Strafrechtelijke persoonsgegevens in de zin van artikel 10 AVG: Hoge Raad over de verhouding tussen artikel 350 Sv en de criteria van het Hof van Justitie

Op 6 november 2026 heeft de civiele kamer van de Hoge Raad uitspraak gedaan in een zaak tussen een oud-zakelijke klant en ING Bank N.V. over de registratie van de klant in de Gebeurtenissenadministratie en het Interne Verwijzingsregister van de bank (ECLI:NL:HR:2026:1815). ING had de zakelijke bankrelatie beëindigd nadat de klant in een periodiek cliëntenonderzoek volgens de bank geen transparant beeld had gegeven van het gebruik van zijn zakelijke rekeningen. De klant stelde dat de aantekening die ING over hem bijhield een verwerking van persoonsgegevens betreffende strafbare feiten is, waarvoor artikel 10 van de Algemene verordening gegevensbescherming bijzondere voorwaarden stelt. De juridische kern betreft de vraag hoe het begrip strafbaar feit in artikel 10 AVG moet worden ingevuld. Daarbij gaat het om de verhouding tussen de Unierechtelijke criteria van het Hof van Justitie en de maatstaf die de Hoge Raad in 2009 hanteerde onder de Wet bescherming persoonsgegevens. De Hoge Raad verwerpt het beroep. Daarnaast komt het recht van bezwaar uit artikel 21 AVG aan de orde.

De feiten en de registratie

De klant drijft een eenmanszaak die zich volgens het handelsregister onder meer bezighoudt met de handel in oud ijzer en metalen. Hij bankierde zowel privé als zakelijk bij ING. In 2021 deelde ING mee dat zij de relatie voor de zakelijke rekeningen zou beëindigen. Als reden noemde zij dat zij onvoldoende inhoud kon geven aan haar verplichtingen op grond van de Wet op het financieel toezicht en de Wet ter voorkoming van witwassen en financieren van terrorisme. In oktober 2022 werd de zakelijke relatie beëindigd. De klant verzette zich daar aanvankelijk tegen, maar berustte er uiteindelijk in.

ING nam de klant voor acht jaar op in haar Interne Verwijzingsregister en legde in de Gebeurtenissenadministratie een aantekening vast. Daarin staat dat de voornaamste reden voor de registratie was dat de klant grote contante uitgaven deed die niet te verantwoorden waren. Verder staat erin dat hij geen adequate boekhouding van zijn contante inkopen bijhield en te weinig maatregelen nam om zijn betrokkenheid bij heling, witwassen en andere vormen van financieel-economische criminaliteit uit te sluiten. De klant vorderde dat de registratie werd geschrapt en dat de gegevens werden gewist waaruit volgt dat niet uitgesloten kan worden dat hij zich schuldig heeft gemaakt aan witwassen of andere financiële criminaliteit.

Het oordeel van de rechtbank en het hof

De rechtbank Amsterdam wees de vordering af en het gerechtshof Amsterdam bekrachtigde dat vonnis op 13 mei 2025. De klant had in hoger beroep betoogd dat voor de registratie van strafrechtelijke persoonsgegevens de norm geldt van meer dan een redelijk vermoeden van schuld en dat daaraan niet was voldaan. Het hof verwierp dat betoog. Het baseerde zich op de beschikking van de Hoge Raad van 29 mei 2009, waarin strafrechtelijke persoonsgegevens worden omschreven als zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring in de zin van artikel 350 Sv kunnen dragen. Het hof oordeelde dat de feiten in de aantekening een dergelijke bewezenverklaring niet kunnen dragen.

Het hof achtte de verwerking gerechtvaardigd op grond van artikel 6 lid 1 sub f AVG en de gedragscode voor financiële instellingen. Volgens het hof heeft ING, mede gelet op haar verplichtingen onder de Wwft, een gerechtvaardigd en zwaarwegend belang om gedurende zekere tijd bij te houden dat en waarom zij een cliëntrelatie heeft beëindigd. Het hof woog daarbij mee dat niet was gebleken dat de gegevens voor derden toegankelijk waren. Ook was niet gebleken dat de klant door de registratie werd belemmerd bij het afnemen van financiële diensten elders. De klant had zijn zakelijke rekeningen inmiddels ondergebracht bij een Duitse bank.

Het begrip strafbaar feit in artikel 10 AVG

In cassatie klaagde de klant dat het hof had miskend dat het begrip strafbare feiten in artikel 10 AVG een autonome Unierechtelijke betekenis heeft. Volgens hem is daarbij behalve de juridische kwalificatie naar nationaal recht ook de aard van het feit en de zwaarte van de mogelijke sanctie van belang. De Hoge Raad stelt voorop dat het begrip in de Europese Unie autonoom en uniform moet worden uitgelegd. Hij citeert het arrest van het Hof van Justitie van 22 juni 2021 in de zaak C-439/19, B/Latvijas Republikas Saeima (ECLI:EU:C:2021:504, punten 87 en 88). Daarin noemt het Hof van Justitie drie relevante criteria: de juridische kwalificatie van het strafbare feit naar nationaal recht, de aard zelf van het strafbare feit en de zwaarte van de sanctie die aan de betrokkene kan worden opgelegd. Ook een feit dat naar nationaal recht niet strafrechtelijk wordt gekwalificeerd, kan op grond van de laatste twee criteria toch een strafrechtelijk karakter hebben.

Vervolgens overweegt de Hoge Raad in rechtsoverweging 3.1.4 dat voor de juridische kwalificatie van een strafbaar feit naar Nederlands recht zijn beschikking van 29 mei 2009 van belang is. Die beschikking ging over strafrechtelijke persoonsgegevens in de zin van de artikelen 16 en 22 van de toenmalige Wet bescherming persoonsgegevens. De Hoge Raad citeert daaruit zowel de maatstaf van de bewezenverklaring in de zin van artikel 350 Sv als de toevoeging dat de vastgestelde gedragingen een zwaardere verdenking moeten opleveren dan een redelijk vermoeden van schuld, in die zin dat de te verwerken gegevens in voldoende mate vaststaan.

In rechtsoverweging 3.1.5 oordeelt de Hoge Raad dat het cassatiemiddel terecht tot uitgangspunt neemt dat de drie criteria gelden. Het hof heeft dat volgens de Hoge Raad niet miskend. In het licht van het partijdebat kon het hof oordelen, zoals het kennelijk heeft gedaan, dat het tweede en derde criterium in deze zaak niet aan de orde zijn. De Hoge Raad verwijst daarvoor naar onderdeel 4.5 van de conclusie van de Advocaat-Generaal. Op dat punt stuit de klacht af.

De conclusie van de Advocaat-Generaal

A-G B.J. Drijber concludeerde op 24 april 2026 tot verwerping (ECLI:NL:PHR:2026:435). Hij stelde vast dat lagere rechters de beschikking uit 2009 nog steeds aanhalen en dat de literatuur verdeeld is. Volgens een deel van de auteurs heeft die beschikking niet aan betekenis ingeboet. Andere auteurs menen dat de lat voor strafrechtelijke persoonsgegevens na B/Latvijas Republikas Saeima lager ligt dan in de Nederlandse rechtspraak werd aangenomen. De A-G gaf als zijn opvatting dat de maatstaf uit 2009 nog geldt voor het eerste criterium, maar niet doorslaggevend is voor de vraag of sprake is van een strafrechtelijk persoonsgegeven. Ook een feit dat geen bewezenverklaring in de zin van artikel 350 Sv kan dragen, kan volgens hem een strafbaar feit in de zin van artikel 10 AVG zijn als dat karakter volgt uit de aard van het feit of de zwaarte van de sanctie. Voor deze zaak wees de A-G erop dat de laatste twee criteria betrekking hebben op het doel en de zwaarte van een sanctie. In de feitelijke instanties was niet gesteld of gebleken dat voor de feiten in de aantekening langs andere weg een sanctie kon worden opgelegd. Daarin verschilt de zaak van B/Latvijas Republikas Saeima, waarin het ging om strafpunten voor verkeersovertredingen. Aanleiding voor prejudiciële vragen zag de A-G niet.

Het recht van bezwaar

De klant klaagde verder dat het hof had miskend dat ING op grond van artikel 21 lid 1 AVG de verwerking moet staken, tenzij zij dwingende gerechtvaardigde gronden aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene. De Hoge Raad oordeelt dat in het oordeel van het hof over het gerechtvaardigde en zwaarwegende belang van ING besloten ligt dat ING zulke dwingende gerechtvaardigde gronden heeft aangevoerd. Ook deze klacht faalt. De overige klachten verwerpt de Hoge Raad met toepassing van artikel 81 lid 1 Wet op de rechterlijke organisatie.

Afsluiting

De Hoge Raad verwerpt het cassatieberoep en veroordeelt de klant in de kosten van het geding in cassatie, aan de zijde van ING begroot op € 905 aan verschotten en € 2.200 voor salaris. Het oordeel van het hof dat ING geen strafrechtelijke persoonsgegevens van de klant heeft verwerkt en dat de registratie in de Gebeurtenissenadministratie en het Interne Verwijzingsregister rechtmatig is, blijft daarmee in stand. Voor de uitleg van artikel 10 AVG overweegt de Hoge Raad dat de drie criteria uit B/Latvijas Republikas Saeima gelden en dat voor het eerste criterium de beschikking van 29 mei 2009 van belang is. Over de toepassing van het tweede en derde criterium heeft de Hoge Raad in deze zaak geen oordeel gegeven, omdat die volgens het hof in het partijdebat niet aan de orde waren.

Klik hier voor de volledige uitspraak.