In 2021 heeft een Belgische bank een AVG boete gekregen omdat het niet in staat was de namen van rekeninghouders correct weer te geven. Deze zaak is echt de moeite van het kennen waard. Hier komen de AVG, legacy, mainframes en het verschijnsel diakrieten samen.
ING België
Op 22 april 2020 besluit het Directiecomité van de Gegevensbeschermingsautoriteit, dat is de Belgische toezichthouder voor de AVG, een zaak aanhangig te maken. Die stap wordt genomen omdat uit onderzoek is gebleken dat een bank actief op de Belgische markt niet in staat is aan de AVG te voldoen. De naam van die bank wordt nergens genoemd, maar iedereen weet dat het gaat om de ING.
De boete (Beslissing ten gronde 141/2021) is online te vinden. Duidelijk wordt dat hier een bank jaren weet heeft gehad van de komst van de AVG, maar heeft verzaakt maatregelen te treffen.
Correctie door toevoegen diakrieten
Op een gegeven moment verzoekt een klant om correctie van zijn/haar gegevens. De bank zegt niet aan de wens te kunnen voldoen. In de naam komen diakrieten voor en de computer systemen kunnen daar niet mee overweg. Diakrieten zijn de tekens op of onder letters. ( á â ã à et cetera).
De klant neemt daar geen genoegen mee en doet een beroep op artikel 16 van de AVG. In België beschrijft dat artikel het Recht op verbetering . In Nederland heet dit het ‘recht op rectificatie’.
Mainframes en majeure obstakels
De bank wordt in 2019 gehoord en geeft uitleg. Men spreekt over 150 applicaties die iets verhinderen. Daarnaast noemt men mainframes en andere majeure obstakels. De toezichthouder is niet onder de indruk, maar geeft de bank nog enige tijd om deze veranderingen door te voeren.
De Geschillenkamer beslist om de zaak in voortzetting te stellen teneinde de verweerder de gelegenheid te bieden om na het verstrijken van de door hemzelf vooropgestelde termijn van 15 november 2021, als zijnde de datum waarop de invoering van diakritische tekens in de namen en de voornamen in haar applicaties zou moeten zijn gerealiseerd, het vernieuwde informaticasysteem te komen toelichten. Een nieuwe hoorzitting zal kort na die datum daartoe worden ingepland.
Boete
Die deadline passeert en de bank heeft niets voor elkaar. Dus er volgt een boete. Twee punten zijn voor wat betreft de directe link tussen mainframes, applicaties en diakrieten het meest belangrijk.
(19) De Inspectiedienst stelt vast dat de verweerder geen helder en systeemtechnisch beeld kan
scheppen qua tijdshorizon voor het implementeren van diakritische tekens in het huidige ICT-
systeem (applicaties + mainframe) en mogelijke eerste resultaten die blijk geven van de
uitgevoerde inspanningen. Verder stelt de Inspectiedienst ook dat de verweerder blijft steken in de
“verkennende fase” van voorstudie en gesprekken zonder concrete doelen en resultaten te willen
bereiken.(20) De Inspectiedienst komt tot het besluit dat de verweerder een inbreuk pleegt op de artikelen 5.1 d, 5.2, 12, 16, 25 en 31 AVG omdat de verweerder geen concrete tijdshorizon met concrete resultaten wil of kan voorleggen, en evenmin systeemtechnische wijzigingen wil of kan aantonen die een positieve invloed hebben op de initiële vraag van de betrokkene. De situatie is volgens de Inspectiedienst sinds de beslissing genomen door de Geschillenkamer d.d. 15 mei 2019 – behoudens het uitvoeren van enig voorstudiewerk (feasability) – ongewijzigd en dus niet verbeterd.
Terug te lezen is ook dat het platform dateert uit 1995 (mainframe van gietijzer, wie beheert die?) en dat de lijst van “150 applicaties” pas eind 2020 is overhandigd aan de toezichthouder. Toen is ook aangegeven in welke volgorde “volgens het binnen Y leidende principe van AGILE, […]” zou worden aangepast.
Uiteindelijk is de opgelegde boete van 100.000 Euro verlaagd naar 75.000 Euro.
Huidige status
Of het inmiddels bij de ING België mogelijk ook namen te registreren met diakrieten is onbekend. Onduidelijk is evenzo of de bank met deze weigering niet structureel en bewust de Belgische tegenhanger van de Wwft heeft overtreden. In het stukken valt trouwens nog te lezen dat er een aparte boete is opgelegd omdat de ING pas op 1 juli 2021 een functionaris voor de gegevensbescherming heeft aangesteld.
Beerput
De klacht over de weigering van de ING België AVG artikel 16 te leven inzake diakrieten heeft een behoorlijke beerput opengetrokken. Een waarbij mainframes iets te vaak en te makkelijk zijn genoemd als de onoplosbare horde.
