Gedragscode Verwerking Persoonsgegevens Financiële Instellingen

3.1.1 De Gedragscode is van toepassing op Financiële instellingen die; (i) lid zijn van de NVB; (ii) aangesloten zijn bij Rabobank Nederland; of (iii) lid zijn van het Verbond.

3.2.1 De Gedragscode is in de eerste plaats van toepassing op de (gedeeltelijk) geautomatiseerde Verwerking van Persoonsgegevens door een Financiële instelling in het kader van de bedrijfsvoering. De Gedragscode is ook van toepassing op de handmatige Verwerking van Persoonsgegevens door een Financiële instelling in het kader van de bedrijfsvoering, op voorwaarde dat de Persoonsgegevens zijn opgenomen in een Bestand of bestemd zijn om daarin te worden opgenomen.

3.2.2 Verwerkingen van Persoonsgegevens in verband met: (i) incidentenregisters door Veiligheidszaken; (ii) het Externe Verwijzingsregister (hierna: EVR); of (iii) in de hoedanigheid van de Financiële instelling als werkgever vallen buiten de reikwijdte van deze Gedragscode.

3.2.3 Indien de Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars is goedgekeurd, heeft voor zorgverzekeraars, die tevens lid zijn van Zorgverzekeraars Nederland, bij discrepantie de Gedragscode Verwerking Persoonsgegevens Zorgverzekeraars voorrang.

5.1.1 Verwerking van Persoonsgegevens door Financiële instellingen vindt plaats, met inachtneming van de beginselen voor Verwerking van Persoonsgegevens ten behoeve van een efficiënte en effectieve bedrijfsvoering, in het bijzonder in het kader van het uitvoeren van de volgende activiteiten:

• a. het beoordelen en accepteren van een Cliënt, het aangaan en uitvoeren van overeenkomsten met een Cliënt en het afwikkelen van het betalingsverkeer;

• b. het verrichten van analyses van Persoonsgegevens ten behoeve van statistische en wetenschappelijke doeleinden;

• c. het uitvoeren van (gerichte) marketingactiviteiten teneinde een relatie met een Betrokkene tot stand te brengen en/of met een Cliënt in stand te houden dan wel uit te breiden;

• d. het waarborgen van de veiligheid en integriteit van de financiële sector, daaronder mede begrepen het onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot) (strafbare of laakbare) gedragingen gericht tegen de branche waar een Financiële instelling deel van uitmaakt, de Groep waartoe een Financiële instelling behoort, de Financiële instelling zelf, haar Cliënten en medewerkers, alsmede het gebruik van en de deelname aan waarschuwingssystemen;

• e. het voldoen aan wettelijke verplichtingen;

• f. het beheren van de relatie met de Cliënt.

5.1.2 Een Financiële instelling verwerkt niet meer Persoonsgegevens dan strikt noodzakelijk is. Financiële instellingen stellen deze Persoonsgegevens binnen de Groep slechts beschikbaar aan medewerkers die daartoe bevoegd zijn.

5.1.3 Financiële instellingen zullen waar nodig hun specifieke activiteiten melden bij het CBP of, voor zover van toepassing, bij de eigen Functionaris.

5.2.1 In het kader van het beoordelen en accepteren van een Cliënt en het aangaan en uitvoeren van een overeenkomst met een Cliënt worden Persoonsgegevens (verzameld en) verwerkt. Voor zover het gaat om Persoonsgegevens betreffende iemands gezondheid en strafrechtelijke Persoonsgegevens zijn de bepalingen van artikel 6 Gedragscode van toepassing.

5.2.2 Financiële instellingen kunnen voor het beoordelen en accepteren van een Cliënt en het aangaan en uitvoeren van een overeenkomst met een Cliënt Persoonsgegevens verstrekken en onttrekken aan waarschuwingssystemen als bedoeld in artikel 5.5.2 Gedragscode.

5.2.3 Door een Financiële instelling worden in het kader van de normale afwikkeling van het betalingsverkeer Persoonsgegevens doorgegeven aan de wederpartij. Tevens worden, tenzij vooraf anders is overeengekomen, aanvullende Persoonsgegevens verstrekt aan de bij de verdere Verwerking van Persoonsgegevens betrokken partijen, voor zover deze redelijkerwijs noodzakelijk zijn voor verificatiedoeleinden of reconstructiedoeleinden.

5.3.1 Verwerking van Persoonsgegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet beschouwd als onverenigbaar met de doeleinden waarvoor de Persoonsgegevens eerder zijn verzameld. De Financiële instelling treft de nodige voorzieningen om te verzekeren dat de verdere Verwerking van de Persoonsgegevens uitsluitend plaats heeft ten behoeve van deze specifieke doeleinden.

5.3.2 Analyses van Persoonsgegevens om groepsprofielen op te stellen worden beschouwd als Verwerkingen voor statistische of wetenschappelijke doeleinden.

5.4.1 Indien het aan een Cliënt voldoende duidelijk is gemaakt dat de Financiële instelling waar deze contact mee heeft deel uitmaakt van een Groep kan de Cliënt worden benaderd door alle entiteiten van de Groep ten behoeve van marketingactiviteiten, mits aan de overige bepalingen van de WBP is voldaan.

5.4.2 Bij marketingactiviteiten wordt primair gebruik gemaakt van Persoonsgegevens die van de Betrokkene zelf afkomstig zijn. In geval er gebruik wordt gemaakt van Persoonsgegevens die niet van de Betrokkene zelf verkregen worden, is artikel 4.8 Gedragscode van toepassing en zal de Financiële instelling zich er van overtuigen dat in overeenstemming met de WBP wordt gehandeld.

5.4.3 Ten behoeve van marketingactiviteiten kunnen Financiële instellingen hiertoe gespecialiseerde bedrijven inschakelen. Financiële instellingen zullen er voor zorg dragen dat met deze bedrijven een bewerkersovereenkomst wordt gesloten, waarin schriftelijk of in een andere, vergelijkbare vorm, verplichtingen zijn vastgelegd waaraan een Bewerker zich in het kader van de WBP dient te houden. Financiële instellingen zullen toezien op correcte naleving van de tussen partijen gemaakte afspraken.

5.4.4 Het is een Financiële instelling toegestaan, onverminderd het bepaalde in artikel 6.3.1 Gedragscode, Persoonsgegevens opgenomen in betaalopdrachten te gebruiken om financiële producten van de Groep, waartoe de Financiële instelling behoort, onder de aandacht van de Cliënt te brengen. De Financiële instelling zal deze attenderingen achterwege laten indien de Cliënt daarom verzoekt.

5.4.5 Bij marketingactiviteiten zal steeds worden nagegaan of een Betrokkene gebruik heeft gemaakt van het recht van verzet, als bedoeld in artikel 7.2 Gedragscode, in relatie tot de Verwerking van Persoonsgegevens voor dit doeleinde. Tevens zal steeds gecontroleerd worden of de Betrokkene zich heeft laten opnemen in het in artikel 11.7 lid 6, Telecommunicatiewet bedoelde register.

5.4.6 Bijzondere Persoonsgegevens zullen alleen voor marketingdoeleinden worden gebruikt met de uitdrukkelijke toestemming van de Betrokkene.

5.5.1 Ten behoeve van de veiligheid en integriteit van de Financiële sector kunnen gegevens, waaronder Persoonsgegevens, die betrekking hebben op: (i) gebeurtenissen die gelet op het bijzondere karakter van de Financiële sector de zorg en aandacht behoeven van de Financiële instelling; (ii) (potentiële) vorderingen onder meer ten aanzien van een met de Financiële instelling gesloten overeenkomst; (iii) het niet nakomen van contractuele verplichtingen of andere (toerekenbare) tekortkomingen; of (iv) handelingen van Financiële instellingen, waaronder onderzoek als bedoeld in artikel 5.6.1 Gedragscode, worden opgenomen in een Gebeurtenissenadministratie gehouden door Veiligheidszaken of een daartoe aangewezen afdeling van de betreffende Financiële instelling. Op deze Gebeurtenissenadministratie is de Gedragscode van toepassing.

5.5.2 Indien een in het eerste lid bedoelde gebeurtenis voldoet aan de criteria als opgenomen in het Protocol worden de met deze gebeurtenis verband houdende gegevens opgenomen in het incidentenregister en is opname in het EVR mogelijk (Bijlage I: Document B).

5.6.1 Financiële instellingen dienen op grond van onder meer onderstaande wettelijke voorschriften in bepaalde gevallen Persoonsgegevens van een Betrokkene te verzamelen, te verwerken en aan bepaalde instellingen (waaronder overheidsinstellingen en toezichthouders) te verstrekken. Een aantal van die wettelijke verplichtingen wordt, niet uitputtend, hieronder vermeld.

• a. Op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) dient, indien er sprake is van een zakelijke relatie,ter voorkoming van witwassen en financieren van terrorisme, een cliëntenonderzoek te worden uitgevoerd.

• b. Wet op het financieel toezicht (Wft): op grond van de Wft dienen Financiële instellingen die zich bezig houden met het verstrekken van kredieten aan natuurlijke personen die onder de werking van de Wft vallen, te zijn aangesloten bij een ‘stelsel van kredietregistraties’. Het Bureau Krediet Registratie te Tiel (BKR) beheert een dergelijk stelsel van kredietregistraties. Financiële instellingen verstrekken Persoonsgegevens over het ontstaan en afwikkelen van financieringen aan het BKR en kunnen tevens beschikken over de door andere Financiële instellingen aangeleverde Persoonsgegevens. De aard van de vastgelegde Persoonsgegevens, de voorwaarden voor vastlegging, gebruik en verstrekking en de regels voor verwijdering van de Persoonsgegevens zijn neergelegd in het reglement van het BKR, dat ook voorziet in een specifieke geschillenregeling.

• c. De Wft legt verder een aanbieder van een overeenkomst inzake een financiële dienst de verplichting op informatie in te winnen over de financiële positie van de Cliënt. Daarnaast geeft het Besluit prudentiële regels aan dat Financiële instellingen zorg dienen te dragen voor een systematische analyse van integriteitsrisico’s en voor het voeren van beleid met betrekking tot maatregelen en procedures met betrekking tot een integere uitoefening van het bedrijf.

• d. Wet inkomstenbelasting 2001 en Invoeringswet inkomstenbelasting 2001: op grond van deze wetten is voorgeschreven dat door Financiële instellingen het burgerservicenummer (hierna: BSN) als verplicht identificerend gegeven op de renseigneringen wordt vermeld.

• e. Wet algemene bepalingen burgerservicenummer (Wabb): op grond van deze wet moeten verzekeraars als bedoeld in artikel 23, eerste lid, onder c Pensioenwet het burgerservicenummer gebruiken ter uitvoering van pensioenregelingen.

• f. Algemene wet inzake rijksbelastingen (AWR): op grond van deze wet zijn – administratieplichtige – Financiële instellingen gehouden het BSN van het identiteitsbewijs in hun administratie te bewaren.

• g. Verschillende wetten, waaronder het Wetboek van Strafvordering, verplichten Financiële instellingen om, indien dat gevorderd wordt, gegevens over transacties van Cliënten ter beschikking te stellen aan opsporingsambtenaren en toezichthouders.

6.1.1 Het is een Financiële instelling toegestaan Persoonsgegevens betreffende iemands gezondheid te verwerken voor zover dat noodzakelijk is voor: de beoordeling van een Cliënt, de acceptatie van een Cliënt, het uitvoeren van een overeenkomst met een Cliënt en het afwikkelen van het betalingsverkeer.

6.1.2 Onverminderd het bepaalde in artikel 6.1.1 Gedragscode is het een Financiële instelling toegestaan Persoonsgegevens betreffende iemands gezondheid te verwerken indien: (i) hiertoe de uitdrukkelijke toestemming van de Cliënt is verkregen; (ii) de gegevens door de Betrokkene duidelijk openbaar zijn gemaakt; (iii) dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; (iv) dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting; (v) dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het CBP ontheffing heeft verleend.

6.1.3 Persoonsgegevens betreffende iemands gezondheid die zijn verwerkt met het oog op de beoordeling van een Cliënt, de acceptatie van een Cliënt, het uitvoeren van een overeenkomst met een Cliënt gericht op een specifiek product of de afhandeling van een schadeclaim van een Cliënt zullen zonder uitdrukkelijke toestemming van de Cliënt niet worden gebruikt in het kader van de beoordeling van een Cliënt, de acceptatie van een Cliënt, het uitvoeren van een overeenkomst met een Cliënt ten behoeve van een ander product of de afhandeling van een andere schadeclaim.

6.1.4 Het verwerken van Persoonsgegevens betreffende iemands gezondheid door een Financiële instelling om een advies te kunnen uitbrengen over de medische beoordeling van een Cliënt alsmede van het medisch handelen van een Verzekerde is voorbehouden aan een Medisch adviseur en de personen die onder zijn verantwoordelijkheid betrokken zijn bij dat advies. Het opvragen van aanvullende gegevens omtrent de gezondheid van en bij een Cliënt gebeurt uitsluitend door een Medisch adviseur of mensen uit zijn medische dienst of staf.

6.1.5 Het verzamelen van Persoonsgegevens betreffende iemands gezondheid door een Medisch adviseur van een Financiële instelling bij anderen dan de Cliënt zal alleen plaatsvinden nadat de Cliënt daarvoor toestemming heeft verleend en daartoe een machtiging heeft verstrekt. Deze machtiging dient niet algemeen van aard te zijn, maar dient zich te richten op de Verwerking ten behoeve van een concrete aangelegenheid. De Cliënt dient te worden geïnformeerd over de aard van de op te vragen gegevens, alsmede over het doel daarvan. Dit dient uit de machtiging te blijken.

6.1.6 Rapporten van een geneeskundige, de Arbodienst, alsmede informatie van de behandelend sector dienen te worden opgenomen in een medisch dossier dat onder de verantwoordelijkheid van de Medisch adviseur wordt bewaard. De Cliënt heeft het recht – bij voorkeur via een door hem of haar benoemde vertrouwensarts – een op de Cliënt betrekking hebbend medisch dossier volledig, met uitzondering van werkaantekeningen van de Medisch adviseur, in te zien en daarvan kopieën te ontvangen, tenzij de privacy van de in het rapport besproken Derden zich daartegen verzet.

6.1.7

• a. Indien in het kader van acceptatie en/of schadebehandeling medewerking van een Cliënt aan een medische keuring of aan een aanvullend onderzoek wordt gevraagd, zal de Financiële instelling in de keuringsstukken en formulieren wijzen op het belang van legitimatie teneinde verwisseling van personen te voorkomen.

• b. De Cliënt zal daarbij worden geïnformeerd dat hij het recht heeft om schriftelijk te kennen te geven dat hij de uitslag en gevolgtrekking van het onderzoek wenst vernemen. Tenzij het betreft een tot stand gekomen burgerrechtelijke verzekering heeft de Cliënt het recht mede te delen om als eerste kennis te nemen van deze gegevens teneinde te kunnen beslissen dat geen mededeling van die uitslag en gevolgtrekking aan anderen wordt gedaan

6.1.8 Niet onder de verantwoordelijkheid van de Medisch adviseur vallen Verwerkingen van Persoonsgegevens omtrent iemands gezondheid voor zover dat noodzakelijk is voor:

• a. het nemen van een beslissing inzake het door de verzekeraar te verzekeren risico;

• b. de schadeafhandeling om de omvang van de gemelde claim of de schade te kunnen vaststellen, teneinde te kunnen beslissen of aanvullende informatie nodig is of dat direct tot uitkering kan worden overgegaan. Dit alles onverminderd het bepaalde in artikel 6.1.4 dat de aanvullende informatie wordt opgevraagd en beoordeeld door de Medisch adviseur en dat bij de directe schadeafhandeling alleen daartoe noodzakelijke persoonsgegevens omtrent gezondheid worden verwerkt;

• c. de uitvoering van de verzekerings- of financieringsovereenkomst, waaronder mede begrepen de Verwerking van Persoonsgegevens in het kader van het ontvangen en verwerken van declaraties en financieringsovereenkomsten dan wel indien daarom door of namens de Cliënt is verzocht in verband met diens gezondheidstoestand.

6.1.9 De gegevens omtrent iemands gezondheid worden slechts verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht, behoudens voor zover de wet hen tot mededeling verplicht of uit hun taak de noodzaak voortvloeit dat de gegevens worden medegedeeld aan anderen die krachtens artikel 6.1 Gedragscode bevoegd zijn tot Verwerking daarvan.

6.1.10 Op de Verwerking van Persoonsgegevens betreffende erfelijke eigenschappen is het moratorium erfelijkheidsonderzoek van toepassing. (Bijlage I: Document D).

6.1.11 Op de Verwerking van Persoonsgegevens betreffende iemands gezondheid die ontleend kunnen worden aan bloedonderzoek is de 'HIV-gedragscode' van toepassing. (Bijlage I: Document E).

6.2.1 Het is Financiële instellingen toegestaan strafrechtelijke Persoonsgegevens te verwerken voor zover dat noodzakelijk is voor: (i) de beoordeling van een Cliënt, de acceptatie van een Cliënt, het uitvoeren van een overeenkomst met een Cliënt en het afwikkelen van het betalingsverkeer; (ii) het waarborgen van de veiligheid en integriteit van de financiële sector, daaronder mede begrepen onderkennen, voorkomen, onderzoeken en bestrijden van (pogingen tot) (strafbare of laakbare) gedragingen gericht tegen de branche waar een Financiële instelling deel van uitmaakt, de Groep waartoe een Financiële instelling behoort, de Financiële instelling zelf, haar Cliënten en medewerkers, alsmede het gebruik van en de deelname aan waarschuwings-systemen; of (iii) het voldoen aan wettelijke verplichtingen.

6.2.2 Onverminderd het bepaalde in artikel 6.2.1 is het Financiële instellingen toegestaan Persoonsgegevens van strafrechtelijke aard te verwerken indien: (i) hiertoe de uitdrukkelijke toestemming van de Cliënt is verkregen; (ii) de gegevens door de Betrokkene duidelijk openbaar zijn gemaakt; (iii) dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; (iv) dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting; (v) dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het CBP ontheffing heeft verleend; (v) indien passende en specifieke waarborgen zijn getroffen en de procedure is gevolgd ingevolge artikel 31 WBP.

6.2.3 Financiële instellingen kunnen met het oog op een verantwoord acceptatiebeleid vragen naar feiten omtrent een eventueel strafrechtelijk verleden van te verzekeren personen en anderen wiens belangen op de aangevraagde verzekering worden (mee)verzekerd (bestuurders en aandeelhouders van rechtspersonen daaronder begrepen), voor zover die feiten betrekking hebben op een periode van 8 jaar voorafgaand aan de aanvraag tot verzekering. Daarbij geldt dat het opgegeven strafrechtelijk verleden slechts gebruikt zal worden voor de beoordeling van de verzekeringsaanvraag en dat langs rechtmatige weg verkregen gegevens omtrent een strafrechtelijk verleden kunnen worden gebruikt in het kader van een beroep op niet nakomen van de mededelingsplicht.

6.2.4 Het verbod om andere Bijzondere gegevens te verwerken is niet van toepassing voor zover dit noodzakelijk is in aanvulling op de verwerking van strafrechtelijke gegevens voor de doeleinden waarvoor deze gegevens worden verwerkt.

6.2.5 Persoonsgegevens die:(i) betrekking hebben op strafbare feiten die zijn, of op grond van feiten en omstandigheden naar verwachting zullen worden, begaan jegens één van de in een Groep verbonden Financiële instellingen; of (ii) dienen ter vaststelling van mogelijk strafbaar gedrag jegens één van de in een Groep verbonden Financiële instellingen, kunnen door de Financiële instelling worden verstrekt binnen de Groep, mits de gegevens uitsluitend worden verstrekt aan functionarissen die de gegevens voor de uitoefening van hun functie nodig hebben alsmede aan politie en Justitie.

6.3.1 Het mededelingenveld van een betalingsopdracht kan Bijzondere Persoonsgegevens bevatten. De uitvoering van de betalingsopdrachten brengt met zich mee dat Verwerking van dergelijke Persoonsgegevens plaatsvindt. De Verwerking van Persoonsgegevens vindt onder meer plaats door het archiveren van de originele bescheiden of van de al dan niet elektronische afschriften daarvan.

6.3.2 Het is een Financiële instelling toegestaan (andere) Bijzondere Persoonsgegevens te verwerken indien: (i) hiertoe de uitdrukkelijke toestemming van de Cliënt is verkregen; (ii) de gegevens door de Betrokkene duidelijk openbaar zijn gemaakt; (iii) dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte; (iv) dit noodzakelijk is ter voldoening aan een volkenrechtelijke verplichting; (v) dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het CBP ontheffing heeft verleend.

7.1.1 Een Betrokkene is gerechtigd – met redelijke tussenpozen – een Financiële instelling schriftelijk een overzicht te vragen van de Persoonsgegevens van de Betrokkene die door die Financiële instelling worden verwerkt. De Financiële instelling zal, behoudens de in artikel 9 Gedragscode genoemde uitzonderingsgevallen, de Betrokkene binnen vier weken na ontvangst van het verzoek een volledig overzicht van de Persoonsgegevens doen toekomen. Indien door de Financiële instelling geen Persoonsgegevens van de Betrokkene worden verwerkt, zal de Financiële instelling dit tevens binnen vier weken na ontvangst van het verzoek aan de Betrokkene laten weten.

7.1.2 Het overzicht als genoemd in artikel 7.1.1 Gedragscode omvat in begrijpelijke vorm: (i) een omschrijving van het doel of de doeleinden van de Verwerking; (ii) de categorieën van Persoonsgegevens waarop de Verwerking betrekking heeft; (iii) de ontvangers of categorieën van ontvangers, alsmede; (iv) de beschikbare informatie over de herkomst van de Persoonsgegevens.

7.1.3 Indien uit het verstrekte overzicht blijkt dat Persoonsgegevens feitelijk onjuist zijn, voor het doel van de Verwerking onvolledig of niet ter zake dienend dan wel anderszins in strijd met deze Gedragscode of wettelijk voorschrift worden verwerkt, kan de Betrokkene schriftelijk om verbetering, aanvulling, verwijdering of afscherming van de betreffende Persoonsgegevens verzoeken. Een Financiële instelling zal de Betrokkene binnen vier weken na ontvangst van genoemd verzoek, schriftelijk laten weten of dan wel in hoeverre aan het verzoek wordt voldaan. Indien niet of niet volledig aan het verzoek van de Betrokkene wordt voldaan wordt dit met redenen omkleed.

7.1.4 Het in artikel 7.1.1 Gedragscode genoemde verzoek dient te worden gedaan bij de Financiële instelling die verantwoordelijk is voor de betreffende Verwerking van Persoonsgegevens. Het verzoek om correctie dient een specificatie te bevatten van de Persoonsgegevens die gecorrigeerd dienen te worden. De Financiële instelling draagt zorg voor een deugdelijke vaststelling van de identiteit van de verzoeker.

7.1.5 Indien het voor de Betrokkene onduidelijk is wie als Verantwoordelijke voor de Verwerking van de betreffende Persoonsgegevens dient te worden aangemerkt, bijvoorbeeld omdat de Financiële instelling deel uitmaakt van een Groep, kan de Betrokkene zijn verzoek richten tot de directie van de Financiële instelling waarvan hij vermoedt dat deze zijn Persoonsgegevens verwerkt. De directie van de betreffende Financiële instelling dient er voor zorg te dragen dat het verzoek op de juiste wijze wordt afgehandeld.

7.2.1 Indien de grondslag van de Verwerking van Persoonsgegevens is gelegen in het gerechtvaardigde belang van de Verantwoordelijke of van een Derde aan wie de Persoonsgegevens worden verstrekt heeft de Betrokkene het recht verzet aan te tekenen tegen de Verwerking van Persoonsgegevens in verband met zijn bijzondere persoonlijke omstandigheden. Binnen vier weken na ontvangst van het verzet beoordeelt de Verantwoordelijke of het verzet gerechtvaardigd is. Is dat het geval dan wordt de Verwerking van Persoonsgegevens van die Betrokkene onmiddellijk beëindigd.

7.2.2 Indien een Financiële instelling Persoonsgegevens verwerkt met het oog op werving voor commerciële of charitatieve doelen kan de Betrokkene daartegen altijd kosteloos verzet aantekenen. In geval van verzet treft de Financiële instelling maatregelen om deze vorm van Verwerking van Persoonsgegevens onmiddellijk te beëindigen. De Verantwoordelijke zal zorg dragen dat, indien voor de hiervoor genoemde doelen rechtstreeks een boodschap aan Betrokkene wordt gezonden, deze daarbij telkens wordt gewezen op de mogelijkheid tot het doen van verzet.

7.2.3 Het gebruik van automatische oproepsystemen zonder menselijke tussenkomst, faxen of elektronische berichten voor Direct Marketing is uitsluitend toegestaan indien de verzender kan aantonen dat de Betrokkene daarvoor voorafgaand toestemming heeft verleend (‘opt-in’). Er zijn voor de Betrokkene geen kosten verbonden aan het verlenen van deze toestemming.

7.2.4 Het gebruik van andere dan de in artikel 7.2.3 Gedragscode genoemde technieken waaronder telefoon en ‘gewone’ post voor Direct Marketing is toegestaan, tenzij de betreffende Betrokkene te kennen heeft gegeven informatie of mededelingen waarbij van deze technieken gebruik wordt gemaakt, niet te willen ontvangen (‘opt-out’). Er zijn voor de Betrokkene geen kosten verbonden aan voorzieningen waarmee wordt voorkomen dat aan een Betrokkene ongevraagde informatie wordt overgebracht.

7.2.5 Een Financiële instelling die elektronische contactgegevens voor elektronische berichten (zoals e-mail, sms-berichten, mms-berichten) heeft verkregen in het kader van de verkoop van een financieel product of het verlenen van een financiële dienst mag deze gegevens gebruiken voor Direct Marketing ten behoeve van eigen gelijksoortige financiële producten of financiële diensten (‘soft opt-in’). Dit op voorwaarde dat: (i) bij de verkrijging van de contactgegevens aan de Betrokkene uitdrukkelijk de gelegenheid is geboden om kosteloos verzet aan te tekenen tegen het gebruik van die elektronische contactgegevens; en, (ii) indien de Betrokkene hiervan geen gebruik heeft gemaakt, hem bij elke tot stand gebrachte communicatie nadrukkelijk de mogelijkheid wordt geboden om kosteloos verzet aan te tekenen tegen het verdere gebruik van zijn elektronische contactgegevens. Artikel 41 lid 2 WBP is van overeenkomstige toepassing.

7.2.6 Bij het gebruik van elektronische berichten voor Direct Marketing dient de Financiële instelling te voldoen aan de informatieplicht ingevolge artikel 3:15 e Burgerlijk Wetboek.

7.2.7 Een Financiële instelling zal zich slechts door middel van een elektronisch communicatiemiddel toegang verschaffen tot Persoonsgegevens die zijn opgeslagen in apparatuur van een gebruiker van een openbaar communicatienetwerk indien dat noodzakelijk is om de verzending van communicatie over een openbaar netwerk uit te voeren of te vergemakkelijken dan wel om de door de gebruiker gevraagde dienst te leveren en de opslag of toegang tot gegevens daarvoor strikt noodzakelijk is.

7.2.8 In alle andere gevallen zal een Financiële instelling zich een dergelijke toegang slechts verschaffen indien de gebruiker op een duidelijke en nauwkeurige wijze is geïnformeerd over de doeleinden waarvoor toegang tot apparatuur of Persoonsgegevens gewenst is en op voldoende kenbare wijze de gelegenheid is geboden om deze handeling te weigeren.

7.3.1 Een Financiële instelling kan voor een verzoek van een Betrokkene als bedoeld in de artikelen 7.1.1 en 7.2.1 Gedragscode een vergoeding van kosten verlangen die niet hoger is dan het bij algemene maatregel van bestuur vastgestelde bedrag.

7.3.2 Indien tot aanpassing, wijziging of verwijdering van de Persoonsgegevens wordt overgegaan als bedoeld in artikel 7.1.3 Gedragscode of indien het verzet als bedoeld in artikel 7.2.1 Gedragscode gegrond wordt bevonden wordt de vergoeding als bedoeld in artikel 7.3.1 Gedragscode gerestitueerd.

7.4.1 Het nemen van een besluit door een Financiële instelling uitsluitend op grond van geautomatiseerde Verwerking van Persoonsgegevens bestemd om een beeld van bepaalde aspecten van iemands persoonlijkheid te krijgen is slechts toegestaan indien: (i) dit wordt genomen in het kader van het sluiten of uitvoeren van een overeenkomst, of (ii) dit besluit zijn grondslag vindt in een wet waarin maatregelen zijn vastgelegd die strekken tot bescherming van het gerechtvaardigde belang van de Betrokkene.

7.4.2 Indien bij het besluit niet is voldaan aan het verzoek van de Betrokkene zal deze in de gelegenheid worden gesteld zijn zienswijze naar voren te brengen. De Financiële instelling deelt in dat geval de logica mede die aan de geautomatiseerde Verwerking van Persoonsgegevens ten grondslag heeft gelegen.

8.1.1 Een Financiële instelling kan een Functionaris benoemen. Als Functionaris kan slechts worden benoemd een natuurlijke persoon die voor de vervulling van zijn taak over toereikende kennis beschikt en voldoende betrouwbaar kan worden geacht. De Functionaris is voor zijn taakuitoefening onafhankelijk van de Financiële instelling die hem heeft benoemd en kan daarvan geen aanwijzingen met betrekking tot de uitoefening van zijn taak ontvangen. De Financiële instelling die hem benoemt dient de Functionaris in de gelegenheid te stellen zijn taak naar behoren te vervullen, en draagt er zorg voor dat deze geen nadeel ondervindt van de uitoefening van zijn taak. In dat verband geniet de Functionaris ontslagbescherming.

8.1.2 De Functionaris ziet toe op de naleving door de Financiële instelling van de voorschriften met betrekking tot het verwerken van Persoonsgegevens gesteld bij of krachtens enige wet, alsmede op de naleving van de voorschriften van deze Gedragscode. Hij stelt jaarlijks een verslag op van zijn werkzaamheden en bevindingen. De Functionaris heeft de bevoegdheden die hem op grond van artikel 63 en 64 WBP zijn toegekend. De Algemene wet bestuursrecht wordt analoog toegepast.

8.2.1 Financiële instellingen wisselen in het kader van hun dienstverlening Persoonsgegevens uit binnen de Groep met door Financiële instellingen ingeschakelde Bewerkers en met Derden. Dit kan met zich mee brengen dat Persoonsgegevens aan landen worden doorgegeven die zich buiten de EER bevinden, nu entiteiten die deel uitmaken van de Groep, Bewerkers en Derden zich kunnen bevinden in landen buiten de EER.

8.2.2 Doorgifte van Persoonsgegevens naar landen buiten de EER door een Financiële instelling is toegestaan, met inachtneming van de beginselen van Verwerking van Persoonsgegevens, indien het betreffende land een passend beschermingsniveau ten aanzien van de doorgegeven Persoonsgegevens waarborgt. Van een passend beschermingsniveau wordt onder meer gesproken indien de Europese Commissie heeft besloten dat een betreffend land een passend beschermingsniveau heeft. Tevens kan door implementatie van goedgekeurde Binding Corporate Rules binnen een Groep wereldwijd een passend beschermingsniveau worden gecreëerd.

8.2.3 Doorgifte van Persoonsgegevens door een Financiële instelling is altijd toegestaan indien:

• a. de Betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven; of

• b. de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen Cliënt ende Verantwoordelijke, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van Cliënt en die noodzakelijk zijn voor het sluiten van een overeenkomst; of

• c. de doorgifte noodzakelijk is voor de sluiting of uitvoering van een in het belang van de Cliënt tussen de Verantwoordelijke en een Derde gesloten of te sluiten overeenkomst; of

• d. de doorgifte noodzakelijk is vanwege een zwaarwegend algemeen belang of voor de vaststelling, de uitvoering of de verdediging in rechte van enig recht; of

• e. de doorgifte noodzakelijk is ter vrijwaring van vitale belangen van de Betrokkene; of

• f. de minister van Justitie een vergunning heeft gegeven voor doorgifte of categorieën van doorgiften.

8.3.1 De Financiële instelling die Persoonsgegevens verwerkt treft, rekening houdend met: (i) de stand van de techniek; (ii) de kosten van de tenuitvoerlegging; (iii) de risico's die de Verwerking met zich meebrengt; (iv) en de aard van de Persoonsgegevens, passende technische en organisatorische maatregelen om Persoonsgegevens te beveiligen tegen onder meer (opzettelijke) vernietiging, verlies, vervalsing, ongewenste verspreiding of toegang, dan wel tegen enige andere vorm van onrechtmatige Verwerking van Persoonsgegevens.

8.3.2 Indien de Verwerking van Persoonsgegevens wordt gedaan door een Bewerker draagt de Verantwoordelijke er zorg voor dat met de betreffende Bewerker in een overeenkomst schriftelijk of in een andere, gelijkwaardige vorm wordt vastgelegd, dat de Bewerker zorg draagt voor voldoende waarborgen ten aanzien van de technische en organisatorische beveiligings-maatregelen met betrekking tot de te verrichten Verwerking van Persoonsgegevens.

8.4.1 Het is een Financiële instelling toegestaan onder bepaalde voorwaarden toezicht te houden door gebruik van camera’s. Cameratoezicht, de daarvoor verkregen beelden en verwerking daarvan hebben als doel:

• a. gebouwen en terreinen die de Financiële instelling gebruikt/eigendom van de Financiële instelling is te beveiligen;

• b. goederen in die gebouwen te bewaken;

• c. belangen van de Financiële instelling en de veiligheid en belangen van de medewerkers, Cliënten of Derden te beschermen;

• d. strafbare feiten of overtredingen van (bedrijfs)regels van de Financiële instelling te voor-komen, vast te stellen of te onderzoeken;

• e. juridische procedures te ondersteunen.

8.4.2 Camera toezicht door Financiële instellingen is slechts toegestaan, indien:

• a. cameratoezicht op selectieve wijze wordt uitgeoefend, dat wil zeggen dat niet meer plaatsen en personen mogen worden vastgelegd dan voor de genoemde doeleinden noodzakelijk is. Verzekeraars dienen hierbij tevens het bepaalde in de Gedragscode Persoonlijk Onderzoek (Bijlage I: Document C) te volgen;

• b. de door cameratoezicht verkregen Persoonsgegevens niet langer worden bewaard dan nodig is voor de in artikel 8.4.1 Gedragscode omschreven doeleinden. De bewaarduur kan per cameratoepassing verschillen;

• c. de door cameratoezicht verkregen beelden zodanig bewaard en beveiligd worden dat deze niet toegankelijk zijn voor onbevoegden, terwijl zodanige maatregelen worden getroffen dat manipulatie wordt voorkomen en beelden traceerbaar zijn en gereconstrueerd kunnen worden;

• d. cameratoezicht duidelijk kenbaar is gemaakt. In voorkomende gevallen kan gebruik worden gemaakt van een verborgen camera om strafbare feiten of overtredingen van bedrijfsregels vast te stellen of te onderzoeken, of om juridische procedures te ondersteunen.

8.4.3 Voor zover bij cameratoezicht Persoonsgegevens omtrent ras worden verwerkt dan geschiedt dat uitsluitend met het oog op de identificatie van de Betrokkene en slechts voor zover dat voor het doel onvermijdelijk is.

8.4.4 De door camera’s verkregen beelden kunnen door Financiële instellingen worden verstrekt aan politie en Justitie, Veiligheidszaken en binnen de Groep aan functionarissen die handhaving van de bedrijfsregels tot taak hebben.

8.4.5 Een Betrokkene heeft het recht de cameraopname te bekijken en/of een kopie van de cameraopname te verkrijgen. Dit op voorwaarde dat de Betrokkene de Financiële instelling voldoende informeert om zodoende de Financiële instelling in staat te stellen de betreffende cameraopname te traceren. De Betrokkene dient de Financiële instelling ten minste te informeren over de plaats, datum en tijdstip van de opname, dan wel een andere indicatie om het zoeken te vergemakkelijken. De Financiële instelling behoeft geen inzage te verlenen indien wordt voldaan aan de voorwaarden van artikel 9 Gedragscode.

8.5.1 Het opnemen van telefoongesprekken door een Financiële instelling, de daardoor verkregen bandopnames en Verwerking daarvan hebben als doel: (i) het kunnen leveren van bewijs onder andere ten aanzien van interpretatieverschillen of onenigheid met betrekking tot de inhoud van het telefoongesprek; (ii) (fraude)onderzoek en opsporing; (iii) evalueren van de kwaliteit van de dienstverlening; (iv) trainings-, coachings- en beoordelingsdoeleinden.

8.5.2 De bandopnames worden zodanig bewaard en beveiligd dat deze niet toegankelijk zijn voor onbevoegden, terwijl zodanige maatregelen worden getroffen dat manipulatie wordt voorkomen.

8.5.3 De bandopname wordt door de Financiële instelling niet langer bewaard dan noodzakelijk voor de in artikel 8.5.1 Gedragscode genoemde doeleinden.

8.5.4 Een Betrokkene heeft het recht de bandopname te beluisteren, een kopie van de band te krijgen of een transcriptie van het opgenomen telefoongesprek te verkrijgen, zulks afhankelijk van de inhoud van de band. Dit op voorwaarde dat de Betrokkene de Financiële instelling voldoende informeert om zodoende de Financiële instelling in staat te stellen de betreffende bandopname te traceren. De Betrokkene dient de Financiële instelling ten minste te informeren over de datum en tijdstip van het gesprek, het door de Betrokkene gebruikte telefoonnummer en een aanduiding omtrent het door de Betrokkene gebelde telefoonnummer dan wel een andere indicatie om het zoeken te vergemakkelijken. De Financiële instelling behoeft geen inzage te verlenen indien wordt voldaan aan de voorwaarden genoemd in artikel 9 Gedragscode.

8.5.5 De bandopnames kunnen door Financiële instellingen worden verstrekt aan politie en Justitie, Veiligheidszaken en binnen de Groep aan functionarissen die handhaving van de bedrijfsregels tot taak hebben.

8.6.1 Bij het vastleggen van Persoonsgegevens verkregen via elektronische communicatie met een Betrokkene wordt artikel 8.5 Gedragscode zo veel als mogelijk analoog toegepast.