Privacy Statement

We verwerken persoonsgegevens van personen met wie we een relatie willen aangaan, hebben, of hebben gehad. Als we contact met jou en/of je vertegenwoordigers hebben gehad. En van personen die geen klant zijn van Rabobank en waarvan we rechtstreeks of via anderen persoonsgegevens ontvangen.

Bijvoorbeeld:

Soms geven bedrijven of organisaties persoonsgegevens aan ons door. Bijvoorbeeld van medewerkers, bestuurders, Uiteindelijk belanghebbenden (UBO) of belanghebbenden. Zelf verzamelen we ook gegevens, zonder dat je bedrijf of organisatie die aan ons doorgeeft. We vragen deze bijvoorbeeld op uit het Handelsregister. Deze gegevens leggen we ook vast.

We verwachten dat jij jouw medewerkers, bestuurders en andere belanghebbenden hierover informeert. Je kunt dit Privacy Statement of een link daar naartoe aan hen geven, zodat zij kunnen zien hoe we met hun persoonsgegevens omgaan.

Dit Privacy Statement geldt niet voor hele grote zakelijke klanten die vallen onder Wholesale Banking. Dit Privacy Statement gaat over de verwerking van persoonsgegevens door de Coöperatieve Rabobank U.A. in Nederland en de volgende groepsonderdelen:

Als de wet dat toestaat, kunnen gegevens worden uitgewisseld binnen de Rabobank Groep. Daaronder vallen naast de groepsonderdelen bijvoorbeeld Obvion en DLL. Bekijk een overzicht van de groepsonderdelen. We houden ons bij de uitwisseling aan de interne regels die we binnen de Rabobank Groep hebben afgesproken: de Rabobank Privacy Codes (zie de pdf hieronder). Deze regels beschrijven hoe deze onderdelen van de Rabobank Groep omgaan met persoonsgegevens.

Wil je meer weten over de verwerking van persoonsgegevens van Rabobank Wholesale banking in Nederland of de verwerking van deze gegevens door Rabobank buiten Nederland? Dat kan op Rabobank.com/privacy.

Voor sommige van onze diensten bestaat een eigen privacy statement. Hierin leggen we uit hoe we bij die dienst omgaan met jouw persoonsgegevens. Zo’n eigen privacy statement of uitleg is een aanvulling op dit Privacy Statement.

We ontvangen je gegevens omdat je deze zelf met ons deelt. Bijvoorbeeld wanneer je een overeenkomst met ons sluit of je gegevens achterlaat op onze website. Ook als je gebruik maakt van onze dienstverlening verwerken we je gegevens. Een voorbeeld van onze dienstverlening is het betalingsverkeer.

Soms krijgen we je gegevens niet rechtstreeks van jou.

We kunnen je gegevens ontvangen van bijvoorbeeld:

a. groepsonderdelen binnen de Rabobank Groep, bijvoorbeeld:

b. andere (financiële) instellingen in het kader van fraude-, terrorisme- of witwasbestrijding

Lees meer over dit onderwerp bij 'Waarvoor gebruikt Rabobank je persoonsgegevens'.

c. leveranciers of andere partijen waar we mee samenwerken

Als je een krediet aanvraagt, ontvangen we bijvoorbeeld gegevens van BKR. Andere partijen waar we mee samenwerken zijn bijvoorbeeld Calcasa en Dun & Bradstreet. Ook ontvangen we gegevens van onder meer het Kadaster, Company info, het CBS, EDM, Post.nl en de Kamer van Koophandel.

d. openbare bronnen zoals openbare registers, kranten, het internet en (openbare) sociale media

Zo kunnen we deze bronnen gebruiken om fraude en witwassen te voorkomen en de bank te beschermen. Maar we gebruiken ook openbare bronnen voor relatiebeheer, promotie- en marketingdoeleinden

e. een andere partij

Omdat je toestemming hebt gegeven aan die partij om gegevens met ons te delen. Bijvoorbeeld omdat je toestemming hebt gegeven aan een andere bank of betaaldienstverlener om transactiegegevens aan ons door te geven.

f. indirecte bronnen

Dat zijn gegevens die we niet rechtstreeks van je krijgen. Bijvoorbeeld:

We gebruiken en verwerken je persoonsgegevens om je bankzaken te kunnen uitvoeren. Rabobank biedt ook andere niet-bancaire diensten aan waar persoonsgegevens voor verwerkt worden. Daarnaast worden sommige gegevens verwerkt omdat dit wettelijk verplicht is.

Grondslagen voor verwerking

We mogen jouw persoonsgegevens alleen verwerken als daar een zogenaamde goede reden voor is, dit wordt de grondslag genoemd. De Algemene Verordering Gegevensbescherming geeft aan welke grondslagen er mogelijk zijn.

Dit zijn de belangrijkste grondslagen die we gebruiken:

Belangenafweging

Gebruiken we de grondslag ‘gerechtvaardigd belang’ om jouw gegevens te mogen verwerken? Dan maken we een afweging tussen de belangen van Rabobank of een derde en jouw recht op privacy. Voorbeelden van onze belangen zijn:

We wegen ons belang of het belang van derden af tegen jouw belang en jouw recht op privacy. We kijken dan bijvoorbeeld of we niet op andere manier hetzelfde doel kunnen bereiken. En of we alle gegevens nodig hebben. Willen we gevoelige gegevens gebruiken? Of gegevens van kwetsbare personen of kinderen? Dan zal je recht op privacy eerder voorgaan en zullen we minder snel je gegevens op basis van het gerechtvaardigde belang gebruiken. Soms blijkt uit de wet niet duidelijk welke verplichtingen we precies hebben om je gegevens te verwerken. Of staat de verplichting niet in een wet of geldt de wet niet rechtstreeks voor ons. Toch verlangt een toezichthouder dat wij bepaalde gegevens verwerken. In zo'n geval zullen we je gegevens ook op basis van gerechtvaardigde belang gebruiken.

Wij hebben er ook belang bij dat de financiële sector gezond blijft. Daarom gebruiken we gegevens op basis van het gerechtvaardigd belang. Een paar voorbeelden:

We verwerken je gegevens soms ook omdat iemand anders daar een gerechtvaardigd belang bij heeft. Bijvoorbeeld als iemand onbedoeld geld aan jou heeft overgemaakt en je wilt dat niet terugbetalen. Of als iemand geld aan jou heeft overgemaakt, je geen producten levert, en er aangifte wordt gedaan. Dan kunnen we je gegevens in sommige gevallen doorgeven aan degene die (per ongeluk) geld aan jou heeft overgemaakt.

Verwerken we je gegevens omdat we daar een gerechtvaardigd belang bij hebben? En denk je dat jouw belangen zwaarder wegen? Dan kun je daar bezwaar daar tegen maken. Hoe je dit doet, lees je bij "welke rechten heb je bij ons?"

Doel van verwerking

Naast een grondslag hebben we ook altijd een doel bij een verwerking van persoonsgegevens. Hieronder beschrijven we welke doelen dit zijn en geven we voorbeelden.

a. Relatie en overeenkomst aangaan

b. Overeenkomsten en opdrachten uitvoeren

Als je klant bij ons bent, voeren we de ontvangen opdrachten en gesloten overeenkomsten graag goed uit. Dit hebben we immers met je afgesproken. Daarbij verwerken we persoonsgegevens.

c. Veiligheid en integriteit van jou, de bank en de financiële sector

We verwerken je persoonsgegevens voor het beschermen van jouw en onze veiligheid en van de financiële sector. Ons doel is ook om fraude, witwassen en terrorismefinanciering tegen te gaan.

Klantonderzoek

We onderzoeken niet alleen bij de start van de klantrelatie of we je als klant kunnen accepteren. Ook tijdens de klantrelatie moeten we onderzoek doen of je nog klant van ons kunt blijven. Dit soort klantonderzoeken voeren we soms ook uit voor andere (financiële) instellingen, bijvoorbeeld op verzoek van een verzekeraar of een onderdeel van Rabobank Groep. Of we delen de uitkomst met een ander onderdeel uit van Rabobank Groep. Soms delen we ook gegevens met andere (financiële) instellingen zodat zij zelf onderzoek kunnen doen, zodat die instelling zelf aan zijn wettelijke verplichtingen kan voldoen. Hiervoor verwerken we persoonsgegevens van jou, maar mogelijk ook van derden met wie je zaken doet. Het transactieverloop op je rekening kan bijvoorbeeld aanleiding zijn voor nader onderzoek. Of de personen met wie je zaken doet of de branche waarin je werkt. Afhankelijk van onze inschatting van je risicoprofiel zijn we verplicht om aanvullende en meer gedetailleerde vragen te stellen, zodat we een goed klantdossier kunnen opbouwen.

Incidentenregisters en waarschuwingssystemen

Om de veiligheid en integriteit van klanten, Rabobank en de financiële sector te beschermen tegen onder meer fraude en witwassen, moeten banken beschermende maatregelen nemen. Eén van deze maatregelen is ons het gebruik van ons eigen interne waarschuwingssysteem (het IVR), dat van de financiële sector: het Extern Verwijzingsregister (EVR) en het register van de Stichting Fraudebestrijding Hypotheken (SFH).

Voorvallen die de aandacht van onze bank trekken, noemen wij een ‘gebeurtenis’ en leggen wij vast in onze ‘gebeurtenissenadministratie’. Aan de gebeurtenissenadministratie is een Intern Verwijzingsregister (IVR) gekoppeld. Jouw identificerende gegevens worden hier in opgenomen als wij extra alert willen zijn en intern binnen de Rabobank Groep willen waarschuwen. Bijvoorbeeld op het gebied van fraude, het verplichte klantonderzoek, terrorismefinanciering en witwassen. Wij nemen jouw gegevens niet zomaar op. Daarvoor toetsen wij eerst of dit past binnen onze interne regels en de AVG. Voor het IVR en EVR geldt dat alleen medewerkers van onze veiligheidsafdelingen en een beperkt aantal andere medewerkers toegang hebben tot die gegevens.

Soms is een incident zo ernstig dat wij niet alleen binnen de Rabobank Groep, maar ook andere banken en andere financiële instellingen willen waarschuwen. Dan kunnen jouw gegevens worden opgenomen in het Incidentenregister, het Extern Verwijzingsregister (EVR) of het register van de Stichting Fraudebestrijding Hypotheken. Vastlegging van jouw gegevens in deze registers, mag alleen als dat volgt uit de regels van het Protocol Incidentenregister Financiële Instellingen (PIFI). Deze regels zijn goedgekeurd door de Autoriteit Persoonsgegevens.

Leggen we je gegevens vast in deze registers, dan informeren we je daarover. Ook informeren we je over de reden van opname en de duur van de opname. Behalve als dat niet toegestaan is, bijvoorbeeld omdat de politie ons vraagt je niet te informeren in het belang van hun onderzoek. Ben je het niet eens met deze vastlegging? Dan kun je hiertegen bezwaar maken of vragen je gegevens te corrigeren of te wissen.

Als je klant bij ons wordt, maar ook als je klant bij ons bent, dan raadplegen we deze registers. Niet alle bankmedewerkers raadplegen de gegevens in deze registers zelf. Doet een bankmedewerker een toets in het IVR of EVR? Dan ziet de toetser alleen dat er een ‘hit’ is, maar niet waarom iemand is opgenomen in het IVR of het EVR. Bij zo’n hit moet de toetser altijd zijn veiligheidsafdeling benaderen voor advies. Als dat nodig is bij een EVR-hit, overlegt de veiligheidsafdeling van Rabobank met een veiligheidsafdeling van een andere deelnemer aan het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI) over de aard van de registratie.

De veiligheidsafdeling van Rabobank beoordeelt of de klant een product mag hebben of dienst mag gebruiken op basis van de informatie die zij in haar eigen administratie of het Incidentenregister heeft. De veiligheidsafdeling van Rabobank kan informatie, zoals opgenomen in het Incidentenregister, delen met andere financiële instellingen. Deze veiligheidsafdeling kan ook informatie ontvangen van een veiligheidsafdeling van een andere financiële instelling. Dat doen we alleen als dat mag op basis van het PIFI.

We ontvangen ook van overheden lijsten (bijvoorbeeld sanctielijsten) van personen die we moeten vastleggen in onze waarschuwingsregisters. Met deze personen mogen financiële instellingen geen zaken doen of deze personen vragen extra aandacht van de financiële sector.

Openbare bronnen

We raadplegen bronnen zoals openbare registers, kranten, internet en openbare profielen van jouw sociale media om fraude te voorkomen en de bank te beschermen. Ook kunnen we – om fraude en witwassen te voorkomen - al dan niet geautomatiseerd informatie van publieke websites raadplegen en analyseren.

Fraude, terrorismefinanciering en witwassen

Om fraude, terrorismefinanciering en witwassen tegen te gaan en om jou en ons te beschermen, maken we analyses. Zo kunnen we een profiel maken van jouw gebruikelijke (betaal)gedrag om fraude, witwassen of misbruik met betaalpassen en creditcards te verminderen. Wijkt het gedrag af van je gebruikelijke betaalgedrag of zijn er andere (fraude)indicatoren? Dan kan dit reden zijn om betalingen volledig automatisch te blokkeren of op te schorten. Als we dit gedaan hebben, nemen we zo snel mogelijk contact met je op.

We maken soms ook gebruik van gegevens die je niet in het kader van fraudebestrijding aan ons hebt verstrekt. Bijvoorbeeld het transactieverloop op je rekening. Of de kenmerken die je gebruikt om online te bankieren. Zo gaan we – samen met andere banken en Transactie Monitoring Nederland – witwassen en terrorismefinanciering tegen. De Nederlandsche Bank verlangt ook van ons dat we allerlei gegevens gebruiken om witwassen en terrorismefinanciering tegen te gaan.

Voor het tegengaan van fraude, kan een IBAN-Naam Check worden uitgevoerd. Hiermee wordt gecontroleerd of het nummer dat je hebt ingevuld bij sommige betalingen via internetbankieren of mobiel bankieren overeenkomt met de bij ons bekende naam. Is dat niet het geval, dan ontvang je van ons hierover een melding. Jij bepaalt vervolgens of je de betaalopdracht toch geeft of aanpast. Deze IBAN-Naam Check kan ook uitgevoerd worden voor andere partijen in verband met het voorkomen, ontdekken en bestrijden van misbruik van het betalingsverkeer.

Bij het bestrijden van cybercrime en hacks geven we gegevens van jou door aan partijen die zich bezighouden met cybercrime. Dit doen we als we zien dat jouw veiligheid of die van de financiële sector mogelijk in gevaar is. We doen dit alleen als we met deze partijen afspraken hebben gemaakt over zorgvuldig gebruik van je gegevens.

We maken opnamen en kunnen deze vastleggen, bijvoorbeeld van telefoongesprekken, e-mailverkeer, camera’s en chatsessies. We doen dit in het kader van fraudeonderzoek. Zo maken we camerabeelden om pinpasfraude te voorkomen.

d. Ontwikkeling en verbetering van producten en diensten

We verbeteren onze producten en diensten voortdurend. Dit doen we voor onszelf, onze klanten en andere partijen.

e. Relatiebeheer, promotie- en marketingdoeleinden

Wil je niet dat we je gegevens gebruiken voor ‘direct marketing’ via post, mail, telefoon, de Rabo App of internetbankieren? Ga dan naar rabobank.nl/privacy/je-rechten.

Onder ‘Recht op bezwaar tegen direct marketing’ lees je hoe je je kunt afmelden.

f. Overeenkomsten met leveranciers en andere partijen waar we mee samenwerken aangaan en uitvoeren

Als je voor je werk contact hebt met ons, kunnen we jouw persoonsgegevens verwerken. Bijvoorbeeld om vast te stellen of je jouw bedrijf mag vertegenwoordigen. Of om je toegang te geven tot onze kantoren, onze online diensten of applicaties. Als dat nodig is, raadplegen we incidentenregisters en waarschuwingssystemen. Dat doen we voorafgaand aan, maar ook tijdens de overeenkomst, in het kader van screening. We kunnen je persoonsgegevens ook verwerken om onze zakelijke relaties met je te beheren als we je bijvoorbeeld uitnodigen voor een bijeenkomst of om jouw mening te vragen over onze producten en diensten.

g. Wettelijke verplichtingen nakomen

Wetgeving

Op basis van (internationale) wet- en regelgeving moeten we veel gegevens over jou verzamelen, analyseren en soms ook doorgeven aan (Europese) overheidsinstanties. We moeten ons houden aan wetgeving om financiële producten en diensten aan te mogen bieden, zoals de Wet op het financieel toezicht. We verwerken persoonsgegevens ook om te voldoen aan onze zorgplicht. Heb je een lening waarvoor je enige tijd een betalingsachterstand of restschuld bij ons hebt? Dan kunnen we dit doorgeven aan het BKR.

We moeten ons daarnaast houden aan wetgeving om fraude, witwassen en terrorisme tegen te gaan, zoals de Wet ter voorkoming van witwassen en financieren van terrorisme. Op basis van deze wet stellen we bijvoorbeeld door klantonderzoek vast wie de uiteindelijke belanghebbende(n) is van een organisatie waar we een relatie mee hebben. Ook doen we onderzoek als je een bepaald vermogen hebt, of als er een ongebruikelijke transactie op jouw rekening plaatsvindt. Een ongebruikelijke transactie moeten we doorgeven aan de bevoegde opsporingsinstantie. We kunnen hierbij samenwerken met andere banken.

Heb je een lening waarvoor je enige tijd een betalingsachterstand of restschuld bij ons hebt? Dan kunnen we dit doorgeven aan BKR.

We zijn verplicht om bij de acceptatie van zakelijke klanten de uiteindelijk belanghebbende van een organisatie te controleren in het door de Kamer van Koophandel bijgehouden UBO-register. Klopt de informatie die wij hebben niet met de gegevens die zijn vastgelegd in het UBO-register, dan moeten we de verschillen melden aan de Kamer van Koophandel.

De Belastingdienst, de politie en het Openbaar Ministerie, maar bijvoorbeeld ook inlichtingendiensten, kunnen gegevens bij ons opvragen. We hebben dan de wettelijke verplichting mee te werken aan onderzoeken en gegevens over jou door te geven. Ook kunnen we samenwerkingsverbanden sluiten met bijvoorbeeld de politie en het Openbaar Ministerie om (grootschalige) fraude, witwassen en terrorismefinanciering tegen te gaan.

Risicomodellen

Europese regels verplichten ons risicomodellen te maken als je een lening of krediet aanvraagt of hebt gekregen. Hiermee bepalen we welke risico’s we lopen en hoe groot de buffer is die we moeten aanhouden. Daarvoor verwerken we binnen de Rabobank Groep jouw persoonsgegevens.

We zijn wettelijk verplicht om deze (risico)modellen te gebruiken voordat we je een lening of krediet aanbieden en als jij iets wilt wijzigen in je lening of krediet. En gedurende de looptijd van een lening of krediet gebruiken we deze (risico)modellen. Om bijvoorbeeld samen met jou vast te stellen of je de lening na jouw pensioen ook nog kunt betalen. Ook bij het vaststellen van de prijs bij een zakelijke financiering gebruiken we deze modellen om te voorkomen dat je jouw financiering niet of niet op tijd kunt terugbetalen. Hierbij kunnen we gebruik maken van profilering en technieken om besluiten (bijna) volledig geautomatiseerd te nemen.

Deze (risico)modellen voorspellen ook de kans dat je een betalingsachterstand krijgt. Hierdoor kunnen we, bijvoorbeeld in overleg met jou, eventuele betalingsproblemen voorkomen of sneller aanpakken. We verwerken hiervoor dan jouw persoonsgegevens. Dit doen we om omdat we zo uitvoering geven aan onze overeenkomst met jou, omdat we dit wettelijk verplicht zijn, maar ook omdat er een gerechtvaardigd belang voor ons is.

Gegevens verstrekken aan de overheid

Wet- en regelgeving kan ons er ook toe verplichten om (geanalyseerde) gegevens over jou – al dan niet geautomatiseerd - aan een overheidsinstelling, een belastingautoriteit of aan een toezichthouder binnen of buiten Nederland door te geven. Bijvoorbeeld aan de Autoriteit Financiële Markten, de Europese Centrale Bank of De Nederlandsche Bank. Zo moeten we via het verwijzingsportaal bankgegevens bijvoorbeeld gegevens verstrekken aan onder meer opsporingsautoriteiten en de Belastingdienst.

We moeten soms gegevens van je verstrekken aan de Nederlandse of een buitenlandse belastingautoriteit, omdat we moeten voldoen aan wettelijke verplichtingen en verdragen. Zo kan de Belastingdienst in het kader van een betalingsvordering gegevens bij ons opvragen. Of in het kader van FATCA of de Common Reporting Standards. Als een rekeninghouder begunstigde is van 26 of meer internationale betalingen per kwartaal, dan geven we de gegevens van diegene door aan de Nederlandse belastingdienst. Dit gebeurt vanaf 1 januari 2024. Door de verschillende belastingdiensten wordt de informatie weer samengevoegd in een Europese database, die wordt beheerd door de Europese Commissie.

Maken en vastleggen van opnamen

We maken opnamen en kunnen deze vastleggen, bijvoorbeeld van telefoongesprekken, e-mailverkeer en chatsessies of camerabeelden bij kantoren en geldautomaten. Dit doen we om aan wettelijke verplichtingen te voldoen, bijvoorbeeld in het kader van de beleggingsdienstverlening.

h. Voor de uitvoering van bedrijfsprocessen, managementrapportages en intern management

Administratie en gegevensbeheer

We willen onze administratie en ons gegevensbeheer op een efficiënte manier uitvoeren en onze datakwaliteit verbeteren. Voor banken gelden wettelijke verplichtingen om de administratie en het gegevensbeheer goed te organiseren. Ook kunnen gegevens zo voor meer toepassingen gebruikt worden, zonder verschillen tussen de gegevens.

Ken je klant

Als dienstverlener vinden we het belangrijk en is het noodzakelijk dat we een goed overzicht hebben van onze klantrelaties. Daar hoort ook bij dat we weten met wie je samenwerkt. Ook daarvoor verwerken we gegevens van jou, maar mogelijk ook van derden met wie je zaken doet.

Vaststellen kredietrisico bij leningen en kredieten

Aan het geven van leningen en kredieten zit een kredietrisico. We moeten vaststellen wat dat risico is, zodat we kunnen vaststellen welke buffer we moeten aanhouden. Daarvoor verwerken we je lening- en krediet- en transactiegegevens.

Overdracht van vorderingen

Soms dragen we vorderingen op jou over aan een ander. Bijvoorbeeld je hypothecaire lening. Bij zulke overdrachten worden persoonsgegevens verwerkt. Mogelijk moeten we voorafgaand aan zo’n overdracht jouw persoonsgegevens ter beschikking stellen aan een potentiële overnamekandidaat. Als de vorderingen overgedragen zijn, verwerkt ook die andere partij jouw persoonsgegevens. We spreken met zo’n andere partij af dat deze voldoet aan wet- en regelgeving over bescherming van persoonsgegevens. Dit geldt ook bij contractovername, fusie of splitsing.

Audits en onderzoeken

We gebruiken je gegevens ook voor onderzoek door onze in- en externe audits of een derde partij die wordt ingeschakeld. Bijvoorbeeld om te onderzoeken of nieuwe regels goed zijn ingevoerd, om te bepalen of onze klanten schade hebben geleden, of om risico’s in kaart te brengen.

Rapportages en onze eigen bedrijfsprocessen

We gebruiken gegevens ook om onze bedrijfsprocessen in kaart te brengen en te verbeteren. En om managementrapportages te maken, zodat we je beter kunnen helpen of onze processen efficiënter kunnen maken. Ook moeten wij de door ons gebruikte modellen laten valideren. We maken ook rapportages om extern te kunnen berichten over de duurzaamheid van onze klanten. Als dat kan, pseudonimeseren we eerst jouw gegevens.

We maken ook opnamen en kunnen deze vastleggen. Bijvoorbeeld van telefoongesprekken, e-mailverkeer en chatsessies. We doen dit voor kwaliteitsbewaking en voor trainings-, coachings- en ontwikkelingsdoeleinden.

i. Voor archivering, wetenschappelijk of historisch onderzoek of voor statistische doelen

We mogen je persoonsgegevens ook verwerken als dit nodig is voor archivering in het algemeen belang, voor wetenschappelijk of historisch onderzoek of voor statistisch onderzoek of doelen. Rabobank doet ook onderzoek om haar positie in de markt te bepalen en te verbeteren. Dit wordt onder meer gedaan door onze eigen research afdeling. Zij meten bijvoorbeeld hoe de economie zich ontwikkelt. Daarover wordt ook gepubliceerd.

Soms werken we samen met onderzoeksinstituten en universiteiten. In al deze gevallen zullen we, als dat mogelijk is, jouw gegevens eerst pseudonimiseren. De gegevens zijn dan niet naar jou te herleiden. En maken we goede afspraken met deze onderzoeksinstituten en universiteiten.

We bewaren je gegevens niet langer dan nodig is voor de doelen waarvoor we ze hebben verzameld of de doelen waarvoor we deze hergebruiken. We hebben een bewaarbeleid. Daarin is vastgesteld hoe lang we gegevens bewaren. Dit is in de meeste gevallen 7 jaar na het einde van de overeenkomst of je relatie met Rabobank. Soms is deze termijn langer. Bijvoorbeeld als de toezichthouder dat van ons vraagt in het kader van risicomodellen. Soms gebruiken we kortere bewaartermijnen. Gegevens van een betaalopdracht bewaren we bijvoorbeeld meestal maar 2 jaar. Camera-opnamen bewaren we maar 4 weken.

We kunnen gegevens in bijzondere situaties langer bewaren. Bijvoorbeeld als justitie camerabeelden opvraagt, dan bewaren we de beelden langer dan 4 weken. Of als je een klacht hebt ingediend waarvoor deze gegevens nodig zijn.

Als we de gegevens niet langer nodig hebben voor de doelen zoals omschreven in hoofdstuk 6 kunnen we de gegevens wel nog bewaren voor archivering. De gegevens worden dan gebruikt bij juridische procedures of voor historische of wetenschappelijke onderzoek of statistische doeleinden.

Bijzondere persoonsgegevens, strafrechtelijke gegevens en het BSN zijn gevoelige gegevens. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over je gezondheid, biometrische gegevens, etnische gegevens of gegevens betreffende ras. Voor sommige diensten kun je gebruik maken van je vingerafdruk, stemherkenning of een gezichtsscan. Dit zijn biometrische gegevens die worden gebruikt voor identificatie en bij controles tussendoor.

Verder verwerken we bijzondere persoonsgegevens als dat wettelijk toegestaan is, omdat je deze gegevens zelf openbaar hebt gemaakt, of met jouw toestemming. Bijvoorbeeld als je ons vraagt vast te leggen dat je slechtziend bent, omdat je dan brailleafschriften wilt ontvangen. We vragen dan jouw toestemming om deze gegevens vast te leggen.

In het kader van het betalingsverkeer kunnen bijzondere persoonsgegevens inzichtelijk worden. Bijvoorbeeld als je een betaling doet bij een apotheek of geld overmaakt naar een politieke partij is dat zichtbaar in de rekeninginformatie. Deze rekeninginformatie moeten we verplicht geven en is soms ook zichtbaar voor andere partijen. Bijvoorbeeld een rekeninginformatiedienstverlener, als je die hebt ingeschakeld.

Geef je ons toestemming om bijzondere persoonsgegevens over jou vast te leggen? Of maak je deze gegevens zelf openbaar? We verwerken deze gegevens alleen als dit noodzakelijk is voor onze dienstverlening. Je kunt de toestemming voor vastlegging altijd intrekken. Neem hiervoor contact op met Rabobank.

Gegevens van kinderen onder de 16 jaar verwerken we als zij een product van ons afnemen of als de gegevens in het kader van een product aan ons verstrekt worden. Als dat nodig is, vragen we toestemming van de wettelijk vertegenwoordiger om gegevens van kinderen verder te verwerken. Bij een betaling naar een Rabobank-rekening vanaf een rekening van een minderjarige bij een andere bank, worden ook gegevens van minderjarigen verwerkt in het kader van het betalingsverkeer.

We nemen deel aan incidentenregisters en waarschuwingssystemen van de financiële sector en hiervoor verwerken wij strafrechtelijke gegevens. Dat doen we om onze belangen en die van financiële instellingen en hun klanten te beschermen. Bijvoorbeeld door fraude op te sporen en gevallen van fraude vast te leggen.

Je BSN gebruiken we alleen als dat wettelijk is toegestaan. Bijvoorbeeld om je spaartegoed of de hoogte van je lening door te geven aan de Belastingdienst.

Uit de transactie-informatie die we je verplicht moeten geven, en die soms in te zien is door een wederpartij of een externe partij (bijvoorbeeld een rekeninginformatiedienstverlener). kunnen gegevens over je gezondheid, politieke voorkeur of andere bijzondere persoonsgegevens worden afgeleid.

Automatische besluiten zijn beslissingen over jou die genomen worden door computers in plaats van mensen. Heeft een beslissing nadelige gevolgen voor je? Dan mogen we geen automatisch besluit over je nemen. Behalve als dit in het kader van een overeenkomst van de bank noodzakelijk is, als de wet dit toestaat of als je zelf toestemming geeft. In die situaties heb je recht op overleg met iemand van de bank. En je hebt het recht om bezwaar te maken. Ook kun je ons vragen om het besluit niet meer door computers te laten nemen.

In de volgende situaties maken we soms gebruik van deze volledige automatische besluiten die voor jou gevolgen hebben of waar je last van kunt hebben:

Binnen Rabobank hebben personen alleen toegang tot je persoonsgegevens wanneer ze deze vanwege hun functie ook echt nodig hebben. Al deze personen hebben bovendien een geheimhoudingsplicht.

We gebruiken soms gegevens voor een ander doel dan waarvoor we ze gekregen hebben. Dat mag wanneer er tussen beide doelen een nauwe samenhang bestaat.

Bij het afsluiten van een hypothecaire geldlening delen we soms gegevens met de verzekeringsafdeling. Die kan dan kijken of dit gevolgen heeft voor jouw verzekeringsportefeuille. Tussen het afsluiten van een hypothecaire geldlening en het onderhoud van de verzekeringsportefeuille bestaat namelijk een nauwe samenhang.

Is er onvoldoende samenhang tussen het doel waarvoor we de gegevens hebben verkregen en het nieuwe doel? Dan vragen we je om toestemming als we deze gegevens toch willen gebruiken. Je kunt die toestemming ook altijd weer intrekken. Neem hiervoor contact op met Rabobank.

a Binnen de Rabobank Groep

Je persoonsgegevens kunnen worden uitgewisseld tussen onderdelen van de Rabobank Groep. Bijvoorbeeld omdat je dat van ons vraagt. Of omdat je ook een product afneemt bij een ander onderdeel van Rabobank. Gegevens waarmee je identiteit is vastgesteld, kunnen bijvoorbeeld ook gebruikt worden door een ander onderdeel van Rabobank waarmee je zaken wilt gaan doen. Ook kunnen we je gegevens uitwisselen in het kader van fraudebestrijding, ter voorkoming van witwassen, risicomanagement, interne administratie, voor het verbeteren van de dienstverlening aan jou, en in het kader van de zorgplicht.

Onderdelen van de Rabobank Groep bevinden zich soms in landen buiten de Europese Unie waar minder strenge privacyregels gelden. Delen we je gegevens met onderdelen van de Rabobank Groep, waarin Rabobank een meerderheidsbelang heeft? Dan doen we dat alleen als zij zich aan de spelregels van Rabobank houden, de Rabobank Privacy Codes. De Rabobank Privacy Codes gelden als zogenaamde bindende bedrijfsvoorschriften (Binding Corporate Rules of BCRs). Hierin is beschreven aan welke spelregels al deze onderdelen van de Rabobank Groep moeten voldoen. De Rabobank Privacy Codes zorgen voor een passend niveau van bescherming van persoonsgegevens. Door die codes gelden voor die onderdelen van Rabobank dezelfde regels en mogen we binnen de Rabobank Groep gegevens delen.

b Buiten de Rabobank Groep

Je gegevens worden ook doorgegeven aan andere partijen buiten Rabobank als we daar wettelijk toe verplicht zijn, omdat we een overeenkomst met jou moeten uitvoeren of omdat we een andere dienstverlener inzetten.

Als we gegevens doorgeven aan een andere partij die zelf de verwerkingsverantwoordelijke is, dan staat zo’n partij zelf onder toezicht van hun eigen toezichthouder op het gebied van de gegevensbescherming. Dit kan de Nederlandse toezichthouder zijn, maar ook een buitenlandse.

Bevoegde (publieke) instanties

We geven je persoonsgegevens aan derden door als we daartoe verplicht zijn. Bijvoorbeeld aan (Europese) toezichthouders, zoals de AFM, Autoriteit Persoonsgegevens, DNB, de ECB, de ACM of de Belastingdienst.

In het kader van het Tuchtrecht Banken moeten we soms persoonsgegevens verstrekken aan de Stichting Tuchtrecht Banken. Ook als je een klacht indient bij het Kifid, het BKR, een rechter, of de Autoriteit Persoonsgegevens kan het nodig zijn je persoonsgegevens te verstrekken. Bijvoorbeeld om verweer te voeren naar aanleiding van je klacht. Dit geldt ook als je bezwaar maakt bij het BKR. Soms bepaalt de rechter dat we bepaalde persoonsgegevens van jou met een ander moeten delen.

De Belastingdienst, de politie en het Openbaar Ministerie, maar bijvoorbeeld ook inlichtingendiensten en uitkeringsinstellingen, kunnen gegevens bij ons opvragen op basis van een wettelijke taak of bevoegdheid. We moeten dan verplicht meewerken aan onderzoeken en/of gegevens over jou doorgeven.

Als we je een krediet of een lening geven, moeten we in bepaalde gevallen ook gegevens doorgeven aan het BKR. Bijvoorbeeld hoe groot het krediet of de lening is. Of als je niet op tijd betaalt.

Andere dienstverleners

We geven ook gegevens door als dat nodig is om de afspraken met jou na te komen. Bijvoorbeeld in het kader van het betalingsverkeer gebruiken we derde partijen – zoals Swift, Mastercard en Visa – om betalingen mogelijk te maken. Ook kan de begunstigde van de betaling, bijvoorbeeld een webwinkel, een betaaldienstverlener ingeschakeld hebben. Bij sommige internationale overboekingen is niet alleen de bank van de begunstigde van de betaling betrokken, maar vaak ook één of meer correspondentbanken. Al deze banken verwerken dan je persoonsgegevens. Bij iDEAL-betalingen is Currence iDEAL BV betrokken. Ook kan het zijn dat bij een betaling aan of via een andere bank binnen of buiten Europa deze bank vraagt om je gegevens door te geven. Zo kan deze andere bank aan haar (wettelijke) verplichtingen voldoen. In dat geval kunnen we – naast de gebruikelijke gegevens die we verstrekken bij de betaling – ook je geboortedatum en geboorteplaats toesturen. Ook kunnen we gegevens aan andere (financiële) financiele dienstverleners verstrekken als dat nodig is om afspraken die zijn gemaakt tussen Rabobank en deze dienstverleners na te komen. Bijvoorbeeld als een betaling verder onderzocht moet worden.

Je persoonsgegevens worden bij betalingen naar of vanuit landen buiten de Europese Unie soms doorgegeven aan andere partijen in landen die niet hetzelfde beschermingsniveau van persoonsgegevens hebben als de Europese Unie. Worden je persoonsgegevens verwerkt in een land met een ander beschermingsniveau? Dan kan dit bijvoorbeeld tot gevolg hebben dat je persoonsgegevens worden gebruikt bij onderzoek door bevoegde nationale autoriteiten van de landen waar de gegevens zich bevinden. Of dat je persoonsgegevens worden gebruikt voor andere doeleinden, die in Nederland niet toegestaan zijn.

We verstrekken je gegevens ook aan andere partijen die we nodig hebben in het kader van onze dienstverlening. Bijvoorbeeld deurwaarders, accountants, incassobureaus, administratiekantoren, consultants, mediators en advocaten.

Als je een wettelijke vertegenwoordiger hebt, zoals een meerderjarigenbewindvoerder of een curator, dan kunnen wij je gegevens aan je bewindvoerder of curator verstrekken. Ook kan je bewindvoerder of curator jouw gegevens meestal raadplegen via Rabo Online Bankieren en de Rabo App.

Soms kun je zelf het initiatief nemen om je gegevens door te geven aan een andere partij. Bijvoorbeeld:

Tussenpersonen

Als we optreden als tussenpersoon wisselen we persoonsgegevens uit. Dat doen we bijvoorbeeld met een verzekeraar waarbij je via ons een verzekering hebt afgesloten. We kunnen van deze verzekeraar ook gegevens van jou ontvangen. We treden ook op als tussenpersoon voor FREO, een kredietverlener.

Als je via een tussenpersoon een hypotheek bij ons afsluit, ontvangen we gegevens over jou via je tussenpersoon. We delen dat van jou met de tussenpersoon. Bij de start van de overeenkomst maar ook gedurende de looptijd kunnen we signalen delen met de tussenpersoon. We kunnen de tussenpersoon bijvoorbeeld laten weten dat het einde van de rentevastperiode van de hypotheek bereikt wordt.

Doorverwijzen naar andere partijen

Als je dat goed vindt, kunnen wij jouw gegevens delen met andere partijen. Bijvoorbeeld met een aanbieder van niet-financiële diensten van wie de producten getoond worden in de Rabo App. Of met een schuldhulpverlener.

Zakelijke partners en onze dienstverleners

Soms schakelen we andere zakelijke partners in als verwerker. Dit heeft tot gevolg dat zij in onze opdracht persoonsgegevens verwerken. Dat doen we alleen als we deze partijen voldoende betrouwbaar vinden. We kunnen alleen andere partijen inschakelen als dit past bij het doel waarvoor we jouw persoonsgegevens hebben verwerkt. Daarnaast kunnen deze andere partijen alleen onze opdracht krijgen als ze bepaalde afspraken met ons maken, aantoonbaar passende beveiligingsmaatregelen hebben genomen, en geheimhouding garanderen.

Zo schakelen we bijvoorbeeld een drukkerij in die voor ons een klantmailing verzorgt en jouw naam en adresgegevens op enveloppen drukt, of partijen die namens ons advertenties plaatsen in apps en op websites. Of partijen die namens ons een marktonderzoek doen of gegevens voor ons opslaan. Deze derde partijen kunnen ook een leverancier van IT of ICT zijn. Ook kunnen we jouw gegevens via een derde partij online (in een cloud) opslaan.

Wij kunnen ook andere partijen als verwerker inschakelen om beter aan onze eigen wettelijke verplichtingen te voldoen. Zo gebruiken wij Transactie Monitoring Nederland om de transactiemonitoring van de banken te verbeteren. Ook wordt door Rabobank een verwerker ingeschakeld om een betere inschatting te kunnen maken van het aantal woningen dat in jouw bezit is. Wij moeten dit weten in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme .

Als we jouw gegevens doorgeven aan andere partijen buiten de Europese Unie (EU) / Europees Economische Ruimte (EER), nemen we extra maatregelen om je gegevens te beschermen. Niet in alle landen buiten de EU gelden dezelfde regels om jouw gegevens te beschermen zoals dat binnen Europa verplicht is. Gebruiken we derde partijen buiten de EU/EER, dan beoordelen we zo goed mogelijk of dat veilig genoeg kan. Voor sommige landen heeft de Europese Commissie bepaald dat dat er sprake is van een ‘adequaat’ niveau van bescherming van persoonsgegevens. Voor andere landen geldt dat we de door de Europese Commissie goedgekeurde contractuele afspraken gebruiken.

Daarnaast treffen we als dat nodig is aanvullende (veiligheids)maatregelen.

a Recht op informatie

Met dit Privacy Statement informeren we je over wat we doen met jouw gegevens. Soms moeten we meer informatie geven. Bijvoorbeeld als we je gegevens vastleggen in onze incidentenregisters. Dan informeren we je, als dat is toegestaan, apart door middel van een brief, een bericht in je berichteninbox of op een andere door ons gekozen wijze.

b Recht op inzage en rectificatie

Je kunt ons vragen of en welke persoonsgegevens we van jou verwerken. Is dat het geval, dan kunnen we je inzage geven in de persoonsgegevens die we van je hebben verwerkt. Vind je dat jouw persoonsgegevens onjuist of onvolledig zijn verwerkt? Dan kun je ons vragen om de gegevens te wijzigen of aan te vullen (rectificatie).

c. Recht op het wissen van persoonsgegevens

Je kunt ons vragen om gegevens die we van jou hebben vastgelegd te wissen. We hoeven dat niet altijd te doen. En soms mogen wij dit zelfs niet doen. Bijvoorbeeld als we je gegevens vanwege wettelijke verplichtingen nog moeten bewaren.

d. Recht op beperking

Je kunt ons vragen de persoonsgegevens die we van jou verwerken tijdelijk te beperken. Dat betekent dat we tijdelijk minder gegevens van je verwerken.

e. Recht op dataportabiliteit (overdraagbaarheid van gegevens)

Je hebt het recht ons te vragen om gegevens die je in het kader van een contract met ons of met jouw toestemming aan ons hebt verstrekt in een gestructureerde en machine-leesbare vorm te verkrijgen of over te dragen aan een andere partij. Vraag je om gegevens rechtstreeks over te dragen aan een andere partij? Dat kan alleen als dat technisch mogelijk is. Sommige gegevens die je aan ons hebt verstrekt, kun je zelf verkrijgen. Je transactiegegevens kun je bijvoorbeeld via onze online diensten raadplegen.

f. Recht van bezwaar tegen verwerking van je gegevens

Verwerken we jouw gegevens omdat we daar een gerechtvaardigd belang bij hebben? Dan kun je daar bezwaar tegen maken, waarbij je aangeeft waarom je bezwaar maakt. Daarna maken we een nieuwe afweging om te bepalen of jouw gegevens inderdaad niet meer voor dat doel gebruikt mogen worden. We staken de verwerking als jouw belang zwaarder weegt dan ons belang. We laten je onze beslissing weten en op basis van welke argumenten we die genomen hebben.

g. Recht van bezwaar tegen direct marketing

Je hebt het recht ons te vragen jouw gegevens niet langer te gebruiken voor direct marketing. Dit recht heb je ook als je alleen bezwaar hebt tegen benadering via een specifiek kanaal. Bijvoorbeeld als je wel via e-mail aanbiedingen wilt blijven ontvangen, maar niet meer telefonisch benaderd wilt worden. We zorgen er dan voor dat je niet langer benaderd wordt via dat betreffende kanaal.

Op rabobank.nl/privacy/je-rechten staat per recht beschreven hoe je hiervan gebruik kunt maken. Soms kun je al direct gebruik maken van je rechten. Zo regel je het recht van bezwaar tegen direct marketing zelf in de Rabo App of Rabo Online Bankieren. Als dit niet mogelijk is, kun je een verzoek indienen via het online formulier.

Heb je een verzoek aan ons gedaan? Dan beantwoorden we je verzoek binnen 1 maand nadat we jouw verzoek hebben ontvangen.

Soms vragen we je jouw verzoek om inzage verder uit te leggen. Bijvoorbeeld als je ons vraagt om inzage in gespreksopnamen. We vragen dan bijvoorbeeld naar zoektermen, zoals het tijdstip en het nummer waarmee gebeld is. In zeer specifieke gevallen kunnen we de termijn waarbinnen we reageren verlengen tot maximaal 3 maanden. We houden je dan op de hoogte over de voortgang van je verzoek.

We kunnen je vragen om naar de bank te komen om jezelf identificeren als je bij ons een verzoek doet. Bijvoorbeeld om inzage en dataportabiliteit. We willen namelijk zeker weten dat we jouw gegevens aan de juiste persoon verstrekken. Twijfelen we of we de gegevens veilig aan je kunnen sturen? Ook dan kunnen we je vragen naar de bank te komen om jouw gegevens op te halen.

Soms kunnen we jouw verzoek niet behandelen. Bijvoorbeeld:

Dan laten we je dat ook weten. Passen we jouw gegevens aan? Of wissen we je gegevens op jouw verzoek? Dan laten we dit weten. En daar waar mogelijk informeren we ook de ontvangers van jouw gegevens hierover.

Heb je een algemene vraag of klacht over de verwerking van persoonsgegevens? Neem dan contact op met Rabobank. Je kunt ook online een klacht indienen.

Binnen de bank hebben we een Functionaris Gegevensbescherming. Deze houdt toezicht op de toepassing en naleving van de Algemene Verordening Gegevensbescherming (AVG). Ben je ontevreden over de manier waarop je vraag of klacht door ons is afgehandeld? Dan kun je contact opnemen met deze functionaris via dpo@rabobank.nl. Uiteraard kun je je vraag of klacht ook indienen bij de Autoriteit Persoonsgegevens.

Ja, ons Privacy Statement kan wijzigen. Dit gebeurt af en toe, bijvoorbeeld als er nieuwe gegevensverwerkingen zijn en deze wijzigingen voor jou van belang zijn. De meest actuele versie van ons Privacy Statement vind je steeds op deze pagina.

Ten opzichte van de laatste versie van het privacy statement hebben we een aantal wettelijke wijzigingen verwerkt. Zoals nieuwe fiscale wetgeving die ervoor zorgt dat we vaker gegevens moeten doorgeven aan de belastingdienst. Ook beschrijven we dat de bank duurzaamheidsdata verzamelt omdat wij steeds meer moeten rapporteren over de duurzaamheid van onze klanten. Verder maakt Rabobank steeds meer gebruik van modellen, ook om de betaalbaarheid van leningen en kredieten gedurende de looptijd te monitoren. Ook hebben we een aantal verduidelijkingen aangebracht.