Hoe datahandelaren adressen van jou én van bedreigde personen te koop aanbieden

Wie iets op afbetaling koopt bij bijvoorbeeld Zalando of Klarna, belandt ongemerkt in een database waar klantgegevens van miljoenen Nederlanders staan opgeslagen. 

Zogeheten kredietinformatiebureaus zoals Experian en Focum leggen grote databestanden aan waarin zij de persoonsgegevens van consumenten koppelen aan informatie over hun betaalgedrag. Die informatie verkopen zij aan andere bedrijven die willen weten of iemand de producten of diensten wel kan betalen, maar ook aan incassobureaus en particuliere recherchebedrijven, die op zoek zijn naar iemands adres.

Ook KPN leverde adresgegevens aan Experian, maar kondigde na berichtgeving van RTL Nieuws aan daarmee te gaan stoppen.

'Kwalijk'

De Consumentenbond heeft stevige kritiek op de manier waarop kredietinformatiebureaus met persoonsgegevens omgaan. "Wij begrijpen echt wel dat een bedrijf een kredietcheck uitvoert als je ergens een abonnement afsluit", zegt woordvoerder Gerard Spierenburg. "Maar dat jouw gegevens vervolgens worden bewaard en doorverkocht aan andere partijen weet je niet en daar heb je ook geen toestemming voor gegeven. Dat is kwalijk."

'In strijd met de wet'

De doorverkoop van persoonsgegevens zonder waarschuwing mag niet, zeggen verschillende privacy-experts die de privacywet AVG goed kennen. "Als gegevens verder worden verwerkt, moet de consument worden geïnformeerd. Bovendien moeten ze toestemming vragen. Dat gebeurt allebei niet, dus dit is in strijd met de wet", concludeert universitair docent Privacyrecht Tijmen Wisman (VU).

"Als je als consument niet weet dat je gegevens in een database staan, aan wie die informatie wordt verkocht en hoe ze aan die informatie komen, dan is dat niet toegestaan", beaamt Arnold Roosendaal, directeur van Privacy Company. 

De branchevereniging van kredietinformatiebureaus, de VvKI, vindt dat er wel volgens de wet wordt gehandeld. Volgens de VvKI worden consumenten geïnformeerd via de privacyverklaring van de bedrijven die een kredietcheck doen. Zie verderop in dit artikel een uitgebreidere reactie.

Bedreigde personen

Dat datahandelaren nalaten om consumenten zelf op de hoogte te brengen dat hun adresgegevens worden doorverkocht, heeft in potentie gevaarlijke gevolgen, ontdekte RTL Nieuws. Via de databases van grote kredietinformatiebureaus zoals Experian en Focum worden onder meer diensten aangeboden om naar woonadressen te zoeken, bijvoorbeeld om niet-betalende klanten te kunnen opsporen. 

Via die zoekfunctie kreeg RTL Nieuws de actuele woonadressen in handen van Nederlanders die worden beveiligd, onder meer vanwege ernstige dreiging uit het criminele milieu. Denk aan misdaadjournalist John van den Heuvel, het zwaar bedreigde VVD-Kamerlid Ulysse Ellian en ook bedreigde bewindslieden, die op verzoek niet met naam worden genoemd. Hun woonadres wordt om veiligheidsredenen afgeschermd in openbare registers als het Kadaster, maar in de commerciële databases van Focum en Experian zijn die simpel op te zoeken.

Juridische stappen

De bedreigde personen die door RTL Nieuws werden gevonden in de databases, reageren geschokt. "Het is verontrustend dat er zoveel organisaties zijn die niets doen aan het beschermen van hun cliëntgegevens en daarmee willens en wetens mensen in gevaar brengen", zegt misdaadjournalist John van den Heuvel. "In dit specifieke geval dat nu door RTL Nieuws aan het licht is gebracht, vind ik de tekortkomingen zo ernstig dat ik juridische stappen overweeg."

Kredietinformatiebureaus laten weten dat bedreigde personen zich kunnen melden om hun gegevens te laten afschermen. Dat is volgens Van den Heuvel de omgekeerde wereld. "Ze hebben die regels gewoon aan hun laars gelapt. En dan kunnen ze wel zeggen, 'ja, achteraf kunnen we dat allemaal corrigeren'. Dat hadden ze vooraf moeten doen. Dat hebben ze nu niet gedaan, dus eigenlijk is het leed al aangericht."

'Schrik er enorm van' 

"Dat mijn huisadres zo makkelijk gevonden kan worden, daar schrik ik enorm van", zegt VVD-Kamerlid Ulysse Ellian. "Je doet alle moeite om je adres af te schermen en dan krijg je dit. Ik reken erop dat de NCTV en de politie alert zijn en adequaat zullen handelen, het gaat hier ook om de veiligheid van mijn gezin."

Volgens de Consumentenbond zijn het niet alleen bekende Nederlanders die hun adres afgeschermd moeten houden. "Je zult maar een lastige ex hebben, of een stalker of iets dergelijks. Of je gegevens komen in handen van oplichters, of van malafide bedrijven", zegt Spierenburg. "Dan loop je natuurlijk best een risico."

Nadat RTL Nieuws om opheldering vroeg aan Experian maakte het bedrijf bekend per 31 maart 2024 te stoppen met de zogeheten Autotrace-service waarmee woonadressen kunnen worden opgezocht.

Ook DataChecker gaat bekijken of de adressen-zoekfunctie via de database van Focum in de lucht blijft. "Wij zullen verder alles grondig (laten) onderzoeken om op basis van de resultaten daarvan te bezien of aanvullende maatregelen moeten worden genomen die herhaling zullen voorkomen of dat het aanbieden van dit product moet worden beëindigd."

Wie hebben toegang tot database van adressen?

Datahandelaren zoals marktleider Experian bieden de mogelijkheid om adressen van wanbetalers op te zoeken. Ook het bedrijf Datachecker biedt deze dienst aan. Zij maken hiervoor gebruik van de database van Focum. RTL Nieuws heeft van meerdere bronnen vernomen dat recherchebureaus gebruikmaken van deze optie om adressen van Nederlanders op te zoeken.

Volgens de databureaus hebben WPBR-geregistreerde beveiligings- en recherchebureaus toegang tot de database. Deze lijst telt duizenden bedrijven. Daarnaast heeft RTL Nieuws signalen dat ook niet-WPBR-geregistreerde bedrijven toegang hebben tot de databases van Experian en Focum.

De Consumentenbond vindt dat ook andere kredietinformatiebureaus hun werkwijze moeten aanpassen. "Wat in ieder geval moet gebeuren, is dat deze bedrijven je actief informeren over dat ze jouw gegevens in een database hebben staan, wat ze daar mee doen en je ook actief de keuze bieden om die te verwijderen als je dat wil. Dan zijn we in ieder geval een heel stuk verder, want dan heb je als consument echt weer de controle terug over jouw gegevens."

'Meerdere onderzoeken'

Volgens de Consumentenbond moeten toezichthouders zich hier sterk voor maken. "Het zou goed zijn als die hier eens goed naar gingen kijken en ook een oordeel geven of dit nu eigenlijk wel kan. Daar is het wachten op."

De Autoriteit Persoonsgegevens (AP), verantwoordelijk voor de handhaving van de AVG, doet al sinds 2020 onderzoek naar de werkwijze van kredietinformatiebureaus, maar is nog niet tot een oordeel gekomen. "Er lopen tot op heden meerdere onderzoeken naar datahandelaren. Over de aard en inhoud van lopende onderzoeken kan de AP geen mededelingen doen", zegt een woordvoerder tegen RTL Nieuws.

'Weten niet welke mensen bedreigd worden' 

Kredietinformatiebureaus weten niet welke mensen bedreigd worden of in het stelsel Bewaken en Beveiligen zitten, antwoordt branchevereniging VvKI op de vraag waarom adressen van bedreigde personen als misdaadjournalist John van den Heuvel en Kamerlid Ulysse Ellian op te zoeken zijn in hun databases. "Als een dergelijke betrokkene zich bij een kredietinformatiebureau meldt en vraagt om afscherming van gegevens die voor hem/haar een veiligheidsrisico met zich meebrengen, dan wordt daar uiteraard serieus mee omgegaan door onze leden." 

De VvKI stelt dat kredietinformatiebureaus 'voldoen aan de eisen van de wet', waaronder de AVG. Op de kritiek van de  opgevoerde privacy-experts over het niet actief informeren van consumenten, zegt de branchevereniging dat de klanten van kredietinformatiebureaus verantwoordelijk zijn 'voor het in eerste instantie informeren van betrokkenen. Dit doen zij door middel van hun privacyverklaring en eventueel door middel van een afzonderlijke melding per brief of mail'.

Met betrekking tot de verkoop van gegevens aan derden, merkt de VvKI op dat de gegevens alleen onder voorwaarden worden verstrekt. Zo wordt van de derde partij verlangd dat die de betrokkene informeert dat er een zoekslag plaatsvindt. 

De VvKI geeft op verschillende vragen geen antwoord, waaronder de vraag aan welke eisen bedrijven moeten voldoen om op adressen te kunnen zoeken bij kredietinformatiebureaus. "Vanwege de aard van hun producten hanteren de leden onderzoeksprocedures voor het aannemen van hun leden." Wat die procedures zijn, wordt niet gezegd.

Lees de volledige antwoorden van de VvKI en Datachecker hier. 

RTL Nieuws heeft enkele weken voor publicatie van dit artikel de politie ingelicht, zodat die tijdig preventieve maatregelen kon treffen voor te beveiligen personen. Iedereen kan zijn eigen opgeslagen gegevens opvragen via de websites van kredietinformatiebureaus als Experian, Focum en DataChecker. Daar staan ook de voorwaarden waarop je uit de database kunt worden gehaald.

Heb je tips over de handel in persoonsgegevens, of zijn jouw gegevens in verkeerde handen terechtgekomen? Neem dan contact op met onderzoek@rtl.nl