Op 16 oktober 2025 heeft de Autoriteit Persoonsgegevens (AP) een besluit gepubliceerd waarin Experian Nederland B.V. (Experian) een boete van €2.700.000 wordt opgelegd voor schendingen van de AVG. De AP oordeelt dat Experian onvoldoende informatie gaf aan betrokkenen over haar verwerkingen en deze ten onrechte baseerde op de grondslag gerechtvaardigd belang.

Tot 1 januari 2025 verwerkte Experian persoonsgegevens van consumenten in het kader van haar dienst “Credit Check”. Bij deze dienst maakte Experian kredietwaardigheidsrapporten van consumenten op verzoek van haar klanten zoals telecombedrijven, webwinkels of verhuurders. Deze rapporten bevatten kredietscores over consumenten die de klanten gebruikten om te besluiten of en hoe consumenten hun producten of diensten mochten kopen. 

Experian moest als verwerkingsverantwoordelijke de betrokkenen in overeenstemming met artikel 14 AVG informeren. De verwerkingsverantwoordelijke moet kunnen aantonen dat en op welke manier zij aan haar transparantieverplichting voldoet. De AP benadrukt daarbij dat verwerkingsverantwoordelijken er actief voor moeten zorgen dat de informatie bij de betrokkene terecht komt of de betrokkene naar deze informatie moeten leiden. Voorkomen moet worden dat de betrokkene zelf op zoek moet gaan naar deze informatie. Volgens de AP heeft Experian onvoldoende aangetoond dat zij hieraan heeft voldaan.

Daarnaast kon Experian geen beroep doen op het gerechtvaardigd belang. De verwerking van bepaalde gegevens was namelijk niet strikt noodzakelijk voor het opstellen van kredietwaardigheidsrapporten, waardoor de verwerking niet voldoet aan het tweede criterium van artikel 6 lid 1 onder f AVG. 

Ook aan het derde criterium van artikel 6 lid 1 onder f AVG werd niet voldaan. De verwerking van gegevens door Experian en de daaruit voortvloeiende negatieve kredietscore kan de belangen van de betrokkenen ernstig schaden en de uitoefening van diens vrijheden aanzienlijk moeilijker maken. Dit geldt met name voor niet-openbare gegevens zoals negatieve betaalregistraties. De AP stelt dat consumenten op het tijdstip van verzameling in redelijkheid niet hoeven te verwachten dat hun financiële gegevens vervolgens ook worden verwerkt door een derde om kredietwaardigheidsrapporten op te stellen. Hierbij acht de AP het relevant dat er geen directe verhouding tussen Experian en de betrokkenen bestond. 

Noemenswaardig is dat de AP de door Experian aangevoerde belangen van de consumenten om zichzelf tegen overkreditering en problematische schulden te beschermen en het maatschappelijk belang om dit te voorkomen niet als gerechtvaardigde belangen aanmerkt. Daarbij stelt de AP dat de betrokkenen en de maatschappij geen derden zijn in de context van de AVG, waardoor artikel 6 lid 1 onder f AVG niet van toepassing is.