Hof: registratie in EVR en Incidentenregister mocht niet in stand blijven

Hof Amsterdam 17 februari 2026, IEF 23318; ECLI:NL:GHAMS:2026:459 (Zilveren Kruis tegen [geïntimeerden]). Het Gerechtshof Amsterdam bekrachtigt de beschikking van de rechtbank dat Zilveren Kruis de persoonsgegevens van een zorgaanbieder en haar bestuurder moet verwijderen uit het Incidentenregister en het Externe Verwijzingsregister (EVR). Zilveren Kruis had hen wegens vermeende fraude met pgb-zorgdeclaraties voor acht jaar geregistreerd, maar het hof oordeelt dat de aangevoerde feiten en omstandigheden daarvoor onvoldoende zwaarwegend zijn. Voor opname van strafrechtelijke persoonsgegevens in deze registers is meer nodig dan een redelijk vermoeden van schuld: de beschikbare gegevens moeten een zwaardere verdenking opleveren die een bewezenverklaring van bijvoorbeeld valsheid in geschrift of oplichting redelijkerwijs kan dragen. Aan die maatstaf is hier niet voldaan. De verklaringen van budgethouders waren daarvoor te wisselend en onvoldoende betrouwbaar, mede omdat het ging om kwetsbare personen en nader objectief onderzoek grotendeels uitbleef. Ook andere door Zilveren Kruis genoemde onregelmatigheden in overeenkomsten, declaraties en administratie leveren volgens het hof onvoldoende bewijs van fraude op.

Het hof plaatst dit oordeel uitdrukkelijk in het kader van de AVG, de UAVG en het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen. Registratie van persoonsgegevens in het EVR en Incidentenregister is alleen toegestaan als aan de eisen van dat Protocol is voldaan en bovendien proportionaliteit en subsidiariteit zijn gewaarborgd. Omdat de verdenking van fraude hier onvoldoende vaststaat, ontbreekt ook de grondslag om de gegevens nog langer in het Incidentenregister te handhaven. Volgens het hof biedt het Protocol geen ruimte om die registratie toch te laten voortbestaan enkel zodat andere financiële instellingen navraag kunnen doen. Het hoger beroep van Zilveren Kruis faalt daarom volledig. De eerdere beschikking blijft in stand en Zilveren Kruis wordt veroordeeld in de proceskosten van het hoger beroep, begroot op € 3.255.

6.8

Het hof overweegt als volgt. Voor vastlegging in het Incidentenregister is op grond van artikel 3.1.1 van het Protocol weliswaar vereist dat sprake is van een ‘(mogelijk) incident’ als omschreven in het Protocol, maar verder is op grond van art. 3.1.1 van het Protocol ook vereist dat de registratie geschiedt ten behoeve van het in artikel 4.1.1 van het Protocol genoemde doel. Indien niet langer aan de voorwaarden van art. 3.1.1 van het Protocol wordt voldaan, dient Zilveren Kruis op grond van art. 4.3.1 van het Protocol zorg te dragen voor verwijdering van de gegevens. Deze laatste bepaling stemt overeen met het in de artikelen 16 en 17 AVG geformuleerde recht op verwijdering van persoonsgegevens die niet - of niet langer - ter zake dienend zijn. Met betrekking tot het doel van het Incidentenregister volgt uit art. 4.1.1 van het Protocol dat dit gelegen is in ‘het kunnen deelnemen aan het Waarschuwingssysteem’, in artikel 2 van het Protocol omschreven als het ‘Incidentenwaarschuwingssysteem Financiële Instellingen dat bestaat uit de Incidentenregisters van de Deelnemers en de Brancheverenigingen en een Extern Verwijzingsregister’. Meer in het bijzonder vloeit uit art. 4.1.1 van het Protocol voort dat het doel is gericht op - voor zover hier van belang - het ondersteunen van activiteiten gericht op het waarborgen van de veiligheid en de integriteit van de financiële sector, waaronder mede het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die kunnen leiden tot (pogingen tot) strafbare of laakbare gedragingen en/of overtreding van (wettelijke) voorschriften, gericht tegen de branche, de groep waartoe de financiële instelling behoort, de financiële instelling zelf alsmede haar cliënten en medewerkers.

6.9

In het onderhavige geval, waar registratie geschiedt van een incident waarbij het gaat om een mogelijke strafbare gedraging, te weten valsheid in geschrift en/of oplichting, zijn de geregistreerde gegevens niet langer ter zake dienend zodra (op grond van verricht onderzoek of anderszins) duidelijk is geworden dat de voorhanden gegevens niet van dien aard zijn dat zij redelijkerwijs een zwaardere verdenking dan een redelijk vermoeden van schuld rechtvaardigen. In dat geval kan immers niet (langer) worden gezegd dat registratie kan bijdragen aan het onderkennen, voorkomen, onderzoeken en bestrijden van strafbare gedragingen, of dat registratie anderszins nog kan bijdragen aan de omschreven doelen. Het handhaven van incidenten, ongeacht of nog is voldaan aan de in het Protocol omschreven doelbeperking, verdraagt zich niet met art. 4.3.1 van het Protocol en de artikelen 16 en 17 AVG en is derhalve niet toegestaan. Voor handhaving van registratie in het Incidentenregister opdat andere financiële instellingen navraag kunnen doen bij Zilveren Kruis, biedt het Protocol geen grondslag. Dit strookt overigens ook met de beslissing van de Hoge Raad in zijn arrest van 29 mei 2009, ECLI:NL:HR:2009:BH4720, dat de voor rechtmatige verwerking van strafrechtelijke gegevens gestelde eis dat die gegevens in voldoende mate vaststaan gold voor verwerking in ‘de registers’, waarbij het niet slechts ging om het EVR maar ook om het Incidentenregister alsmede een (toen nog gekoppeld) intern verwijzingsregister.