Fraude, persoonlijk onderzoek en googlende verzekeraars (deel 2)

In het aprilnummer van de Beursbengel bespraken wij recente rechtspraak over fraude in de letselschaderegeling. Uit die rechtspraak volgt dat de rechter met name toetst aan de in de Gedragscode Persoonlijk Onderzoek (GPO, 2011) gestelde voorwaarden. In dit artikel zullen wij bespreken welke andere wetten en regels een rol spelen. Verder besteden wij aandacht aan de Handreiking en de Checklist online onderzoek die het Verbond van Verzekeraars in januari 2015 onder haar leden heeft verspreid.

Het verzamelen van persoonsgegevens, ook als dit gebeurt uit openbaar toegankelijke gegevens op internet, is aan regels gebonden. Daarvoor gelden in elk geval de normen van de Wet bescherming persoonsgegevens (Wbp) en de Gedragscode Verwerking Persoonsgegevens Financiële Instellingen (GVP). De Wbp is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens en ook op de handmatige verwerking van persoonsgegevens die in een bestand zijn opgenomen of bestemd zijn om in een bestand te worden opgenomen. Het invoeren van een naam van een benadeelde in een zoekmachine, zoals Google, is al een 'geautomatiseerde verwerking' waarmee persoonsgegevens worden verzameld. Een verzekeraar moet altijd verantwoording kunnen afleggen over de rechtmatigheid van een dergelijk onderzoek. Daarbij doet het er niet toe of het onderzoek als feitenonderzoek of als persoonlijk onderzoek in de zin van de GPO kwalificeert.

De verzekeraar moet doel onderzoek vooraf, in de informatiefase, hebben bepaald

Handreiking en Checklist online onderzoek

Om verzekeraars handvatten te bieden bij beantwoording van de vraag of verzekeraars 'zomaar' mogen googlen en of de via internet verkregen informatie mag worden gebruikt, lanceerde het Verbond van Verzekeraars in januari 2015 de Handreiking online onderzoek naar klanten of relaties . Hierin staan voorwaarden waaraan verzekeraars, aldus het Verbond, moeten voldoen om onderzoek op internet en/of social media te doen. Daarnaast heeft het Verbond een Checklist online onderzoek gemaakt. Deze documenten zijn niet specifiek opgesteld voor het behandelen van letselschadezaken, maar daarop wel van toepassing.

Wij juichen toe dat het Verbond door middel van een handreiking en checklist duidelijkheid probeert te bieden voor de praktijk. Het Verbond geeft hiermee een belangrijk signaal: de informatie die eenvoudig beschikbaar is via internet en social media mag niet zomaar door verzekeraars worden gebruikt. Het Verbond merkt op dat het internetonderzoek onder (hierna te noemen) voorwaarden is toegestaan als de persoon waarnaar het onderzoek wordt gedaan daar vooraf duidelijk mee instemt of wanneer de verzekeraar 'een heel goede reden (rechtvaardigingsgrond) heeft' om informatie over die persoon op te zoeken. Het Verbond poogt de abstracte Wbp-normen 'doelbinding' en 'grondslag' te vertalen in praktisch uitvoerbare regels. Daartoe onderscheidt het Verbond vier fasen in het onderzoek: de informatiefase, de voorbereidingsfase, de uitvoeringsfase en de evaluatiefase.

Terecht stelt het Verbond dat de verzekeraar het algemene doel voor een onderzoek vooraf, in de informatiefase, moet hebben bepaald. Vervolgens moeten gerichte onderzoeksvragen worden vastgesteld. Dit is de voorbereidingsfase. In de uitvoeringsfase dient het onderzoek beperkt te blijven tot de vooraf geformuleerde vragen. Aldus wordt de doelbinding geborgd. Ook wordt voorkomen dat het googlen ontaardt in 'fishing expeditions'. Steeds geldt dat de verzekeraar de verschillende stappen in het onderzoek zorgvuldig moet documenteren. Dat geldt voor:

• het doel van het onderzoek dat vooraf moet worden bepaald;
• voor de rechtvaardiging van het onderzoek (waarom kan in dit geval niet worden volstaan met een andere vorm van onderzoek, waarom is het internetonderzoek gerechtvaardigd);
• voor de gerichte onderzoeksvragen;
• voor de informatie die is verzameld in antwoord op de gerichte onderzoeksvragen;
• en voor de aan betrokkene verstrekte informatie over het onderzoek. De informatieverstrekking aan de betrokkene moet op twee momenten plaatsvinden: voordat het onderzoek plaatsvindt moet in algemene bewoordingen, bijvoorbeeld in de polisvoorwaarden, op websites in brieven en in gerichte communicatie duidelijk worden gemaakt dat internetonderzoek tot de mogelijkheden behoort en voor welke doelen. Mogelijke doelen, zoals bepaald in de GVPI, zijn: verwerking voor het aangaan en uitvoeren van de overeenkomst (waaronder begrepen acceptatiebeleid of onderzoek naar toedracht van een claim), en verwerking in verband met de veiligheid en integriteit van de financiële sector (waaronder begrepen fraudeonderzoek). De betrokkene moet daarnaast concreet geïnformeerd worden over het onderzoek dat naar hem of haar is ingesteld. Alleen in uitzonderingsgevallen mag de verzekeraar afzien van het gericht informeren van de betrokkene.

De verzekeraar zal moeten documenteren of en in hoeverre zijn belang rechtvaardigt dat het internetonderzoek plaatsvindt

Verwarrend

Toch is de informatie die het Verbond verstrekt in een aantal opzichten verwarrend en ons inziens zelfs misleidend. In de Handreiking merkt het Verbond op: 'iedere meerderjarige die bewust en onder zijn eigen naam informatie verspreidt via internet of social media, maakt deze openbaar. Deze persoon geeft daarmee toestemming voor die publicatie. De openbaar gemaakte informatie kan dan door de verzekeraar worden gebruikt.' Het Verbond verwijst naar het rapport van het College bescherming persoonsgegevens (CBP) over de publicatie van persoonsgegevens op internet, maar misinterpreteert ons inziens het standpunt van het CBP. De desbetreffende passage in het rapport van het CBP legt uit dat iedere volwassene die op zijn of haar eigen homepage of weblog met opzet en onder eigen naam gevoelige informatie over zichzelf publiceert, zoals verslagen van medische perikelen, die gegevens duidelijk zelf openbaar maakt. Het CBP vervolgt: 'Daardoor vervalt het verbod om die bijzondere gegevens te verzamelen'. Het vervallen van het verbod op verwerking van gezondheidsgegevens is echter niet hetzelfde als het bieden van een grondslag voor de verwerking van die gegevens. De Wbp is gelaagd opgebouwd: in beginsel is er een verbod op verwerking van 'bijzondere gegevens', waaronder begrepen gegevens omtrent de gezondheid. Bij verwerking van letselschadeclaims zullen per definitie ook gegevens betreffende de gezondheid van de benadeelde worden verwerkt en een internetonderzoek kan ook dergelijke gezondheidsgegevens aan het licht brengen. Voor een verwerking van bijzondere persoonsgegevens moet ten eerste het verbod op verwerking worden opgeheven en ten tweede ook altijd een grondslag voor verwerking bestaan. Daar komt bij dat het CBP in hetzelfde rapport duidelijk maakt dat voor zover publicatie van gegevens op een internetpagina al 'toestemming' kan opleveren, dit altijd een contextgebonden toestemming betreft. Met andere woorden: dat iemand over zichzelf gezondheidsgegevens publiceert op een website, betekent nog niet dat die persoon 'toestemming' geeft voor het verzamelen en in de context van een toedrachtsonderzoek of fraudeonderzoek verwerken van die gegevens. Daarmee willen wij niet zeggen dat het via een internetonderzoek verzamelen en verder verwerken van dergelijke door de betrokkene zelf op social media openbaar gemaakte gegevens niet is toegestaan: wij willen verzekeraars er alleen voor behoeden dat zij te gemakkelijk aannemen dat zij zich hier kunnen baseren op 'toestemming' van de betrokkene. Wij menen dat de verzekeraar zal moeten documenteren of en in hoeverre zijn belang rechtvaardigt dat het internetonderzoek plaatsvindt en waarom in dit geval het privacybelang van de betrokkene niet prevaleert. En daar komen wij dan weer terug op het eigen gedrag van de betrokkene: wanneer deze persoon zelf gegevens openbaar maakt op social media, ligt voor de hand dat in de belangenafweging 'gerechtvaardigd belang' van de verzekeraar, versus 'privacybelang' van de betrokkene, aan het privacybelang minder gewicht toekomt.

'Gewoon internetten'

Verwarrend en misleidend vinden wij ook de conclusie van het Verbond in de Handreiking dat 'gewoon internetten', dat wil zeggen raadpleging van internet en social media, tegenwoordig geen bijzonder onderzoeksmiddel meer is. Dat zou volgens het Verbond anders zijn als de verzekeraar zich bewust voordoet als privépersoon of op een andere manier de eigen bedrijfsidentiteit bewust verbergt tijdens zijn onderzoek. Dit standpunt van het Verbond is van belang in verband met de reikwijdte van de GPO. Bij het verzamelen van informatie moet onderscheid worden gemaakt tussen feiten- en persoonlijk onderzoek. Een persoonlijk onderzoek moet aan de strenge voorschriften voldoen die zijn omschreven in de voor alle bij het Verbond aangesloten verzekeraars verplicht geldende GPO. Van persoonlijk onderzoek is sprake als via een bijzonder onderzoeksmiddel of bijzondere onderzoeksmethode onderzoek wordt gedaan naar gedragingen van de te onderzoeken persoon en dit onderzoek een inbreuk maakt of kan maken op de persoonlijke levenssfeer van die persoon. Het Verbond geeft als voorbeeld 'op internet zoeken in uitslagen van sportwedstrijden ¹ is een feitenonderzoek terwijl een cameraobservatie van een mogelijke fraudeur geldt als persoonlijk onderzoek'. Wij menen dat deze conclusie van het Verbond niet juist is, omdat het internetonderzoek vele vormen kan aannemen die zeer indringend kunnen zijn en daarmee wel degelijk het karakter krijgen van 'bijzonder onderzoeksmiddel' of 'bijzondere onderzoeksmethode'. Dat kan bijvoorbeeld het geval zijn als de verzekeraar zijn identiteit verhult (het is niet bekend of dit in de praktijk gebeurt), maar ook als een persoon zeer indringend systematisch online wordt geobserveerd, al dan niet door een voor dit doel ingeschakeld digitaal recherchebureau. De praktijk is hier zeer divers en gegeven het gemak en de geringe kosten van een internetonderzoek, is de verleiding van (te) indringend online onderzoek groot, zeker tegen de achtergrond van de verontrustende omvang van verzekeringsfraude.

Verleiding van (te) indringend online onderzoek groot

Tot slot

De verzekeraar zal zeker houvast vinden in de Handreiking en de Checklist van het Verbond, maar mag dus niet te snel aannemen dat de betrokkene door openbaarmaking van informatie op social media (ook) toestemming heeft gegeven voor de verwerking van die gegevens door de verzekeraar, én mag ook niet te snel aannemen dat het internetonderzoek niet hoeft te voldoen aan de regels op grond van de GPO, maar 'slechts' aan de regels op grond van de Wbp en de GVPFI. In de recente rechtspraak zien wij een aantal gevallen waarin de rechter bewijsmateriaal dat is verkregen in strijd met privacyregels als onrechtmatig verkregen terzijde stelt. Opmerking verdient dat dit niet de enige sanctie is die de verzekeraar kan treffen: naar verwachting zal op korte termijn, mogelijk al op 1 juli 2015, een relevante wijziging van de Wbp in werking treden. Vanaf dat moment kan het CBP wegens overtreding van de normen op grond van de Wbp een boete opleggen van 810.000 euro of, indien een dergelijke boete voor de rechtspersoon niet passend wordt geacht, een boete van 10 procent van de omzet die de rechtspersoon in het voorafgaande jaar heeft gemaakt. Het CBP kan de boete weliswaar pas opleggen nadat een 'bindende aanwijzing' is gedaan. Echter, voor opzettelijke overtredingen geldt een 'lik op stuk'-beleid en kan de bindende aanwijzing achterwege blijven. Alle reden dus voor de verzekeringsbranche, waar verwerking van persoonsgegevens tot de kern van de bedrijfsactiviteiten behoort, om behoedzaam te zijn, ook bij het inzetten van onderzoeksmethoden zoals het internetonderzoek.

Voetnoot:

¹ Het Verbond verwijst naar ECLI:NL:RBALM:2011:BV0428 (de wielrennende stratenmaker).

Nog geen abonnement op FLINK?
Dit artikel maakt deel uit van het online kennisplatform FLINK. Op FLINK vind je niet alleen de artikelen uit de Beursbengel, maar ook andere informatie voor de verzekeringsprofessional, zoals whitepapers, blogs, webinars en video's. Nog geen abonnement op FLINK? Neem dan nu een (proef)abonnement.