ECLI:NL:GHAMS:2026:459

1. [geïntimeerde 1] , tevens handelend onder de naam [geïntimeerde 1] ,

1. De zaak in het kort

3. Feiten

De rechtbank heeft in de bestreden beschikking onder 2.1 tot en met 2.8 de feiten genoemd waarvan zij bij haar beschikking is uitgegaan. Daarover bestaat in hoger beroep geen geschil, zodat ook het hof daarvan zal uitgaan met dien verstande dat het hof mede acht zal slaan op enkele andere, hierna te noemen, feiten die tussen partijen niet in geschil zijn. Het gaat in deze zaak om het volgende.

[geïntimeerde 1] is een zorgaanbieder die zich richt op het aanbieden van zorg in de regio [plaats 1] aan volwassenen met een verstandelijke (en/of psychische) kwetsbaarheid. [geïntimeerde 1] levert ondersteuning en (individuele) begeleiding aan zorgvragers op basis van een persoonsgebonden budget (hierna: pgb) via de Wet langdurige zorg (Wlz) en de Wet maatschappelijke ondersteuning (Wmo). [geïntimeerde 2] is (indirect) enig bestuurder en aandeelhouder van [geïntimeerde 1] .

Zilveren Kruis is een zorgkantoor dat belast is met de uitvoering van de Wlz en de controle op die uitvoering. Zilveren Kruis voert de Wlz uit voor, onder andere, de regio [plaats 1] . Een van haar taken is het (laten) uitbetalen van zorgkosten die worden vergoed op grond van de Wlz aan zorgaanbieders, zoals [geïntimeerde 1] , en het uitvoeren van controle op de rechtmatige besteding van pgb’s.

Tot de verzekerden aan wie Zilveren Kruis over 2019 en 2020 een pgb had toegekend, behoorden veertien personen die zich voor het verlenen van zorg hadden gewend tot [geïntimeerde 1] . Verscheidene verzekerden waren onder bewind gesteld. Enkele verzekerden maakten bij het aanwenden van het pgb gebruik van de bijstand van een gewaarborgde hulp: een persoon die verantwoordelijk was voor het juist uitvoeren van de administratie van het pgb. [geïntimeerde 1] heeft over 2019 voor deze veertien verzekerden declaraties ingediend voor in totaal € 995.574,37. De declaraties zijn door de Sociale Verzekeringsbank (SVB) voldaan.

Naar aanleiding van diverse meldingen is Zilveren Kruis in de loop van 2019 een fraudeonderzoek naar [geïntimeerde 1] gestart. In haar definitieve bevindingen rapportage van 16 september 2020 heeft Zilveren Kruis geconcludeerd - kort gezegd - dat [geïntimeerde 1] in de jaren 2019 en 2020 meer zorg heeft gefactureerd dat zij heeft geleverd en dat daarmee sprake is van fraude.

Op dezelfde datum heeft Zilveren Kruis aan [geïntimeerde 1] beschikkingen toegezonden waarbij Zilveren Kruis het pgb van veertien budgethouders heeft ingetrokken die zorg ontvingen van [geïntimeerde 1] . Zilveren Kruis heeft hierbij vermeld dat zij [geïntimeerde 1] als derde-belanghebbende aanmerkte bij deze intrekkingsbeschikkingen.

Bij brief van 20 oktober 2020 heeft Zilveren Kruis [geïntimeerde 1] en [geïntimeerde 2] (persoonlijk) aansprakelijk gesteld voor schade, gelijk aan de hoogte van de ingetrokken pgb’s over 2019 en 2020, te weten € 950.906,56. Daarnaast heeft Zilveren Kruis aan [geïntimeerde 1] de volgende maatregelen opgelegd:

- vermelding in het Incidentenregister van Zilveren Kruis (hierna: het Incidentenregister) voor de duur van acht jaar;

- vermelding in het Externe Verwijzingsregister (hierna: EVR) voor de duur van acht jaar, en

- melding via Zorgverzekeraars Nederland (ZN) aan de Nederlandse Zorg Autoriteit.

Deze (ver)meldingen zijn op die diezelfde dag geëffectueerd.

Zilveren Kruis heeft geen strafrechtelijke aangifte gedaan van de gestelde fraude. Zilveren Kruis heeft evenmin in rechte een vordering ingesteld jegens [geïntimeerden]

Tegen de besluiten tot het intrekken van de veertien pgb’s heeft [geïntimeerde 1] bezwaar gemaakt. Die bezwaren zijn door Zilveren Kruis ongegrond verklaard. [geïntimeerde 1] heeft in alle gevallen beroep ingesteld bij de bestuursrechter van de rechtbank [plaats 1] . De bestuursrechter heeft [geïntimeerde 1] in het gelijk gesteld en daartoe onder meer het volgende overwogen:

“(…) in een geval als het onderhavige, waarbij sprake is van een sluitende administratie, er meer bewijs nodig is om tot de conclusie te kunnen komen dat de facturatie en/of administratie niet klopt. Op basis van het (beperkte) onderzoek, zoals dat heeft plaatsgevonden, kan het Zorgkantoor dus niet - achteraf - de conclusies trekken zoals het heeft gedaan. Er waren vermoedens die aanleiding gaven voor onderzoek, maar het door Zorgkantoor verrichte onderzoek heeft te weinig concreet bewijs opgeleverd om op basis daarvan harde conclusies te trekken over de geleverde zorg. Het Zorgkantoor is derhalve niet in de bewijslast gelaagd om het pgb lager vast te kunnen stellen of in te trekken. Dat betekent dat het beroep gegrond is. (…)”

Tegen deze uitspraken van de bestuursrechter heeft Zilveren Kruis hoger beroep ingesteld bij de Centrale Raad van Beroep (CRvB). [geïntimeerde 1] heeft op haar beurt incidenteel hoger beroep ingesteld. De CRvB heeft in dossiers van vier budgethouders geoordeeld dat [geïntimeerde 1] niet-ontvankelijk is omdat zij niet als derde-belanghebbende heeft te gelden en de bestreden uitspraken van de rechtbank [plaats 1] zonder verdere (inhoudelijke) beoordeling vernietigd.

[geïntimeerden] hebben in de periode tussen april 2021 en april 2024 diverse verzoeken gedaan aan Zilveren Kruis om hun gegevens uit het Incidentenregister en het EVR te verwijderen. Zilveren Kruis heeft die verzoeken telkens afgewezen. Dit geldt ook voor het daartegen gemaakte (bestuursrechtelijke) bezwaar. Een vordering tot verwijdering van de registraties in kort geding is op 23 juni 2021 door de voorzieningenrechter van de rechtbank Midden-Nederland afgewezen wegens het ontbreken van een spoedeisend belang.

4. Procedure bij de rechtbank

[geïntimeerden] hebben in eerste aanleg verzocht Zilveren Kruis te veroordelen de registraties van [geïntimeerde 1] en [geïntimeerde 2] in het Incidentenregister en het EVR te verwijderen en verwijderd te houden althans de duur van de registraties te verlagen naar een maximum van drie jaar, op straffe van verbeurte van een dwangsom, en met veroordeling van Zilveren Kruis in de kosten van de procedure.

Nadat Zilveren Kruis verweer had gevoerd, heeft de rechtbank bij de bestreden beschikking Zilveren Kruis, uitvoerbaar bij voorraad, veroordeeld de registraties van [geïntimeerden] in het Incidentenregister en in het EVR te verwijderen en verwijderd te houden. Tevens heeft de rechtbank Zilveren Kruis veroordeeld in de proceskosten. De rechtbank heeft daartoe - kort gezegd - overwogen dat niet in voldoende vaststaat dat [geïntimeerden] betrokken zijn geweest bij valsheid in geschrift/oplichting en dat derhalve niet is voldaan aan de door het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen 2013 (hierna: het Protocol) gestelde eisen voor registratie van gegevens.

5. Procedure in hoger beroep

Tegen voornoemde beslissing en de daaraan ten grondslag gelegde motivering komt Zilveren Kruis in hoger beroep met acht grieven op. Zilveren Kruis verzoekt in hoger beroep de bestreden beschikking te vernietigen en het in eerste aanleg gedane verzoek van [geïntimeerden] alsnog af te wijzen, met - uitvoerbaar bij voorraad - veroordeling van [geïntimeerden] in de kosten van het geding in beide instanties.

[geïntimeerden] bestrijden de grieven.

6. Beoordeling

De grieven strekken ertoe dat de registraties in het Incidentenregister en in het EVR terecht zijn en gehandhaafd moeten worden tot oktober 2028, de periode waarvoor zij zijn gedaan. Zilveren Kruis heeft daartoe het volgende aangevoerd. Na ontvangst van meldingen is Zilveren Kruis een onderzoek gestart naar mogelijke fraude door [geïntimeerde 1] . In het kader van dit onderzoek heeft Zilveren Kruis drie onder [geïntimeerde 1] rustende dossiers ingezien, veertien verzekerden telefonisch gehoord, bij twee verzekerden een huisbezoek afgelegd en informatie ingewonnen bij bewindvoerders en mentoren van verzekerden. Uit het onderzoek is volgens Zilveren Kruis gebleken dat:

- [geïntimeerde 1] zorgovereenkomsten sloot met een onjuiste inhoud;

- zorgbeschrijvingen niet op de persoon toegespitste standaarddocumenten waren;

- [geïntimeerde 1] niet aan de verplichting voldeed de overeenkomsten aan de werkelijke situatie aan te passen nadat een wijziging was opgetreden;

- [geïntimeerde 1] onjuiste informatie verstrekte aan Zilveren Kruis over de door haar aan de budgethouders verstrekte persoonlijke roosters;

- veertien budgethouders onafhankelijk van elkaar hebben verklaard dat [geïntimeerde 1] stelselmatig veel meer werkzaamheden declareerde dan zij had verricht;

- [geïntimeerde 1] maandelijks een telkens gelijk maximaal aantal uren declareerde en in totaal € 562.528,67 teveel in rekening heeft gebracht;

- [geïntimeerde 1] werkzaamheden declareerde op tijden waarop budgethouders niet beschikbaar waren voor het verlenen van zorg;

- [geïntimeerde 1] het aantal gedeclareerde uren ophoogde met werkzaamheden die niet voor vergoeding in aanmerking kwamen;

- [geïntimeerde 1] werkzaamheden declareerde zonder de vereiste controle en instemming van verzekerden;

- het zorgkantoor en de SVB de hun onbekende onjuiste wijze van declareren van [geïntimeerde 1] nimmer hebben geaccepteerd;

- [geïntimeerde 1] geen gebruik maakte van een wettelijke voorgeschreven audit-trail aan de hand waarvan haar declaraties gecontroleerd konden worden;

- [geïntimeerde 1] herhaaldelijk en ondanks toezegging weigert informatie te verstrekken waaruit zou kunnen blijken dat de gedeclareerde zorg feitelijk is geleverd en Wlz-zorg betreft;

- het door [geïntimeerde 1] verstrekte werkrooster voor het hele jaar 2019 in strijd is met de overige roosters en verder verkregen informatie en onjuist is;

- de administratie van [geïntimeerde 1] niet volledig is en evenmin voldoet aan artikel 36 Wet marktordening gezondheidszorg (Wmg); en

- de verzoeken van [geïntimeerde 1] om de registraties de beëindigen geen informatie bevatten waaruit blijkt dat gedeclareerde zorg daadwerkelijk is geleverd en Wlz-zorg betrof.

Het hof stelt voorop dat de registratie van persoonsgegevens in het Incidentenregister en het EVR een verwerking is van persoonsgegevens, zodat moet worden voldaan aan de eisen van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet op de AVG (UAVG). Opname in en raadpleging van deze registers is alleen toegestaan onder de voorwaarden van het door de Autoriteit Persoonsgegevens goedgekeurde Protocol die met de inwerkingtreding van de AVG in 2021 enigszins is aangepast. De voor de onderhavige relevante bepalingen uit het Protocol, zoals hierna vermeld, zijn in 2021 (nagenoeg) identiek gebleven. De Autoriteit Persoonsgegevens heeft voor de verwerking van strafrechtelijke persoonsgegevens (als gedefinieerd in het Protocol, hierna: de strafrechtelijke persoonsgegevens) overeenkomstig het Protocol een vergunning verstrekt. In het Incidentenregister worden incidenten vastgelegd, zijnde een gebeurtenis die als gevolg heeft, zou kunnen hebben of heeft gehad dat de belangen, integriteit of veiligheid van de cliënten of medewerkers van een financiële instelling, de financiële instelling zelf of de financiële sector als geheel in het geding zijn of kunnen zijn (artikel 3.1.1 juncto artikel 4.1.1 en artikel 2 Protocol). Aan het Incidentenregister is het EVR gekoppeld. Hierdoor kunnen deelnemende financiële instellingen op basis van een hit - no hit toetsen of een (potentiële) klant in het Incidentenregister is geregistreerd.

Opname van (strafrechtelijke) persoonsgegevens vereist onder meer betrokkenheid bij gedragingen die een bedreiging vormen voor de (financiële) belangen van Zilveren Kruis of de continuïteit en/of de integriteit van de financiële sector. Daarvan moet dan in principe aangifte worden gedaan (artikel 5.2.1 onder b Protocol). Met de term ‘fraude’ verwijst Zilveren Kruis, althans zo begrijpt het hof, naar de delicten valsheid in geschrift en oplichting. Door de hiervoor onder 3.7 weergegeven vermelding van gegevens van [geïntimeerden] is sprake van registratie van (strafrechtelijke) persoonsgegevens door Zilveren Kruis. Voor opname in het EVR van gedragingen die kunnen worden aangemerkt als strafbaar feit is een veroordeling door de strafrechter niet vereist. Wel moet sprake zijn van feiten en omstandigheden die een als strafbaar feit te kwalificeren bewezenverklaring - in de zin van artikel 350 van het Wetboek van Strafvordering (Sv) - kunnen dragen waarbij die feiten in voldoende mate moeten vaststaan. Dat betekent dat de gedragingen een zwaardere verdenking moeten opleveren dan een redelijk vermoeden van schuld. Bij de verwerking van persoonsgegevens moet zowel op grond van de AVG als het Protocol een belangenafweging worden gemaakt waarbij alle bekende feiten en omstandigheden moeten worden betrokken. Bij elke verwerking van persoonsgegevensregistratie moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit brengt mee dat de inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel (proportionaliteitsbeginsel). Daarnaast moet het doel, waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze kunnen worden verwezenlijkt (subsidiariteitsbeginsel). Het is aan de financiële instelling, in dit geval Zilveren Kruis, te concretiseren waarom zij tot registratie is overgegaan.

Voor zover Zilveren Kruis met grief 1 betoogt dat de rechtbank met haar overwegingen onder 4.1 en 4.7 van de bestreden beschikking dat hoge eisen gesteld moeten worden aan de grond(en) voor opname van persoonsgegevens in het Incidentenregister en het daaraan gekoppelde EVR, andere of strengere eisen heeft gesteld dan het Protocol, berust de grief op een onjuiste lezing van de desbetreffende overwegingen. Onder 4.2 van haar beschikking heeft de rechtbank immers het toepasselijke wettelijke kader weergegeven en daarbij overwogen dat indien voldaan is aan de eisen van het Protocol er in principe sprake is van een rechtmatige verwerking van persoonsgegevens als bedoeld in artikel 6, eerste lid, aanhef en onder f AVG. Tevens heeft de rechtbank onder 4.7 overwogen dat bij elke verwerking van persoonsgegevensregistratie moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Anders dan Zilveren Kruis kennelijk meent, volgt hieruit niet dat de rechtbank bij de beoordeling van de registraties aan andere of strengere eisen heeft getoetst dan die volgen uit het Protocol en het AVG. Grief 1 faalt mitsdien.

Met de grieven 2 tot en met 8 betoogt Zilveren Kruis dat de rechtbank ten onrechte heeft geoordeeld dat niet aan de eisen voor registratie in het Incidentenregister en het EVR is voldaan. De grieven lenen zich voor een gezamenlijke behandeling.

Met betrekking tot de registraties in het EVR verenigt het hof zich met het oordeel van de rechtbank dat de door Zilveren Kruis aangevoerde feiten en omstandigheden, zowel ieder afzonderlijk als in onderlinge samenhang bezien, van onvoldoende gewicht zijn om redelijkerwijs een zwaardere verdenking dan een redelijk vermoeden van schuld aan valsheid in geschrift/oplichting te rechtvaardigen. Deze feiten en omstandigheden zijn niet zodanig dat zij een als strafbaar feit te kwalificeren bewezenverklaring - in de zin van art. 350 Sv - kunnen dragen. Daartoe is het volgende redengevend. Kern van het verwijt van Zilveren Kruis is dat de gedeclareerde zorg feitelijk niet is geleverd. Zilveren Kruis baseert dit verwijt voornamelijk op de telefonische verhoren van de budgethouders. Nog daargelaten dat die verklaringen met de nodige behoedzaamheid moeten worden beoordeeld omdat de gehoorde budgethouders over het algemeen kwetsbare personen zijn, veelal met een verstandelijke beperking en aangewezen op bijstand van bewindvoerders en mentoren, en de verhoren bovendien hebben plaatsgevonden buiten aanwezigheid van laatstgenoemden, leveren de verklaringen, ook in onderling verband en samenhang bezien, onvoldoende bewijs op van de stelling dat de gefactureerde zorg niet is geleverd. Voor meerdere budgethouders geldt dat zij wisselende antwoorden hebben gegeven op vragen en dat hun verklaringen inconsistenties bevatten. Het hof acht dit verklaarbaar gelet op de hiervoor genoemde persoonlijke omstandigheden alsmede dat aan de budgethouders vragen zijn gesteld met betrekking tot geleverde zorg gedurende een periode van één tot twee jaar daarvóór zonder dat is gebleken dat zij op dat moment over het daarvoor vereiste inzicht met betrekking tot die periode beschikten. Ook is gebleken dat de budgethouders in de bezwaarprocedure in verband met de intrekking van de pgb’s hun verklaringen hebben bijgesteld. De verklaringen zijn derhalve niet zo duidelijk dat daaruit het bewijs volgt dat gedurende het jaar 2019 [geïntimeerde 1] meer zorg heeft gedeclareerd dan zij daadwerkelijk heeft geleverd. De verklaringen van de budgethouders kunnen hooguit een verdenking opleveren van de gestelde zorgfraude die aanleiding zou kunnen vormen voor nader onderzoek aan de hand van objectieve gegevens en het horen van de pgb beheerders en/of wettelijke vertegenwoordigers over de geleverde zorg. Vast staat dat Zilveren Kruis geen althans onvoldoende nader onderzoek heeft gedaan. Tevens zouden de verklaringen aanleiding kunnen zijn om strafrechtelijke aangifte te doen tegen [geïntimeerden] - zoals het Protocol ook voorschrijft - teneinde nader onderzoek naar de gestelde fraude te doen verrichten. Vast staat evenwel dat Zilveren Kruis geen aangifte heeft gedaan. De door Zilveren Kruis daarvoor gegeven verklaring, dat een aangifte praktisch geen nut zou hebben gehad omdat politie en justitie door capaciteitsproblemen niets met een dergelijke aangifte zouden doen, doet aan het voorgaande niet af aangezien het Protocol het doen van aangifte expliciet voorschrijft en op voorhand niet (met zekerheid) kan worden gesteld dat politie en justitie geen strafrechtelijk onderzoek zouden hebben verricht als wel aangifte zou zijn gedaan. Verder had Zilveren Kruis bij de zorgverleners navraag kunnen doen over de feitelijk door hen verleende zorg teneinde vast te stellen of de gedeclareerde zorg daadwerkelijk is geleverd. Dit klemt te meer aangezien [geïntimeerden] hebben aangevoerd dat de door hen ingediende facturen niet waren gebaseerd op werkroosters maar op de daadwerkelijke zorg die gevraagd werd. Ook de overige bevindingen van Zilveren Kruis, dat [geïntimeerde 1] overeenkomsten sloot met een onjuiste inhoud, de zorgbeschrijvingen niet op de persoon toegespitst waren maar standaarddocumenten betroffen en [geïntimeerde 1] niet voldeed aan de verplichting de overeenkomsten aan de werkelijke situatie aan te passen, leveren onvoldoende bewijs op van de gestelde zorgfraude. Zowel de zorgovereenkomsten als de zorgbeschrijvingen zijn vooraf door de SVB gecontroleerd en goedgekeurd. Ook de maandelijkse facturen die [geïntimeerde 1] indiende, zijn door de SVB beoordeeld en goedgekeurd zodat ook de omstandigheid dat de facturen incomplete gegevens bevatten - namen van begeleiders zouden ontbreken - niet als onregelmatigheid is aangemerkt, laat staan dat die als bewijs van de gestelde zorgfraude kan worden gezien. Indien de SVB discrepanties constateert in de facturen ten opzichte van de zorgovereenkomsten en/of zorgbeschrijvingen, kan de SVB betaling van de facturen weigeren. Dit is evenwel nimmer gebeurd. De wijze van declareren, te weten het alleen laten tekenen van de zorgarrangementen en niet tevens van de bijbehorende specificaties en facturen door de budgethouder of diens bewindvoerder, roept weliswaar vragen op - zoals ter zitting in hoger beroep is voorgehouden aan [geïntimeerden] -, maar ook die omstandigheid levert geen bewijs op van de gestelde fraude. In het zorgarrangement dat de budgethouder maandelijks onder ogen kreeg en ondertekende stond immers aangegeven hoeveel uur zorg er in de desbetreffende maand was geleverd en om welke zorg (begeleiding) het ging, terwijl het tarief al eerder was afgesproken en in de ondertekende zorgovereenkomst stond vermeld en de SVB daarmee dus bekend was. Daarbij komt, zoals hiervoor overwogen, dat de facturen steeds door de SVB werden goedgekeurd en betaald zonder dat daarover vragen werden gesteld. Met betrekking tot de bevindingen die zien op de administratie, kan evenmin worden geoordeeld dat daaruit de gestelde zorgfraude volgt. De stelling dat de administratie van [geïntimeerde 1] niet voldeed aan artikel 36 Wmg kan Zilveren Kruis niet baten aangezien de Wmg eerst op 1 januari 2022 is gaan gelden en de door [geïntimeerde 1] gevoerde administratie over 2019 nog niet daaronder viel. De omstandigheid dat [geïntimeerde 1] gedurende een bepaalde periode de audit-applicatie niet had geactiveerd waardoor logbestanden over die periode niet voorhanden zijn, leidt niet tot een ander oordeel. Gebleken is dat over de bedoelde periode [geïntimeerde 1] aan de hand van werkroosters, urenregistraties en declaraties getracht heeft inzichtelijk te maken wie, wanneer, welke werkzaamheden heeft verricht. Daarbij komt dat [geïntimeerden] verklaringen van medewerkers hebben overgelegd waarin staat dat de door hen geleverde zorg daadwerkelijk is geleverd. Ten slotte kunnen ook de overige onder 6.1 weergegeven bevindingen niet tot bewijs van de gestelde fraude leiden aangezien die bevindingen onvoldoende feitelijk zijn onderbouwd dan wel op zichzelf niets over de gestelde fraude zeggen. Met betrekking tot het verwijt inzake de betrokkenheid van [geïntimeerden] bij de al dan niet terechte aanvraag voor coronasteun, is uit de stukken en het verhandelde ter zitting in hoger beroep gebleken dat [geïntimeerde 1] de bewindvoerder van een of meer budgethouders slechts heeft gewezen op de mogelijkheid om coronasteun aan te vragen terwijl niet is gebleken dat zij verdere betrokkenheid heeft gehad bij het doen van de aanvraag, laat staan dat zij daarbij bewust verkeerde gegevens heeft verstrekt. Derhalve moet worden geconcludeerd dat niet is voldaan aan de door het Protocol gestelde eisen voor registratie van gegevens in het EVR.

Vervolgens dient het hof te beoordelen of Zilveren Kruis, na de verwijdering van de gegevens betreffende [geïntimeerden] uit het EVR, gerechtigd is de betreffende gegevens te handhaven in het Incidentenregister. Zilveren Kruis betoogt met grief 7 dat dit het geval is, ook als aan de eisen van registratie in het EVR niet (langer) is voldaan. Zilveren Kruis voert daartoe het volgende aan. Artikel 4.3.2. van het Protocol bepaalt niet dat een registratie in het Incidentenregister na afloop van onderzoek zonder meer moet worden doorgehaald wanneer geen registratie in het EVR plaatsvindt. Het artikel vergt dat na afloop van een onderzoek moet worden beoordeeld of de registratie moet worden gehandhaafd of doorgehaald. Ook indien geen plaats is voor registratie in het EVR blijft registratie in het Incidentenregister in de gegeven omstandigheden gerechtvaardigd omdat die registratie waarborgt dat andere financiële instellingen navraag kunnen doen bij Zilveren Kruis indien sprake is van incidenten bij die andere financiële instellingen. Die uitwisseling van informatie kan bijdragen aan de bestrijding van misstanden, aldus Zilveren Kruis.

Het hof overweegt als volgt. Voor vastlegging in het Incidentenregister is op grond van artikel 3.1.1 van het Protocol weliswaar vereist dat sprake is van een ‘(mogelijk) incident’ als omschreven in het Protocol, maar verder is op grond van art. 3.1.1 van het Protocol ook vereist dat de registratie geschiedt ten behoeve van het in artikel 4.1.1 van het Protocol genoemde doel. Indien niet langer aan de voorwaarden van art. 3.1.1 van het Protocol wordt voldaan, dient Zilveren Kruis op grond van art. 4.3.1 van het Protocol zorg te dragen voor verwijdering van de gegevens. Deze laatste bepaling stemt overeen met het in de artikelen 16 en 17 AVG geformuleerde recht op verwijdering van persoonsgegevens die niet - of niet langer - ter zake dienend zijn. Met betrekking tot het doel van het Incidentenregister volgt uit art. 4.1.1 van het Protocol dat dit gelegen is in ‘het kunnen deelnemen aan het Waarschuwingssysteem’, in artikel 2 van het Protocol omschreven als het ‘Incidentenwaarschuwingssysteem Financiële Instellingen dat bestaat uit de Incidentenregisters van de Deelnemers en de Brancheverenigingen en een Extern Verwijzingsregister’. Meer in het bijzonder vloeit uit art. 4.1.1 van het Protocol voort dat het doel is gericht op - voor zover hier van belang - het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, waaronder mede het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot (pogingen tot) strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche, de groep waartoe de financiële instelling behoort, de financiële instelling zelf alsmede haar cliënten en medewerkers.

In het onderhavige geval, waar registratie geschiedt van een incident waarbij het gaat om een mogelijke strafbare gedraging, te weten valsheid in geschrift en/of oplichting, zijn de geregistreerde gegevens niet langer ter zake dienend zodra (op grond van verricht onderzoek of anderszins) duidelijk is geworden dat de voorhanden gegevens niet van dien aard zijn dat zij redelijkerwijs een zwaardere verdenking dan een redelijk vermoeden van schuld rechtvaardigen. In dat geval kan immers niet (langer) worden gezegd dat registratie kan bijdragen aan het onderkennen, voorkomen, onderzoeken en bestrijden van strafbare gedragingen, of dat registratie anderszins nog kan bijdragen aan de omschreven doelen. Het handhaven van incidenten, ongeacht of nog is voldaan aan de in het Protocol omschreven doelbeperking, verdraagt zich niet met art. 4.3.1 van het Protocol en de artikelen 16 en 17 AVG en is derhalve niet toegestaan. Voor handhaving van registratie in het Incidentenregister opdat andere financiële instellingen navraag kunnen doen bij Zilveren Kruis, biedt het Protocol geen grondslag. Dit strookt overigens ook met de beslissing van de Hoge Raad in zijn arrest van 29 mei 2009, ECLI:NL:HR:2009:BH4720, dat de voor rechtmatige verwerking van strafrechtelijke gegevens gestelde eis dat die gegevens in voldoende mate vaststaan gold voor verwerking in ‘de registers’, waarbij het niet slechts ging om het EVR maar ook om het Incidentenregister alsmede een (toen nog gekoppeld) intern verwijzingsregister.

Het hof ziet geen aanleiding om Zilveren Kruis toe te laten tot bewijslevering, omdat zij geen bewijs heeft aangeboden van voldoende concrete stellingen die, indien bewezen, tot een ander oordeel kunnen leiden. Het door Zilveren Kruis gedane bewijsaanbod ziet slechts op de bevindingen uit het verrichte onderzoek ten aanzien waarvan hiervoor is overwogen dat die bevindingen van onvoldoende gewicht zijn om redelijkerwijs een zwaardere verdenking dan een redelijk vermoeden van schuld aan valsheid in geschrift/oplichting te rechtvaardigen.

De slotsom is dat de grieven falen. De bestreden beschikking zal worden bekrachtigd en Zilveren Kruis zal als de in het ongelijk gestelde partij worden veroordeeld in de proceskosten in hoger beroep. Het hof stelt de proceskosten in hoger beroep als volgt vast:

- griffierecht € 827,-

- salaris advocaat € 2.428,- (tarief € 1.214,- per punt, 2 punten)

Totaal € 3.255,-

7. Beslissing