Privacy Statement

We verwerken persoonsgegevens van iedereen met wie we een relatie willen aangaan, hebben, of hebben gehad. We verwerken ook persoonsgegevens van personen die geen klant zijn van Rabobank. Van hen ontvangen we rechtstreeks of via anderen persoonsgegevens.

Bijvoorbeeld:

Soms geven bedrijven of organisaties persoonsgegevens aan ons door. Bijvoorbeeld van medewerkers, bestuurders, uiteindelijk belanghebbenden (UBO) of andere belanghebbenden. Zelf verzamelen we ook persoonsgegevens. Bijvoorbeeld via het Handelsregister. We verwachten dat je jouw medewerkers, bestuurders en andere belanghebbenden hierover informeert. Je kunt dit privacy statement of een link daar naartoe aan hen geven. Zo kunnen zij lezen hoe wij omgaan met hun persoonsgegevens.

Dat is de Coöperatieve Rabobank U.A. Dit privacy statement gaat over de verwerking van persoonsgegevens door de Coöperatieve Rabobank U.A. in Nederland. En over de verwerking van persoonsgegevens door de volgende groepsonderdelen:

Gegevens kunnen worden uitgewisseld binnen de Rabobank Groep. Maar alleen als de wet dat toestaat. In onderdeel 13 van dit privacy statement leggen we uit hoe gegevensuitwisseling binnen de Rabobank Groep werkt.

Voor wie geldt dit privacy statement niet?

Voor grote (corporate) zakelijke klanten die vallen onder Wholesale Banking. Voor hen zijn aparte privacy statements beschikbaar. Informatie over de verwerking van persoonsgegevens door Rabobank Wholesale Banking in Nederland staat op Rabobank.com/privacy. Hier staat ook informatie over de verwerking van persoonsgegevens door Rabobank buiten Nederland. Andere dochters en deelnemingen van de Rabobank Groep hebben aparte privacy statements. Ook voor medewerkers en sollicitanten van Rabobank in Nederland is een eigen privacy statement beschikbaar. Dat geldt ook voor leden van de lokale raden van commissarissen van Rabobank.

Cookies en informatiedocumenten voor andere diensten

Op onze websites vind je informatie over cookies. Soms is er voor een dienst een apart privacy statement. Of een los informatiedocument. Dit is dan een aanvulling op dit privacy statement. Werken we samen met een ander bedrijf? Of met een andere organisatie? Dan wordt informatie over verwerking van persoonsgegevens soms ook door het andere bedrijf of die andere organisatie verstrekt.

We ontvangen je gegevens omdat je deze zelf met ons deelt. Bijvoorbeeld wanneer je een overeenkomst met ons sluit. Of als je je gegevens achterlaat op onze website. Ook als je gebruik maakt van onze producten en diensten verwerken we je gegevens. Bijvoorbeeld als je een betaling doet vanaf een Rabobankrekening. Of als je de Rabo App gebruikt.

Soms krijgen we je gegevens niet rechtstreeks van jou. Zo kunnen we je gegevens ontvangen van:

We gebruiken en verwerken je persoonsgegevens om je bankzaken te kunnen uitvoeren. Rabobank biedt ook andere diensten aan waar persoonsgegevens voor verwerkt worden. Dit doen wij ook samen met andere bedrijven en organisaties. Denk aan het ‘Coöperatief Isolatiebudget’. Hiermee kunnen klanten met een Rabobankhypotheek onder bepaalde voorwaarden in aanmerking komen voor een energieadvies van een energieadviseur. Ook bij het aanbieden van zo’n dienst worden persoonsgegevens verwerkt. Daarnaast verwerken we gegevens omdat dit wettelijk verplicht is, of omdat we daar een gerechtvaardigd belang bij hebben. Of omdat we daarvoor toestemming van jou gekregen hebben.

Grondslagen voor verwerking

We mogen jouw persoonsgegevens alleen verwerken als daar een goede reden voor is. Dit wordt de ‘grondslag’ genoemd. De wet over de bescherming van persoonsgegevens (de Algemene Verordening Gegevensbescherming) geeft aan welke grondslagen er mogelijk zijn.

Dit zijn de belangrijkste grondslagen die we gebruiken:

Belangenafweging

Hiervoor wordt uitgelegd dat ‘gerechtvaardigd belang’ één van de grondslagen is om persoonsgegevens te mogen verwerken. Gebruiken we de grondslag ‘gerechtvaardigd belang’ om jouw gegevens te verwerken? Dan maken we een afweging tussen de belangen van Rabobank of een ander en jouw recht op privacy. Voorbeelden van onze belangen zijn:

We wegen ons belang of het belang van andere personen, bedrijven en organisaties af tegen jouw belang en jouw recht op privacy. We kijken dan bijvoorbeeld of we niet op een andere manier hetzelfde doel kunnen bereiken. En of we alle gegevens nodig hebben. Willen we gegevens gebruiken die gevoelig zijn? Of gegevens van kwetsbare personen of kinderen? Dan zal het recht op privacy eerder voorgaan en zullen we minder snel gegevens op basis van ‘gerechtvaardigd belang’ gebruiken.

We hebben er ook belang bij dat de financiële sector gezond blijft. Daarom gebruiken we gegevens op basis van de grondslag ‘gerechtvaardigd belang’. Een paar voorbeelden:

We verwerken je gegevens soms ook omdat iemand anders daar een ‘gerechtvaardigd belang’ bij heeft. Bijvoorbeeld als iemand onbedoeld geld aan jou heeft overgemaakt en je wilt dat niet terugbetalen. Of als iemand geld aan jou heeft overgemaakt maar jij geen producten levert. Dan kunnen we je gegevens in sommige gevallen doorgeven aan degene die (per ongeluk) geld aan jou heeft overgemaakt.

Verwerken we je gegevens omdat we daar een ‘gerechtvaardigd belang’ bij hebben? En denk je dat jouw belangen zwaarder wegen? Dan kun je tegen deze verwerking bezwaar maken. Hoe je dit doet, lees je bij "Welke rechten heb je bij ons?"

Doel van verwerking

Naast een grondslag hebben we ook altijd een doel bij een verwerking van persoonsgegevens. Hieronder beschrijven we welke doelen dit zijn en geven we voorbeelden.

a. Relatie en overeenkomst aangaan

b. Overeenkomsten en opdrachten uitvoeren

Als je klant bij ons bent, voeren we de ontvangen opdrachten en gesloten overeenkomsten graag goed uit. Dit hebben we namelijk met je afgesproken. Daarbij verwerken we persoonsgegevens.

c. Veiligheid en integriteit van jou, de bank en de financiële sector

We verwerken je persoonsgegevens voor het beschermen van jouw en onze veiligheid en van de financiële sector. Ons doel is ook om fraude, witwassen en de financiering van terrorisme tegen te gaan.

Klantonderzoek

We onderzoeken niet alleen bij de start van de klantrelatie of we je als klant kunnen accepteren. Ook tijdens de klantrelatie moeten we onderzoek doen of je nog klant van ons kunt blijven. Dit soort klantonderzoeken voeren we soms ook uit voor andere (financiële) instellingen. Bijvoorbeeld op verzoek van een verzekeraar of een onderdeel van de Rabobank Groep. Of we delen de uitkomst met een ander onderdeel van de Rabobank Groep. Soms delen we ook gegevens met andere (financiële) instellingen zodat die instelling zelf aan zijn wettelijke verplichtingen kan voldoen. Hiervoor verwerken we persoonsgegevens van jou, maar mogelijk ook van derden met wie je zaken doet. Het transactieverloop op je rekening kan bijvoorbeeld aanleiding zijn voor nader onderzoek. Of de personen met wie je zaken doet of de branche waarin je werkt. Afhankelijk van onze inschatting van je risicoprofiel zijn wij verplicht om aanvullende en meer gedetailleerde vragen te stellen (en jij om deze te beantwoorden) zodat we een goed klantdossier kunnen opbouwen.

Incidentenregisters en waarschuwingssystemen

Om de veiligheid en integriteit van klanten, Rabobank en de financiële sector te beschermen tegen onder meer fraude en witwassen, moeten banken beschermende maatregelen nemen. Eén van deze maatregelen is ons

gebruik van ons eigen interne waarschuwingssysteem: het Intern Verwijzingsregister (het IVR), dat van de financiële sector: het Extern Verwijzingsregister (EVR) en het register van de Stichting Fraudebestrijding Hypotheken (SFH).

Voorvallen die de aandacht van onze bank trekken, noemen wij een ‘gebeurtenis’ en leggen wij vast in onze ‘gebeurtenissenadministratie’. Aan de gebeurtenissenadministratie is een Intern Verwijzingsregister (IVR) gekoppeld. Jouw identificerende gegevens worden hier in opgenomen als wij extra alert willen zijn en intern binnen de Rabobank Groep willen waarschuwen. Bijvoorbeeld op het gebied van fraude, het verplichte klantonderzoek, terrorismefinanciering en witwassen. Wij nemen jouw gegevens niet zomaar op. Daarvoor toetsen wij eerst of dit past binnen onze interne regels en binnen de wet. Voor het IVR en EVR geldt dat alleen medewerkers van onze veiligheidsafdelingen en een beperkt aantal andere medewerkers toegang hebben tot die gegevens.

Soms is een incident zo ernstig dat wij niet alleen binnen de Rabobank Groep, maar ook andere banken en andere financiële instellingen willen waarschuwen. Dan kunnen jouw gegevens worden opgenomen in het Incidentenregister, het Extern Verwijzingsregister (EVR) of het register van de Stichting Fraudebestrijding Hypotheken. Vastlegging van jouw gegevens in deze registers mag alleen als dat volgt uit de regels van het Protocol Incidentenregister Financiële Instellingen (PIFI). Deze regels zijn goedgekeurd door de Autoriteit Persoonsgegevens.

Leggen we je gegevens vast in deze registers? Dan informeren we je daarover. Ook informeren we je over de reden waarom we dat doen en de duur van de opname. Behalve als dat niet toegestaan is. Bijvoorbeeld omdat de politie ons vraagt je niet te informeren in het belang van hun onderzoek. Ben je het niet eens met het vastleggen van jouw gegevens? Dan kun je hiertegen bezwaar maken of vragen je gegevens te corrigeren of te wissen .

Als je klant bij ons wordt, maar ook als je klant bij ons bent, dan raadplegen we deze registers. Niet alle bankmedewerkers raadplegen de gegevens in deze registers zelf. Doet een bankmedewerker een toets in het IVR of EVR? Dan ziet de toetser alleen dat er iets in het register staat, maar niet waarom iemand is opgenomen in het IVR of het EVR. Bij zo’n aanduiding dat er iets in het register staat moet de toetser altijd zijn veiligheidsafdeling benaderen voor advies. Als dat nodig is bij het EVR, overlegt de veiligheidsafdeling van Rabobank met een veiligheidsafdeling van een andere deelnemer aan het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI) over de aard van de registratie.

De veiligheidsafdeling van Rabobank beoordeelt of de klant een product mag hebben of dienst mag gebruiken op basis van de informatie die zij in haar eigen administratie of het Incidentenregister heeft. De veiligheidsafdeling van Rabobank kan informatie, zoals opgenomen in het Incidentenregister, delen met andere financiële instellingen. Deze veiligheidsafdeling kan ook informatie ontvangen van een veiligheidsafdeling van een andere financiële instelling. Dat doen we alleen als dat mag op basis van het PIFI.

We ontvangen ook van overheden lijsten (bijvoorbeeld sanctielijsten) van personen die we moeten vastleggen in onze waarschuwingsregisters. Met deze personen mogen financiële instellingen geen zaken doen of deze personen vragen extra aandacht van de financiële sector.

Openbare bronnen

We raadplegen bronnen zoals openbare registers, kranten, internet en openbare profielen van jouw sociale media om fraude te voorkomen en de bank te beschermen. Ook kunnen we – om fraude en witwassen te voorkomen – al dan niet geautomatiseerd informatie van publieke websites raadplegen en analyseren. Wij kunnen informatie opzoeken in openbare bronnen zoals registers, kranten, social media en internet. Denk bijvoorbeeld aan informatie op Facebook, LinkedIn of informatie die wij vinden via zoekmachines. Dit doen wij dan bijvoorbeeld om beveiligingsredenen. Bijvoorbeeld om te voldoen aan de regels tegen witwassen en terrorismefinanciering.

Fraude, terrorismefinanciering en witwassen

Om fraude, terrorismefinanciering en witwassen tegen te gaan en om jou en ons te beschermen, maken we analyses. Zo kunnen we een profiel maken van jouw gebruikelijke (betaal)gedrag om fraude, witwassen of misbruik met betaalpassen en creditcards te verminderen. Wijkt het gedrag af van je gebruikelijke betaalgedrag of zijn er andere aanwijzingen voor bijvoorbeeld fraude? Dan kan dit reden zijn om betalingen volledig automatisch te blokkeren of op te schorten. Of om de betaalrekening te blokkeren. Als we dit gedaan hebben, nemen we zo snel mogelijk contact met je op.

We maken soms ook gebruik van gegevens die je niet in het kader van fraudebestrijding aan ons hebt verstrekt. Bijvoorbeeld het transactieverloop op je rekening. Of de kenmerken van het apparaat dat je gebruikt om online te bankieren. De Nederlandsche Bank verlangt ook van ons dat we allerlei gegevens gebruiken om witwassen en terrorismefinanciering tegen te gaan.

Voor het tegengaan van fraude, kan een IBAN Naam Check uitgevoerd worden. Hiermee wordt gecontroleerd of het nummer dat je hebt ingevuld bij sommige betalingen via Rabo Online Bankieren overeenkomt met de bij ons bekende naam. Is dat niet het geval, dan ontvang je van ons hierover een melding. Jij bepaalt vervolgens of je de betaalopdracht toch geeft of aanpast. Deze IBAN Naam Check kan ook uitgevoerd worden voor andere partijen in verband met het voorkomen, ontdekken en bestrijden van misbruik van het betalingsverkeer. Deze andere partijen kunnen ook in het buitenland gevestigd zijn.

Bij het bestrijden van cybercrime en hacking, geven we gegevens van jou door aan andere organisaties die zich bezighouden met de bestrijding van cybercrime. Bijvoorbeeld aan bedrijven die ons helpen om zogenaamde DDOS-aanvallen tegen te gaan. Dit doen we als we zien dat jouw veiligheid of die van de financiële sector mogelijk in gevaar is. We doen dit alleen als we met deze andere organisaties afspraken hebben gemaakt over zorgvuldig gebruik van je gegevens.

We maken opnamen en kunnen deze vastleggen, bijvoorbeeld van telefoongesprekken, e-mailverkeer, camera’s en chatsessies. We doen dit onder andere in het kader van fraudeonderzoek. Zo maken we camerabeelden om fraude met betaalpassen en creditcards op te sporen. En om fraude met betaalpassen en creditcards tegen te gaan.

d. Ontwikkeling en verbetering van producten en diensten

We verbeteren onze producten en diensten voortdurend. Dit doen we voor onszelf, onze klanten en andere partijen.

e. Relatiebeheer, promotie- en marketingdoeleinden

Wil je niet dat we je gegevens gebruiken voor ‘direct marketing’ via post, mail, telefoon, de Rabo App of internetbankieren? Ga dan naar rabobank.nl/privacy/je-rechten.

Onder ‘Recht op bezwaar tegen direct marketing’ lees je hoe je je kunt afmelden.

f. Overeenkomsten met leveranciers en andere partijen waar we mee samenwerken aangaan en uitvoeren

Als je voor je werk contact hebt met ons, kunnen we jouw persoonsgegevens verwerken. Bijvoorbeeld om vast te stellen of je jouw bedrijf mag vertegenwoordigen. Of om je toegang te geven tot onze kantoren, onze online diensten of applicaties. Als dat nodig is, raadplegen we incidentenregisters en waarschuwingssystemen. Dat doen we voorafgaand aan en tijdens de overeenkomst. Dit wordt ‘screening’ genoemd. We kunnen je persoonsgegevens ook verwerken om onze zakelijke relaties met je te beheren. Bijvoorbeeld als we je uitnodigen voor een bijeenkomst. Of als we je je mening vragen over onze producten en diensten.

g. Wettelijke verplichtingen nakomen

Wetgeving

Op basis van (internationale) wet- en regelgeving moeten we veel gegevens over jou verzamelen, analyseren en soms ook doorgeven aan (Europese) overheidsinstanties. We moeten ons houden aan wetgeving om financiële producten en diensten aan te mogen bieden, zoals de Wet op het financieel toezicht. We verwerken persoonsgegevens ook om invulling te geven aan de zorgplicht. Heb je een lening waarvoor je enige tijd een betalingsachterstand of restschuld bij ons hebt? Dan kunnen we dit doorgeven aan het BKR.

We moeten ons daarnaast houden aan wetgeving om fraude, witwassen en terrorisme tegen te gaan, zoals de Wet ter voorkoming van witwassen en financieren van terrorisme. Op basis van deze wet stellen we bijvoorbeeld vast wie de uiteindelijke belanghebbende(n) is van een organisatie waar we een relatie mee hebben. Dit doen we door klantonderzoek te doen. Ook doen we onderzoek als je vermogen hebt. En als er een ongebruikelijke transactie op jouw rekening plaatsvindt. Een ongebruikelijke transactie moeten we doorgeven aan de bevoegde opsporingsinstantie. We kunnen hierbij samenwerken met andere banken.

We zijn verplicht om bij de acceptatie van zakelijke klanten de uiteindelijk belanghebbende van een organisatie te controleren. Dit doen we met het door de Kamer van Koophandel bijgehouden UBO-register, als dit beschikbaar is. Klopt de informatie die we hebben niet met de gegevens die zijn vastgelegd in het UBO-register? Dan moeten we de verschillen melden aan de Kamer van Koophandel.

De Belastingdienst, de politie en het Openbaar Ministerie, maar bijvoorbeeld ook inlichtingendiensten, kunnen gegevens bij ons opvragen. We hebben dan de wettelijke verplichting mee te werken aan onderzoeken en gegevens over jou door te geven. Ook kunnen we samenwerkingsverbanden sluiten met bijvoorbeeld de politie en het Openbaar Ministerie om (grootschalige) fraude, witwassen en terrorismefinanciering tegen te gaan.

Risicomodellen

Europese regels verplichten ons risicomodellen te maken als je een lening of krediet aanvraagt of hebt gekregen. Hiermee bepalen we welke risico’s we lopen en hoe groot de buffer is die we moeten aanhouden. Daarvoor verwerken we binnen de Rabobank Groep jouw persoonsgegevens.

We zijn wettelijk verplicht om deze (risico)modellen te gebruiken voordat we je een lening of krediet aanbieden en als jij iets wil wijzigen in je lening of krediet. En gedurende de looptijd van een lening of krediet gebruiken we deze (risico)modellen. Voor het maken van deze modellen maken we onder andere gebruik van transactiegegevens van je betaalrekening of rekening-courant. Om bijvoorbeeld samen met jou vast te stellen of je de lening (na jouw pensioen ook nog) kunt betalen. We gebruiken deze modellen onder meer om te voorkomen dat je jouw financiering niet of niet op tijd kunt terugbetalen. We gebruiken ze ook bij het vaststellen van de prijs van een zakelijke financiering. Hierbij kunnen we gebruik maken van profielen. En van technieken om besluiten (bijna) volledig geautomatiseerd te nemen.

Deze (risico)modellen voorspellen ook de kans dat je een betalingsachterstand krijgt. Hierdoor kunnen we, bijvoorbeeld in overleg met jou, mogelijke betalingsproblemen voorkomen of sneller aanpakken. We verwerken hiervoor dan jouw persoonsgegevens. Dit doen we omdat we zo de overeenkomst met jou uit te voeren en omdat we dit wettelijk verplicht zijn. Maar we doen dit ook omdat we hierbij een ‘gerechtvaardigd belang’ hebben.

Gegevens verstrekken aan de overheid

Wet- en regelgeving kan ons er ook toe verplichten om (geanalyseerde) gegevens over jou – al dan niet geautomatiseerd - aan een overheidsinstelling, een belastingautoriteit of aan een toezichthouder binnen of buiten Nederland door te geven. Bijvoorbeeld aan de Autoriteit Financiële Markten, de Europese Centrale Bank of De Nederlandsche Bank. Zo moeten we via het verwijzingsportaal bankgegevens bijvoorbeeld gegevens verstrekken aan onder meer opsporingsautoriteiten en de Belastingdienst. Ook moeten we gegevens delen met het Uitvoeringsinstituut Werknemersverzekeringen (het UWV).

We moeten soms gegevens van je verstrekken aan de Nederlandse of een buitenlandse belastingautoriteit, omdat we moeten voldoen aan wettelijke verplichtingen en verdragen. Zo kan de Belastingdienst in het kader van een betalingsvordering gegevens bij ons opvragen. Of in het kader van FATCA of de Common Reporting Standards. FATCA en de Common Reporting Standards (CRS) gaan over informatie-uitwisseling tussen belastingdiensten van verschillende landen.

Als een rekeninghouder begunstigde is van 26 of meer internationale betalingen per kwartaal, dan geven we de gegevens van diegene door aan de Nederlandse belastingdienst. Door de verschillende belastingdiensten wordt de informatie weer samengevoegd in een Europese database, die wordt beheerd door de Europese Commissie.

Maken en vastleggen van opnamen

We maken opnamen en kunnen deze vastleggen. Bijvoorbeeld van telefoongesprekken, e-mailverkeer en chatsessies of camerabeelden bij kantoren en geldautomaten. Dit doen we om aan wettelijke verplichtingen te voldoen, bijvoorbeeld in het kader van de beleggingsdienstverlening.

h. Voor de uitvoering van bedrijfsprocessen, managementrapportages en intern management

Administratie en gegevensbeheer

We willen onze administratie en ons gegevensbeheer op een efficiënte manier uitvoeren en onze datakwaliteit verbeteren. Voor banken gelden wettelijke verplichtingen om de administratie en het gegevensbeheer goed te organiseren. Ook kunnen gegevens zo voor meer toepassingen gebruikt worden, zonder verschillen tussen de gegevens in verschillende toepassingen. We vergelijken en combineren klantgegevens uit verschillende bronnen om een completer beeld van jou te krijgen. Dit kan ook gaan om gegevens van jou bij andere onderdelen van de Rabobank Groep, als dat wettelijk toegestaan is. Door middel van deze zogenaamde “kennisgrafieken” (ook wel bekend onder de Engelse term “knowledge graphs”) krijgen we een beter inzicht in de relatie tussen gegevens. We kunnen deze inzichten gebruiken bij het bestrijden van fraude en witwassen. Ook kunnen we deze inzichten gebruiken om onze producten en diensten te verbeteren. Of om efficiënter te werken.

Ken je klant

Als dienstverlener vinden we het belangrijk en is het noodzakelijk dat we een goed overzicht hebben van onze klantrelaties. Daar hoort ook bij dat we weten met wie je samenwerkt. Ook daarvoor verwerken we gegevens van jou, maar mogelijk ook van andere personen, bedrijven en organisaties met wie je zaken doet.

Vaststellen kredietrisico en duurzaamheidsrisico bij leningen en kredieten

Aan het geven van leningen en kredieten zit een kredietrisico. We moeten vaststellen wat dat risico is, zodat we kunnen vaststellen welke financiële buffers we moeten aanhouden. Daarvoor verwerken we bijvoorbeeld je lening-, krediet- en transactiegegevens. In de toekomst moeten we ook steeds meer de duurzaamheidsrisico’s gaan vaststellen.

Overdracht van vorderingen en contractsovernemingen

Soms dragen we vorderingen op jou over aan een ander. Bijvoorbeeld je hypothecaire lening. Bij zulke overdrachten worden persoonsgegevens verwerkt. Mogelijk moeten we voorafgaand aan zo’n overdracht jouw persoonsgegevens ter beschikking stellen aan een potentiële overnamekandidaat. Als de vorderingen overgedragen zijn, verwerkt ook die andere partij jouw persoonsgegevens. We spreken met zo’n andere partij af dat deze voldoet aan wet- en regelgeving over bescherming van persoonsgegevens. Dit geldt ook bij contractovername, fusie of splitsing.

Audits en onderzoeken

We gebruiken je gegevens ook voor onderzoek. Dit kan zowel intern onderzoek zijn, als onderzoek door een ander bedrijf dat door ons is ingeschakeld. Bijvoorbeeld om te onderzoeken of nieuwe regels goed zijn ingevoerd, om te bepalen of onze klanten schade hebben geleden of om risico’s in kaart te brengen.

Rapportages en onze eigen bedrijfsprocessen

We gebruiken gegevens ook om onze bedrijfsprocessen in kaart te brengen en te verbeteren. En om managementrapportages te maken, zodat we je beter kunnen helpen. Of om onze processen efficiënter te kunnen maken. Ook moeten wij de door ons gebruikte modellen laten valideren. We maken ook rapportages om extern te kunnen berichten over de duurzaamheid van onze klanten. Als dat kan, pseudonimiseren we eerst jouw gegevens.

We maken ook opnamen en kunnen deze vastleggen. Bijvoorbeeld van telefoongesprekken, e-mailverkeer, videogesprekken en chatsessies. We doen dit onder andere voor kwaliteitsbewaking en om onze medewerkers op te leiden en te coachen. Bijvoorbeeld door ze mee te laten kijken bij collega’s.

i. Voor archivering, wetenschappelijk of historisch onderzoek of voor statistische doelen

We mogen je persoonsgegevens ook verwerken als dit nodig is voor archivering in het algemeen belang, voor wetenschappelijk of historisch onderzoek. En voor statistisch onderzoek of andere statistische doelen. Wij doen ook onderzoek om onze positie in de markt te bepalen en te verbeteren. Dit wordt onder meer gedaan door onze eigen researchafdeling. Deze afdeling heet ‘Rabo Research’. Deze afdeling meet bijvoorbeeld hoe de economie zich ontwikkelt. Daarover wordt ook gepubliceerd.

Soms werken we samen met onderzoeksinstituten en universiteiten. In al deze gevallen zullen we, als dat mogelijk is, jouw gegevens eerst pseudonimiseren. De gegevens zijn dan niet naar jou te herleiden. En ook maken we goede afspraken met deze onderzoeksinstituten en universiteiten. Bijvoorbeeld over waarvoor de gegevens gebruikt mogen worden.

We bewaren je gegevens niet langer dan nodig is voor de doelen waarvoor we ze hebben verzameld of de doelen waarvoor we deze hergebruiken. Dit is in de meeste gevallen 7 jaar na het einde van de overeenkomst of je relatie met Rabobank. Soms is deze termijn langer. Bijvoorbeeld als een toezichthouder dat van ons vraagt. Of als de politie of het Openbaar Ministerie ons vraagt om gegevens langer te bewaren. Soms gebruiken we kortere bewaartermijnen. Gegevens van een betaalopdracht bewaren we bijvoorbeeld meestal 2 jaar. Gespreksopnamen bewaren we meestal 6 maanden en camera-opnamen bewaren we meestal 4 weken. Maar deze moeten we soms langer bewaren. Bijvoorbeeld in het geval van beleggingsdienstverlening

We kunnen gegevens in bijzondere situaties langer bewaren. Bijvoorbeeld als justitie camerabeelden opvraagt, dan bewaren we de beelden langer dan 4 weken. Of als je een klacht hebt ingediend waardoor het nodig is om de onderliggende gegevens langer te bewaren.

Als we de gegevens niet langer nodig hebben voor de doelen zoals omschreven in hoofdstuk 6 kunnen we de gegevens wel nog bewaren voor archivering. De gegevens kunnen dan gebruikt worden bij juridische procedures. En voor historisch of wetenschappelijk onderzoek of statistische doeleinden.

Bijzondere persoonsgegevens, strafrechtelijke gegevens en het BSN zijn gevoelige gegevens. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over je gezondheid, biometrische gegevens, etnische gegevens of gegevens betreffende ras. Voor sommige diensten kun je gebruik maken van je vingerafdruk, stemherkenning of een gezichtsscan. Dit zijn biometrische gegevens die worden gebruikt voor identificatie en bij controles tussendoor.

Bijzondere persoonsgegevens verwerken we als dat wettelijk toegestaan is, omdat je deze gegevens zelf openbaar hebt gemaakt, of met jouw toestemming. Bijvoorbeeld als je ons vraagt vast te leggen dat je blind bent, omdat je dan brailleafschriften wilt ontvangen. We vragen dan jouw toestemming om deze gegevens vast te leggen.

In het kader van het betalingsverkeer kunnen bijzondere persoonsgegevens inzichtelijk worden. Bijvoorbeeld als je geld overmaakt naar een politieke partij is dat zichtbaar in de rekeninginformatie. Deze rekeninginformatie moeten we verplicht geven. En is soms ook zichtbaar voor andere partijen. Bijvoorbeeld een rekeninginformatiedienstverlener, als je die hebt ingeschakeld.

Geef je ons toestemming om bijzondere persoonsgegevens over jou vast te leggen? Of maak je deze gegevens zelf openbaar? We verwerken deze gegevens alleen als dit noodzakelijk is voor onze dienstverlening. Je kunt de toestemming voor vastlegging altijd intrekken. Neem hiervoor contact met ons op.

Gegevens van kinderen onder de 16 jaar verwerken we als zij een product van ons afnemen. En ook als de gegevens in het kader van een product aan ons verstrekt worden. Als dat nodig is, vragen we toestemming van de wettelijk vertegenwoordiger om gegevens van kinderen te verwerken. Bij een betaling naar een Rabobankrekening vanaf een rekening van een minderjarige bij een andere bank, worden ook gegevens van die minderjarige verwerkt in het kader van het betalingsverkeer.

We nemen deel aan incidentenregisters en waarschuwingssystemen van de financiële sector en hiervoor verwerken wij strafrechtelijke gegevens. . Dat doen we om onze belangen en die van financiële instellingen en hun klanten te beschermen. Bijvoorbeeld door fraude op te sporen en gevallen van fraude vast te leggen.

Je BSN gebruiken we alleen als dat wettelijk is toegestaan. Bijvoorbeeld om je spaartegoed of de hoogte van je lening door te geven aan de Belastingdienst. En ook bij de uitvoering van het DepositoGarantieStelsel.

Automatische besluiten zijn beslissingen over jou die genomen worden door computers in plaats van mensen. Heeft een beslissing nadelige gevolgen voor je? Dan mogen we geen automatisch besluit over je nemen. Behalve als dit in het kader van een overeenkomst van de bank noodzakelijk is, als de wet dit toestaat of als je zelf toestemming geeft. In die situaties heb je recht op overleg met iemand van de bank. En je hebt het recht om bezwaar te maken. Ook kun je ons vragen om het besluit niet meer door computers te laten nemen.

In de volgende situaties maken we soms gebruik van deze volledige automatische besluiten die voor jou gevolgen hebben. Dit kunnen ook negatieve gevolgen zijn:

Rabobank gebruikt kunstmatige intelligentie. Bijvoorbeeld om verslagen van klantgesprekken te maken. Er wordt ook gebruik gemaakt van kunstmatige intelligentie om medewerkers te ondersteunen tijdens gesprekken. Medewerkers krijgen bijvoorbeeld voorstellen over hoe zij vragen van klanten kunnen beantwoorden. Kunstmatige intelligentie kan ook gebruikt worden om documenten in te delen. Zo kan met behulp van kunstmatige intelligentie een salarisstrook herkend worden. En kan ook de inhoud ‘gelezen’ worden met behulp van kunstmatige intelligentie. Ook bij het maken en toepassen van modellen, zoals risicomodellen, wordt gebruik gemaakt van kunstmatige intelligentie. En bij het doen van klantonderzoek.

Binnen Rabobank hebben personen alleen toegang tot je persoonsgegevens wanneer ze deze vanwege hun functie nodig hebben. Al deze personen hebben bovendien een geheimhoudingsplicht.

We gebruiken soms gegevens voor een ander doel dan waarvoor we ze gekregen hebben. Dat mag wanneer er tussen beide doelen een nauwe samenhang bestaat.

a. Binnen de Rabobank Groep

Je persoonsgegevens kunnen worden uitgewisseld tussen onderdelen van de Rabobank Groep. Bijvoorbeeld omdat je dat van ons vraagt. Of omdat je ook een product afneemt bij een ander onderdeel van Rabobank. Gegevens waarmee je identiteit is vastgesteld, kunnen bijvoorbeeld ook gebruikt worden door een ander onderdeel van Rabobank waarmee je zaken wilt gaan doen. Ook kunnen we je gegevens uitwisselen in het kader van fraudebestrijding, ter voorkoming van witwassen, risicomanagement, interne administratie, voor het verbeteren van de dienstverlening aan jou, en in het kader van de zorgplicht.

Onderdelen van de Rabobank Groep bevinden zich soms in landen buiten de Europese Unie waar minder strenge privacyregels gelden. Delen we je gegevens met onderdelen van de Rabobank Groep, waarin Rabobank een meerderheidsbelang heeft? Dan gelden de zogenaamde bindende bedrijfsregels van Rabobank. Deze worden ook wel de ‘Binding Corporate Rules’ genoemd. Meer informatie hierover staat op onze website.

b. Buiten de Rabobank Groep

Jouw gegevens worden ook doorgegeven aan andere partijen buiten Rabobank als we daar wettelijk toe verplicht zijn. Maar ook omdat we een overeenkomst met jou uitvoeren of omdat we een andere dienstverlener inzetten.

Geven we gegevens door aan een andere partij die zelf de verantwoordelijk is voor de verwerking van persoonsgegevens? Dan staat zo’n partij zelf onder toezicht van hun eigen toezichthouder op het gebied van de gegevensbescherming. Dit kan de Nederlandse toezichthouder zijn, maar ook een buitenlandse.

Bevoegde (publieke) instanties

We geven je persoonsgegevens aan derden door als we daartoe verplicht zijn. Bijvoorbeeld aan (Europese) toezichthouders, zoals de AFM, Autoriteit Persoonsgegevens, DNB, de ECB, de ACM of de Belastingdienst.

In het kader van het Tuchtrecht Banken moeten we soms persoonsgegevens verstrekken aan de Stichting Tuchtrecht Banken. Ook als je een klacht indient bij het Kifid, een rechter, of de Autoriteit Persoonsgegevens kan het nodig zijn je persoonsgegevens te verstrekken. Bijvoorbeeld om verweer te voeren naar aanleiding van je klacht. Dit geldt ook als je zelf rechtstreeks bezwaar maakt bij het BKR. Soms bepaalt de rechter dat we bepaalde persoonsgegevens van jou met een ander moeten delen. De wet kan ook bepalen dat we inzage moeten geven in gegevens van jou aan iemand anders, als diegene daarom vraagt. Bijvoorbeeld op grond van artikel 194 Wetboek van Burgerlijke Rechtsvordering. Bijvoorbeeld aan een andere persoon, een ander bedrijf of een andere organisatie. Uiteraard moet dan wel voldaan zijn aan de eisen die de wet hieraan stelt.

De Belastingdienst, de politie en het Openbaar Ministerie, maar bijvoorbeeld ook inlichtingendiensten en uitkeringsinstellingen (het UWV), kunnen gegevens bij ons opvragen op basis van een wettelijke taak of bevoegdheid. We moeten dan verplicht meewerken aan onderzoeken en/of gegevens over jou doorgeven. Soms geven we ook gegevens door aan Veilig Thuis.

Als we je een krediet of een lening geven, moeten we in bepaalde gevallen ook gegevens doorgeven aan het BKR. Bijvoorbeeld hoe groot het krediet of de lening is. Of als je niet op tijd betaalt.

Andere dienstverleners

Wij geven ook gegevens door als dat nodig is om afspraken met jou na te komen. Bijvoorbeeld in het kader van het betalingsverkeer zijn er andere bedrijven en organisaties betrokken – zoals bijvoorbeeld Swift, Mastercard en Visa, iDEAL en later ook EPI, het bedrijf achter Wero (de Europese opvolger van iDEAL) – om betalingen mogelijk te maken. Ook kan de ontvanger van de betaling, bijvoorbeeld een webwinkel, een betaaldienstverlener ingeschakeld hebben.

Bij sommige internationale overboekingen is niet alleen de bank van de begunstigde van de betaling betrokken, maar vaak ook één of meer correspondentbanken. Al deze banken verwerken dan je persoonsgegevens. Doe je een betaling naar een rekening bij een andere bank? Of doe je een betaling via een andere bank binnen of buiten Europa? Dan kan zo’n bank ons vragen om gegevens van jou door te geven. Zo kan deze andere bank aan haar eigen (wettelijke) verplichtingen voldoen. In dat geval kunnen we – naast de gebruikelijke gegevens die we verstrekken bij de betaling – ook je geboortedatum en geboorteplaats toesturen. Ook kunnen we gegevens aan andere (financiële) dienstverleners verstrekken als dat nodig is om afspraken die zijn gemaakt tussen Rabobank en deze dienstverleners na te komen. Bijvoorbeeld als een betaling verder onderzocht moet worden.

Je persoonsgegevens worden bij betalingen naar of vanuit landen buiten de Europese Unie soms doorgegeven aan andere partijen in landen die niet hetzelfde beschermingsniveau van persoonsgegevens hebben als de Europese Unie. Worden je persoonsgegevens verwerkt in een land met een ander beschermingsniveau? Dan kan dit bijvoorbeeld tot gevolg hebben dat je persoonsgegevens worden gebruikt bij onderzoek door bevoegde nationale autoriteiten van de landen waar de gegevens zich bevinden. Of dat je persoonsgegevens worden gebruikt voor andere doeleinden, die in Nederland niet toegestaan zijn.

We verstrekken je gegevens ook aan andere partijen die we gebruiken in het kader van onze dienstverlening of bij onze bedrijfsvoering. Bijvoorbeeld deurwaarders, accountants, incassobureaus, administratiekantoren, consultants, mediators en advocaten.

Heb je een wettelijke vertegenwoordiger? Zoals een meerderjarigenbewindvoerder of een curator? Dan kunnen wij je gegevens aan je bewindvoerder of curator verstrekken. Ook kan je bewindvoerder of curator jouw gegevens meestal raadplegen via Rabo Online Bankieren en de Rabo App.

Maak je gebruik van een digitale pas? Bijvoorbeeld via Apple Pay, Google Pay of Garmin Pay? Of laat je de gegevens van je betaalpas of creditcard online achter bij een winkel? Dan worden er ook gegevens verwerkt door de aanbieder van de wallet. Raadpleeg de privacyverklaring van dat andere bedrijf of die andere organisatie als je wilt weten hoe zij omgaan met jouw persoonsgegevens.

Soms kun je zelf je gegevens doorgeven of door laten geven aan een andere partij. Bijvoorbeeld:

Tussenpersonen

Als we optreden als tussenpersoon wisselen we persoonsgegevens uit. Dat doen we bijvoorbeeld met een verzekeraar waarbij je via ons een verzekering hebt afgesloten. We kunnen van deze verzekeraar ook gegevens van jou ontvangen. We treden ook op als tussenpersoon voor FREO, een kredietverlener.

Als je via een tussenpersoon een hypotheek bij ons afsluit, ontvangen we gegevens over jou via je tussenpersoon. Ook via je tussenpersoon kan je gebruik maken van een datadeelapp en jouw informatie op die manier met ons delen. Voorbeelden van datadeelapps zijn Ockto en Datakeeper. We delen dan gegevens van jou met de tussenpersoon. Bij de start van de overeenkomst maar ook gedurende de looptijd kunnen we signalen delen met de tussenpersoon. We kunnen de tussenpersoon bijvoorbeeld laten weten dat het einde van de rentevastperiode van de hypotheek bereikt wordt.

Doorverwijzen naar andere partijen

Als je dat goed vindt, kunnen wij jouw gegevens delen met andere partijen. Bijvoorbeeld met een aanbieder van niet-financiële diensten van wie de producten getoond worden in de Rabo App. Of met een schuldhulpverlener.

Zakelijke partners en onze dienstverleners

Soms schakelen we andere bedrijven organisaties in. Deze andere bedrijven verwerken als gevolg daarvan in onze opdracht persoonsgegevens. Zij handelen dan als verwerker voor Rabobank.

We schakelen andere bedrijven en organisaties alleen in als we deze partijen voldoende betrouwbaar vinden. We kunnen alleen andere bedrijven en organisaties inschakelen als dit past bij het doel waarvoor we jouw persoonsgegevens verwerkten. Ze moeten daarnaast ook:

Zo schakelen we bijvoorbeeld een drukkerij in die voor ons een klantmailing verzorgt. Deze drukt dan jouw naam en adresgegevens op enveloppen. Of partijen die namens ons advertenties plaatsen in apps en op websites. Of partijen die namens ons een marktonderzoek doen of gegevens voor ons opslaan.

Deze derde partijen kunnen ook een leverancier van IT zijn. Ook kunnen we jouw gegevens via een derde partij online (in een cloud) opslaan.

Wij kunnen ook andere partijen als verwerker inschakelen om beter aan onze eigen wettelijke verplichtingen te voldoen. Zo wordt door Rabobank een verwerker ingeschakeld om een betere inschatting te kunnen maken van het aantal woningen dat in jouw bezit is. Wij moeten dit weten in het kader van de Wet ter voorkoming van witwassen en financieren van terrorisme.

Doorgifte aan landen buiten de Europese Unie (EU)/Europese Economische Ruimte (EER)

Als we jouw gegevens doorgeven aan andere partijen buiten de Europese Unie (EU)/Europees Economische Ruimte (EER), nemen we extra maatregelen om je gegevens te beschermen. Niet in alle landen buiten de EU gelden dezelfde regels om jouw gegevens te beschermen zoals dat binnen Europa verplicht is. Gebruiken we derde partijen buiten de EU/EER? Dan beoordelen we zo goed mogelijk of dat veilig genoeg kan. Voor sommige landen heeft de Europese Commissie bepaald dat dat er sprake is van een ‘adequaat’ niveau van bescherming van persoonsgegevens. Dit geldt bijvoorbeeld voor het Verenigd Koninkrijk. Voor andere landen geldt dat we de door de Europese Commissie goedgekeurde contractuele afspraken gebruiken.

Daarnaast treffen we als dat nodig is aanvullende (veiligheids)maatregelen.

a. Recht op informatie

Met dit privacy statement informeren we je over wat we doen met jouw gegevens. Soms moeten we meer informatie geven. Bijvoorbeeld als we je gegevens vastleggen in onze incidentenregisters. Dan informeren we je, als dat is toegestaan, apart door middel van een brief, een bericht in je berichteninbox of op een andere door ons gekozen wijze.

b. Recht op inzage en rectificatie

Je kunt ons vragen of en welke persoonsgegevens we van jou verwerken. Is dat het geval, dan kunnen we je inzage geven in de persoonsgegevens die we van je verwerken of hebben verwerkt. Of je bijvoorbeeld de mogelijkheid geven om een gesprek terug te luisteren. Vind je dat jouw persoonsgegevens onjuist of onvolledig zijn verwerkt? Dan kun je ons vragen om de gegevens te wijzigen of aan te vullen (rectificatie).

c. Recht op het wissen van persoonsgegevens

Je kunt ons vragen om gegevens die we van jou hebben vastgelegd te wissen. We hoeven dat niet altijd te doen. En soms mogen we dit zelfs niet doen. Bijvoorbeeld als wij je gegevens vanwege wettelijke verplichtingen nog moeten bewaren.

d. Recht op beperking

Je kunt ons vragen de persoonsgegevens die we van jou verwerken tijdelijk te beperken. Dat betekent dat we tijdelijk minder gegevens van je verwerken.

e. Recht op dataportabiliteit (overdraagbaarheid van gegevens

Je hebt het recht ons te vragen om gegevens die je in het kader van een contract met ons of met jouw toestemming aan ons hebt verstrekt in een gestructureerde en machine-leesbare vorm te verkrijgen of over te dragen aan een andere partij. Vraag je om gegevens rechtstreeks over te dragen aan een andere partij?

Dat kan alleen als dat technisch mogelijk is. Sommige gegevens die je aan ons hebt verstrekt, kun je zelf verkrijgen. Je transactiegegevens kun je bijvoorbeeld via onze online diensten raadplegen.

f. Recht van bezwaar tegen verwerking van je gegevens

Verwerken we jouw gegevens omdat we daar een gerechtvaardigd belang bij hebben? Dan kun je daar bezwaar tegen maken, waarbij je aangeeft waarom je bezwaar maakt. Daarna maken we een nieuwe afweging om te bepalen of jouw gegevens inderdaad niet meer voor dat doel gebruikt mogen worden. We staken de verwerking als jouw belang zwaarder weegt dan ons belang. We laten je onze beslissing weten en op basis van welke argumenten we die genomen hebben.

g. Recht van bezwaar tegen direct marketing

Je hebt het recht ons te vragen jouw gegevens niet langer te gebruiken voor direct marketing. Dit recht heb je ook als je alleen bezwaar hebt tegen benadering via een bepaald kanaal. Bijvoorbeeld als je wel via e-mail aanbiedingen wilt blijven ontvangen, maar niet meer telefonisch benaderd wilt worden. We zorgen er dan voor dat je niet langer benaderd wordt via dat kanaal.

Op rabobank.nl/privacy/je-rechten staat per recht beschreven hoe je hiervan gebruik kunt maken. Soms kun je al direct gebruik maken van je rechten. Zo regel je het recht van bezwaar tegen direct marketing zelf in de Rabo App of Rabo Online Bankieren. Als dit niet mogelijk is, kun je een verzoek indienen via het online formulier.

Heb je een verzoek aan ons gedaan? Dan beantwoorden we je verzoek binnen 1 maand nadat we jouw verzoek hebben ontvangen.

Soms vragen we je jouw verzoek verder uit te leggen. Bijvoorbeeld als je ons vraagt om inzage in gespreksopnamen. We kunnen je dan vragen naar zoektermen, zoals tijdstip en nummer waarmee gebeld is.

In zeer specifieke gevallen kunnen we de termijn waarbinnen we reageren verlengen tot maximaal 3 maanden. We houden je dan op de hoogte over de voortgang van je verzoek.

We kunnen je vragen om naar de bank te komen om jezelf te identificeren als je bij ons een verzoek doet. Bijvoorbeeld om inzage en dataportabiliteit. We willen namelijk zeker weten dat we jouw gegevens aan de juiste persoon verstrekken. Twijfelen we of we de gegevens veilig aan je kunnen sturen? Dan kunnen we je vragen naar de bank te komen om jouw gegevens op te halen.

Soms kunnen we jouw verzoek niet behandelen. Bijvoorbeeld:

Dan laten we je dat ook weten, als dat toegestaan is.

Passen we jouw gegevens aan? Of wissen we je gegevens op jouw verzoek? Dan laten we dit weten.

Heb je een vraag of klacht over de verwerking van persoonsgegevens? Neem dan contact op met de Rabobank. Je kunt ook online een klacht indienen.

Binnen de bank hebben we een Functionaris Gegevensbescherming. Deze houdt toezicht op de toepassing en naleving van de Algemene Verordening Gegevensbescherming (AVG). Ben je ontevreden over de manier waarop je vraag of klacht door ons is afgehandeld? Of wil je om een andere reden contact opnemen met de Functionaris Gegevensbescherming? Dan kun je contact opnemen met deze functionaris via dpo@rabobank.nl.

Je kunt ook via post contact opnemen door een brief te schrijven naar het Global Privacy Office, ter attentie van de Functionaris Gegevensbescherming, postbus 17100, 3500 HG Utrecht. Uiteraard kun je je vraag of klacht over de verwerking van persoonsgegevens door Rabobank ook indienen bij de Autoriteit Persoonsgegevens.

Ja, ons privacy statement kan wijzigen. Dit gebeurt af en toe. Het actuele privacy statement geldt voor alle klanten. De meest actuele versie van ons privacy statement vind je steeds op deze pagina.