AP-boete van €2,7 miljoen voor Experian blijft overeind in bezwaar

De Autoriteit Persoonsgegevens (AP) laat de miljoenenboete voor Experian staan. In haar beslissing op bezwaar van 16 oktober 2025 bevestigt de AP dat het bedrijf de AVG heeft geschonden op twee essentiële punten: de informatieverstrekking aan betrokkenen was gebrekkig én de persoonsgegevens werden verwerkt zonder geldige grondslag.

Onvoldoende informatie aan betrokkenen

De AP stelt vast dat Experian in strijd heeft gehandeld met artikel 12 jo. 14 AVG, die eisen stellen aan de manier waarop betrokkenen moeten worden geïnformeerd over de verwerking van hun gegevens.

Volgens de AP heeft Experian nagelaten actief en begrijpelijk te communiceren over:

• het doel van de gegevensverwerking;
• de gebruikte rechtsgrondslag (het beroep op “gerechtvaardigd belang”);
• de rechten van betrokkenen (zoals inzage, rectificatie en verwijdering).

De AP verwijst naar de Richtsnoeren Transparantie van de Europese toezichthouders, waarin wordt benadrukt dat organisaties een actieve informatieplicht hebben. Informatie moet duidelijk en rechtstreeks toegankelijk zijn; van betrokkenen mag niet worden verwacht dat zij deze zelf opzoeken.

Onvoldoende juridische grondslag (“gerechtvaardigd belang”)

Experian heeft de verwerking van persoonsgegevens voor haar dienst Credit Check gebaseerd op het gerechtvaardigd belang (artikel 6, lid 1, onder f AVG). De AP heeft uitvoerig uiteengezet dat een beroep op deze grondslag slechts rechtmatig is wanneer aan drie cumulatieve criteria is voldaan:

1. Er moet sprake zijn van een gerechtvaardigd belang

Een gerechtvaardigd belang kan zowel een eigen belang zijn als dat van een derde, mits dit belang rechtmatig, bestaand en actueel is. De AP erkent dat Experian met haar dienst de belangen van klanten, zoals kredietverstrekkers, diende, maar benadrukt dat dit op zichzelf geen rechtmatige grondslag voor de verwerking vormt.

2. De verwerking moet noodzakelijk zijn 

De AP heeft geconcludeerd dat Experian niet overtuigend heeft aangetoond waarom de verwerking van bepaalde persoonsgegevens “strikt noodzakelijk” was. Veel gegevensverwerkingen waren “nice to have” en niet essentieel voor de beoordeling van kredietwaardigheid.

3. De belangenafweging moet in het voordeel van de verwerkingsverantwoordelijke uitvallen

Hier schiet Experian volgens de AP tekort. De verwerking van gevoelige financiële informatie, zoals faillissementen en negatieve betaalregistraties, vormt een ernstige inbreuk op de privacy van betrokkenen.

De AP benadrukt dat betrokkenen geen redelijke verwachting konden hebben dat hun gegevens – vaak afkomstig uit niet-openbare bronnen – op deze manier zouden worden verwerkt.

De gevolgen voor betrokkenen kunnen bovendien ingrijpend zijn, bijvoorbeeld doordat een negatieve kredietscore toegang tot basisvoorzieningen bemoeilijkt. De privacyrechten van betrokkenen wegen dan ook zwaarder dan het bedrijfsbelang van Experian.

Toepassing van Europese jurisprudentie 

De AP onderbouwt haar oordeel met recente rechtspraak van het Hof van Justitie van de Europese Unie (HvJ EU), waaronder:

• KNLTB (C-621/22, 2024) – over de voorwaarden voor een gerechtvaardigd belang;
• Schufa (C-26/22 & C-64/22, 2023) – over kredietwaardigheidsbeoordelingen;
• Meta Platforms (C-252/21, 2023) – over proportionaliteit en transparantie bij gegevensverwerking.

Deze arresten bevestigen dat organisaties niet willekeurig persoonsgegevens mogen verwerken onder het mom van een gerechtvaardigd belang; de noodzaak en proportionaliteit moeten steeds aantoonbaar zijn.

Boete en evenredigheid 

De AP benadrukt dat de boete doeltreffend, evenredig en afschrikkend moet zijn, conform artikel 83 AVG.

Hoewel de maximale boete op grond van de wereldwijde omzet van de Experian Group aanzienlijk hoger zou kunnen zijn, heeft de AP bij de hoogte rekening gehouden met de economische draagkracht van Experian Nederland als zelfstandige verwerkingsverantwoordelijke.

De uiteindelijke boete: €2.700.000,-.

De AP waardeert dat Experian per 1 januari 2025 haar activiteiten als kredietinformatiebureau heeft beëindigd en werkt aan de afbouw van haar databestanden. Toch blijven de vastgestelde overtredingen ernstig: Experian heeft jarenlang persoonsgegevens verwerkt zonder geldige grondslag en zonder betrokkenen voldoende te informeren.

De zaak bevestigt nogmaals dat:

• het beroep op “gerechtvaardigd belang” geen vrijbrief is;
• transparantie richting betrokkenen een essentieel beginsel van de AVG vormt;
• toezichthouders streng toetsen aan de hand van Europese rechtspraak.

 

 

 

 

Naar het overzicht