Op de zwarte lijst van banken: in de financiële gevangenis

Klantenscreening Duizenden Nederlanders zijn door banken op verdenking van fraude op een zwarte lijst geplaatst. Ze krijgen nergens een bankrekening of hypotheek. Zelfs niet als de rechter hen vrijspreekt.

Illustratie Pepijn Barnard

In de zomer van 2012 wordt 1.530 euro op de bankrekening van een 19-jarige ING-klant gestort. Het geld wordt vrijwel meteen gepind. Bij ING vermoeden ze vals spel. Ze denken dat hun klant een money mule (geldezel) is, iemand die tegen betaling zijn rekening beschikbaar stelt aan criminelen om geld wit te wassen dat ze met oplichting verdienen. De bank treedt hard op. De rekening van de klant wordt opgeheven en hij wordt voor acht jaar in het Extern Verwijzingsregister (EVR) geplaatst: een lijst waarop banken gegevens over ‘foute’ klanten delen.

Deze zwarte lijst maakt van de man een financiële paria. Hij vertelt ING dat hij onder dwang zijn pinpas en pincode heeft afgestaan. Maar de bank gelooft hem niet. Dat de rechter de man vrijspreekt, maakt op ING evenmin indruk. De bank wil hem acht jaar lang op de zwarte lijst houden. Gedurende die tijd zal hij bij geen enkele bank in Nederland een rekening kunnen openen, laat staan een hypotheek aanvragen of creditcard. Uiteindelijk staat hij ruim zes jaar op de lijst. In mei dit jaar oordeelt de geschillencommissie van het Klachteninstituut Financiële Dienstverlening (Kifid) dat hij per direct uit het register verwijderd moet worden.

Banken hadden begin dit jaar 17.336 mensen op hun zwarte lijst. Hun Extern Verwijzingsregister – verzekeraars hebben een eigen variant – bestaat ruim twintig jaar, en opereert in de luwte. Zelfs minister van Financiën Wopke Hoekstra (CDA) lijkt niet op de hoogte van het bestaan. Tegen de achtergrond van witwasaffaires sprak hij er dit jaar zijn grote frustratie over uit dat banken geen informatie over foute klanten kunnen delen. „Iemand wordt de ene bank uitgeknikkerd, loopt bij wijze van spreken naar de overkant van de straat en opent daar weer een rekening, waarna het spel van voren af aan begint”, zei hij tweemaal in een Kamerdebat. „Tenenkrommend.” Daarom steunt Hoekstra het plan van banken om hun klantenscreening te bundelen in een nieuwe organisatie, om zo foute klanten buiten de deur te houden.

Lees ook over hoe het kabinet de wet verandert zodat banken meer informatie mogen delen

In aanloop naar de oprichting van die nieuwe instantie bekeek NRC hoe banken omgaan met hun huidige zwarte lijst. Uit dat onderzoek komt naar voren dat ze soms in strijd handelen met hun eigen regels. En dat het vaker voorkomt dat mensen die volgens de rechter onschuldig zijn, op de zwarte lijst blijven staan. Banken wikken en beschikken achter gesloten deuren, onafhankelijk extern toezicht ontbreekt. De Autoriteit Persoonsgegevens (AP), toezichthouder op de verwerking van persoonsgegevens, deed nog nooit onderzoek naar dit register.

Ik zit nu dezelfde straf uit als een professionele witwasser

Anonieme ict-ondernemer door ING in register gezet

Het EVR is bedoeld als waarschuwingssysteem, niet als sanctiemiddel. Maar wie op de zwarte lijst belandt, heeft een groot probleem. Je kunt geen hypotheek meer afsluiten of andere leningen aangaan, geen creditcard aanvragen of zakelijke rekening openen. Had je die wel, dan worden ze geblokkeerd of opgeheven.

„Het EVR is een financiële gevangenis”, zegt jurist Vera van der Vliet. Ze werkt bij Dynamiet Nederland, een bedrijf dat mensen helpt hun opname in het register aan te vechten bij bank, Kifid of rechter. „Banken hebben de macht mensen financieel vast te zetten, te straffen. En dat gebeurt niet altijd op een eerlijke manier.”

NRC sprak verschillende mensen die in het register staan en stonden. Een ict-ondernemer, die vanwege zijn privacy anoniem wil blijven, zag in 2014 de aankoop van een huis stranden toen Nationale-Nederlanden hem een hypotheek weigerde. Hij staaft dat met documenten. Reden: ING had hem kort daarvoor in het EVR gezet. Hij zou bij een leningaanvraag valse inkomensgegevens hebben verstrekt. Twee jaar later sprak de politierechter hem vrij. Jammer van de mislukte aankoop; de woning is nu in waarde verdubbeld. En de procedure om van de zwarte lijst af te komen loopt nog. Ook als ondernemer heeft hij veel last gehad van zijn registratie, omdat hij geen zakelijke leningen kan afsluiten. „Ik zit nu dezelfde straf uit als een professionele witwasser.”

Poortwachter

Een man vraagt in 2016 een lening van 10.000 euro bij Rabobank-dochter Freo. De salarisstrook die hij inlevert, komt vreemd over. In een gesprek met Freo erkent de man dat hij de strook heeft vervalst om de lening te krijgen. Freo doet aangifte. De man wordt veroordeeld tot een taakstraf van 60 uur. Freo plaatst hem voor acht jaar in het EVR. De man stapt naar klachteninstituut Kifid en zegt zijn registratie buitenproportioneel te vinden. Hij betuigt meermaals spijt en zegt dat de registratie veel invloed heeft op zijn geestelijke gezondheid. Hij kan geen huis kopen voor zijn gezin omdat hij bij geen andere bank binnenkomt. Hij vindt zijn taakstraf en registratie in een intern Rabobank-register wel genoeg straf voor zijn fout. Freo verkort de registratie van acht naar vier jaar. De geschillencommissie van Kifid vindt die vier jaar nog steeds „de grenzen van proportionaliteit” overschrijden en acht twee jaar registratie voldoende.

Van banken wordt veel verwacht. Ze bieden niet alleen financiële diensten, maar hebben ook de wettelijke plicht maatregelen te nemen ter bescherming van ‘de integriteit’ van de financiële sector. Na het witwasschandaal bij ING was de kritiek op banken dat zij falen als poortwachter van het financiële systeem. Banken moeten verdachte transacties melden bij de Financial Intelligence Unit van de nationale politie. Na verder onderzoek kan een fraudeverdachte worden vervolgd.

Bij het EVR zitten banken op de stoel van de rechter. Een protocol dat zij zelf hebben opgesteld, fungeert als wetboek. Daarin staat dat mensen alleen mogen worden opgenomen als „in voldoende mate vaststaat” dat zij betrokken zijn geweest bij fraude. Ook de maximumstraf wordt vermeld: acht jaar registratie.

Navraag bij ’s lands grootste banken, ABN Amro, de Volksbank, ING en Rabobank, leert dat ze klanten voornamelijk om twee typen fraude in het register plaatsen. Eén: de klant stelt als ‘geldezel’ rekening en pinpas ter beschikking om geld afkomstig van cybercrime op te nemen. Twee: de klant geeft onjuiste of vervalste gegevens op bij een hypotheek- of kredietaanvraag. Daarnaast belanden mensen op de zwarte lijst wegens verduistering of misbruik van een huis waar een hypotheek op rust, bijvoorbeeld als wietpand.

Op het oog lijken allerlei waarborgen ingebouwd rondom het register. Het protocol gaat in op nut en noodzaak, bevat een paragraaf over toezicht en stelt dat mensen alleen mogen worden geregistreerd als dat ‘proportioneel’ is.

Je belandt vrijwel altijd voor acht jaar in dat EVR-register. Dat is lang niet altijd in verhouding tot wat er is gebeurd

Vera van der Vliet jurist

Proportionaliteit is een belangrijk criterium bij de verwerking van persoonsgegevens. Uit de wet volgt dat opname op een zwarte lijst als het EVR alleen is toegestaan als het belang van die registratie groter is dan de nadelige gevolgen voor de consument. Die proportionaliteitstoets, zo regelt het protocol, doet de ‘interne politie’ van de bank: de afdeling Veiligheidszaken. Hoe die belangenafweging vervolgens plaatsvindt, is door mysteries omgeven. Banken spreken van „hoor en wederhoor” en „een vierogenprincipe”, zonder duidelijke criteria te noemen. In de praktijk valt de beslissing – bij sterke vermoedens van de genoemde vormen van fraude – bijna altijd uit in het nadeel van de consument. Dat blijkt althans uit gesprekken met juridisch dienstverleners, mensen op de zwarte lijst en uitspraken van Kifid en de rechter.

„Wij zien in sommige zaken dat die vereiste afweging niet eens wordt gemaakt”, zegt advocate Hannaa Faouzi. Ze vindt dat banken vaak geen rekening houden met de verstrekkende gevolgen die de registratie voor personen en ondernemingen heeft.

„Je belandt vrijwel altijd voor acht jaar in dat EVR-register. Dat is lang niet altijd in verhouding tot wat er is gebeurd”, constateert Van der Vliet van Dynamiet Nederland. „De een houdt zich als crimineel bezig met witwaspraktijken, de ander vult een vraag op een formulier verkeerd in.”

Van onafhankelijk toezicht op het EVR is geen sprake. De Autoriteit Persoonsgegevens zegt desgevraagd er nog nooit onderzoek naar te hebben gedaan. Ze wijst erop dat „organisaties in de eerste plaats zelf verantwoordelijk zijn” voor naleving van de „strenge voorwaarden” die gelden voor zwarte lijsten.

Een van die voorwaarden, aldus de AP, is dat in een protocol wordt omschreven hoe de gegevensverwerking op de zwarte lijst „voldoet aan de eisen uit de AVG”, de Algemene verordening gegevensbescherming die in mei 2018 van kracht werd. Door die nieuwe privacywetgeving moeten oudere protocollen van zwarte lijsten zijn herzien. Bij het Extern Verwijzingsregister is dat nooit gebeurd, de laatste versie stamt uit 2013.

Banken houden bovendien toezicht op zichzelf. Indien „wordt vermoed” dat een bank zich niet aan het protocol houdt, dient de bank dit te onderzoeken en daarvan verslag te doen aan het bestuur van de bank, zo luidt de belangrijkste passage over toezicht in het protocol. En indien „wordt vermoed” dat een bank zich niet aan het protocol houdt, kan branchevereniging NVB een dergelijk verslag opvragen. Dit is nog nooit voorgekomen, meldt de NVB desgevraagd.

Dat is opmerkelijk. Hoewel klachteninstituut Kifid en rechters geregeld oordelen dat banken een registratie op de zwarte lijst mogen handhaven, geven ze banken ook geregeld een tik op de vingers en verplichten ze die registraties te verwijderen. In die gevallen heeft de bank dus in strijd gehandeld met het protocol.

Vrijspraak of sepot

Defam, onderdeel van ABN Amro, ontvangt in de zomer van 2016 een kredietaanvraag voor 7.500 euro op naam van de minderjarige zoon van de vrouw die de aanvraag heeft ondertekend. De bank doet aangifte tegen de vrouw wegens valsheid in geschrifte. In maart 2017 ontvangt de vrouw een brief van het Openbaar Ministerie: men gaat niet tot vervolging over wegens onvoldoende wettig en overtuigend bewijs. De vrouw verzoekt de bank om haar registratie te verwijderen. Die weigert en schrijft: „Onvoldoende bewijs wil niet zeggen dat er geen betrokkenheid van u is geweest bij het doen van de frauduleuze kredietaanvraag.” Wel verkort de bank de registratieduur tot vijf jaar. Dat vindt de vrouw nog te veel. Ze is alleenstaande ouder en wil een woning kopen omdat ze nu ver van haar werk woont. Kifid oordeelt in maart dit jaar dat de bank de gegevens van de vrouw moet verwijderen omdat het OM te weinig grond ziet om haar te vervolgen.

Om ervoor te zorgen dat niet zomaar iedereen in het register wordt opgenomen, is in het protocol als voorwaarde afgesproken dat „in voldoende mate vaststaat” dat de klant zich schuldig heeft gemaakt aan fraude, en een bedreiging vormt voor andere klanten, de bank of de integriteit van de financiële sector.

De Hoge Raad heeft dit in jurisprudentie nader gespecificeerd. Het moet gaan „om zodanig concrete feiten en omstandigheden dat zij een als strafbaar feit te kwalificeren bewezenverklaring kunnen dragen”. Het zijn vage criteria. Rechters doorlopen een jarenlange opleiding om in zulke ingewikkelde situaties bewijsmateriaal te wegen en rekening te houden met de concrete omstandigheden van ieder geval.

Bij het EVR bepaalt de bank of iemand schuldig is en welke straf daarbij hoort. Curieus is dat de bank een registratie op de zwarte lijst niet noodzakelijk doorhaalt als het Openbaar Ministerie of de rechtbank anders oordeelt dan de bank.

Het EVR-protocol meldt onder het kopje ‘Waarborgen voor betrokkene’ dat iemand alleen in het register mag worden opgenomen bij „afdoende bewijs” voor fraude. Die moet dan „in een gerechtelijke procedure” kunnen worden aangetoond.

Desondanks vindt geen van de vier banken een sepot door het OM, bijvoorbeeld vanwege gebrek aan bewijs, voldoende reden om een registratie te schrappen. Zelfs vrijspraak van een fraudeverdachte is voor de Volksbank, ING en Rabobank niet genoeg om mensen van de zwarte lijst te halen. Zij gaan dan over tot ‘heroverweging’.

De geregistreerde consument belandt soms jarenlang in een kafkaëske situatie

„Een vrijspraak of sepot is geen reden om de persoonsgegevens van een betrokkene uit het EVR te halen”, stelt de Volksbank bijvoorbeeld. De bank houdt in zo’n geval het werk van het OM en de rechtbank kritisch tegen het licht. „Dan wordt onderzocht wat de reden van de vrijspraak of het sepot is. Zijn alle feiten en relevante strafbare artikelen meegenomen?”

In dit soort situaties belandt de geregistreerde consument jarenlang in een kafkaëske situatie. Hij zegt onschuldig te zijn. En vervolgens spreekt ook de rechter hem vrij. Toch weigert de bank de registratie te schrappen en blijft hij een financiële verstoteling tot hij via een langdurige procedure bij het Kifid of de rechter zijn registratie verwijderd krijgt.

ABN Amro is de enige bank die stelt dat ze bij vrijspraak mensen uit het EVR verwijdert. „Dan heeft de rechter vastgesteld dat betrokkenheid bij het strafbare feit niet bewezen is en vervalt daarom de basis voor de EVR-registratie.”

Het register roept meer vragen op. Cijfers over het aantal geregistreerden en de jaarlijkse in- en uitstroom worden niet gepubliceerd. Desgevraagd verstrekt de NVB een overzicht. Daaruit komt naar voren dat het aantal personen in het register de afgelopen vijf jaar met ruim een kwart is gedaald naar 17.336. Overigens staan in het EVR ook rechtspersonen; hun aantal bleef nagenoeg stabiel op 1.108.

In reactie op vragen van NRC meldt de bankenorganisatie deze cijfers voortaan online te gaan publiceren. Voor specifiekere vragen verwijst ze naar de individuele banken. En die verwijzen in veel gevallen weer naar de NVB. Zo weigeren ze cijfers te geven over het aantal mensen dat zij de afgelopen jaren registreerden, voor welke vergrijpen dit was en hoe vaak – zoals het protocol vereist – aangifte is gedaan. Wel meldt ING dat het aantal registraties de afgelopen vijf jaar „nagenoeg constant” is gebleven en dat een aangifte „ten grondslag moet liggen” aan plaatsing op de zwarte lijst. Volgens de bank gaat een kwart van alle consumenten tegen hun registratie in bezwaar. In 1 à 2 procent van de gevallen zou dit ertoe leiden dat de registratie wordt teruggedraaid.

Persoonlijk contact, telefonisch of face-to-face, bestaat niet

Banken wijzen graag op een verzachtende omstandigheid bij opname in het EVR: Nederland kent een basisbetaalrekening die voor iedereen beschikbaar is. Minder bekend is dat daar een drempel voor geldt: om zo’n rekening aan te vragen moet een externe instantie – zoals reclassering of schuldhulpverlening – meetekenen. Voor wie niet bij zo’n instantie ‘onder curatele’ staat, resteert slechts opening van een buitenlandse bankrekening.

In gesprek met NRC klaagden particulieren, advocaten en juridisch dienstverleners dat banken zonder wederhoor tot registratie overgaan en daarna moeilijk bereikbaar zijn. Persoonlijk contact, telefonisch of face-to-face, bestaat niet. Klanten in het register moeten zich per brief wenden tot de afdeling Veiligheidszaken.

ABN Amro, de Volksbank, ING en Rabobank herkennen zich niet in dit beeld, melden ze desgevraagd. Het proces verloopt schriftelijk, zeggen ze, vanwege de zorgvuldigheid.

ING krijgt in december 2014 via internet een verzoek van een man om gemachtigd te worden voor een betaalrekening van een ING-klant. De aanvrager stuurt een kopie van zijn paspoort mee. De bank vermoedt fraude, want de rekeninghouder blijkt geen opdracht te hebben gegeven de man te machtigen. Drie dagen later krijgt de aanvrager – eveneens klant bij ING – een brief van de bank. „Gelet op de frauduleuze aanvraag, waarbij uw legitimatiebewijs is overlegd, staat uw betrokkenheid bij voornoemde fraude voor de ING in voldoende mate vast”, heeft de bank geoordeeld. De man belandt voor acht jaar op de zwarte lijst, betaalpassen en creditcards worden geblokkeerd.

Maar de man ontkent schuld. Er moet een kopie van zijn paspoort in omloop zijn, stelt hij, die voor de aanvraag is gebruikt. Hij maakt direct schriftelijk bezwaar. ING is niet overtuigd. „Feit is dat uw gegevens zijn gebruikt om een valse machtiging aan te vragen. Hiervoor is onder andere een legitimatiebewijs gebruikt. De opname van uw gegevens [in het EVR] blijft dan ook onverkort van kracht.” De man wendt zich tot klachteninstituut Kifid. Dat komt anderhalf jaar nadat de man in het EVR is geregistreerd tot een ander oordeel. Omdat de verdenking uitsluitend stoelt op een kopie van het paspoort en de man betrokkenheid ontkent, concludeert Kifid dat er „geen gegronde verdenking [is] van fraude”. ING moet de gegevens van de man uit het register schrappen.