Hoge Raad over bankregisters: wanneer is een aantekening een strafrechtelijk persoonsgegeven?

Een handelaar in oud ijzer en metalen raakt zijn zakelijke rekeningen kwijt. De bank legt in haar interne registers vast waarom, en bewaart dat acht jaar. De cliënt vindt dat de aantekening strafrechtelijke gegevens over hem bevat en eist dat zij verdwijnt. Op 6 november 2026 verwierp de Hoge Raad zijn cassatieberoep (ECLI:NL:HR:2026:1815).

Het arrest is kort, maar het raakt twee vragen die elke organisatie met een incidenten- of frauderegister kent. Wanneer is een aantekening een strafrechtelijk persoonsgegeven in de zin van artikel 10 AVG? En wat moet u kunnen laten zien als de betrokkene bezwaar maakt op grond van artikel 21 AVG?

Wat er speelde

De cliënt heeft een eenmanszaak die volgens het handelsregister onder meer handelt in oud ijzer en metalen. In 2021 liet ING weten de zakelijke rekeningen te beëindigen. De reden: de cliënt had in een periodiek cliëntenonderzoek geen transparant beeld gegeven van het gebruik van die rekeningen, waardoor de bank onvoldoende inhoud kon geven aan haar verplichtingen onder de Wft en de Wwft. In oktober 2022 eindigde de relatie. De cliënt verzette zich eerst, maar berustte er uiteindelijk in (rov. 2.1).

ING nam gegevens over hem op in haar Gebeurtenissenadministratie en haar Interne Verwijzingsregister (IVR), voor acht jaar. Volgens de aantekening was de voornaamste reden dat hij grote cashuitgaven had gedaan "die niet te verantwoorden zijn". Daarbij speelde mee dat hij geen adequate boekhouding van zijn cashinkopen bijhield en te weinig maatregelen nam om betrokkenheid bij heling, witwassen en andere financieel-economische criminaliteit uit te sluiten.

De cliënt vorderde dat ING de registratie zou schrappen. De rechtbank wees dat af en het gerechtshof Amsterdam bekrachtigde dat vonnis op 13 mei 2025 (rov. 2.2 tot en met 2.4). Het hof ging ervan uit dat het IVR alleen binnen ING kan worden geraadpleegd en dat een medewerker alleen ziet dat iemand is opgenomen, niet waarom (ECLI:NL:GHAMS:2025:1261, rov. 5.9).

Artikel 10 AVG: drie criteria, niet alleen het nationale etiket

Artikel 10 AVG stelt extra eisen aan gegevens over strafrechtelijke veroordelingen en strafbare feiten. Verwerking mag alleen onder toezicht van de overheid, of als Unierecht of nationaal recht het toestaat met passende waarborgen (rov. 3.1.2).

Het hof vond dat de aantekening zulke gegevens niet bevatte. Het gebruikte de maatstaf uit een beschikking van de Hoge Raad van 29 mei 2009 (ECLI:NL:HR:2009:BH4720): strafrechtelijke persoonsgegevens zijn concrete feiten en omstandigheden die een bewezenverklaring van een strafbaar feit kunnen dragen. Cashuitgaven zonder verantwoording, een gebrekkige boekhouding en te weinig maatregelen zijn dat volgens het hof niet (rov. 5.12 van het hof).

In cassatie klaagde de cliënt dat het hof alleen naar het Nederlandse recht had gekeken. Op het uitgangspunt krijgt hij gelijk. Het begrip strafbaar feit moet in de hele Unie autonoom en uniform worden uitgelegd, en volgens het Hof van Justitie in B tegen Latvijas Republikas Saeima (C-439/19, punten 87 en 88) zijn drie criteria relevant (rov. 3.1.3):

• de juridische kwalificatie van het feit naar nationaal recht;
• de aard zelf van het feit;
• de zwaarte van de sanctie die de betrokkene kan krijgen.

Ook een feit dat nationaal niet als strafbaar feit geldt, kan dus onder artikel 10 vallen. In de Letse zaak gold dat voor verkeersovertredingen waarvoor strafpunten werden toegekend (punten 93 en 94).

Toch faalt de klacht. Het hof had de drie criteria niet miskend: "in het licht van het partijdebat" kon het oordelen dat het tweede en derde criterium niet aan de orde waren (rov. 3.1.5). De Hoge Raad verwijst daarbij naar de conclusie van de advocaat-generaal. Die merkt op dat in de feitelijke instanties niet was gesteld of gebleken dat voor de feiten uit de aantekening op een andere manier, bijvoorbeeld buiten het strafrecht, een sanctie kon worden opgelegd (conclusie onder 4.5).

Artikel 21 AVG: het belang van de bank droeg ook het bezwaar

Wie persoonsgegevens verwerkt op grond van een publieke taak of een gerechtvaardigd belang (artikel 6 lid 1 onder e of f), krijgt te maken met het recht van bezwaar. Maakt de betrokkene bezwaar vanwege zijn specifieke situatie, dan staakt de verantwoordelijke de verwerking, tenzij hij dwingende gerechtvaardigde gronden aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene (rov. 3.2.2).

De cliënt klaagde dat het hof die toets had overgeslagen. Het hof had geoordeeld dat ING "een gerechtvaardigd en zwaarwegend belang" heeft, "ook gelet op haar verplichtingen onder de Wwft", om gedurende zekere tijd bij te houden dat en waarom zij een relatie heeft beëindigd. Het belang van de cliënt woog daar in dit geval niet tegen op. Het hof nam in aanmerking dat niet was gebleken dat de gegevens voor derden toegankelijk waren, en evenmin dat de cliënt werd belemmerd bij andere financiële dienstverleners (rov. 5.19 van het hof).

Volgens de Hoge Raad ligt in dat oordeel besloten dat ING dwingende gerechtvaardigde gronden heeft aangevoerd die zwaarder wegen dan de belangen, rechten en vrijheden van de cliënt (rov. 3.2.3).

Wat de Hoge Raad niet heeft beslist

• Geen algemeen oordeel over registers. De Hoge Raad woog niet zelf de belangen. Hij beoordeelde klachten tegen een afweging die het hof maakte "onder de omstandigheden van dit geval".
• Geen oordeel dat zo'n aantekening nooit onder artikel 10 valt. De drie criteria gelden. Twee ervan waren hier niet aan de orde door de manier waarop het debat was gevoerd.
• Geen motivering over de rest. De overige klachten, die volgens de conclusie (onder 1.3) onder meer gingen over toegankelijkheid voor derden, juistheid en minimale gegevensverwerking (artikel 5 lid 1 onder c en d), zijn verworpen met artikel 81 lid 1 RO, dus zonder uitleg (rov. 3.3).
• Geen oordeel over de termijn van acht jaar als zodanig. Het arrest bevat daar geen overweging over.

Wat u nu kunt nalopen

Wat volgt is ons advies op basis van het arrest en de uitspraak van het hof, geen oordeel van de Hoge Raad. Het geldt voor banken en verzekeraars, en net zo goed voor andere organisaties en gemeenten met een incidenten- of frauderegister.

1. Lees uw aantekeningen op wat er feitelijk staat. Het hof woog mee dat ING de redenen voor de opzegging had vastgelegd en nergens dat de cliënt een strafbaar feit had gepleegd (rov. 5.20 van het hof). Het nam ook in aanmerking dat de aantekening aansloot bij de redenen uit de opzeggingsbrief. Staat in uw register wel een concreet feitencomplex dat een bewezenverklaring kan dragen, ga er dan van uit dat artikel 10 meespeelt.
2. Kijk verder dan het strafrecht. Legt u gedragingen vast waarvoor buiten het strafrecht een sanctie kan volgen, toets dan ook de aard van het feit en de zwaarte van de sanctie.
3. Leg de belangenafweging vast, met de omstandigheden. Wie kan het register inzien, ziet een medewerker de reden of alleen een signaal, en gaan gegevens naar derden? Deelt u uw register met andere organisaties, dan kunt u niet op deze afweging leunen.
4. Richt de bezwaarprocedure in op artikel 21. Het bezwaarrecht geldt bij een gerechtvaardigd belang en bij een publieke taak, dus ook voor gemeenten. Noteer bij een bezwaar welke specifieke situatie de betrokkene aanvoert en waarom uw gronden dwingend zijn.
5. Onderbouw de bewaartermijn zelf. Het hof sprak van bijhouden "gedurende zekere tijd". Dit arrest maakt acht jaar geen algemene norm.

Voor een eerste gestructureerde check van een concrete verwerking onder de AVG en de AI Act kunt u de gratis casus-check gebruiken. Meer uitspraken staan in ons overzicht van AVG-rechtspraak.