VII.121 - VII.147/37 : Voorlichting van de betrokkene
De tekst van de bepalingen is identiek.
De GDPR, voorrang op het WER, gevolgen.
De artikelen VII.121 en VII.147/37 werden ingevoegd in het WER vóór de invoegetreding van de GDPR, die sedert 25 mei 2018 rechtstreeks van toepassing is in de rechtssystemen van de lidstaten. De tekst van de GDPR heeft voorrang op het nationale recht. Het WER mag maar worden toegepast wanneer het Wetboek de GDPR niet tegenspreekt. Wat consumentenvoorlichting bij de initiële registratie van de gegevens betreft, zijn de bepalingen van de GDPR gedetailleerder dan die van het WER. Het is bijgevolg de GDPR die de geldende reglementering bepaalt inzake de voorlichting van betrokkenen. De artikelen VII.121 en VII.147/34 dienen als vervangen te worden beschouwd door de bepalingen van de GDPR (en meer bepaald de artikelen 13 en 14 met betrekking tot de initiële registratie).
De regeling van de GDPR
Principe
"Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. Voorts moet de betrokkene worden geïnformeerd over het bestaan van profilering en de gevolgen daarvan. Indien de persoonsgegevens van de betrokkene moeten worden verkregen, moet hem worden meegedeeld of hij verplicht is de persoonsgegevens te verstrekken en wat de gevolgen zijn van niet-verstrekking van de gegevens" (overweging nr. 60 van de GDPR).
Voorlichting van de persoon bij wie de informatie werd verzameld
Voorlichting te verstrekken in alle gevallen
Artikel 13 van de GDPR verplicht de verwerkingsverantwoordelijke om, op het tijdstip waarop de gegevens in kwestie worden verkregen, de betrokkene een groter aantal inlichtingen mee te delen dan wat de wet van 8 december 1992 en het WER opleggen. Het betreft:
- de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke In dit verband wordt in de artikelen VII.121 en VII.147/37 bepaald dat wanneer de verwerkingsverantwoordelijke niet op het grondgebied van de EU is gevestigd, hij een verantwoordelijke vertegenwoordiger op het Belgische grondgebied moet aanwijzen. Deze kwestie wordt voortaan geregeld door artikel 27 van de GDPR, dat bepaalt dat verwerkingsverantwoordelijken die buiten de EU zijn gevestigd, een vertegenwoordiger dienen aan te wijzen, gevestigd in een van de lidstaten waar zich de betrokkenen bevinden wier persoonsgegevens in verband met het hun aanbieden van goederen of diensten worden verwerkt. De vereiste die stelt dat men over een vertegenwoordiger in België moet beschikken, lijkt bijgevolg in tegenstrijd te zijn met de tekst van de GDPR en moet sedert 25 mei 2018 als ongeldig worden beschouwd.
- de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking. De vermelding van de rechtsgrond van de verwerking is een nieuwe vereiste die in het oude regime niet bestond. Deze rechtsgrond is een van de zes rechtsgronden die in artikel 6.1 van de GDPR staan opgesomd. Het vermelden van de rechtsgrond is belangrijk voor de betrokkene omdat de rechtsgrond de omvang bepaalt van de rechten van de betrokkene en van de rechtsmiddelen waarvan hij gebruik kan maken. De verwerking van persoonsgegevens die verzameld worden naar aanleiding van een kredietverstrekking, is gebaseerd op een wettelijke verplichting (hypothese geformuleerd in artikel 6.1, c) van de GDPR).
- de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd.
- in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
- in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd. We herinneren eraan dat de bepalingen van het WER de overdracht verbieden van gegevens aan derden die hiertoe niet zijn gemachtigd krachtens artikel VII.119 (VII.147/35
Het recht van bezwaar moet ter kennis worden gebracht van de betrokkene, ten laatste op het tijdstip van de eerste mededeling. Dat recht moet uitdrukkelijk, op duidelijke wijze en gescheiden van overige informatie onder de aandacht van de betrokkene worden gebracht (artikel 21.4 van de GDPR).
Aanvullende gegevens
De GDPR bepaalt dat de verwerkingsverantwoordelijke bijkomende gegevens moet verstrekken om een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt (overweging nr. 60)
Deze bijkomende informatie heeft betrekking op:
a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;De bewaartermijn van de persoonsgegevens die verzameld worden naar aanleiding van een gereglementeerd krediet is bij wet vastgelegd (zie de commentaar bij art. VII.120 en VII.147/37)
b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoek en om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt ;
Het is daarom van belang dat een duidelijk onderscheid wordt gemaakt tussen informatie die is verzameld op basis van de artikelen VII.69 en VII.126 en die de betrokkene niet kan weigeren te verstrekken op straffe van weigering van het krediet, en andere informatie die de kredietgever op basis van andere rechtsgrondslagen kan opvragen en die bij een weigering om die informatie te verstrekken niet dezelfde gevolgen heeft.
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. Zie de commentaar op de credit scoring
Op welk tijdstip en in welke vorm moet de voorlichting plaatsvinden?
Volgens artikel 12.1 dient de betrokkene te worden voorgelicht op het tijdstip waarop de gegevens in kwestie worden verkregen. Bij gereglementeerde kredieten is dat tijdstip het moment waarop de betrokkenen (de consument of de derde die als zekerheidssteller optreedt) de vragenlijst invullen die de kredietgever of -bemiddelaar hen moet voorleggen. De informatie wordt de betrokkene schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt (12.1, GDPR). Al deze informatie mag in de vorm van een waarschuwing in de vragenlijst die wordt voorgelegd aan de kandidaat-kredietnemer en de persoon die als zekerheidsteller optreedt, worden opgenomen, op voorwaarde dat hen een exemplaar van deze vragenlijst wordt bezorgd. Voor zover de wettelijke voorschriften de verwerkingsverantwoordelijke verplichten om de consument te informeren op het moment van registratie van de niet-betaling, is de administratie van oordeel dat een vermelding a priori in de overeenkomst dat in geval van vertraging een registratie zal plaatsvinden, niet geacht wordt te voldoen aan de voorlichtingsplicht en de kennisgeving op het moment van de registratie niet kan vervangen.
De vereiste van transparantie - leesbaarheid en toegankelijkheid van informatie
De GDPR benadrukt in artikel 12.1 dat de voorlichting die de betrokkene krijgt, in beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taaldient plaats te vinden. Dit geldt met name voor alle voorlichting die bedoeld is voor een kind. De verantwoordelijke dient de uitoefening van de rechten van de betrokkene te faciliteren (12.2, GDPR).
Voorlichting in het geval waarin de gegevens niet worden verzameld bij de betrokkene
Te verstrekken informatie
Artikel 14 van de GDPR bepaalt dat de verwerkingsverantwoordelijke verplicht is om ook de betrokkene te informeren als zijn persoonsgegevens niet bij hemzelf worden verzameld. Deze kunnen zijn ingewonnen bij een derde of kunnen naar aanleiding van een andere verwerking zijn verzameld zonder tussenkomst van een andere persoon. De voorlichtingsplicht is vergelijkbaar met de verplichting voorzien in artikel 13 van de GDPR in het geval waarin de persoon zelf de gegevens verstrekt. De Europese wetgever voegde daar de verplichting aan toe om de categorieën van de betrokken gegevens te verduidelijken (14.1, d van de GDPR - dit is uiteraard niet nodig wanneer de betrokkene zelf deze gegevens verstrekt) en om de bron te identificeren waar de persoonsgegevens vandaan komen, en in voorkomend geval of zij afkomstig zijn van openbare bronnen (14.2, g van de GDPR).
Het gebeurt vaak dat de kredietaanvrager bij de aanvraag persoonsgegevens verstrekt over andere natuurlijke personen die verder niet optreden bij de kredietverrichting: het kan bijvoorbeeld informatie betreffen over de samenstelling van het gezin; of inkomensgegevens van een echtgenoot of samenwonende, of gegevens over schulden of schuldvorderingen (zoals alimentatie of huur) ten overstaan van andere personen, enz. Wanneer de kredietgever of -bemiddelaar bijgevolg persoonsgegevens registreert van natuurlijke personen die niet de aanvragers zijn van het krediet, is hij verplicht om deze persoon de informatie te verstrekken vermeld in artikel 14 van de GDPR. We herinneren er evenwel aan dat de informatie maar ingewonnen mag worden in de mate waarin deze noodzakelijk en ter zake dienend is. De identiteitsgegevens van een schuldeiser zijn niet altijd noodzakelijk en ter zake dienend.
Op welk tijdstip en in welke vorm moet de voorlichting plaatsvinden?
Artikel 14.3 van de GDPR verduidelijkt dat de betrokken moet worden voorgelicht binnen een redelijke termijn na de verzameling van de gegevens. Deze termijn mag evenwel één maand niet overschrijden. Indien deze gegevens worden gebruikt om met de persoon te communiceren of om aan een derde partij door te geven, moet de informatie uiterlijk bij de mededeling of de overdracht worden verstrekt.
De uitzonderingen
De GDPR bepaalt in artikel 14.5 dat de verplichte informatieverstrekking niet geldt bij de volgende hypotheses
a) de betrokkene reeds over de informatie beschikt;
b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden
c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregel en om de gerechtvaardigde belangen van de betrokkene te beschermen;
d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statutaire geheimhoudingsplicht.
Informatie inzake de registratie van de gegevens bij de Centrale voor Kredieten aan Particulieren
De registratie van de gegevens bij de CKP - bij het afsluiten van de kredietovereenkomst - wordt ter kennis gebracht van de betrokkene door middel van een verplichte vermelding in de kredietovereenkomst (artikelen VII.78, §2, 10° tot 13°, en VII.134, §2, 10° tot 13°). Deze informatie betreft echter alleen de kredietnemer. Zekerheidsstellers dienen specifieke informatie te ontvangen. Bij de registratie van een wanbetaling wordt de informatie verstrekt door de Nationale Bank van België, die de betrokkene op de hoogte brengt (artikel VII.151, WEB):
1° de referentie van de betrokken overeenkomst;
2° de doeleinden van de verwerking in de Centrale;
3° de naam en het adres van de persoon die de gegevens heeft medegedeeld;
4° het bestaan van een recht op toegang, op verbetering en op uitwissing van de gegevens alsook de bewaartermijnen van deze laatste;
5° de benaming en het adres van het bevoegde toezichthoudend bestuur bij de FOD Economie en van de Commissie voor de Bescherming van de Persoonlijke Levenssfeer.
Zie de commentaar op de Centrale voor Kredieten aan Particulieren
Overige informatieverplichtingen van de verwerkingsverantwoordelijke
De GDPR voorziet niet alleen een voorlichtingsverplichting bij de aanvankelijke registratie van de persoonsgegevens. De verordening zegt eveneens dat de verwerkingsverantwoordelijke de betrokkene moet informeren over de rectificatie of de wissing van de gegevens (artikel 19 GDPR), wanneer hij een einde maakt aan de beperking van de gegevensverwerking (artikel 18.3 GDPR) en wanneer de verantwoordelijke een schending vaststelt van de persoonsgegevens (artikel 34 GDPR).
Bovendien wordt in de artikelen VII.79 en VII.137 van het WEB bepaald dat in geval van weigering van een krediet, de kredietgever moet meedelenaan de consument onverwijld en kosteloos het resultaat van de raadpleging evenals de identiteit en het adres van de verantwoordelijke voor de verwerking van de bestanden die hij heeft geraadpleegd met inbegrip van, in voorkomend geval, de identiteit en het adres van de geraadpleegde kredietverzekeraar, en tot wie de consument zich kan wenden overeenkomstig in artikel VII.122. In voorkomend geval, geeft hij ook aan dat de weigering op een geautomatiseerde gegevensverwerking is gebaseerd.
