Registra)e van persoonsgegevens door verzekeraars mw. mr. Margot van Pelt en mw. mr. Brigi2e Bethlehem
Inhoud presenta)e • Fraudeaanpak: op welke gronden mag en moet geregistreerd worden?
• Fraudepreven<e: op welke manieren kan fraude worden voorkomen?
Fraudehandhaving (1) regelgeving Verzekeraars jegens verzekerden: wanneer recht te registreren? • WBP: Wet bescherming persoonsgegevens • CIS Gebruikersprotocol (laatste versie 1 november 2013) (Databank CIS (ook wel FISH of ABZ)) • GVPFI: Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (laatste versie 1 mei 2010) (Gebeurtenissenadministra>e en Intern VerwijzingsRegister (IVR)) • PIFI: Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (laatste versie: 23 oktober 2013) (Incidentenregister en Extern VerwijzingsRegister (EVR))
Welke registers zijn er? CIS Databank (deelnemers) Verzekeraar(-‐sgroep) -‐ Claimmeldingen (art. 13.1) (‘ongekleurde’ schades) Gebeurtenissenadministra<e (Veiligheidszaken intern) -‐ Speciale meldingen (art. 13.2): zoals: IVR *Volgmeldingen aan CBV; (HIT *Vertrouwelijke intern) mededelingen (royement) en GVPFI CIS *EVR Incidentenregister (HIT extern) Gebruikers-‐ (Veiligheidszaken protocol intern) PIFI
Fraudehandhaving (2) GVPFI: Gebeurtenissenadministra)e -‐ IVR Onderscheid tussen Gebeurtenissenadministra<e en IVR Zie de toelich
Kortom: De gebeurtenissenadministra<e kan alleen door de afdeling veiligheidszaken van een verzekeraar(-‐ sgroep) worden ingezien. Het daaraan gekoppelde IVR kan door alle afdelingen binnen een verzekeraar(-‐ sgroep) worden ingezien, maar dan wordt slechts een ‘HIT’ gegenereerd.
Fraudehandhaving (3) GVPFI: Gebeurtenissenadministra)e -‐ IVR • Aan welke randvoorwaarden moet worden voldaan voor registra<e? • In het GVPFI staat de verplich
teit en de doeleinden van de Verwerking van Persoonsgegevens, tenzij de Verantwoordelijke op goede gronden mag aannemen dat de Betrokkene daarvan reeds op de hoogte is. Aan deze informa>eplicht wordt voldaan vóór het moment van verkrijging.
Fraudehandhaving (4) GVPFI: Gebeurtenissenadministra)e -‐ IVR Wanneer komt iets in de Gebeurtenissenadministra<e en IVR? (2.k) defini<e Gebeurtenissenadministra<e: ‘Verwerking van Persoonsgegevens die van belang kunnen zijn voor de veiligheid en integriteit van de Financiële instelling en om die reden speciale aandacht behoeven.’ (4.2) Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verkregen. In arële) vorderingen onder meer ten aanzien van een met de Financiële instelling gesloten overeenkomst; (iii) het niet nakomen van contractuele verplich>ngen of andere (toerekenbare) tekortkomingen; of (iv) handelingen van Financiële instellingen, waaronder onderzoek als bedoeld in ar>kel 5.6.1 Gedragscode,
Fraudehandhaving (5) GVPFI: Gebeurtenissenadministra)e -‐ IVR De verzekeraar dient rekening te houden met het doel en de beginselen van proporge grondslagen: -‐ f. de Verwerking van Persoonsgegevens is noodzakelijk voor de behar>ging van het gerechtvaardigde belang van de Financiële instelling of van een Derde aan wie de Persoonsgegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de Betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert. (zie ook art. 8 sub f WBP) Zie r.o. 4.11. in Rechtbank Amsterdam 18 juli 2013, ECLI:NL:RBAMS:2013:5253.
• In ar
Fraudehandhaving (6)
• Bij overgaan tot registra<e zou verzekeraar duidelijker kunnen vermelden in welk(e) register(s) wordt geregistreerd. • Op<es zijn: • Intern (onder water): Gebeurtenissenadmini-‐ stra<e en IVR • Extern (boven water): Incidentenregister of EVR Foto uit Handreiking pag. 27 -‐>
Fraudehandhaving (7) PIFI: Incidentenregister en EVR • Informa<edeling tussen financiële instellingen: • Incidentenregister • Met daaraan gekoppeld het Extern Verwijzingsregister (EVR)
• Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI)
Fraudehandhaving (8) PIFI: Incidentenregister en EVR • Incident (art. 2 PIFI): • Een gebeurtenis die als gevolg heej, zou kunnen hebben of heej gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een Financiële Instelling, de Financiële Instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn, zoals het falsificeren van nota’s, iden
Fraudehandhaving (9) PIFI: Incidentenregister en EVR • 3.1 Incidentenregister en Extern Verwijzingsregister
• 3.1.1 Iedere Deelnemer heej een Incidentenregister, waarin door de betreffende Deelnemer gegevens van (rechts)personen worden vastgelegd ten behoeve van het in ar
Fraudehandhaving (10) PIFI: Incidentenregister en EVR • Art. 4.1.1 PIFI:
• “Met het oog op het kunnen deelnemen aan het Waarschuwingssysteem is iedere Deelnemer gehouden de volgende doelstelling voor het vastleggen van gegevens in het Incidentenregister te hanteren: • “Het geheel aan verwerkingen ten aanzien van het Incidentenregister heej tot doel het ondersteunen van ac
• op het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot benadeling van de branche waar de financiële instelling deel van uitmaakt, van de economische eenheid (groep) waartoe de financiële instelling behoort, van de financiële instelling zelf, alsmede van haar cliënten en medewerkers; • op het onderkennen, voorkomen, onderzoeken en bestrijden van oneigenlijk gebruik van producten, diensten en voorzieningen en/of (pogingen) tot stramare of laakbare gedragingen en/of overtreding van (we2elijke) voorschrijen, gericht tegen de branche waar de financiële instelling deel van uitmaakt, de economische eenheid (groep) waartoe de financiële instelling behoort, de financiële instelling zelf, alsmede haar cliënten en medewerkers; • op het gebruik van en de deelname aan waarschuwingssystemen.”
Fraudehandhaving (11) PIFI: Incidentenregister en EVR • Veiligheidszaken voert onderzoek uit naar het incident en de betrokken (rechts)personen. • De (persoons)gegevens in dit register mogen daar maximaal acht jaar vermeld staan (art. 4.3.1 PIFI). • De informa<e in de dossiers in het Incidentenregister is alleen zichtbaar voor de afdeling Veiligheidszaken. • Er kan informa<e-‐uitwisseling plaatsvinden met (art. 4.2 PIFI): • Veiligheidszaken andere aangesloten financiële instellingen; • Fraudeloke2en aangesloten bracheorganisa<es.
Fraudehandhaving (12) PIFI: Incidentenregister en EVR • Handreiking Verbond van Verzekeraars ‘Van gebeurtenis tot externe verwijzing’, p. 20: • In het verleden werd in het PIFI bepaald wat een maatschappij kon doen met een IVR melding. Het interne register was bestemd voor zaken waar bijvoorbeeld een redelijk vermoeden van fraude bestond maar waarin het bewijs niet afdoende kon worden geleverd. Een kwes<e was dan niet zwaar genoeg om andere instellingen op te a2enderen maar de maatschappij had wel de behoeje om de informa<e daarover binnen de eigen organisa<e te kunnen delen. Omdat de inrich
Fraudehandhaving (13) PIFI: Incidentenregister en EVR • Uitkomst onderzoek Veiligheidszaken: • Niet voldaan aan criteria voor een EVR-‐registra<e: • Verwijdering gegevens uit het Incidentenregister, nu niet langer aan de voorwaarden van ar
• Voldaan aan criteria voor een EVR-‐registra<e: • Opname persoonsgegevens in het EVR.
Fraudehandhaving (14) PIFI: Incidentenregister en EVR • Ar
Fraudehandhaving (15) PIFI: Incidentenregister en EVR • Gegronde verdenking van fraude (5.2.1 a en b PIFI) • De financiële instelling moet in het dossier van het incident ten opzichte van betrokkene genoeg bewijsmiddelen hebben op grond waarvan kan worden gesteld dat sprake is van een zware verdenking of bewezenverklaring. De informa<e in het dossier moet van dien aard zijn dat voor de rechter genoeg bewijs beschikbaar is om tot een bewezenverklaring van het stramare of onoorbare feit te kunnen komen. Er moet dus een zwaardere verdenking dan een redelijk vermoeden van schuld aanwezig zijn (HR 29 mei 2009, ECLI:NL:HR: 2009:BH4720).
Fraudehandhaving (16) PIFI: Incidentenregister en EVR • Gegronde verdenking van fraude (5.2.1 a en b PIFI) • Verdachte omstandigheden zijn onvoldoende voor een EVR-‐ registra<e: • GC 2015-‐143: Verdachte omstandigheden m.b.t. factuur gestolen tomtom en braaksporen auto.
• Rechtbank Limburg 13 juni 2013, ECLI:NL:RBLIM:2013:4232: Claim op inboedelverzekering wegens diefstal keqng. Verzekerde stelde dat zij de keqng in 2008 had gekocht. Op de foto die zij als bewijs van het bezit van de keqng overlegde, stond als datum 2007.
Fraudehandhaving (17) PIFI: Incidentenregister en EVR • Gegronde verdenking van fraude (5.2.1 a en b PIFI) • GC 2015-‐142: Schademelding op inboedelverzekering wegens amreken hoek induc<ekookplaat in 2012. Schade niet gedekt. Uitbreiding inboedelverzekering. Schademelding op inboedelverzekering wegens amreken hoek induc<ekookplaat in 2013.
Fraudehandhaving (18) PIFI: Incidentenregister en EVR • Hoor en wederhoor
• Rechtbank Limburg 13 juni 2013, ECLI:NL:RBLIM:2013:4232: Tot de eisen die aan een zorgvuldig onderzoek kunnen worden gesteld, behoort naar het oordeel van de voorzieningenrechter onder andere dat de verzekeraar in geval van verdenking van verzekeringsfraude de verzekeringnemer/verzekerde confronteert met haar verdenking en de verzekeringnemer/verzekerde hoort en in staat stelt om de verdenking te weerleggen en zijn/haar lezing van de feiten te geven, alvorens (eventueel) tot registra<e over te gaan. Immers, ook in gevallen waarin op het eerste gezicht ogenschijnlijk evident sprake lijkt van verzekeringsfraude, kan die verdenking ongegrond blijken te zijn in het licht van de lezing van de feiten die de verzekeringnemer/verzekerde geej. • Rechtbank Alkmaar 20 mei 2010, ECLI:NL:RBALK:2010:BM5139: Gelet op de verstrekkende gevolgen die een opname in het incidentenregister heej, zal naar het oordeel van de voorzieningenrechter in gevallen waarin twijfel mogelijk is, de betrokkene met het voornemen tot opname moeten worden geconfronteerd onder mededeling van de gronden voor de voorgenomen opname, tenzij strafvorderlijke bezwaren zich daartegen verze2en. Het fundamentele beginsel van hoor en wederhoor brengt mee dat de betrokkene in een dergelijk geval in de gelegenheid moet worden gesteld te worden gehoord over het voornemen tot opname.
Fraudehandhaving (19) PIFI: Incidentenregister en EVR • Hoor en wederhoor
• Rechtbank Overijssel 11 februari 2014, ECLI:NL:RBOVE:2014:624: Met [Verzekeraar] stelt de voorzieningenrechter vast dat het Protocol geen verplich
Fraudehandhaving (20) PIFI: Incidentenregister en EVR • Propor
• De dreiging van registra<e kan daaraan – al dan niet als preven<ef middel – een posi<eve bijdrage leveren, doch alleen indien in betreffende gevallen ook daadwerkelijk tot registra<e wordt overgegaan. • De belangen van Consument kunnen door registra<e echter zodanig zwaar worden geraakt dat in het concrete geval registra<e achterwege zal moeten blijven.
Fraudehandhaving (21) PIFI: Incidentenregister en EVR • Propor
• Als omstandigheden om af te zien van een EVR melding gelden (niet limita<ef): • • • • •
Correc<e van gegevens door de betrokkene bij eerste klantcontact; Spijtbetuiging bij confronta<e met de onderzoeksresultaten; Gering (financieel) belang; Betrokkene heej gehandeld op advies van professionele financieel dienstverlener; Persoonlijke omstandigheden betrokkene (geringe leejijd).
• • • • • • •
Volharden in leugens bij confronta<e met de onderzoeksresultaten; Opze2elijk veroorzaken van de schade; Opze2elijk manipuleren van bewijsstukken; Samenspanning met derden; Groot (financieel) belang; Recidive; Onderdeel van georganiseerde criminaliteit.
• Als omstandigheden die meewegen om tot een EVR melding over te gaan, gelden (niet limita<ef):
Fraudehandhaving (22) PIFI: Incidentenregister en EVR • Propor
Fraudehandhaving (23) PIFI: Incidentenregister en EVR • Propor
Fraudehandhaving (24) PIFI: Incidentenregister en EVR • Propor
• In het onderhavige geval brengt de registra<e echter niet alleen een uitslui
Fraudehandhaving (25) Gebruikersprotocol S?ch?ng CIS (2013) • In de CIS Databank staan: -‐ Claimmeldingen (art. 13.1) (‘ongekleurde’ schades) en -‐ Speciale meldingen (art. 13.2): zoals: *Volgmeldingen aan CBV; *Vertrouwelijke mededelingen (royement) * EVR (HIT extern) • Alle deelnemers (banken en verzekeraars) hebben toegang tot de databank (ar
Fraudehandhaving (26) Gebruikersprotocol S?ch?ng CIS (2013) • Het doel van S>ch>ng CIS is het behar>gen van de gemeenschappelijke belangen van haar deelnemers door bij te dragen aan en toe te zien op informa>e-‐uitwisseling tussen deelnemers onderling, tussen deelnemers en poli>e en jus>>e en met andere door het bestuur erkende instellingen zodat deelnemers misbruik van financiële producten en diensten kunnen ontdekken, voorkomen en bestrijden en risico’s kunnen beheersen in de ruimste zin des woords.
Fraudehandhaving (27) Gebruikersprotocol S?ch?ng CIS (2013) Ar7kel 9 Mededeling van opname 1. Betrokkene wordt geacht te weten dat zijn (persoon)gegevens door de deelnemer in de CIS databank worden vastgelegd dan wel geraadpleegd. 2. De deelnemer informeert betrokkene >jdig over de verwerking van zijn persoonsgegevens bij S>ch>ng CIS en kan gebruik maken van communica>evoorbeelden die S>ch>ng CIS ter beschikking stelt. 3. De deelnemer is verplicht te voorzien in informa>e over toepassing van de CIS databank door een tekst op zijn schadeaangiaeformulier, in polisvoorwaarden, bij verzekeringsaanvragen, en/of door middel van individuele berichtgeving aan betrokkene. 4. Het is de deelnemer in beginsel niet toegestaan persoonsgegevens in de CIS databank te plaatsen als hij betrokkene daarover vooraf niet heea geïnformeerd. (…).
Fraudehandhaving (28) Gebruikersprotocol S?ch?ng CIS (2013) Zie ook de uitspraak van de Geschillencommissie Kifid GC-‐2015-‐070: • “Aangeslotene dient haar verzekeringnemers duidelijk en ondubbelzinnig te informeren over de vermelding in de CIS Databank en op welk moment welke gegevens daarin worden verwerkt. Zij dient deze informa>e bovendien te verschaffen vóórdat een schadeclaim wordt ingediend, zodat verzekeringnemers daarmee rekening kunnen houden voordat zij hun claim indienen. Nu niet is gebleken dat Aangeslotene aan deze vereisten heea voldaan, was het haar op grond van ar>kel 9 lid 4 van het Gebruikersprotocol niet toegestaan de betreffende schademeldingen van Consument in de CIS databank te plaatsen.”
Fraudehandhaving (29) Gebruikersprotocol S?ch?ng CIS (2013) Mijn voorkeur gaat uit naar duidelijke informa<e op het schadeaangijeformulier zodat verzekeringnemers daarmee rekening kunnen houden voordat zij hun claim indienen • Waarbij allereerst moet worden vermeld dat alle banken en verzekeraars toegang hebben tot de CIS Databank • Dat neutrale schademeldingen na invulling van het schadeformulier ALTIJD worden geregistreerd in de CIS Databank (ongeacht dekking of schuld) en dat een nega<ef/afwijkend schadeverloop uiteindelijk kan leiden tot opzegging en • dat bij fraude een speciale melding in het EVR wordt geplaatst.
Verzekeraars lijken vooral gericht te zijn op het aanpakken van fraude en minder op fraudepreven<e.
Fraudepreven)e (1)
• Vaak wordt gedacht dat als de pakkans en strafmaat maar hoog genoeg zijn, mensen ra
PS
Fraudepreven)e (2) • Om in te spelen op de rage gevolgen die ook aan het plegen van verzekeringsfraude 'in het klein' verbonden zijn’. (AV&S 2009-‐36), zie ook Van Tiggele-‐van der Velde heej in ‘De foute verzekerde. Over verzekering & fraude’ in Verzekeringsarchief 2013-‐2 op pagina 80
Fraudepreven)e (3)
• Maar de afweging blijj niet beperkt tot pakkans en straf. • Boek “Heerlijk oneerlijk” van Dan Ariely Het wetenschappelijke bewijs liegt er niet om: eerlijke mensen bestaan niet. Hóé eerlijk we zijn blijkt sterk alankelijk van invloeden van buitenaf. De structuur van een organisa>e, de opmaak van een formulier, of we alleen zijn, of we net een moeilijke rekensom hebben opgelost, hoe goed we de nacht ervoor hebben geslapen en zelfs de kleding die we aanhebben: het zijn allemaal factoren die ons eerlijker of juist oneerlijker maken.
Fraudepreven)e (4)
• De theorie van de slotenmaker: “het slot is er om eerlijke mensen eerlijk te houden” • Dan Ariely stelt dat de ra
Fraudepreven)e (5)
B
B
PS
PS
P S
B B
M P S
Fraudepreven)e (6) • De groo2e van die sjoemelmarge is aYankelijk van verschillende factoren (zoals irrita<e en sociale groep die de marge vergroten). • Die sjoemelmarge kan kleiner worden als mensen vooraf aan ethische normen en waarden worden herinnerd. • Een handtekening (na de zin: ‘Ik vul deze gegevens volledig en naar waarheid in’) bovenaan het schadeaangijeformulier heej volgens Dan Ariely fraudewerende werking. • Onderaan het formulier een handtekening laten ze2en werkt niet fraudewerend (ook al is de tekst exact hetzelfde). Als eenmaal een onware opgave (hoogte schadebedrag of omschrijving oorzaak) is gedaan, komen mensen daar niet snel meer op terug. • Reden om ook op dit aspect vooraf ac<e te ondernemen!
Vragen ?