Een persoon stelt dat ING zijn strafrechtelijke persoonsgegevens onrechtmatig heeft verwerkt. In geschil is wat onder 'strafrechtelijke persoonsgegevens' in de zin van art. 10 AVG moet worden verstaan. Het hof had een nationale strafrechtelijke definitie gehanteerd, waartegen het middel zich keert.

Beslissing van de rechter

De Hoge Raad beoordeelt het cassatiemiddel dat zich keert tegen het hofsoordeel dat strafrechtelijke persoonsgegevens (art. 10 AVG) uitsluitend feiten en omstandigheden zijn die een bewezenverklaring in de zin van art. 350 Sv kunnen dragen. De doorslaggevende rechtsvraag is of het begrip 'strafbare feiten' in art. 10 AVG een autonome Unierechtelijke betekenis heeft, waarbij ook de aard van het feit en de zwaarte van mogelijke sancties een rol spelen. De uitspraak is op basis van de beschikbare tekst onvolledig, waardoor de einduitkomst niet volledig kan worden vastgesteld.

68van 100

Impactscore

Hoog

De Hoge Raad beantwoordt een fundamentele vraag over de reikwijdte van art. 10 AVG die breed doorwerkt in de financiële sector en bij alle verwerkingsverantwoordelijken die strafrechtelijke gegevens hanteren; de Unierechtelijke dimensie vergroot de betekenis verder.

Belangrijkste punten

1Art. 10 AVG beschermt persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten; verwerking is slechts toegestaan onder overheidstoezicht of op grond van expliciete wettelijke grondslag.
2Het hof had het begrip 'strafrechtelijke persoonsgegevens' ingevuld aan de hand van het nationale strafvorderlijke begrippenkader (art. 350 Sv).
3Onderdeel 1 van het middel betoogt dat 'strafbare feiten' in art. 10 AVG een autonoom Unierechtelijk begrip is, waarbij naast nationale kwalificatie ook aard en sanctiezwaarte bepalend zijn.
4De Hoge Raad is de hoogste nationale rechter; de vraag heeft mogelijk prejudiciële dimensies richting het HvJ EU.
5De rechtmatigheid van ING's gegevensverwerking staat centraal; de eerder aangehaalde overweging dat onrechtmatig handelen door de betrokkene de rechtmatigheid van verwerking niet wegneemt, is onderdeel van het geschil.

Impactanalyse

Juridische impact

Deze uitspraak raakt de kernvraag hoe art. 10 AVG nationaalrechtelijk moet worden uitgelegd, en of nationale strafvorderlijke begrippen bepalend zijn of dat een Unierechtelijk-autonome uitleg prevaleert. De uitkomst heeft directe werking voor alle verwerkingsverantwoordelijken die strafrechtelijke persoonsgegevens verwerken.

Praktische impact

Financiële instellingen zoals ING en andere verwerkingsverantwoordelijken moeten op basis van deze zaak beoordelen of hun interne definities van 'strafrechtelijke gegevens' voldoen aan de Unierechtelijke norm. Een bredere definitie kan leiden tot strengere complianceverplichtingen.

Onderwerp-impact

Voor de financiële sector betekent dit dat cliëntscreenings en fraudegerelateerde gegevensverwerking mogelijk onder een zwaarder AVG-regime vallen dan tot nu toe aangenomen op basis van nationaal recht.

Samenvatting

In deze zaak bij de Hoge Raad (arrest van 6 november 2026) staat de uitleg van het begrip 'strafrechtelijke persoonsgegevens' in de zin van art. 10 AVG centraal. De aanleiding is een geschil tussen een particulier en ING over de rechtmatigheid van de verwerking van zijn persoonsgegevens door de bank. Het hof had in hoger beroep geoordeeld dat van strafrechtelijke persoonsgegevens in de zin van art. 10 AVG slechts sprake is wanneer het gaat om zodanige concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring – in de betekenis van art. 350 Sv – kunnen dragen. Met andere woorden: het hof knoopte aan bij het Nederlandse strafvorderlijke bewijsrecht om de grens te bepalen wanneer gegevens als 'strafrechtelijk' moeten worden aangemerkt. Tegen dit oordeel richt onderdeel 1 van het cassatiemiddel zich. De klacht houdt in dat het hof heeft miskend dat het begrip 'strafbare feiten' in art. 10 AVG een autonome Unierechtelijke betekenis heeft. Die betekenis zou niet alleen worden bepaald door de juridische kwalificatie naar nationaal recht, maar ook door de aard van het feit zelf en de zwaarte van de sancties die daarvoor opgelegd kunnen worden. Dit is een klassiek vraagstuk van Unierechtelijke interpretatie: wanneer een verordening een begrip hanteert, moet dat begrip in beginsel uniform en autonoom worden uitgelegd, ongeacht hoe nationale rechtsstelsels dat begrip definiëren. De juridische inzet is groot: een bredere, Unierechtelijk autonome uitleg van art. 10 AVG zou betekenen dat meer categorieën gegevens als bijzonder beschermd moeten worden aangemerkt, met als gevolg dat verwerking ervan slechts is toegestaan onder overheidstoezicht of op grond van een expliciete wettelijke grondslag met passende waarborgen. Voor banken en andere financiële instellingen die in het kader van Wwft-verplichtingen en fraudedetectie regelmatig gegevens verwerken die raakvlakken hebben met mogelijk strafbaar gedrag, kan dit vergaande gevolgen hebben. De beschikbare tekst van de uitspraak is onvolledig, waardoor de definitieve beslissing van de Hoge Raad op basis hiervan niet volledig kan worden weergegeven.

Bron: Rechtspraak.nl Open Data· Geanalyseerd op 7 november 2026 met claude-sonnet-4-6

Originele uitspraak

68van 100

HoogLees toelichting ↓