BSN als zoekterm in het BKR: een goed idee?

Iedereen die als schuldenaar naar voren komt bij het Bureau Krediet Registratie (hierna: BKR) loopt het risico te worden afgewezen bij het aanvragen van een lening. Dit kan het geval zijn als je schulden hebt gemaakt en deze nog niet zijn afgelost. Onlangs werd aan iemand echter ook een lening geweigerd, terwijl op zijn financiële geschiedenis niets aan te merken viel. In deze blog ga ik in op de vraag hoe dit is gebeurd en in hoeverre een voorgestelde oplossing de privacy waarborgt.

Registratie gegevens in het BKR

Op het moment dat je in Nederland een lening neemt, dan wel in de gelegenheid bent om rood te staan bij een bank, word je automatisch geregistreerd bij het BKR. Bij het aanvragen van een nieuwe lening is de kredietverstrekker (bijv. een bank), verplicht om het BKR register te controleren om te zien of de lening verantwoord is. Indien er een betalingsachterstand in het verleden blijkt te zijn, zal de kredietverstrekker de nieuwe lening afwijzen. Het BKR moet op die manier voorkomen dat er onverantwoorde schulden worden opgebouwd.

Bij het doorzoeken van het register wordt gewerkt op basis van trefwoorden zoals de familienaam, het geboortejaar, de postcode en het woonadres (hierna: NAW-gegevens). Dit levert in sommige gevallen meerdere zoekresultaten op, bijvoorbeeld bij een veel voorkomende achternaam. Het resultaat is dat een burger ten onrechte als wanbetaler wordt aangemerkt. Je kunt je afvragen in hoeverre het uit het oogpunt van privacy geoorloofd is als de bank als derde partij je persoonsgegevens kan inzien.

Kritiek van de AP

Eerder heeft het BKR haar werkwijze aangepast na stevige kritiek van de Autoriteit Persoonsgegevens (hierna: AP). De werkwijze van het BKR voldeed volgens de AP niet aan de AVG. In de AVG is bepaald dat burgers recht hebben op inzage in de gegevens die organisaties en instellingen over hen verwerken.[1] Het inzagerecht bij het BKR bleek echter gepaard te gaan met te hoge drempels. Bij het BKR konden burgers wel hun gegevens inzien, maar dit gebeurde op een omslachtige manier.[2] Het BKR maakte het na de kritiek van de AP o.a. makkelijker voor burgers om hun gegevens in het kredietregister online in te zien.

Privacy in het geding?

In het licht van de privacy lijkt het BKR in dit geval niet onrechtmatig te handelen. Een bank mag in het BKR-systeem kijken, zij is daartoe bevoegd. Het feit dat het invoeren van NAW-gegevens soms tot meer resultaten leidt, is gezien de huidige regelgeving volgens sommigen onvermijdelijk.[3] Daarom acht ik de kans klein dat het BKR nog een reprimande van de AP zal krijgen.

Een oplossing voor de onjuiste toewijzing van wanbetalers zou kunnen zijn dat het BKR met het BSN mag werken. Een probleem is echter dat het BSN op dit moment nog niet gebruikt mag worden door instanties als het BKR. Dat is niet zonder reden. Omdat je met het BSN heel veel persoonsgegevens aan elkaar kunt koppelen, is het risico op identiteitsfraude volop aanwezig. Er moet dus nog wel het een en ander worden geregeld zoals wie er toegang krijgt tot het BKR register. Daarnaast is het aan te raden om gegevens, waaronder het BSN, versleuteld op te slaan. Mochten de gegevens dan op straat komen te liggen, kunnen de gegevens zelf alsnog niet zomaar worden ingezien.

Mocht iemand op basis van NAW-gegevens als mogelijke schuldenaar uit de bus komen, kan aan de hand van het BSN dubbel worden gecheckt of het inderdaad om de juiste persoon gaat. Ik benadruk daarom dat access control in dat geval extra belangrijk zal zijn. Door een beperkt aantal mensen de bevoegdheid te geven om het BSN in te zien, wordt het effect op privacy minimaal. Tegelijkertijd voorkomt men dat er geen onterechte aantijgingen meer worden gemaakt.

En nu?

Mijns inziens kun je dus prima werken met het BSN in het BKR-register, mits bovenstaande maatregelen worden genomen. Op dit moment werkt het kabinet aan een wetsvoorstel over de ins en outs van het BKR. Hopelijk krijgt het BSN hierin een plaats en blijft ook het recht op privacy gewaarborgd.

[1] Artikel 15 AVG.

[2]‘BKR past beleid aan na kritiek van Autoriteit Persoonsgegevens’, www.theprivacyofficers.nl.

[3]’Het BKR ziet mensen zonder schulden soms voor wanbetalers aan. Wat nu?’, www.detrouw.nl.