Uitspraken

De centrale vraag in deze procedure is of hetgeen Mollie na indiening van het verzoekschrift aan [verzoeker] heeft verschaft, alle informatie betreft die Mollie op grond van art. 15 AVG aan [verzoeker] dient te verstrekken, zoals Mollie stelt, of dat er nog meer is dat Mollie dient te verstrekken, zoals [verzoeker] sterk vermoedt.

Art. 15 lid 1 AVG luidt:

1. de verwerkingsdoeleinden;

2. de betrokken categorieën van persoonsgegevens;

3. de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

(…)

h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

Op grond van art. 22 AVG heeft de betrokkene het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

[verzoeker] heeft inzage verzocht in persoonsgegevens die bij het cliëntenonderzoek en het doorlopende toezicht door Mollie (moeten) zijn verwerkt.

Niet in geschil is dat een betaaldienstverlener, zoals Mollie, als financiële instelling verplicht is om aan cliëntenonderzoek te doen en dat in het kader van dat cliëntenonderzoek de klant dient te worden gescreend en de UBO op grond van onder meer artikel 3 lid 2 Wwft door de financiële instelling dient te worden geïdentificeerd en geverifieerd. Ook daarna is de betaaldienstverlener op grond van de Wwft verplicht om ervoor te zorgen dat zij over voldoende gegevens van de UBO beschikt en bijvoorbeeld een nieuwe kopie van een identiteitsbewijs opvraagt indien een dergelijk bewijs is verlopen. Niet in geschil is verder dat [verzoeker] als bestuurder bij [stichting 2] en [stichting 1] kwalificeert als UBO bij beide stichtingen.

Mollie heeft aangevoerd dat de persoonsgegevens van [verzoeker] die Mollie in het kader van het cliëntenonderzoek van de stichtingen heeft verwerkt, zijn verkregen via [verzoeker] zelf, toen hij de stichtingen registreerde bij Mollie, en via de Kamer van Koophandel. Zij is immers verplicht om te controleren of de rechtspersoon de UBO’s juist bij het UBO-register van de Kamer van Koophandel heeft aangemeld. Zij heeft in dat kader onder andere de geslachtsnaam, voornamen, geboortedatum en een kopie van het identiteitsbewijs opgevraagd en verkregen. Deze gegevens zijn naar aanleiding van het verzoekschrift inmiddels aan [verzoeker] verschaft.

[verzoeker] acht het niet geloofwaardig en niet aannemelijk dat het cliëntenonderzoek, voor zover het de UBO betreft, hiertoe beperkt is gebleven. [verzoeker] stelt dat Mollie moet beschikken over alle identificatie- en verificatiegegevens en ‘overige gegevens’ inzake de UBO en verwijst daarbij onder meer naar art. 5 lid 1 sub c Wwft. [verzoeker] heeft tevens inzage verzocht in het opgestelde risicoprofiel, de risicoclassificering en de indeling in segmenten waarbij de persoonsgegevens van [verzoeker] zijn betrokken c.q. verwerkt, alsmede de gehanteerde objectieve en subjectieve risicofactoren die zijn gekoppeld aan [verzoeker] en die zijn gebruikt voor het opstellen van het risicoprofiel en/of de indeling in risicoclassificaties. Hij stelt dat de identificatie en verificatie van de UBO van belang is voor de risicoclassificatie van de cliënt-rechtspersoon, en niet aannemelijk is dat er geen nader onderzoek zou zijn gedaan naar de UBO-natuurlijk persoon in het kader van het due diligence onderzoek van de stichtingen. Hij stelt dat eventuele geregistreerde antecedenten van de UBO-natuurlijke persoon worden onderzocht en dat er in openbare bronnen wordt gespeurd naar aanwijzingen met betrekking tot de UBO die een verhoogd risico mee kunnen brengen voor de financiële instelling. Daarbij kan gedacht worden aan ‘adverse media’, sancties en PEPS. De door Mollie ingeschakelde verwerkers verrichten dergelijke onderzoeken onder verantwoordelijkheid van Mollie, aldus [verzoeker] .

Mollie heeft aangevoerd dat zij de UBO inderdaad identificeert en verifieert, maar dat dit niet betekent dat Mollie daarmee profielen van UBO’s maakt of deze goed- of afkeurt, al dan niet door middel van volledig geautomatiseerde besluiten. Van profilering in de zin van artikel 4 sub 4 AVG is geen sprake, omdat Mollie niet aan de hand van persoonsgegevens persoonlijke aspecten van een natuurlijke persoon analyseert of voorspelt of profielen worden gemaakt. Er vindt in zowel het cliëntenonderzoek als het transactiemonitoring proces derhalve geen profilering van de UBO plaats. [verzoeker] is ook niet als mogelijk integriteitsrisico gekwalificeerd. Mollie verstrekt geen opdracht aan derden om bij het onderzoeken van risico’s (waaronder ‘adverse media’) ook te zoeken op de naam van de UBO’s van stichtingen. Er worden alleen persoonsgegevens van de UBO aan verwerkers verstrekt als de kopie van het identiteitsbewijs op echtheid moet worden onderzocht. Zij geeft geen inzage in gehanteerde factoren die zijn gebruikt voor het opstellen van het risicoprofiel van haar klanten en/of de indeling in risicoclassificaties omdat dit interne, gevoelige bedrijfsinformatie is, aldus nog steeds Mollie.

De rechtbank overweegt dat in hetgeen [verzoeker] heeft gesteld, geen aanwijzingen zijn gelegen dat de inzage die Mollie heeft verstrekt in de persoonsgegevens van [verzoeker] die in het kader van het cliëntenonderzoek zijn verwerkt, onvolledig is. Zij overweegt daartoe het volgende.

Welke ‘overige gegevens’ inzake [verzoeker] als UBO verwerkt moeten zijn en niet door Mollie zijn verstrekt, heeft [verzoeker] niet toegelicht. Voor zover het verzoek daarop ziet, moet het als onvoldoende gespecificeerd worden afgewezen. De ter zitting door [verzoeker] ingenomen stelling dat Mollie in ieder geval niet voldoet aan de eisen zoals vervat in artikel 15 AVG omdat zij de accountgegevens van de accounts bij Mollie (e-mailadressen, contactgegevens, telefoonnummers, IP-adres etc.) niet heeft verstrekt, kan niet worden gevolgd. Het gaat hier om stichtingen en niet om een eenmanszaak van [verzoeker] , zodat de genoemde bedrijfsgegevens niet kwalificeren als persoonsgegevens van [verzoeker] .

Het inzageverzoek berust deels op de veronderstelling dat de persoonsgegevens van [verzoeker] zijn verwerkt bij het opstellen en/of aanpassen van het risicoprofiel van de stichtingen. Dit wordt door Mollie betwist. De rechtbank begrijpt dat het risicoprofiel van [stichting 1] is beïnvloed door het risicoprofiel van de aan [stichting 1] gelieerde stichting [stichting 2] . Dat deze stichtingen met elkaar zijn verbonden doordat zij dezelfde UBO hebben, zegt echter niets over de kenmerken van de UBO en betekent ook niet dat de persoonsgegevens van de UBO zijn verwerkt bij het opstellen van het risicoprofiel van de stichtingen. [verzoeker] heeft gesteld dat er in openbare bronnen wordt gespeurd naar antecedenten en andere aanwijzingen met betrekking tot de UBO die een verhoogd risico mee kunnen brengen voor de financiële instelling, maar hij heeft die stelling niet onderbouwd en toegespitst op deze zaak. De in randnummer 11 en 12 van de spreekaantekeningen van de advocaat van [verzoeker] genoemde voorbeelden van situaties waarin een kennelijk dubieus geachte UBO-natuurlijk persoon van een bedrijf was betrokken, vormt geen onderbouwing van de stelling dat de persoonsgegevens van [verzoeker] wel verwerkt moeten zijn geweest voorafgaand aan de opzegging van de overeenkomsten.

De rechtbank concludeert op basis van het voorgaande dan ook dat [verzoeker] zijn stelling dat Mollie naast de reeds verstrekte gegevens in het kader van het cliëntenonderzoek nog andere persoonsgegevens van [verzoeker] heeft verwerkt waarin zij geen inzage heeft gegeven, tegenover de betwisting van Mollie, onvoldoende heeft onderbouwd.

[verzoeker] heeft verder inzage verzocht in alle door Mollie ontvangen signalen aangaande en/of herleidbaar tot [verzoeker] en alle transacties die gekoppeld en/of gelieerd zijn aan en/of herleidbaar zijn tot [verzoeker] . [verzoeker] heeft erop gewezen dat in het kader van een melding van een ongebruikelijke transactie bij de Financiële inlichtingeneenheid op grond van art. 16 lid 2 Wwft ook de identiteit van de UBO moet worden opgenomen in de melding. Uit de ingebrachte e-mail blijkt verder dat een transactie in 2021 ook daadwerkelijk is gekoppeld aan de persoon van [verzoeker] . Opvallend is dat alleen de naam van [verzoeker] in die e-mail wordt genoemd, terwijl er nog twee andere bestuurders zijn, aldus [verzoeker] .

Mollie heeft allereerst aangevoerd dat die gestelde ‘signalen’ aangaande [verzoeker] niet zijn ontvangen. Tijdens de looptijd van de Gebruiksovereenkomst heeft Mollie op basis van doorlopend toezicht van de zakelijke relatie met [stichting 1] en [stichting 2] onderzoek gedaan naar de aard, omvang en hoeveelheid transacties die via de betaalsystemen van Mollie worden verricht. Inzage in de enige transactie waarbij de persoonsgegevens van [verzoeker] zijn betrokken, is reeds verstrekt door overlegging van de onder 3.11 opgenomen reactie op een compliance vraag van ABN AMRO. Dat daarop alleen de naam van [verzoeker] staat vermeld en niet de namen van de twee andere UBO’s is verklaarbaar doordat Mollie uitsluitend bekend was met [verzoeker] als enige UBO van deze stichting. Dat blijkt uit het verstrekte overzicht met de gegevens van Stichting [stichting 2] . Het monitoren en analyseren van transacties vindt plaats op het niveau van de ‘merchant’ (in dit geval de stichtingen) op grond van art. 16 Wwft (over de melding van ongebruikelijke transacties). Transacties van de UBO zelf zijn geen onderdeel van dit onderzoek. De opzegging hield verband met het te hoge risicoprofiel van [stichting 1] in verband met de verbondenheid van deze stichting met stichting [stichting 2] via [verzoeker] als UBO. Om redenen van geheimhouding kan Mollie geen inzage geven in documenten en gegevens-dragers aangaande transacties en monitoring daarvan, of andere gegevens op basis waarvan Mollie heeft besloten om de samenwerking met de stichtingen te beëindigen, aldus Mollie.

Het verzoek onder I sub i zal daarom worden afgewezen.

[verzoeker] heeft tevens inzage verzocht in de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, en de ontvangers of categorieën aan wie persoonsgegevens zijn of zullen worden verstrekt.

Mollie heeft aangevoerd dat zij deze inzage reeds heeft gegeven door middel van haar brieven aan [verzoeker] van 23 november 2021 en 19 april 2022 en door te verwijzen naar de informatie die hierover is opgenomen in haar Privacyverklaring.

Nu [verzoeker] in reactie hierop niet heeft aangegeven welke informatie hierin niet zou zijn verstrekt en die wel onder art. 15 lid 1 onder a, b en c AVG valt, gaat de rechtbank er vanuit dat dit deel van het inzageverzoek afdoende is beantwoord. Het verzoek onder I sub ii zal daarom worden afgewezen.

[verzoeker] verzoekt tenslotte inzage in het bestaan van geautomatiseerde besluitvorming, en informatie over – kort gezegd – de verwachte gevolgen van die verwerking voor [verzoeker] . Mollie maakt volgens [verzoeker] gebruik van volledig geautomatiseerde besluitvorming nu haar verwerkers gebruik maken van artificiële intelligentie en algoritmes om het cliëntenonderzoek te verrichten voor Mollie, waarbij ook onderzoek wordt gedaan naar de UBO. Zij leidt dit af uit de producten en diensten die een aantal van de door Mollie ingeschakelde verwerkers blijkens hun websites aanbieden. Mollie kan niet volstaan met haar stelling dat besluiten altijd door een mens worden beoordeeld. Gelet op de tot nu toe verstrekte informatie en de vergaande technologische werkprocessen van Mollie en door haar ingeschakelde verwerkers is niet geloofwaardig dat er een betekenisvolle toets door een mens plaatsvindt van automatisch genomen besluiten. Er worden door Mollie op grote schaal gegevens verwerkt en stelselmatig financiële gegevens gemonitord. Dit kan [verzoeker] niet controleren en daarvoor dient Mollie inzicht te geven in de logica van haar verwerkings- of algoritmeproces. Indien mocht blijken dat automatisch genomen besluiten door een mens worden gecontroleerd, dan dient Mollie inzage te geven in de logica en parameters van een dergelijk traject. [verzoeker] betoogt dat Mollie geen beroep kan doen op wetgeving die haar bedrijfsgeheimen moet beschermen, omdat [verzoeker] geen inzage vraagt in de techniek zelf, maar alleen in zijn persoonsgegevens.

Mollie voert aan dat zij niet doet aan geautomatiseerde besluitvorming of profilering, en ook niet aan geautomatiseerde besluitvorming op basis van profilering. Alle besluiten worden door gespecialiseerde en getrainde medewerkers genomen. Mollie neemt van de door [verzoeker] genoemde derde partijen niet alle producten en/of diensten af die op de websites van de betreffende partijen worden aangeboden. De door Mollie ingeschakelde derde partijen maken mogelijk gebruik van ‘artificial intelligence’ en ‘machine learning’ technologieën in hun producten en/of diensten, maar Mollie neemt nooit een besluit dat volledig geautomatiseerd is. Er is altijd menselijke tussenkomst alvorens een besluit wordt genomen. Van volledig geautomatiseerde besluitvorming ex art. 22 AVG is daarom geen sprake. Van profilering is evenmin sprake, aldus Mollie.

De rechtbank stelt voorop dat op grond van de artikelen 13, 14 en 15 AVG informatie moet worden gegeven over het verwerken van persoonsgegevens in algoritmes aan degenen op wie deze persoonsgegevens betrekking hebben (de ‘betrokkene’) en dat als er sprake is van profilering en/of geautomatiseerde besluitvorming, dit kenbaar dient te worden gemaakt. Mollie betwist dat van profilering of geautomatiseerde besluitvorming sprake is. Het lag daarom op de weg van [verzoeker] om concrete aanwijzingen te geven waaruit het tegendeel blijkt. Die aanwijzingen heeft de rechtbank echter niet gevonden in hetgeen door [verzoeker] is gesteld. Ook anderszins is niet gebleken dat Mollie bij het besluit op een aanvraag dan wel tijdens de looptijd van de Gebruiksovereenkomst, besluiten neemt die volledig geautomatiseerd zijn. Dat Mollie op grond van haar Privacyverklaring persoonsgegevens met derden mag delen als dat nodig is om haar producten en diensten te kunnen leveren, en dat de door Mollie ingeschakelde derde partijen mogelijk gebruik maken van artificial intelligence en machine learning, is onvoldoende om aannemelijk te achten dat Mollie een verboden vorm van automatische besluitvorming toepast. Bij deze stand van zaken zal ook het verzoek onder I sub iii worden afgewezen.

Gelet op het voorgaande worden de verzoeken om inzage onder I afgewezen. Hieruit volgt dat ook de verzoeken om afschriften te verstrekken (verzoek II) en een dwangsom op te leggen (verzoek III) worden afgewezen.

De rechtbank overweegt ten aanzien van de proceskosten dat Mollie eerst na indiening van het verzoekschrift de verzochte afschriften van stukken met persoonsgegevens van [verzoeker] heeft verstrekt, en niet direct nadat [verzoeker] hierom in zijn brieven had gevraagd. Anderzijds komen de verzoeken voor het grootste deel niet voor toewijzing in aanmerking. De rechtbank beschouwt elk van de partijen daarom als op enig punt in het (on)gelijk gesteld. De proceskosten zullen om die reden worden gecompenseerd.