn eventuele non-acceptatiecriteria op dit punt bij de uitnodiging kenbaar te maken of zijn uitnodiging uitsluitend te richten tot zijn specifieke doelgroep. 25

Zie ook P.R. Rodrigues en R.W.A. Wishaw, Het recht op privacy en gelijke behandeling bij selectie en

Redlining is geen aanvaardbare selectiemethode indien uitsluitend op generieke buurtkenmerken tot een afwijzing van de consument besloten wordt. Indien in strijd wordt gehandeld met andere wetgeving (zoals de AWGB), vindt verwerking plaats in strijd met artikel 6 WBP. 25

acceptatie, Privacy & Informatie, juni 2000, nr. 3, p. 106 e.v.

<

VORIGE

INHOUD

VOLGENDE

> 37

5.6

Transparantie

Een eerlijke en rechtmatige verwerking van persoonsgegevens is transparant. De betrokkene moet kunnen weten wie welke persoonsgegevens over hem verzamelt en op welke wijze deze gegevens worden verwerkt. De verantwoordelijke is dus verplicht de betrokkene te informeren. Overtredingen van de informatieplicht kunnen leiden tot onrechtmatige verwerkingen. De verantwoordelijke moet in het algemeen voor een eerlijke gegevensverwerking de betrokkene informeren over het doel van de gegevensverwerking en zijn identiteit. In bepaalde gevallen moet de verantwoordelijke meer informatie verstrekken, zoals wie de ontvangers van de gegevens zijn en de manier waarop de betrokkene zijn rechten kan uitoefenen. Ook de manier waarop de verantwoordelijke gegevens heeft verkregen is van belang voor de informatieplicht. De consument kan zelf gegevens afstaan maar kunnen ook via derden zijn verkregen.

5.6.1 Verkrijging van betrokkene (artikel 33 WBP) Artikel 33 WBP luidt: 1. Indien persoonsgegevens worden verkregen bij de betrokkene, deelt de verantwoordelijke vóór het moment van de verkrijging de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij de betrokkene daarvan reeds op de hoogte is. 2. De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, mede. 3. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen. ‘Bij de primaire gegevensvergaring moet de informatie aan de betrokkene worden verstrekt op het moment van verzamelen.’ Zo moet de aanbieder bij het aangaan van een contract melden dat bij de indiening van de aanvraag, een credit score wordt aangevraagd. Ook dat daarna de verstrekte gegevens worden opgenomen in database X en/of Y bij Z. De informatie moet ook duidelijk maken dat het niet nakomen van de verplichtingen leidt tot een verstrekking van persoonsgegevens aan een incassobureau en/of een IB ter inning van de schuld. Ook moet het worden gemeld als de wanbetaler geplaatst wordt op een ‘zwarte lijst’. Het is daarnaast mogelijk dat de klant toestemming wordt gevraagd voor verwerkingen voor andere doeleinden zoals bijvoorbeeld de opbouw van een ‘positieve credit rating’. De klant moet worden geïnformeerd (en bij voorkeur, en daar waar redelijkerwijs mogelijk, vervolgens zelf te opteren door bijvoorbeeld een aankruissysteem) over het verwerkingsdomein (welke groepen van gebruikers) en het verwerkingsbereik (de doeleinden van de verwerking(en)).

5.6.2 Verkrijging uit andere bron Artikel 34 WBP luidt: 1. Indien persoonsgegevens worden verkregen op een andere wijze dan bedoeld in artikel 33, deelt de verantwoordelijke de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij deze reeds daarvan op de hoogte is: a. op het moment van vastlegging van hem betreffende gegevens, of b. wanneer de gegevens bestemd zijn om te worden verstrekt aan een derde, uiterlijk op het moment van de eerste verstrekking.

< 38

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

2. 3.

4.

5.

De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking mede. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen. Het eerste lid is niet van toepassing indien mededeling van de informatie aan de betrokkene onmogelijk blijkt of een onevenredige inspanning kost. In dat geval legt de verantwoordelijke de herkomst van de gegevens vast. Het eerste lid is evenmin van toepassing indien de vastlegging of de verstrekking bij of krachtens de wet is voorgeschreven. In dat geval dient de verantwoordelijke de betrokkene op diens verzoek te informeren over het wettelijk voorschrift dat tot de vastlegging of verstrekking van de hem betreffende gegevens heeft geleid.)

Bij de berekening van de credit score worden persoonsgegevens uit diverse bronnen verkregen. (Persoons)gegevens worden ook vaak verkregen op een andere wijze dan van de betrokkene zelf, bijvoorbeeld door het koppelen van (al dan niet openbare) bestanden, het kopen of ruilen van informatie en het toevoegen van gegevens uit de verschillende operationele bestanden (bestandsverrijking). Onrechtmatig verkregen persoonsgegevens mogen niet worden gebruikt. Indien uit een database persoonsgegevens worden verstrekt waarvoor bijvoorbeeld de geheimhoudingsplicht geldt, is de verwerking van deze gegevens door de ontvanger(s) onrechtmatig. Op een ieder die persoonsgegevens verkrijgt rust een plicht om de rechtmatigheid van de verkrijging van informatie te onderzoeken. 26 Juist omdat de consument niet op de hoogte is van de verkrijging van de gegevens, is de informatieplicht voor de transparantie van het proces onontbeerlijk. Koppeling van databases legt een extra verantwoordelijkheid bij de verantwoordelijke. De informatieplicht in het geval van koppelen omvat bijvoorbeeld de verplichting de betrokkene op de hoogte te stellen van het feit dat de gegevens zijn verkregen middels een koppeling van bestanden, een omschrijving van de soort bestanden die zijn gekoppeld en het wijzen van de betrokkene op zijn recht op toegang en verbetering van de gegevens. Indien de verantwoordelijke op grond van het derde lid van de artikelen 33 of 34 de betrokkene nader heeft geinformeerd, en zich een wijziging voordoet in de informatie (bijvoorbeeld doordat de verantwoordelijke de gegevens aan andere personen wil verstrekken dan de categorieën ontvangers die hij de betrokkene heeft medegedeeld) dan zal hij de betrokkene van deze wijziging op de hoogte moeten stellen. De afhankelijke positie van de betrokkene ten opzichte van de verantwoordelijke kan bijvoorbeeld aanleiding zijn deze uitgebreider te informeren. 27 De hoofdregel is dat de informatieverstrekking plaatsvindt ‘op het moment van vastlegging’ van de verkregen gegevens. Wanneer de gegevens bij voorbaat bestemd zijn om te worden verstrekt aan een derde mag de informatie ook ‘uiterlijk op het moment van eerste verstrekking’ worden gegeven.

5.6.3 Uitzonderingen op de informatieverplichting 26

Zie ook onderzoeksrapport Handelsinformatiebureau Goderie van Groen, novem-

De plicht om de betrokkene van deze nieuwe gegevensverwerking in kennis te stellen is niet absoluut (artikel 34, vierde lid).

ber 1999, p. 11 27

Kamerstukken II, 19971998, 25 892, nr. 3, p. 154

De informatieverstrekking kan achterwege worden gelaten: 1. Als de betrokkene reeds op de hoogte is;

<

VORIGE

INHOUD

VOLGENDE

> 39

2. 3.

Voor zover de informatieverstrekking onmogelijk blijkt; Als deze een onevenredige inspanning kost.

De verantwoordelijke zal er pas vanuit mogen gaan dat de consument al op de hoogte is, als hij er voor gezorgd heeft dat de benodigde informatie op een duidelijke en voldoende gerichte wijze aan de consument ter beschikking is gesteld. Dit betekent dat hij mondeling (maar het liefst schriftelijk) uitleg moet geven over de verwerking van de gegevens. Van onevenredige inspanning is slechts sprake, als het theoretisch weliswaar mogelijk is om de consument individueel op de hoogte te stellen maar dit in geen verhouding staat tot het doel van die informatieverstrekking. In dat geval moet wel worden meegewogen in hoeverre er andere wegen open staan om de consument op adequate wijze te informeren. Als deze uitzondering van toepassing is, dient de verantwoordelijke de herkomst van de gegevens vast te leggen. Ingevolge artikel 35, tweede lid, kan dan altijd de betrokkene achteraf op zijn verzoek de informatie krijgen om de keten van verstrekkingen voor zichzelf te reconstrueren. Het is niet waarschijnlijk dat de uitzondering op credit scoring van toepassing zal zijn. Een informatiebureau zal de betrokkenen elk individueel op de hoogte moeten brengen op het moment van de opname in de database. Duidelijk moet zijn welke verwerkingen er plaats vinden. Aanbevolen werkwijze

Het komt regelmatig voor dat aanbieder en informatiebureaus aan de consument geen of onvoldoende voorlichting geven (zie hoofdstuk 3.6). De aanbieder van een product wijst een afgewezen consument voor meer informatie door naar het informatiebureau. Niet zelden wijst deze de consument weer terug naar de aanbieder. Gezien de complexiteit van de verwerking van de gegevens tot beoordelingsadviezen kunnen er afspraken gemaakt worden tussen aanbieder en het informatiebureau over wie welke vragen beantwoordt. De eerste voorlichting kan worden gegeven door de aanbieder. Deze moet melding maken van het gebruik van credit scoring en ook melden wie dit doet. Voor de beantwoording van meer gedetailleerde vragen, zoals inzicht in de belangrijkste gegevenssets en logica van het systeem (zie 5.7.4) kan het informatiebureau zorg dragen (als deze (mede)verantwoordelijke is).

5.7 Overige rechten van de consument De verantwoordelijke moet aan de betrokkene vrijelijk en zonder beperking de mogelijkheden bieden om diens rechten te kunnen uitoefenen. Naast het recht van verzet (zie 5.7.2), zijn deze het recht op inzage en correctie (zie 5.7.1), het recht op menselijke tussenkomst bij geautomatiseerde beslissingen (zie 5.7.3) en het recht op logica (zie 5.7.4).

5.7.1 Inzage en correctie Artikel 35 WBP luidt: 1. De betrokkene heeft het recht zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke te wenden met het verzoek hem mede te delen of hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke deelt de betrokkene schriftelijk binnen vier weken mee of hem betreffende persoonsgegevens worden verwerkt. 2. Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de

< 40

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens. 3. Voordat een verantwoordelijke een mededeling doet als bedoeld in het eerste lid, waartegen een derde naar verwachting bedenkingen zal hebben, stelt hij die derde in de gelegenheid zijn zienswijze naar voren te brengen indien de mededeling gegevens bevat die hem betreffen, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost. 4. Desgevraagd doet de verantwoordelijke mededelingen omtrent de logica die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens. Op grond van dit artikel heeft de consument het recht om desgevraagd te worden geinformeerd door de verantwoordelijke over het verwerken van zijn gegevens; met name over het doel van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers aan wie de gegevens worden verstrekt. Het vierde lid bevat een bijzondere bepaling in geval bijzondere computerprogrammatuur een wijze van verwerking mogelijk maakt die de betrokkene niet reeds duidelijk is uit de mededeling ingevolge het tweede lid. Een dergelijke mededeling kan in algemene bewoordingen worden gedaan. Deze verplichting mag geen afbreuk doen aan het zakengeheim of aan de intellectuele eigendom en met name aan het auteursrecht dat de software beschermt. Die bescherming mag er evenwel niet toe leiden dat de betrokkene alle informatie wordt geweigerd. 28 Als de gegevens over de consument feitelijk onjuist of voor het doel (of doeleinden) van de verwerking onvolledig, niet ter zake dienend of anderszins onrechtmatig zijn, heeft de consument het recht om deze gegevens te laten verbeteren, aanvullen, verwijderen of af te schermen. Dat recht moet hij vrijelijk en zonder beperking kunnen uitvoeren, met redelijke tussenpozen en zonder bovenmatige vertraging of kosten. In de praktijk zal de potentiële consument meer informatie willen ontvangen, als deze in de precontractuele fase door de aanbieder is afgewezen op een credit score berekening. Deze consument zal vaak worden verwezen naar het informatiebureau dat verantwoordelijk is voor de berekening van de score. Het informatiebureau zal een overzicht dienen te verstrekken met een beschrijving van de gebruikte gegevens(sets). Als gegevens onjuist zijn heeft de betrokkene het recht om deze te verbeteren, aan te vullen of af te laten schermen. Het afschermen van gegevens kan plaatsvinden, Als de verwerking ervan onrechtmatig zou zijn. De betrokkene dient te motiveren waarom bepaalde gegevens niet voor een bepaalde verwerking mogen worden gebruikt. De verantwoordelijke zal hierop binnen vier weken moeten reageren. Hij zal aan moeten geven in hoeverre hij aan het verzoek zal voldoen. Een weigering moet met redenen zijn omkleed. Het kan zijn dat de verwerking van gegevens rechtmatig is (er is bijvoorbeeld toestemming gegeven voor verwerking voor een bepaald doel) maar dat de betrokkene een bepaalde verstrekking aan een bepaalde afnemer (of groep afnemers) niet wenst. Gedacht kan worden aan bijvoorbeeld een met toestemming van de klant opgebouwde positieve credit rating bij het informatiebureau. De klant heeft te kennen heeft gegeven dat deze rating niet dient te worden verstrekt aan aanbieder X of aan service groep Y omdat hij niet wil dat bijvoorbeeld postorderbedrijven hier gebruik van maken. 28

Kamerstukken I, 1997-1998, 25 892, nr. 3, p. 159

De verantwoordelijke die gegevens heeft gecorrigeerd is verplicht om aan derden aan wie de gegevens zijn verstrekt zo spoedig mogelijk kennis te geven

<

VORIGE

INHOUD

VOLGENDE

> 41

van de verbetering, aanvulling, verwijdering of afscherming. Dit betekent dat de verantwoordelijke voor het geval dat een correctie wordt doorgevoerd, na moet gaan aan wie hij gegevens heeft verstrekt.

5.7.2 Recht van verzet Een consument kan zich verzetten tegen alle vormen van gegevensverwerking in het kader van credit scoring die is gebaseerd op artikel 8, onder f. Het gevolg is dat de verantwoordelijke een afweging moet maken van de meespelende individuele belangen; enerzijds het gerechtvaardigd belang van de verantwoordelijke of van een derde; anderzijds het belang van de betrokkene op bescherming van de persoonlijke levenssfeer. Zo kan het zijn dat een consument zijn belang geldend kan maken tegen verstrekking van gegevens aan bepaalde ontvangers zonder dat de gegevens hoeven worden gewist of tegen koppeling van gegevens voor een bepaald doel. In dat geval zal bij de gegevens een aantekening moet worden geplaatst dat de desbetreffende verstrekkingen niet kunnen plaatsvinden. In gevallen van on-line raadpleging zullen wijzigingen in de computerprogrammatuur moeten plaatsvinden die de aan de orde zijnde verspreiding van de desbetreffende gegevens onmogelijk maakt (blokkering). 29

5.7.3 Geautomatiseerde beslissingen

29

Kamerstukken II, 19971998, 25 892, nr. 3, p. 164)

Artikel 42 WBP luidt: 1. Niemand kan worden onderworpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem in aanmerkelijke mate treft, indien dat besluit alleen wordt genomen op grond van een geautomatiseerde verwerking van persoonsgegevens bestemd om een beeld te krijgen van bepaalde aspecten van zijn persoonlijkheid. 2. Het eerste lid is niet van toepassing, indien het daar bedoelde besluit: a. wordt genomen in het kader van het sluiten of uitvoeren van een overeenkomst en 1°. aan het verzoek van de betrokkene is voldaan of 2°. passende maatregelen zijn genomen ter bescherming van zijn gerechtvaardigd belang, of b. zijn grondslag vindt in een wet waarin maatregelen zijn vastgelegd die strekken tot bescherming van het gerechtvaardigde belang van de betrokkene. 3. Een passende maatregel als bedoeld in het tweede lid, onder a, is getroffen indien de betrokkene in de gelegenheid is gesteld omtrent het besluit als bedoeld in het eerste lid, zijn zienswijze naar voren te brengen. 4. In het geval, bedoeld in het tweede lid, deelt de verantwoordelijke de betrokkene de logica mee die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens. Artikel 42 kent de consument het recht toe om niet uitsluitend (negatief) beoordeeld te worden op grond van geautomatiseerde gegevensverwerking. Het doel van deze bepaling is de schijnbare objectiviteit die aan geautomatiseerde beslissingen worden toegeschreven, te doorbreken. De consument heeft het recht dat de beslissing gemotiveerd wordt toegelicht. In het proces van scoring worden uiteenlopende gegevens gebruikt die een kwalificatie opleveren die duidelijk gevolgen heeft voor betrokkene. Dergelijke profielen worden vaak geautomatiseerd gemaakt. Het is op zichzelf toegestaan om een profielschets toe te rekenen aan een individueel persoon en het profiel te gebruiken voor besluitvorming zoals in het kader van het afsluiten van een overeenkomst (artikel 42, tweede lid, WBP). Het gemaakte profiel mag echter niet zonder meer leiden tot negatieve besluitvorming over een persoon zonder dat deze de mogelijkheid krijgt aangeboden om de op hem specifiek betrekking hebbende individuele omstandigheden in het beoordelingsproces in te brengen.

< 42

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

Voorbeeld

Bij de berekening van een credit score van meneer Wishaw produceert het geautomatiseerde systeem een score van 24. Als de score onder de acceptatiegrens valt, zal een afwijzing volgen. De heer Wishaw heeft het recht om te weten waarom hij is afgewezen. Het is onvoldoende om slechts mee te delen dat de score te laag is uitgevallen. Er dient uitleg gegeven te worden over de berekeningswijze en de gebruikte gegevenssets. Indien bijvoorbeeld blijkt dat er in het verleden een faillissement is uitgesproken, en dit gegeven in aanzienlijke mate de score heeft beinvloed, is het van belang dat de zienswijze van Wishaw hieromtrent in de beslissing wordt meegenomen. Het kan bijvoorbeeld zijn dat het gegeven onjuist is of dat het gelegde verband kan worden bekritiseerd Als het bijvoorbeeld een mobiel telefoonabonnement betreft voor privé gebruik. Dit kan leiden tot nadere controle van de juistheid van de gegevens en het verband maar ook tot een nadere motivering om een bepaalde beslissing te handhaven. Volgens vaste jurisprudentie van de Commissie Gelijke Behandeling moeten procedures inzichtelijk, controleerbaar en systematisch zijn. 30 Indien aannemelijk is gemaakt dat een verboden persoonskenmerk de reden voor het onderscheid zou kunnen zijn, rust op de wederpartij de last om aan te tonen dat hiervan geen sprake is. Deze situatie deed zich voor in een zaak die door een consument van Turkse afkomst aan de CGB was voorgelegd omdat hem een aansluiting voor een mobiele telefoon werd geweigerd. Het telefoonbedrijf was tot de weigering overgegaan, omdat het handelsinformatiebureau negatief over de klant geadviseerd had. De klant heeft het informatiebureau gevraagd naar de reden voor het negatieve advies. Hem werd uitgelegd dat hij de toetsing kon laten heroverwegen, door het invullen van een vragenformulier. Een van de vragen op dat formulier was het geboorteland/plaats van de klant. De hertoetsing leidde tot een positief advies van het handelsinformatiebureau, maar wederom tot een weigering van het telefoonbedrijf. Dit was aanleiding voor de klant om zich bij de CGB te beklagen over zowel het telefoonbedrijf als het informatiebureau. 30

CGB, 20 december 1995, oordeel 95-70 en 17 maart 1998, oordeel 98-25) Ook het Hof van Justitie van de Europese Gemeenschappen heeft gewezen op de noodzaak van doorzichtigheid van procedures teneinde ongelijke behandeling te voorkomen. Daarbij moet de wederpartij in het geval van een ondoorzichtige procedure aannemelijk

De CGB constateerde dat het telefoonbedrijf zich bij de acceptatie van klanten in beginsel laat leiden door het advies van het informatiebureau. Daarnaast voert het telefoonbedrijf ook zelf nog een controle uit. Het is het telefoonbedrijf echter onbekend op welke gronden de klant in eerste instantie was afgewezen. Hetzelfde probleem deed zich voor ten aanzien van de tweede weigering. Ook hierover kon het bedrijf geen duidelijkheid verschaffen. Het telefoonbedrijf verklaarde eveneens dat de klant thans wel zou worden geaccepteerd, zonder dat er evenwel een wijziging in zijn situatie had voorgedaan. Er is hier geen sprake van een zorgvuldige, doorzichtige en systematische procedure, terwijl de klant gemotiveerd heeft gesteld dat zijn afkomst een rol bij de non-acceptatie heeft gespeeld. Nu het telefoonbedrijf geen inzicht heeft kunnen verschaffen in de redenen die aan de weigering ten grondslag lagen, maakt het bedrijf verboden onderscheid naar ras.

maken dat er geen sprake is van een verboden onderscheid. Hof van Justitie van de Europese Gemeenschappen, 17 oktober 1989, Danfoss versus Handels-og Kontorfunktionaernes Forbund i Danmark; zaak 109/88

De CGB constateert dat het handelsinformatiebureau een zelfstandige verplichting heeft tot naleving van de Algemene Wet Gelijke Behandeling (AWGB). Het gebruik van de vraag naar het geboorteland/plaats van de consument wekt de indruk dat er verboden onderscheid is gemaakt. De toetsing van het financiële risico (credit score) zoals door het informatiebureau toegelicht, wordt door de CGB onvoldoende doorzichtig en systematisch geoordeeld. Zo wordt bij hertoetsing altijd een standaard score gegeven die in dit geval lag onder de acceptatiegrens van het telefoonbedrijf. Ook de wijze waarop verschillende

<

VORIGE

INHOUD

VOLGENDE

> 43

variabelen doorwerken in de berekening van de (eind)scores bij de toetsing acht de CGB niet consistent. Het oordeel luidt dat het informatiebureau bij haar advisering ook onderscheid naar ras heeft gemaakt. Ook binnen andere wetgeving wordt het belang van schriftelijke motivatie onderkend. Artikel 29 WCK bepaalt: “Indien de kredietaanvraag niet wordt ingewilligd doet de kredietgever de aanvrager op diens verzoek schriftelijk opgaaf van de redenen daarvan.” Een schriftelijke afwijzing biedt mogelijk een aanknopingspunt om eventueel bestaande discriminatiepraktijken tegen te gaan 31. Financiers mogen niet met standaard antwoorden volstaan, maar moeten op het individu toegespitste informatie verschaffen over de grond waarop wordt afgezien van kredietverlening.

5.7.4 Logica Consumenten hebben het recht om inzicht te krijgen in de achtergrond van de gegevensverwerking. De verantwoordelijke dient desgevraagd uit te leggen hoe een beslissing tot stand is gekomen. Het informatiebureau dat een credit score heeft berekend, zal moeten kunnen aangeven welke (globale) gegevenssets zijn gebruikt, wat de belangrijkste factoren zijn die een score bepalen en welke logica is gebruikt die uiteindelijk heeft geleid tot de bewuste credit score. Een beroep op bedrijfsgeheim gaat niet zondermeer op (zie hoofdstuk 5.7.1). De aanbieder die uiteindelijk de beslissing neemt om een contract al dan niet aan te gaan, zal moeten motiveren waarom deze de (afwijzende) beslissing heeft genomen. In Engeland heeft de Office of Fair Trading bepaald dat: “...the creditor should inform the consumer of the application and mode of operation of the scoring system and serious factors affecting the score” 32. Het gebruik van neurale netwerken (zie bijlage 1) kan verhinderen dat de verantwoordelijke inzichtelijk kan maken hoe een bepaalde beslissing tot stand is gekomen. Het is zijn taak om toch zo inzichtelijk mogelijk aan te geven welke vragen gesteld zijn aan het neuraal netwerk systeem en op grond van welke gegevens het systeem tot een resultaat is gekomen. Het is niet aanvaardbaar dat een betrokkene wordt ingelicht met de mededeling “dat het systeem dat heeft bepaald op grond van beschikbare gegevens”. In de praktijk zal moeten blijken hoe de verantwoordelijke voldoende inhoud kan geven aan de wettelijke verplichting (zie 5.8).

5.8 Kwaliteit Voor iedere verwerking van gegevens geldt dat deze toereikend en ter zake dienend moeten zijn voor de doeleinden van de verwerking (artikel 11, eerste lid). De gegevens moeten tevens volledig, accuraat en up-to-date zijn en moeten dat blijven (artikel 11, tweede lid). Degene die de gegevens verkregen heeft of verwerkt dient maatregelen te nemen die er voor zorgen dat de gegevens niet vervuilen. Omgekeerd moeten alle redelijke maatregelen getroffen worden om gegevens die onnauwkeurig of onvolledig zijn, te wissen. Artikel 11 WBP legt op degene die de gegevens verwerkt een continue verplichting tot toetsing. Elke keer dat gegevens bijvoorbeeld worden verwerkt voor een ander -met het oorspronkelijk doel verenigbaar- doel, dient de toets van het artikel plaats te vinden. 31

Kamerstukken 1986-1987, 19 785, nr. 3, p. 83)

32

www.ftc.gov/bcp/conline/pubs/credit/scoring

44

Het kan voorkomen dat de verantwoordelijke een zo beperkt aantal gegevens verwerkt dat in redelijkheid niet kan worden gezegd dat hij daarmee, gelet op

<

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 5 Het wettelijk kader uitgewerkt en toegepast

de doeleinden, een juist beeld heeft van de betrokkene. Daarmee overtreedt hij het voorschrift dat de gegevens met het oog op het doel waarvoor ze worden verwerkt, toereikend dienen te zijn. In de MvT bij artikel 11 wordt als voorbeeld genoemd de registratie van het gegeven dat betrokkene niet heeft betaald voor een bepaald product zonder daarbij te vermelden dat dit niet-betalen te wijten is aan het feit dat die betrokkene niet tevreden is met dit product en om die reden de betaling heeft opgeschort. Daar staat tegenover dat de gegevens die worden verwerkt evenmin, met het oog op het doel waarvoor ze worden verwerkt, bovenmatig mogen zijn. Tot slot moeten de gegevens, met het oog op de doeleinden waarvoor ze worden verwerkt, ter zake dienend zijn. In de algemene beraadslaging op 17 november 1999 33 werd door het Tweede Kamerlid Wagenaar (PvdA) als gevaar voor de privacy het volgende voorbeeld genoemd: “Zo bereikte mij de klacht dat een mobiele telefoonaanbieder bij het afsluiten van een abonnement aan vrouwen vraagt of zij een partner hebben. Door dit soort praktijken worden veel overtollige en niet noodzakelijke persoonsgegevens geregistreerd.” Minister van Justitie Korthals reageerde op 18 november 1999 34 als volgt. “Mevrouw Wagenaar gaf een goed voorbeeld van onrechtmatige gegevensvergaring van de telecommaatschappij die bij het aangaan van een abonnement vraagt of de abonnee een partner heeft. Dat gegeven is namelijk niet nodig voor het doel. In dat geval is het vragen naar het gegeven al onrechtmatig. Dat wordt anders als direct voorafgaand aan het antwoord van de betrokkene wordt toegevoegd, dat het antwoord vrijwillig is. Daarbij moet ook worden meegedeeld dat het nuttig kan zijn Als iemand daarop afgestemde commerciële aanbiedingen wil ontvangen en dat een weigering om het gegeven te verstrekken, geen invloed heeft op de totstandkoming van het beoogde contract. De vergaring van persoonsgegevens zonder een duidelijk, tegenover de betrokkene bekend gemaakt doel, is dan ook niet toegestaan.” Het tweede lid van artikel 11 legt de verantwoordelijke de (inspannings)verplichting op om maatregelen te nemen zodat de gegevens juist en nauwkeurig zijn. Een garantie gaat te ver. De verantwoordelijke moet wel maatregelen treffen die in redelijkheid kunnen worden gevergd. De maatregelen worden begrensd door bijvoorbeeld de soort gegevens die onderwerp zijn van verwerking en de stand der techniek en de kosten. Een credit scoring systeem dat geen rekening houdt met huisnummertoevoegingen voldoet niet aan de wettelijke eis van behoorlijke en zorgvuldige verwerking. Zoals in 3.3 is beschreven komt het voor dat consumenten worden afgewezen omdat het credit scoring systeem geen onderscheid kon maken tussen het huisnummer 13 a en 13 g. De data en het gehele proces(verloop) dienen betrouwbaar en controleerbaar te zijn. Een verantwoordelijke die een feed-back-loop opneemt in het systeem (monitoring) zal voldoen aan het vereiste van up-to-date gegevenssets. De bewaartermijn van de gegevens

33

TK, 23e vergadering, p. 1707)

34

TK 24e vergadering, p.1797)

Persoonsgegevens moeten vernietigd worden als zij niet langer noodzakelijk zijn voor de doelstelling(en) van de gegevensverzameling. In de (handels)informatiebranche worden persoonsgegevens doorgaans acht jaar bewaard. Deze termijn is gekozen omdat ook de Kamers van Koophandel gemiddeld deze termijn in het lopende bestand aanhouden. In het Burgerlijk Wetboek wordt in boek 2, artikel 10, derde lid, de termijn van zeven jaar aangehouden voor het bewaren van bescheiden voor de fiscus. Met name het informatiebureau zal een algemene maximale bewaartermijn moeten vaststellen en zich rekenschap te geven wat de specifieke waarde is van bepaalde persoonsgegevens die ouder zijn dan een paar jaar als deze nog gebruikt worden voor de berekening van de kredietwaardigheid van een persoon.

<

VORIGE

INHOUD

VOLGENDE

> 45

Conclusies en aanbevelingen

6

De gewaardeerde klant Hoofdstuk 6 Conclusies en aanbevelingen

6 Conclusiesen en aanbevelingen Conclusies aanbevelingen 6.1 Credit scoring Credit scoring is een methode om beschikbare informatie zo te gebruiken dat er een voorspelling kan worden gedaan over toekomstig betalingsgedrag. Credit scoring is een vorm van profilering. Dit kan zowel voor bedrijven als voor individuele burgers uitgevoerd worden. Het rapport legt de focus op credit scoring van consumenten door derden zoals informatiebureaus. Het privacybelang knelt hier het meest.

6.2 Werkwijze In het rapport wordt de werkwijze van twee handelsinformatiebureaus beschreven die adviezen verstrekken aan aanbieders van diensten en producten over de kredietwaardigheid van klanten. Doorgaans maakt het informatiebureau een analyse van de klantenkring van de betreffende aanbieder. Er kunnen vervolgens belangrijke indicatoren worden geidentificeerd en de onderlinge samenhang kan worden vastgesteld. Zo kan een ‘score kaart’ gemaakt worden en een grens worden bepaald wanneer een klant wel of niet in aanmerking komt voor acceptatie. Er zijn in credit scoring proces zoals beschreven in het drie niveaus van onderzoek naar een consument. De combinatie van de uitkomsten bepaalt of een positief of negatief advies over de potentiële klant wordt gegeven. Er kan op socio-demografisch (algemeen statistisch) niveau informatie worden verzameld. Gegevens van de woonomgeving (vaak een postcodegebied) zoals percentage huur- en koopwoningen, de arbeidsverdeling in de buurt, het gemiddelde inkomen enz, worden dan verzameld. Er kan ook op adresniveau worden gescoord. In de database wordt dan gezocht naar het adres met huisnummer van de potentiële klant. Zo kan worden nagegaan of er negatieve betalingservaringen zijn geweest. Er kan ook op naam en adres gezocht worden. Er wordt dan in de database met deze sleutels gezocht naar negatieve betalingservaringen. Een combinatie van deze uitkomsten bepaalt de uiteindelijke score. Als de score boven de acceptatiegrens komt zal de klant doorgaans worden geaccepteerd. Daaronder wordt de potentiële klant vaak geweigerd.

6.3 Knelpunten Bij credit scoring kunnen een aantal knelpunten optreden. Zo worden door informatiebureaus persoonsgegevens gebruikt die voor andere doeleinden zijn verkregen. Door koppeling van databases wordt zeer veel bekend over een consument. Het komt ook voor dat een vordering die loopt bij een postorderbedrijf, in de databank van het informatiebureau terecht komt en vervolgens gebruikt wordt voor de score berekening bij de aanvraag van een mobiele telefoon. Het is zelfs zo dat na een verhuizing, de betalingservaringsgegevens aan het adres gekoppeld blijven. Zo worden de nieuwe bewoners geconfronteerd met de wanbetaling van de vorige bewoners. Dit heeft al geleid tot credit scores waardoor potentiële klanten werden afgewezen. Ook maken sommige databases geen onderscheid tussen huisnummertoevoegingen. Dit heeft tot gevolg dat alle bewoners van een huisnummer (bijvoorbeeld 13 a t/m 13 g) worden afgewezen. Het komt zelfs voor dat hele postcodegebieden worden uitgesloten van levering (redlining). Geen van de potentiële klanten in zo’n postcodegebied komt dan in aanmerking voor een kredietfaciliteit.

<

VORIGE

INHOUD

VOLGENDE

> 47

Consumenten worden op deze wijze in hun maatschappelijke ontplooiingsmogelijkheden belemmerd. Daarnaast doet zich de problematiek voor van zwakke dan wel onlogische verbanden tussen de gebruikte gegevens. Zo werd bij de Registratiekamer een klacht neergelegd van een persoon die oprichter en directeur was van een bedrijf, dat -nadat hij het bedrijf had verkocht en geen zeggenschap meer had over het bedrijf- failliet ging. Het informatiebureau legde (slechts) het verband tussen de oprichter/directeur en het failliet gaan van het bedrijf. De credit score werd overigens vervaardigd om een mobiel telefoonabonnement af te sluiten voor privé doeleinden. Of het informatiebureau hier relevante verbanden had gelegd, is discutabel. Bij alle klachten valt op dat consumenten niet weten dat er een credit score van hen gemaakt wordt, laat staan dat zij weten hoe, en op grond waarvan deze score tot stand komt. Bij een toetsing voor bijvoorbeeld de aanvraag voor een mobiel telefoonabonnement wordt alleen bij een afwijzing duidelijk dat er een soort toets is uitgevoerd. Vaak is dan niet duidelijk waarom iemand niet als klant mag worden geaccepteerd. Ook weet de verkoper dat vaak niet. Deze weet alleen dat Als de score bijvoorbeeld onder de 35 is, hij geen overeenkomst mag afsluiten. De klant wordt vervolgens vaak met een kluitje in het riet gestuurd.

6.4

Wettelijk kader

Het rapport schetst wordt het wettelijk kader waarmee verantwoordelijken (informatiebureaus en aanbieders van diensten en producten) rekening dienen te houden. Er zijn diverse wetten van toepassing op credit scoring, met name het Burgerlijk Wetboek, de Wet op de consumenten krediet, de Algemene Wet Gelijke Behandeling en de Wet bescherming persoonsgegevens (WBP). De WBP is van toepassing op persoonsgegevens. Is een numeriek getal zoals een credit score van 35 een persoonsgegeven? Ja, elk gegeven dat informatie verschaft over een bepaald persoon is een persoonsgegeven. Een persoonsgegeven is, in elk geval voor wat betreft de beoordeling van zijn kredietwaardigheid, bepalend voor de wijze waarop de persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Dit geldt ook voor profielen die in relatie tot een klant worden gebracht. De WBP spreekt over het verwerken van persoonsgegevens. Het begrip omvat elk gebruik van persoonsgegevens bij het proces van credit scoring. Ook een credit score die on-line en real time berekend wordt en niet wordt vastgelegd, valt onder verwerken. Een informatiebureau zal doorgaans (als verantwoordelijke) de gegevens verwerken. Alleen als de credit score uitsluitend tot stand komt op grond van gegevens die door een opdrachtgever worden verstrekt, kan het bureau als bewerker worden aangemerkt. Het informatiebureau zal dan geen gebruik mogen maken van de persoonsgegevens voor eigen doeleinden. De relevante grondslagen voor de verwerking van persoonsgegevens voor credit scoring zijn: – het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene (artikel 8, onder b, WBP), – met ondubbelzinnige toestemming van de betrokkene (artikel 8, onder a, WBP) of – noodzakelijk in verband met een gerechtvaardigd belang van de verantwoordelijke (artikel 8, onder f, WBP).

< 48

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 6 Conclusies en aanbevelingen

Het vervaardigen van een credit score op verzoek van een klant gebeurt bijna nooit (artikel 8, onder b). Bij het verwerken van persoonsgegevens op grond van artikel 8, onder f, zal de verantwoordelijke een aantal vragen dienen te beantwoorden. Daarbij spelen de eisen van proportionaliteit en subsidiariteit een belangrijke rol. Het belang van de klant en de aanbieder zullen tegen elkaar moeten worden afgewogen. In de regel zal het belang van de klant vergen dat deze vooraf in de gelegenheid wordt gesteld om bezwaar te maken tegen de credit score berekening (opt-out). Welke gevolgen dit heeft voor het aangaan van een contract, zal hem tevoren duidelijk gemaakt moeten worden. Het verkrijgen van ondubbelzinnige toestemming van de klant om een credit score te mogen samenstellen, verdient de voorkeur. Voor ondubbelzinnige toestemming is het noodzakelijk dat de klant in alle vrijheid zijn wil kan uiten. De klant moet ook over voldoende informatie beschikken om tot een goed oordeel te kunnen komen. De wilsuiting moet daarnaast betrekking hebben op een specifieke, duidelijk omschreven gegevensverwerking.

6.5 Wettelijk kader en de toepassing op de knelpunten Vooropgesteld dat onrechtmatig verkregen gegevens niet gebruikt mogen worden, hebben de meeste van de gesignaleerde knelpunten te maken met het verder verwerken van persoonsgegevens. Persoonsgegevens mogen worden gebruikt voor andere doeleinden dan waarvoor ze zijn vergaard, zolang deze andere doeleinden verenigbaar zijn met het oorspronkelijke doel waarvoor zij worden verwerkt. Bij de beantwoording of er sprake is van verenigbaar gebruik, legt een aantal factoren gewicht in de schaal. Deze worden in artikel 9 WBP genoemd. Een informatiebureau mag onder voorwaarden de informatie die zij heeft verkregen voor het samenstellen van een verhaalsrapportage (dit is een overzicht van de financiële positie van een consument) ook gebruiken voor credit score berekeningen. Dat heeft te maken wie wel en wie niet van de persoonsgegevens gebruik mogen maken. De oorspronkelijke aanbieder die het bureau heeft verzocht om een informatierapport samen te stellen, mag verder gebruik maken van het persoonsgegeven betreffende de specifieke betrokkene, met name Als deze tevoren hierover is geïnformeerd. De verwantschap is hier het grootst. Een Same Service Group (een groep bedrijven die een zelfde soort product verkopen als de aanbieder) mag ook van het persoonsgegeven gebruik maken onder voorwaarden. Er dient een extra zorgvuldige procedure bewandeld te worden. De aard van de gegevens en de (vergaande) gevolgen voor de betrokkene, verhinderen dat Other Service Groups (een groep bedrijven die een ander soort product verkopen) gebruik mogen maken van de gegevens. Een klant die een schuld heeft bij een telecomaanbieder, verwacht niet (en hoeft niet te verwachten) dat een postorderbedrijf van de schuld op de hoogte is. Of er een profiel mag worden gemaakt van een klant, is sterk afhankelijk van het doel waarvoor het profiel wordt vervaardigd. Indien een profiel voor een direct marketing doel wordt gemaakt is dit minder ingrijpend dan voor een credit score- of fraude detectie doel. Voor credit score op persoonsniveau zal toestemming van de klant gevraagd moeten worden (opt-in). In het kader van fraude detectie en opsporing is de mededeling dat deze verwerking plaatsvindt, voldoende. De belangenafweging valt hier in het voordeel van de aanbieder uit. Bij het profileren van de klant voor direct marketing doeleinden zal de klant in

<

VORIGE

INHOUD

VOLGENDE

> 49

de gelegenheid gesteld moeten worden om zich te onttrekken aan een dergelijke verwerking van persoonsgegevens (opt-out). Het gebruik van persoonsgegevens uit openbare bronnen voor credit scoring wordt begrensd door het oorspronkelijke doel waarvoor de openbare bron is aangelegd. Deze beperking van het gebruik is vaak in de specifieke wetgeving opgenomen. Handhaving van deze begrenzing is in de praktijk niet eenvoudig. Het gebruik van persoonsgegevens voor de optimalisering van het credit scoring systeem (de feed back loop) is rechtmatig, Als de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven. Ook kan op grond van ‘gerechtvaardigd belang van de betrokkene’ (artikel 8, onder f) verwerking plaatsvinden Als aan een aantal voorwaarden wordt voldaan. De betrokkene moet over het verwerkingsdoel zijn voorgelicht en moet in de gelegenheid gesteld zijn om zich hier tegen te verzetten (opt-out). Gegevens mogen in nietherleidbare vorm zonder meer gebruikt worden voor de optimalisatie van het scoring systeem. Als socio-demografische gegevens worden gebruikt in een credit score berekening, moet rekening gehouden te worden met de mogelijke aanwezigheid van etnische gegevens. Als dat het geval is, moet de verwerker rekening houden met de Algemene Wet Gelijke Behandeling. Als in strijd met de AWGB wordt gehandeld is daarmee de verwerking in strijd met artikel 6 WBP. Een eerlijke en rechtmatige verwerking van persoonsgegevens is transparant. De verantwoordelijke is verplicht om de betrokkene te informeren over de verwerking, ook als de gegevens van derden zijn verkregen. Het nalaten hiervan kan leiden tot onrechtmatige verwerkingen. De betrokkene dient de identiteit van de verantwoordelijke te kennen en de doeleinden van de verwerking. De aard van de gegevens, de omstandigheden waaronder gegevens worden verzameld en het gebruik daarvan, bepaalt dat bij credit scoring aanvullende informatie nodig is. In de WBP worden uitzonderingen op de informatieverplichting genoemd. Deze zijn doorgaans niet van toepassing voor credit scoring. Een belangrijke nieuwe regeling die in de wet is opgenomen is het recht om niet te worden onderworpen aan een besluit waaraan rechtsgevolgen zijn verbonden of die een persoon in aanmerkelijke mate treft, indien dat besluit wordt genomen op grond van een geautomatiseerde verwerking van persoonsgegevens die bestemd is om een beeld te krijgen van bepaalde aspecten van de persoonlijkheid (artikel 42 WBP). Het doel van deze bepaling is om schijnbare objectiviteit die aan geautomatiseerde beslissingen wordt toegeschreven, te doorbreken. De consument heeft het recht dat de beslissing gemotiveerd wordt toegelicht. De consument heeft het recht om zijn individuele omstandigheden in het beoordelingsproces te brengen. Zijn zienswijze moet worden meegewogen in het uiteindelijke besluit. Consumenten hebben het recht om inzicht te krijgen in de achtergrond van de gegevensverwerking. De verantwoordelijke moet desgevraagd uitleggen hoe een beslissing tot stand is gekomen. Als een credit score is berekend, moet duidelijk te zijn welke gegevens (globaal) zijn gebruikt, welke factoren van wezenlijk belang zijn in het proces en welke (beslissings)logica ten grondslag heeft gelegen aan de score. Een mededeling aan de consument dat het systeem op algemene en meer specifieke gegevens een berekening heeft uitgevoerd met als

< 50

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Hoofdstuk 6 Conclusies en aanbevelingen

resultaat dat de consument niet voldoet aan de criteria voor acceptatie, is onvoldoende.

6.6 Aanbevolen werkwijze voor het verwerken van gegevens tot een credit score Voorbeeld: de aanvraag van een mobiel telefoonabonnement

De potentiële klant meldt zich in een winkel en verstrekt informatie over zichzelf om een abonnement (de overeenkomst) te kunnen afsluiten. De aanbieder dient in het eerste contact met de klant uitleg te geven over de acceptatieprocedure. Als er een credit score onderzoek moet plaatsvinden, verdient het de voorkeur om de consument om toestemming te vragen. De verwerkingsgrond is dan gelegen in artikel 8, onder a, WBP. Als de klant geen toestemming heeft verleend, kan de aanbieder toch tot het credit score onderzoek overgaan maar de consument dient de mogelijkheid te hebben om hiertegen bezwaar te maken (opt-out). De verwerkingsgrond is dan gelegen in artikel 8, onder f, WBP. Als de klant bezwaren heeft en geen credit score toets wenst, dienen zo mogelijk alternatieven te worden aangeboden. Zo kan er in casu gewezen worden op een alternatief abonnement waarbij de aanbieder minder risico loopt (bijvoorbeeld een pre-paid abonnement). De aanbieder verstrekt vervolgens persoonsgegevens aan het informatiebureau. Dit gebeurt veelal via een on-line verbinding. De score berekening gebeurt vaak real-time en wordt binnen enkele seconden gemeld aan de aanbieder. Informatiebureaus dienen te onderzoeken of, dan wel in hoeverre de persoonsgegevens in de databases rechtmatig kunnen worden gebruikt voor credit scoring doeleinden. Uit dat onderzoek zal kunnen blijken dat zonder toestemming van de betrokkene, de verwerking niet of bij uitzondering rechtmatig kan plaatsvinden. In het rapport wordt daarom ook aandacht besteed aan het contract dat wordt afgesloten tussen aanbieders en klanten. Het contract is een goed middel om de klant voor te lichten over de doeleinden van de verwerking maar ook over de subdoeleinden zoals bijvoorbeeld profilering van de klant voor direct marketing of voor credit scoring of voor fraudebestrijding. Afhankelijk van de belangenafweging tussen het belang voor de aanbieder en dat van de klant, kan worden overgegaan tot verwerking met of zonder toestemming (opt-in) van de klant. Soms zal de klant een opt-out mogelijkheid moeten worden aangeboden. Als er gegevens verwerkt worden voor bijvoorbeeld het optimaliseren van een credit scoring systeem (feedback loop) zal allereerst moeten worden onderzocht of het noodzakelijk is dat persoonsgegevens worden gebruikt. Als dit het geval is, zal niet zonder toestemming van de klant of zonder hem de mogelijkheid te hebben geboden om zich te onttrekken aan een dergelijke verwerking, mogen worden overgegaan tot verwerking van persoonsgegevens over hem. Het optimaliseren van het systeem zonder gebruik te maken van persoonsgegevens verdient de voorkeur. Als eenmaal de verwerking (rechtmatig) heeft plaatsgevonden, verstrekt het informatiebureau de score aan de aanbieder. In combinatie met de score kaart, levert dit een positief of negatief advies op. De aanbieder besluit tot acceptatie, acceptatie onder voorwaarden of afwijzing van de klant. Bij acceptatie dient de klant duidelijk te zijn welke verwerkingen met zijn gegevens vervolgens zullen plaatsvinden (het verwerkingsbereik) en door wie (het verwerkingsdomein).

<

VORIGE

INHOUD

VOLGENDE

> 51

Een klant kan worden gewezen op de procedure en de gevolgen van het niet betalen van een rekening. Indien een ‘zwarte lijst’ wordt bijgehouden van wanbetalers, dient hier ook bij voorkeur melding van te worden gemaakt 35. In bijlage 3 is de checklist uit het rapport Zwarte lijsten opgenomen en bewerkt. In tegenstelling tot Zwarte lijsten wordt de tendens van ‘witte lijsten’ zichtbaar. Klanten die op tijd de rekening betalen, zijn gewaardeerde klanten. Deze klanten kan worden aangeboden om een (positieve) ‘credit rating’ op te bouwen. Een goede betaling kan zo leiden tot een op persoonlijk niveau opgebouwde positieve waardering met alle voordelen voor beide partijen van dien. De klant kan ook toestemming geven voor verdere verwerking door derden (zoals een informatie/kredietbureau). Bij afwijzing moet de aanbieder de consument wijzen op zijn rechten en de procedure die deze kan volgen. Dit houdt in dat de aanbieder uitleg geeft over de wijze waarop het inzagerecht en correctierecht kan worden uitgeoefend zowel bij de aanbieder als bij het informatiebureau. De aanbieder moet uitleg geven over de grond(en) waarop is besloten om met de consument geen overeenkomst of een overeenkomst onder voorwaarden aan te gaan. De consument kan ook een tweede toets worden aangeboden waarbij de consument additionele informatie verstrekt. Zo kan de aanbieder een meer persoonlijke beoordeling maken. De consument kan zich tevens richten tot het informatiebureau. Dit dient op verzoek een overzicht te geven van de gebruikte gegevenssets en dient de betrokkene te informeren over de belangrijkste factoren die een rol hebben gespeeld bij de totstandkoming van de score. Ook dient uitleg te worden gegeven over de gebruikte methodiek van de bewerking die is uitgevoerd (mededelingen omtrent de logica van het systeem). Een klant die op de hoogte is van de wijze waarop met ‘zijn’ persoonsgegevens wordt omgegaan, is een klant die vertrouwen krijgt in de aanbieder. Een dergelijke klant is vaak tevreden en zal een trouwe klant kunnen worden. Binnen de ‘customer cycle’ zal zo kunnen worden voorkomen dat klanten vertrekken (‘churn’). De inschakeling van ‘customer care’ zal uiteindelijk het retentie-management (het vasthouden van de klant) ondersteunen met alle positieve gevolgen voor alle partijen.

35

Zie ook Rommelse, A.F. (1995). Zwarte lijsten. Belangen en effecten van waarschuwingssystemen. A&V 4. Rijswijk, Registratiekamer)

< 52

VORIGE

INHOUD

VOLGENDE

>

53

De gewaardeerde klant Hoofdstuk 6 Conclusies en aanbevelingen

Bijlagen

De gewaardeerde klant Bijlage 1 Neutraal netwerk

Bijlage 1:netwerk Neuraal netwerk Neuraal Uit: B. Seymour, Neurale netwerktechnologie als wapen tegen fraude, Beveiliging, nr. 2, februari 1999, p. 12 e.v.): Een manier om fraude op te sporen is met behulp van regelgeseerde systemen. Deze systemen detecteren fraude door opvallend telefoongebruik te controleren. Bijvoorbeeld bellen naar dure bestemmingen en buitengewoon lange gesprekken. Fraudeurs leren de regels en passen hun werkwijze aan zodat ze conventionele fraudedetectiesystemen te slim af zijn. Hierdoor zijn bedrijven gedongen hun detectiesystemen regelmatig handmatig aan te passen waardoor stand-alone centrales onder druk komen. De laatste generatie fraudedetectiesystemen bestrijdt veel fraudeproblemen met behulp van adaptieve kunstmatige intelligentietechnologie en in het bijzonder het gebruik van neurale netwerktechnologie. Deze technologie is gebaseerd op de werking van de hersenen. In de hersenen vormen miljarden neuronen samen een biologisch neuraal netwerk. Dit netwerk verstuurt informatie met behulp van elektrochemische signalen. In kunstmatige neurale netwerken wordt dit proces gesimuleerd. Het grootste verschil tussen neurale netwerken en standaardmethoden is dat neurale netwerken al werkende kunnen leren zichzelf te verbeteren, terwijl standaard fraudebestrijdingsmethoden alleen kunnen werken binnen de grenzen van hun programmering. Neurale netwerken kennen een trainingsproces waarin zij leren om een correcte reactie te geven op een situatie. Tijdens de training krijgt het neurale netwerk voorbeelddata gepresenteerd en geeft een feed-back-loop verbeteringen of bevestigingen door, totdat het netwerk uit zichzelf de gewenste reacties genereert. SuperSleuth van Nortel Networks is een hybride systeem dat speciaal ontwikkeld is om telefoonfraude op te sporen met behulp van neurale netwerktechnologie. Het programma creëert aparte gedragsprofielen voor iedere individuele gebruiker, waarna afwijkend gedrag dat fraude impliceert kan detecteren. De telefonieaanbieder kan vervolgens de ‘hoge risicoabonnees’ onderzoeken en tegelijkertijd het neurale netwerk feedback geven, zodat dit automatisch zijn kennis kan vergroten. Doordat iedere abonnee zijn eigen unieke belgedrag vertoond, kan SuperSleuth zelfstandig afwijkend belgedrag opsporen. Dit is belangrijk want waar voor de ene abonnee tijdelijk afwijkend belgedrag normaal is, kan het bij een ander duiden op fraude. De efficiency wordt vergroot door ondersteunende programma’s die voor de handliggend fraudegedrag detecteert bij zogenaamde hoge-risicoabonnees. Er wordt dan gelet op enkele abonnees in plaats van vele valse alarmen. Ook zijn er programma’s die een bedrijf in staat stellen opgeslagen fraude-gesprekken te inspecteren en ‘hot-lists’ van verdachte abonnees aan te leggen. Wanneer een neuraal netwerk de opdracht heeft een specifiek resultaat te leveren, kan worden nagegaan (binnen een ‘supervised network’) wat het netwerk ertoe heeft aangezet een bepaald resultaat te geven. Door een samenvatting van essentiële input parameters te bekijken, is gemakkelijk en snel te begrijpen waarom bepaalde data tot het specifieke resultaat leiden. De technologie wordt ook gebruikt om voorspellingen te kunnen doen op de financiele markt, verkoop van producten, procescontrole, spraakherkenning, marketing enz. Info: www.fraud-solutions.com

<

VORIGE

INHOUD

VOLGENDE

> 55

Bijlage 2: Ontwikkelingen het buitenland Ontwikkelingen in hetin buitenland Ook in het buitenland is ruim aandacht besteed aan het fenomeen credit scoring. De Office of fair trading in Groot-Brittannië heeft 6 aanbevelingen opgesteld waaraan moet worden voldaan 36: – Lenders should be required to tell applicants that credit scoring is to be used as part of the decision-making process and provide an axplanation of how scoring systems work. On request, lenders would be required to inform individuals of the logic involved in automated decision taking – When lenders inform consumers that their application has been declined they must provide the principal reason for the decline -whether it is a decline based on the overall score, a decline based on credit reference agency information or a decline based on a specific policy of the lender. If a credit reference agency has been consulted but hte information was not instumental in the refusal, then this should be made clear to the applicants. – If an applicant’s credit reference agency file contains a notice of correction then lenders must have systems in place to ensure that the application is reviewed manually. – Applicants who are declined credit must be informed that they have a right of appleal which will be considered manually – Lenders must inform consumers where credit scoring will be used in ongoing account management. This might include an initial notification of the types of decision to be taken in connection with a particular account, a specific notification when an adverse decision has been taken and some means of appeal against the decision. The scope of the guide needs to be broadened so that its provisions apply not only to decisions about granting crdit, but also to any subsequent account management decision. In de Verenigde Staten is een wet in werking die regels stelt omtrent kredietverlening: The Equal Credit Opportunity Act (15 U.S.C. 1691-1691f) makes it unlawful for creditors to discriminate in any respect of a credit transaction on the basis of race, color, religion, national origin, sex, marital status, or age (provided the applicant has the capacity to contract), because all or part of the applicant’s income derives from public assistance, or because the applicant has in good faith exercised any right under the Consumer Credit Protection Act. 37

36

Bron www.oft.gov.uk

37

www.occ.treas.gov/ftp/regs /part20, zie ook www.ftc.gov en www.occ.treas.gov

< 56

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 3 Zwarte lijsten

Bijlage lijsten 3: Zwarte lijsten Zwarte Een Same Service Group dient procedures in werking te hebben die de kwaliteit (in de meest brede zin) van de gegevensverwerking waarborgen. Controle op de naleving van de kwaliteitseisen is noodzakelijk. Wat zijn de toetsingspunten waarbij in ieder geval rekening moet worden gehouden en op welke vragen moeten bevredigende antwoorden gegeven worden? 38 – – – – – – – – – – – –

– – – – – – – – –

– – 38

Bewerking van de checklist uit het rapport Rommelse, A.F. (1995). Zwarte lijsten. Belangen en effecten van

–

Het exacte doel dat met de signaleringslijst wordt beoogd moet duidelijk zijn Omschrijving van de motieven die de aanleg van de lijst noodzakelijk maken Omschrijving van de grond(en) / gedragingen die het mogelijk maken om op de lijst gezet te worden In hoeverre wordt de toegang voor de consument voor bepaalde voorzieningen afgesneden en welke alternatieven resteren? Hoe hoog zijn de extra kosten voor de consument? Hoe essentieel is de voorziening voor de consument? Is het doel van de lijst te kwalificeren als een ‘bedrijfstakbelang’? Is er sprake van een ‘structurele wanbetaling’? Er moet een raming worden gegeven van de totale schade die wordt geleden en het aantal personen die op de lijst worden geplaatst (proportionaliteit) Kan het doel langs andere weg bereikt worden (subsidiariteit)? Op welke wijze worden de persoonsgegevens verkregen? Als de gegevens worden verkregen van de aangesloten deelnemers: brengen de maatschappelijke opvattingen mee dat de gegevens aan de overige deelnemers mogen worden verstrekt? Zijn er waarborgen dat niet meer gegevens worden verstrekt dan noodzakelijk? Op welke wijze worden de persoonsgegevens verstrekt? Op welke wijze wordt de consument in kennis gesteld van de redenen op grond waarvan hij op de lijst kan worden geplaatst? Hoe en op welk moment wordt de consument meegedeeld dat hij op de lijst is geplaatst? In welke gevallen wordt de consument van de lijst verwijderd? Hoe verifieert de verantwoordelijke of de gegevens juist zijn? Op welke wijze kan de consument (vooraf) bezwaar maken tegen de opname? Hoe lang blijven de persoonsgegevens op de lijst staan? Doen de deelnemers in de groep waarmee de consument een overeenkomst wil sluiten onderzoek naar de reden van opname Als zij (mede) op grond daarvan weigeren een contractuele relatie aan te gaan? Wordt de reden van contractsweigering aan de consument meegedeeld en op welke wijze? Heeft de verantwoordelijke voldoende (organisatorische) maatregelen getroffen voor de wijze waarop de consument zijn inzage- en correctierecht kan uitoefenen? Vindt er protocollering plaats van de verstrekkingen en veranderingen van gegevens?

waarschuwingssystemen. A&V 4. Rijswijk: Registratiekamer.

<

VORIGE

INHOUD

VOLGENDE

> 57

Verslag Bijlage 4: van Verslag de van bijeenkomst de bijeenkomst voor voor betrokken betrokken bedrijven bedrijven en en instanties instanties Datum: Aanwezigen: Voorzitter: Sprekers:

Notulen:

30 augustus 2000 Zie deelnemerslijst achteraan deze bijlage. Dhr. U. van de Pol, plaatsvervangend voorzitter Registratiekamer Dhr. R. Wishaw, auteur van het rapport Dhr. G. Demmers, VFN Dhr. M. van Loon, Experian Dhr. E. Schreuders, KUB BB Verslaglegging, Mw. B. Boon

1 Opening De heer Van de Pol opent de vergadering om 13.40 uur met een welkomstwoord aan de aanwezigen. Spreker geeft een overzicht van het programma. Door het toetreden van nieuwe markten is het noodzakelijk gebleken het wettelijk kader voor de bescherming van persoonsgegevens aan te passen, hetgeen heeft geresulteerd in een nieuwe wet: Wet bescherming persoonsgegevens (WBP). Deze wet zal in het eerste kwartaal 2001 in werking treden. Het doel van de bijeenkomst is een gedachtenwisseling te laten plaatsvinden over het conceptrapport De gewaardeerde klant, privacyregels voor credit scoring. Dit concept is begin augustus onder de deelnemers verspreid. De WBP vormt de basis voor dit rapport. Het rapport is geen onderzoek maar een oriëntatie om te komen tot een invulling van de vraag wat de WBP betekent voor het fenomeen credit scoring. Opmerkingen uit de discussie van vanmiddag zullen worden gebruikt voor de totstandkoming van een definitief rapport dat begin oktober tijdens de DMSA-beurs ter beschikking zal komen. De heren Demmers (VFN), Van Loon (Experian) en Schreuders (onderzoeker aan de KUB) is gevraagd hun visie te geven op het rapport. De heer Wishaw is de auteur van het rapport en zal een korte toelichting geven. De heer Van de Pol geeft vervolgens het woord aan de heer Wishaw.

2 Toelichting van de heer Wishaw op het conceptrapport De – – – – – –

onderwerpen waarover zal worden gesproken zijn de volgende: Aanleiding voor de studie, knelpunten; Gebruik van gegevensbronnen; De nieuwe wetgeving: WBP en de belangrijkste punten daaruit te weten, de grondslag van verwerking en het verenigbaar gebruik van gegevens; De rechten van de burger inhoudende, mededeling dat gegevens worden verwerkt, inzage en correctierecht en inzicht in de logica van een besluit; Toepassing van de normen op credit scoring; Uitwerking in een casus (‘best practice’ voorbeeld).

Aanleiding tot de studie

De aanleiding tot deze studie vormen de klachten die de Registratiekamer heeft ontvangen over ondoorzichtigheid bij scoring (zoals verwoord in hoofdstuk 3 van het concept). Uit de soort klachten kan worden geconcludeerd dat er veel onbekendheid is met het fenomeen credit scoring.

< 58

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 4 Verslag van de bijeenkomst voor betrokken bedrijven en instanties

De volgende knelpunten treden op bij credit scoring: – Gebruik door informatiebureaus van persoonsgegevens die voor andere doeleinden zijn verkregen; – Gebruik van gegevens uit andere bronnen; – Door koppeling van databases is veel over de consument bekend; – Koppeling van (betalingservarings)gegevens aan het adres, zodat bijvoorbeeld nieuwe bewoners geconfronteerd worden met de wanbetaling van de vorige bewoners of koppeling van gegevens aan huisnummers zonder onderscheid in huisnummertoevoegingen waardoor het voorkomt dat alle bewoners van een huisnummer worden afgewezen; – Redlining, waarbij hele postcodegebieden worden uitgesloten van levering. Geen van de potentiële klanten in zo’n gebied komt dan in aanmerking voor een levering. Als een rode draad loopt door het rapport het voorbeeld van een klant die een mobiele telefoon wenst aan te schaffen. De problemen beginnen op het moment dat iemand wordt afgewezen. Vragen als waarom, op welke grond, kunnen vaak niet goed worden beantwoord. Gebruik van gegevens

In casu worden gegevens op basis waarvan iemand al dan niet wordt afgewezen geleverd door een handelsinformatiebureau. Het handelsinformatiebureau beschikt over een grote hoeveelheid gegevens die vaak uit verschillende bronnen afkomstig zijn zoals: – Gegevens op persoonsniveau uit openbare bronnen: faillissementsregister, handelsregister, schuldsaneringsregelingen, cd-foongids, etc. – Statistische gegevens: gemiddeld inkomen van een wijk, aantal koopwoningen in omgeving, gemiddelde waarde van een auto, aantal kinderen etc. – Ervaringsgegevens: betalingsgegevens, koopgedrag, schuldvorderingen afkomstig van incassobureaus, etc. Het wettelijk kader, de WBP

De WBP is van toepassing op persoonsgegevens. Persoonsgegevens zijn gegevens die in verband worden gebracht met een bepaalde persoon. Een credit score is een persoonsgegeven zodra de score aan een persoon wordt gekoppeld. In dat geval is de WBP van toepassing. De WBP geeft regels t.a.v. de verwerking van gegevens. In het kader van de wet vallen onder ‘verwerking’ alle acties met een gegeven van het verzamelen tot het vernietigen ervan. Van belang hierbij is dat de gegevens moeten worden verzameld voor uitdrukkelijk omschreven gerechtvaardigde doeleinden. In de artikelen 8 a t/m 8 f van de WBP worden grondslagen voor verwerking van de gegevens beschreven. Ten slotte moet de verwerking verenigbaar zijn met het doel waarvoor de gegevens zijn verzameld. Grondslagen voor verwerking kunnen zijn: – Toestemming van de klant (dit moet een ondubbelzinnige toestemming zijn; de klant moet weten waarvoor hij toestemming geeft). – Gerechtvaardigd belang. Dit vergt een belangenafweging tussen het belang van het bedrijf en dat van de consument. Bij deze afweging moeten een 4-tal elementen worden betrokken: 1. Is er een werkelijk belang dat verwerking rechtvaardigt; 2. Wordt er inbreuk gemaakt op belangen of fundamentele rechten van de persoon;

<

VORIGE

INHOUD

VOLGENDE

> 59

3. 4.

Kan het doel op een andere wijze worden bereikt (subsidiariteit); Is er evenredigheid tussen doel en middel (proportionaliteit).

In het geval van verwerkingen van gegevens met een ander doel dan waarvoor ze zijn verkregen is sprake van onverenigbaar gebruik. In dit geval wordt vaak geheel geen mededeling gedaan aan de klant over credit scoring. Hierop is artikel 9 WBP van toepassing. In dit artikel worden 5 elementen genoemd die van belang zijn bij het maken van een juiste afweging. 1. Is het gebruik van de gegevens verwant aan het oorspronkelijk doel; 2. Wat is de aard (of gevoeligheid) van de gegevens; 3. Heeft de beslissing gevolgen voor de klant; 4. Op welke wijze zijn de gegevens verkregen (bij de klant of derden); 5. Zijn er passende waarborgen ingebouwd (bijv. mogelijkheid voor de klant om bezwaar te maken tegen een verwerking). Rechten van de (potentiële) klant: – Recht op inzage en correctie (dit recht bestond reeds onder de WPR); – Recht van verzet (nieuw); – Recht van menselijke tussenkomst (een computer mag niet zonder menselijke tussenkomst een beslissing over iemand maken); – Recht op logica (inzicht in hoe de beslissing tot stand is gekomen). Duidelijk is dat niet alle bronnen zomaar mogen worden gebruikt voor credit scoring. Vaak moet de klant een opt-in of opt-out mogelijkheid worden geboden. De voorkeur die in het rapport wordt uitgesproken is om de klant te laten opteren voor bepaalde verwerkingen (opt-in). De opt-out mogelijkheid impliceert het vooraf benaderen van de klant met het verzoek een analyse te mogen doen en hem in de gelegenheid te stellen bezwaar te maken tegen een bepaalde verwerking. De nieuwe rechten die in de wet zijn opgenomen verhogen de transparantie van de gegevensverwerking, bijvoorbeeld het recht van verzet en van inzicht in de logica die ten grondslag ligt aan een beslissing. Hoofdstuk 5.7.2 geeft aan, dat de consument zich kan verzetten tegen alle vormen van gegevensverwerking i.h.k.v. credit scoring die is gebaseerd op artikel 8 onder f. De verantwoordelijke dient een afweging te maken van de meespelende individuele belangen: het gerechtvaardigd belang van de verantwoordelijke versus het belang van betrokkene op bescherming van de persoonlijke levenssfeer. In hoofdstuk 5.7.3, geautomatiseerde beslissingen, wordt toegelicht dat geautomatiseerde beslissingen niet zonder meer mogen leiden tot negatieve besluitvorming over een persoon zonder dat deze zijn individuele omstandigheden in het beoordelingsproces kan inbrengen. De consument heeft het recht dat de beslissing gemotiveerd wordt toegelicht. Dit is tevens van toepassing op profielen ten gevolge van een credit score; dergelijke profielen worden vaak geautomatiseerd gemaakt. Het toerekenen van een profielschets op zich is toegestaan ingevolge artikel 42 lid 2 WBP, maar mag niet zonder meer leiden tot negatieve besluitvorming, zonder dat de betrokkene de mogelijkheid krijgt specifieke en individuele omstandigheden in te brengen. Hoofdstuk 5.7.4, logica, verwoordt dat consumenten het recht hebben om inzicht te krijgen in de achtergrond van de gegevensverwerking, c.q. de totstandkoming van een credit score of profielschets. Het informatiebureau zal hier inzicht in moeten geven en kan zich dienaangaande niet beroepen op bedrijfsgeheim. De aanbieder die uiteindelijk de beslissing neemt dient de beslissing te motiveren.

< 60

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 4 Verslag van de bijeenkomst voor betrokken bedrijven en instanties

Handelsinformatiebureau’s dienen te onderzoeken of, dan wel in hoeverre, de persoonsgegevens in de databases rechtmatig kunnen worden gebruikt voor credit scoring doeleinden. Het gebruik van neurale netwerken kan verhinderen dat inzichtelijk gemaakt kan worden hoe een bepaalde beslissing tot stand is gekomen. Daarbij is het aan de verantwoordelijke om de totstandkoming van de score zo inzichtelijk mogelijk te maken. De overeenkomst die wordt afgesloten tussen aanbieders en klanten is een goed middel om klanten voor te lichten over de doeleinden van de verwerking maar ook over de subdoeleinden, bijvoorbeeld profilering van de klant voor direct marketing, credit scoring of fraudebestrijding. Bij acceptatie dient de klant duidelijk te zijn welke verwerkingen met zijn gegevens vervolgens zullen plaatsvinden en voor welke doeleinden. Bij afwijzing dient de aanbieder de klant te wijzen op zijn rechten en de te volgen procedure (inzage en correctierecht). Tevens dient de aanbieder de afwijzing te motiveren, ook bij een acceptatie onder voorwaarden. Het informatiebureau dient op verzoek van de consument een overzicht te geven van de gebruikte gegevenssets alsmede informatie over de belangrijkste factoren die een rol hebben gespeeld bij de totstandkoming van de score. Tevens dient uitleg te worden gegeven over de gebruikte methodiek van de bewerking die is uitgevoerd (logica).

3 Reactie van de heer G. Demmers (VFN) op het conceptrapport De heer Demmers betreurt het dat het rapport zo laat en in de vakantieperiode beschikbaar is gekomen zodat het voor hem zeer moeilijk – bijna onmogelijk – was om snel inhoudelijk te reageren. Hij is dan ook slechts gekomen tot het aangeven van enkele hoofdlijnen. Voor de kredietinstellingen die zijn aangesloten bij VNF is de Wet consumenten krediet (WCK) van toepassing. De VNF is nauw betrokken geweest bij de totstandkoming van deze wetgeving welke overigens samen met wetgeving in Engeland tot de meest stringente van Europa behoort. Naast deze wet bestaat er een erecode die op sommige punten nog veel verder gaat dan de wet. In de WCK is de plicht opgenomen om genoegzame inlichtingen in te winnen alvorens tot kredietverstrekking over te gaan. Deze inlichtingen moeten zowel kredietverstrekkers als kredietnemers beschermen tegen bijvoorbeeld overkreditering en fraude. Bij het inwinnen van deze inlichtingen speelt het Bureau Kredietregistratie (BKR) – waar zowel positieve als negatieve kredietinformatie wordt vastgelegd – een belangrijke rol. Dat de WBP invloed zal hebben op de werkwijze van het BKR blijkt uit hoofdstuk 3.1 van het conceptrapport. Op basis van de genoegzame inlichtingen onder meer afkomstig van het BKR wordt de klant beoordeeld. Er moet kunnen worden aangegeven hoe en op welke wijze gegevens zijn binnengekomen en of een BKR-toetsing heeft plaatsgevonden. Om te voldoen aan de wet moet er een systeem zijn. Ingevolge de wet is dit mogelijk credit scoring. De definitie hiervan is volgens spreker onduidelijk en dekt niet geheel de lading. Het begrip credit scoring is een andere waarde voor kredietbeoordeling maar maakt onvoldoende duidelijk waar men het in feite over heeft, met name hoe wordt het systeem gebruikt. De VNF heeft met veel respect kennisgenomen van het rapport maar heeft sterk de indruk dat handelsinformatie te zeer op het netvlies ligt. Het verstrekken van krediet en het acceptatiebeleid is naar de mening van de VFN des

<

VORIGE

INHOUD

VOLGENDE

> 61

kredietgevers. In het kader van bescherming van de klanten is het winnen van genoegzame inlichtingen verantwoord. De gegevens dienen zorgvuldig te zijn verkregen. Ten slotte stelt spreker dat redlining een belangrijk onderdeel is van het bedrijfsbeleid omdat men in bepaalde gevallen regionaal wil werken en dient er tevens toe consumenten tegen zichzelf te beschermen zodat er geen onaanvaardbare schulden worden aangegaan. Spreker ziet dit niet als discriminatie.

4 Reactie van de heer M. van Loon (Experian) op het conceptrapport De heer Van Loon sluit zich aan bij voorgaande spreker m.b.t. zijn opmerking over de te korte voorbereidingstijd waardoor ook hij zich van een feitelijke inhoudelijke reactie moet onthouden. Wel heeft hij naar aanleiding van de rapportage een aantal opmerkingen. De rapportage benadert heel duidelijk de telecomsector als probleemgebied terwijl dit maar een klein gedeelte is van de markt waarbij kredietbeoordeling als noodzaak wordt gezien (1 mln scores per jaar versus 7 a 8 mln bij bank- en kredietinstellingen). Veel zaken zijn benoemd vanuit het oogpunt van klachten en als knelpunten aangemerkt. Het merendeel van de in het rapport genoemd knelpunten zijn niet van toepassing op Experian. Over de uitleg van de feitelijke beslissing en de onduidelijkheid daarover merkt de heer Van Loon op dat Experian van mening is dat de aanbieder van het product verantwoordelijk is voor het meedelen van de beslissing en het verstrekken van duidelijkheid over de beslissing gegeven het feit dat hij degene is die de beslissing neemt. Experian levert slechts de score en advies. Bij de kredietinstellingen is dit goed geregeld. De klant kan niet direct naar het BKR maar krijgt informatie over de beslissing van het ‘point of sale’. Credit scoring is eenvouding te definiëren: het is het gebruiken van data vertaald in een score. Eén van de belangrijkste onderdelen hierbij is bij Experian de betalingsmoraliteit. Bij de totstandkoming van een advies bij de score wordt tevens naar andere omstandigheden gekeken. Zo kan een bijstandsmoeder een hoge score kunnen maar zal negatief worden geadviseerd indien bijvoorbeeld een lening van ƒ 40.000,— is aangevraagd. Inzake de verwerking van gegevens is volgens spreker het vooraf vragen van toestemming niet noodzakelijk. Wel moet duidelijk zijn dat wordt getoetst en welke informatie daarbij wordt gebruikt. Experian zal nooit de beslissing nemen of een klant een dienst wel of niet krijgt. Zij geeft alleen een score en advies op basis van ervaring, analyse en what-if scenario’s. Het aanbieden van alternatieven (vooruitbetaling of leveren goedkoper product) is iets dat de aanbieder beslist. Bij kredietverstrekkers is het aanbieden van alternatieven niet aan de orde. Ook heeft de spreker een andere definitie van same service groups en other service groups. Experian ziet het registreren van de betalingsmoraal o.b.v. betalingsgedrag als een same service group (één categorie). Voorts stelt de heer Van Loon dat de informatie over Experian die in het rapport is gebruikt enigszins verouderd is. Hij zal adequate informatie verstrekken. Tevens stelt hij dat de Nederlandse markt niet kan worden vergeleken met de Amerikaanse markt.

< 62

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 4 Verslag van de bijeenkomst voor betrokken bedrijven en instanties

Ten slotte merkt de heer Van Loon nog op de studie een goed initiatief te vinden, maar vreest dat deze niet tot meer duidelijkheid bij de consument zal leiden.

5 Reactie van de heer E. Schreuders (KUB) op het conceptrapport In zijn reactie geeft de heer Schreuders een overzicht uit het ruime aanbod van kredieten en aanbiedingen die als een krediet kunnen worden aangemerkt. Dit illustreert de absolute noodzaak dat mensen tegen zichzelf worden beschermd (overcreditering). M.b.t. de registratie van kredietwaardigheid zijn zijns inziens de volgende vuistregels aan de orde: – Behoorlijk en zorgvuldig verkrijgen van de gegevens; – Vooraf weten wat en waarvan; – Een goede reden hebben; – Geen gekke dingen doen; – Afleggen van verantwoording. Over de eerste 4 regels is iedereen het wel eens. De laatste regel, het afleggen van verantwoordelijkheid, is belangrijk: men moet vertellen wat men doet. Onder de oude wet diende men te melden dat men persoonsgegevens registreert tenzij de klant er redelijkerwijze van op de hoogte zou kunnen zijn. Verwerkingen dienden te worden gemeld. Nu moet ook inzage worden gegeven in de verwerking van de gegevens (advies, profiel) en kunnen klanten hiertegen bezwaar maken. Vervolgens is aan de orde wat men gaat doen met de informatie. Leidt deze tot acceptatie, afwijzing of acceptatie onder voorwaarden. Acceptatie onder voorwaarden zou ook kunnen zijn een korting bij bijvoorbeeld een hoge credit score. De verantwoordelijke dient een afwijzing te motiveren en inzicht te geven in de logica bij het tot stand komen van de beslissing. Zo kan de situatie in het voorbeeld dat alleen al het feit dat ooit een verhaalsrapportage is gevraagd en dat zou kunnen leiden tot een negatieve kredietwaardigheidsbeoordeling, kunnen worden ondervangen. Voorts geeft spreker zijn visie op het proces van het verwerken van de persoonsgegevens. Het proces roept nogal wat vragen op. Allereerst het geven van informatie en of verstrekken van gegevens. Men kan informatie geven, zonder de feitelijke specifieke gegevens te verstrekken (profiel). De juistheid van de gegevens is eveneens een discussiepunt (voorbeeld: gemiddeld 2,4 kind, gemiddelde huizenprijs van huizen in de omgeving). Kan men op basis daarvan wel accepteren c.q. afwijzen? Wat wordt verstaan onder interne en externe gegevens (same en other groups): bedrijf, product, consumentencategorie? Het verstrekken van gegevens aan derden: als de klant dit niet wil, wat heeft dit dan voor gevolgen? Wordt het product of de dienst dan duurder? Het melden van verwerkingen aan de klant; Is het noodzakelijk alle verwerkingen vooraf aan klanten te melden (supermarkteffect). De heer Van der Pol signaleert o.b.v. de reacties van sprekers de volgende knelpunten: – Reikwijdte van het rapport: met name de financiële instellingen voelen zich niet thuis onder de WBP; – Wie is verantwoordelijk? – Het afleggen van verantwoording; – Het proces van verwerkingen.

<

VORIGE

INHOUD

VOLGENDE

> 63

Met betrekking tot redlining stelt spreker dat wel eens subtieler wordt gewerkt dan alleen per regio. In de praktijk worden uitsluitingen gemaakt die niet duidelijk zijn. Het gebruik van redlining is mogelijk mits een gerechtvaardigd onderscheid wordt gemaakt. Ten slotte merkt spreker nog op dat de rapportage niet is bedoeld voor de consument maar voor de uitvoerende instanties.

5 Discussie De – – – – –

discussie spitst zich met name toe op: De reikwijdte van de wet; Artikel 8 WBP: rechtmatige grondslagen voor verwerking; Artikel 9 WBP: het verder verwerken van persoonsgegevens; Artikel 42 WBP: geautomatiseerde beslissingen; De verantwoordelijke.

Reikwijdte van de wet

Vanwege de kredietinstellingen en postorderbedrijven wordt aangegeven dat onduidelijkheid bestaat over hoe de Wet consumenten krediet (WCK) zich verhoudt tot de WBP. Deze instellingen hebben een goed functionerend kredietbeoordelingssysteem op basis van gegevens van de BKR en looninformatie. Het juridisch kader vormt de WCK. Op basis hiervan meent de heer Berkvens dat artikel 8c, waarin wordt aangegeven dat persoonsgegevens mogen worden verwerkt indien “de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is”, een rechtmatige grondslag voor verwerking zou moeten kunnen zijn. Dhr. Van Loon (Experian) meent dat het rapport zich teveel richt op de telecom markt terwijl dit maar een klein deel is van de totale markt die gebruik maakt van kredietbeoordeling. Artikel 8a t/m 8f: rechtmatige grondslagen voor verwerking

Dhr. Holvast merkt op dit artikel te ongenuanceerd te vinden. Voor hem is in de rapportage bijvoorbeeld niet duidelijk wat het verschil is tussen 8a. en 8f; immers ingevolge artikel 8f is feitelijk ook de toestemming van de klant noodzakelijk via een opt-in dan wel een opt-out mogelijkheid waarbij de Registratiekamer de voorkeur uitspreekt voor een opt-in mogelijkheid. Het rapport wekt de indruk dat er onder de nieuwe wet niets meer mag en vraagt zich af of het zal bijdragen aan meer duidelijkheid over de uitvoering van de WBP. Verder is niet duidelijk wat onder de in artikel 8a genoemde ‘druk’ wordt verstaan. Pag. 16 van het rapport geeft aan dat betrokkene in alle vrijheid al dan niet zijn toestemming moet kunnen geven. In hoeverre is er sprake van vrijheid als betrokkene de dienst wordt onthouden? Wat betekent dit bijvoorbeeld voor de telecomaanbieder en wat kan deze daar dan mee? Naar de mening van de heer Holvast zou 8a gebaseerd kunnen zijn op toestemming en de restcategorie als genoemd in 8f instemming, waarbij zou moeten kunnen worden volstaan met een melding van de verwerking c.q. instemming van verwerking van gegevens. Artikel 8b stuit op praktische bezwaren; ‘beoordeling op verzoek van de klant’ komt in de praktijk niet voor. De heer Van der Pol verklaart dat de in het rapport uitgesproken voorkeuren niet bindend zijn.

< 64

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 4 Verslag van de bijeenkomst voor betrokken bedrijven en instanties

Artikel 9 WBP: Verder verwerken van de gegevens en (on)verenigbaarheid van verwerking

Gediscussieerd wordt over de vraag wanneer een gegeven een persoonsgegeven is en of en wanneer een creditscore of profielschets een persoonsgegeven is. De heer Holvast is van mening dat een profielschets fundamenteel een statistische analyse is en geen persoonsgegeven. Naar zijn mening geldt hiervoor de verenigbaarheidseis niet. De heer Schreuder is het ermee eens dat het profiel op zich geen persoonsgegeven is. Echter op het moment dat dit wordt gekoppeld aan een persoon kan men spreken van een persoonsgegeven. De WBP is van toepassing op de toetsing die daarna plaatsvindt en op het resultaat dat deze toetsing oplevert. De heer Holvast meent dat voor het hangen van een waarde aan iemands naam en in een database opslaan voor toekomstig gebruik op zich, de verenigbaarheidseis niet zou moeten gelden. Verantwoordelijkheid moet kunnen worden afgelegd over het verkrijgen van de gegevens en over het vervolg gebruik. De definitie van same-service groups en other service groups zou duidelijker moeten zijn. Tevens wordt gediscussieerd over de voorwaarden waaronder het verstrekken van een zwarte of witte lijst branchebrekend zou kunnen worden toegestaan. Artikel 42 WBP: geautomatiseerde beslissing

Aanwezigen zien praktische bezwaren tegen een schriftelijke motivatie van een geautomatiseerde beslissing. Tevens roept de definitie ‘geautomatiseerde beslissing’ vragen op. Wat wordt hier precies onder verstaan? Wat is het verschil tussen een credit score en een geautomatiseerde beslissing ingevolge artikel 42? De grens is moeilijk te bepalen. Wat wordt bijvoorbeeld verstaan onder de ‘menselijke tussenkomst bij geautomatiseerde beslissingen’. In het geval van een telecomaanbieder wordt terecht opgemerkt: In de regel is de handelwijze bij de beoordeling of men al dan niet in aanmerking komt voor de verstrekking van een mobiele telefoon de volgende. De telefoonverkoper neemt contact op met het handelsinformatiebureau bij wie hij de credit score ontvangt. Dit gebeurt vaak online. Op basis van de score wordt negatief of positief beoordeeld. Over de achtergrond van de beslissing kan vaak geen informatie worden gegeven. Kan men in zo’n geval de telefoonverkoper beschouwen als menselijke tussenkomst ingevolge de WBP? De verantwoordelijke

De handelsinformatiebureau’s geven een credit score en advies maar zijn van mening dat de verantwoordelijkheid (voor de gemotiveerde melding aan de klant van de beslissing) bij de aanbieder ligt. Dit blijkt in de praktijk nog wel eens moeilijk, omdat de aanbieder er niet altijd van op de hoogte is hoe een score tot stand is gekomen en de klant vervolgens naar het handelsinformatiebureau verwijst. Zo komt het voor dat klanten van het bekende ‘kastje naar de muur ’ worden gestuurd. Pag. 13 van het rapport spreekt erover dat het handelsinformatiebureau als verzamelaar van de gegevens en maker van de score verantwoordelijk is voor de gegevens en de score. Als men wil weten hoe een score tot stand is gekomen, moet men naar het bedrijf die dit heeft gemaakt. De verantwoordelijkheid voor de totstandkoming van de beslissing ligt bij de aanbieder. Juridisch is het dus mogelijk dat bepaalde verantwoordelijkheden anders liggen dan bij de aanbieder. Verder wordt door de heer Demmers opgemerkt dat het begrip credit scoring niet de lading dekt van wat ermee wordt bedoeld. Naar zijn mening is credit

<

VORIGE

INHOUD

VOLGENDE

> 65

scoring slechts een systeem. Nu lijkt het of een ieder die registreert door het rapport geraakt wordt. Zijns inziens zou de benaming van de rapportage moeten worden genuanceerd. De NVH bij monde van de heer Heytink geeft aan in het verleden door het bestuur een inventaris is gemaakt van klachten. E.e.a. heeft erin geresulteerd dat een aantal klachten die in het rapport overigens nog genoemd worden zoals het ontbreken van onderscheid in huisnummertoevoegingen, inmiddels zijn opgelost. Voor een telecombedrijf is het nog steeds noodzakelijk om te weten of een adres ‘besmet’ is. Er wordt echter geen besluit genomen voordat ook de persoonsscore hieraan gekoppeld is. Verder wordt opgemerkt dat daar waar aanhalingen uit de wet worden gedaan voor de duidelijkheid altijd te verwijzen naar het betreffende wetsartikel en/of Memorie van Toelichting. Tevens wordt gevraagd de begrippen allochtoon en etniciteit te definiëren. Ten slotte spreekt de heer Van Mastrigt zijn bijzondere waardering uit voor de wijze waarop dit onderwerp is besproken en denkt dat er een basis is om uiteindelijk tot een gedegen rapport te komen. Credit scoring is niet meer weg te denken; het belang ervan wordt onderkend en spreker vindt dit een goede zaak. De wetgever heeft veel geregeld maar laat ook heel veel open. Betrokkenen willen graag hun aandeel leveren aan het opvullen van de hiaten. De heer Van de Pol sluit de bijeenkomst af met de woorden dat de Registratiekamer heeft gezocht naar een plaats die credit scoring onder de nieuwe wetgeving zou kunnen innemen. Daar waar de bandbreedte voor de uitvoerende instellingen niet geheel duidelijk is wil de Registratiekamer hiervan graag op de hoogte worden gesteld. Spreker dankt alle aanwezigen voor hun constructieve inbreng.

< 66

VORIGE

INHOUD

VOLGENDE

>

De gewaardeerde klant Bijlage 4 Verslag van de bijeenkomst voor betrokken bedrijven en instanties

Deelnemerslijst Bedrijven/instanties:

Deelnemers:

BEN

A. Heidenkamp P. Meefout W. Karssenberg – manager kwaliteitssystemen G. Jongejan – assistent manager J. Wagner - insurance & social security division J.F. van ’t Schip –finance & administration J.J. Wagenaar – finance & administration L.N. Kreuger – credit policy officer M.H. Reuderink R.P. Verheij L. Keijzer M.R.T. van Loon – directeur R. Matthews – directeur information services J.H. van der Heiden – information services M. van Well – relationship manager Benelux

BKR Cap Gemini Casema NV Comfort Card DMSA EDR Experian Nederland

Fair, Isaac (Frankrijk) Holvast & Partner Incass Groep NL Intrum Justitia Klingel Europe KUB Centrum voor Recht, Bestuur en Informatisering Libertel Ministerie van Justitie Nederlandse Vereniging van Banken Nederlandse Vereniging van Handelsinformatiebureaus Nederlandse Vereniging van Incasso-ondernemingen OTTO Primeline Services BV Stichting NPC Telfort BV Transfair BV Universiteit van Utrecht Molengraaff Instituut voor Privaatrecht VFN Wehkamp BV

<

VORIGE

J. Holvast E. van Mastrigt – afgevaardigde bestuur P. Otten – manager secretariaat M. van Es – algemeen directeur J. Luteijn E. Schreuders - onderzoeker

J. Delait – credit manager E.B.M.H de Brouwer – juridische zaken en beleid J.M. Berkvens A. Heijtink – voorzitter R.J. van der Starre BV E. Roel – afdelingshoofd krediet H. ten Dam – specialist kredietbeleid N. H. M. Kuster – directeur operations Peeters B.C.M. van der Geest Y.D. Tienhooven – bedrijfsjurist R. Koorn – manager risk & fraude R. Schmolzer – manager operations D.H. Grimaldi – hoofd juridische afdeling M. Freudenthal – universitair onderzoeker/docent G. Demmers H. Heikamp - klantenmarketing

INHOUD

VOLGENDE

> 67

Registratiekamer Prins Clauslaan 20 Postbus 93374 2509 AJ Den Haag Telefoon 070 - 381 13 00 Fax 070 - 381 13 01 [email protected] Internet: www.registratiekamer.nl ISBN 90 740 8722 1 September 2000

<

VORIGE

INHOUD

VOLGENDE

>