De samenleving wil lerende aanpak van de AP

Op aandringen van de Autoriteit Persoonsgegevens (AP) werkt het kabinet aan privacy-vriendelijkere regels voor de kredietregistratie in Nederland. Die moeten zorgen voor een betere bescherming van persoonsgegevens bij het afsluiten van bijvoorbeeld een banklening of een telefoonabonnement. Een nieuw wetsvoorstel hierover gaat de goede kant op, maar moet volgens de AP op een aantal punten nog worden verbeterd.

Als iemand geld wil lenen of iets op krediet wil kopen, moet de kredietaanbieder (een bank, telecomprovider of webshop bijvoorbeeld) inschatten of diegene niet te veel schulden op zich neemt. Daarvoor wisselen zij informatie uit met het BKR, de organisatie die in Nederland het kredietregister beheert. Het BKR verwerkt privacygevoelige informatie van miljoenen mensen in Nederland, zoals gegevens over leningen, rood staan en betalingsachterstanden. Juist daarom is een duidelijke wettelijke basis voor kredietregistratie belangrijk.

Wet legt rol BKR vast

Het wetsvoorstel legt voor het eerst de rol van het BKR - een particuliere organisatie - wettelijk vast. Dat versterkt de democratische legitimatie van kredietregistratie in Nederland. De AP had daar eerder al op aangedrongen.

Initiatief van AP

Het wetgevingsproces werd in gang gezet nadat de AP in 2019 op eigen initiatief de minister van Financiën had geadviseerd dat de kredietregistratie wettelijk beter moest worden geregeld, zodat het fundamentele recht op bescherming van persoonsgegevens beter wordt beschermd.

Daarop legde het kabinet in 2024 een eerste wetsvoorstel voor aan de AP. De AP wees toen op verschillende punten die verbeterd moesten worden. Het kabinet heeft een aantal van die verbeteringen doorgevoerd in de huidige versie van het wetsvoorstel. Dat is positief. Zo mag het BKR de krediethistorie van mensen bijvoorbeeld minder vaak en lang bewaren. Mensen kunnen daardoor na het aflossen van een krediet sneller verder met een 'schone lei'.

Ook legt het wetsvoorstel nu duidelijk vast vanaf welk kredietbedrag registratie bij het BKR verplicht is. En het wetsvoorstel maakt het minder ingewikkeld om een verzoek in te dienen om gegevens bij het BKR te laten verwijderen.

Verdere verbetering nodig

Het wetsvoorstel bevat ook enkele nieuwe bepalingen die volgens de AP nog moeten worden verbeterd. AP-bestuurslid Katja Mur: 'Mensen hebben baat bij duidelijke, wettelijke regels rond kredietregistratie. Mensen moeten niet onnodig lang geregistreerd staan bij BKR als zij een lening afbetalen. De AP heeft daar steeds op gewezen. Het is goed om te zien dat het kabinet er mee aan de slag is gegaan. Nu moet het kabinet de laatste verbeteringen doorvoeren, zodat de persoonlijke gegevens van mensen voldoende worden beschermd.'

Risicoscore

Zo maakt het wetsvoorstel niet duidelijk op basis van welke persoonlijke kredietgegevens het BKR het risico mag inschatten dat iemand een betalingsachterstand zal krijgen. Dat terwijl mensen die duidelijkheid wel moeten hebben. Want een risicoscore kan behoorlijke impact hebben, bijvoorbeeld op iemands kans om een lening te krijgen.

Doel van het kredietstelsel

Ook staat in het wetsvoorstel dat gegevens uit het BKR-register mogen worden gebruikt 'voor andere bij wet vastgestelde doeleinden'. Dat heeft geen nut en roept onduidelijkheid op. De wetgever mag bepalen dat de gegevens voor andere doeleinden kunnen worden gebruikt, maar dat kan niet zomaar elk doeleinde zijn. Het mag alleen gaan om een begrensd aantal doelstellingen van groot maatschappelijk belang die expliciet in de privacywet AVG staan. De wetgever moet per geval de noodzaak en evenredigheid daarvan onderbouwen. Zodat mensen vooraf weten voor welke doelen hun gegevens mogelijk gebruikt worden.

Archivering

Tot slot maakt het wetsvoorstel niet duidelijk dat het BKR gearchiveerde gegevens alleen mag gebruiken voor een beperkt aantal doelen, zoals het ontwikkelen van statistische scoremodellen en trendrapportages. Deze afbakening is wel nodig om te voorkomen dat archiefgegevens ergens anders voor worden gebruikt.