Frauderegistraties bij banken en verzekeraars (EVR, IVR, CIS en Incidentenregister)

Een frauderegistratie bij een bank of verzekeraar kan gevolgen hebben voor uw bankrekening, hypotheek of verzekering. EVR, IVR, CIS en het Incidentenregister zijn niet hetzelfde. In dit juridische overzicht leest u welke voorwaarden gelden, wie gegevens kan raadplegen en hoe u inzage, correctie, verwijdering of verkorting vraagt. Een gewone registratie in de CIS-databank is niet automatisch een frauderegistratie.

Van registratie naar beoordeling en bezwaar

Twijfelt u welk register wordt bedoeld? Gebruik eerst onze praktische keuzehulp om het register in uw brief te herkennen. In dit overzicht vindt u daarna de juridische voorwaarden en de mogelijke vervolgstappen.

• EVR: een externe verwijzing die gevolgen kan hebben bij andere financiële instellingen. Lees over bezwaar tegen een EVR-registratie en verkorting van de duur.
  • IVR: een interne verwijzing bij een bank. Bekijk inzage en bezwaar bij het interne verwijzingsregister.
• CIS: een databank met verschillende verzekeringsregistraties; een claimmelding betekent niet automatisch fraude. Begin bij de soorten CIS-registraties en lees vervolgens over correctie of verwijdering van CIS-gegevens.
• Incidentenregister: vraag de registrerende instelling welk incident is vastgelegd, wie toegang heeft en of daarnaast een EVR-verwijzing bestaat. Beoordeel beide registraties afzonderlijk.

Geschreven door Onur Arslan, advocaat bij Arslan Advocaten. Onur Arslan heeft jarenlange ervaring met privaatrechtelijke geschillen, waaronder verzekeringsrechtelijke en BKR-gerelateerde geschillen. Laatst bijgewerkt: 17 september 2026.

De vier registers naast elkaar

Het IVR is een intern verwijzingsregister. Het bevat beperkte identificerende gegevens waarmee bevoegde medewerkers intern kunnen zien dat over een persoon of onderneming informatie bij de veiligheidsafdeling bekend is. Het is niet hetzelfde als het volledige incidentendossier. Vraag de bank welke onderdelen van de instelling of groep toegang hebben en op welke grondslag gegevens worden gedeeld. De NVB licht het verschil tussen IVR, EVR en de EVA-toets toe.

Welke protocolversie geldt? Het PIFI 2026 is met ingang van 1 april 2026 van kracht en verving het PIFI 2021. Voor de beoordeling van uw registratie is bepalend welke versie gold op het moment dat u werd geregistreerd. Vraag dat dus expliciet na: staat u sinds vóór 1 april 2026 geregistreerd, dan wordt getoetst aan het PIFI 2021.

Wie beheert het EVR?

Niet één partij. De verwijzingsgegevens worden ontsloten door een verwijzingsapplicatie, en die verschilt per sector:

• Verzekeraars: de applicatie wordt beheerd door de Stichting Centraal Informatie Systeem (CIS).
• Banken en overige deelnemers, zoals financieringsondernemingen, hypotheekverstrekkers en zorgverzekeraars: de applicatie wordt beheerd door de Stichting Bureau Krediet Registratie (BKR).

CIS en BKR zijn in die rol verwerker. De bank of verzekeraar die u registreerde is verwerkingsverantwoordelijke. Uw inzage-, correctie- of verwijderingsverzoek richt u dus tot die instelling, niet tot CIS of BKR.

Let op het onderscheid. Stichting CIS beheert de verwijzingsapplicatie van de verzekeraars, niet die van de banken. Het protocol wijst de verwijzingsapplicatie van de verzekeraars toe aan Stichting CIS en die van de overige deelnemers aan Stichting BKR. Naast deze twee bestaan er sectorspecifieke registers en gegevensuitwisselingen die buiten het PIFI vallen; staat u ergens geregistreerd waarvan de naam u niets zegt, vraag dan expliciet om welk systeem het gaat en wie de verwerkingsverantwoordelijke is.

Deelnemers zijn aangesloten via de NVB, het Verbond van Verzekeraars, de VFN, de SFH of Zorgverzekeraars Nederland.

Wat is de EVA, en waarom hoort u die term zo vaak?

De EVA (Externe Verwijzingsapplicatie) is geen apart register, maar het systeem waarmee financiële instellingen de registers bevragen. De Nederlandse Vereniging van Banken omschrijft het zo: “EVA is het computersysteem dat financiële instellingen gebruiken om te checken of iemand vóórkomt in het IVR en in het EVR.”

Dat verklaart waar u de term tegenkomt. Vraagt u een product aan bij een bank, dan doet de medewerker een EVA-toets: hij voert uw naam en geboortedatum in en krijgt terug of u wel of niet in het interne of het externe verwijzingsregister voorkomt. Wát er precies is gebeurd, ziet die medewerker niet; daarvoor moet de instelling navraag doen bij de bron.

Drie misverstanden die hierdoor ontstaan:

• “Ik heb een EVA-registratie.” Dat bestaat niet. U staat in het incidentenregister, het IVR of het EVR; de EVA is alleen de zoekingang. Vraag daarom altijd na in wélk register u staat, want dat bepaalt hoe ver de gevolgen reiken.
• “De EVA is van het BKR, dus ik moet bij het BKR zijn.” Het BKR beheert de applicatie voor banken en overige deelnemers en is in die rol verwerker. Uw verzoek richt u tot de instelling die u registreerde.
• “Een EVA-hit betekent dat ik van fraude word verdacht.” Een hit zegt alleen dat er een verwijzing is. Bij het IVR blijft die binnen die ene instelling; alleen het EVR werkt sectorbreed.

Het incidentenregister en het EVR vormen samen het Incidentenwaarschuwingssysteem Financiële Instellingen (IFI). De regels daarvoor staan in het PIFI en staan onder toezicht van de Autoriteit Persoonsgegevens.

Bron: Nederlandse Vereniging van Banken over de waarschuwingsregisters van banken.

Blijft een interne registratie echt binnen die ene instelling?

In de regel wel, maar niet absoluut. Het Incidentenregister is geen openbaar register en andere deelnemers kunnen er niet in kijken. Artikel 4.2 PIFI maakt gegevensuitwisseling echter onder voorwaarden mogelijk. Houd daarom drie situaties uit elkaar:

Binnen een concern kan een registratie bovendien breder doorwerken dan bij een enkele vestiging: verschillende merken of dochters kunnen tot dezelfde groep behoren. Vraag daarom altijd na welke rechtspersoon de verwerkingsverantwoordelijke is en of de gegevens binnen de groep zijn gedeeld.

Let op: de CIS-databank is iets anders dan het EVR

Dit onderscheid wordt het vaakst verward. Stichting CIS beheert namelijk twee verschillende dingen:

• De verwijzingsapplicatie voor het EVR amens de verzekeraars, onder het PIFI.
• De eigen CIS-databank, waarin verzekerings- en schadegegevens van verzekerden staan, bijvoorbeeld omdat u claims heeft ingediend. Dat is geen frauderegistratie: het gaat om gegevens die verzekeraars gebruiken bij risicobeoordeling en schadeafhandeling.

Staat u in de CIS-databank, dan betekent dat dus niet dat u van fraude wordt verdacht. Ook hier geldt dat alleen de betrokken verzekeraar de gegevens kan aanpassen; u kunt inzage vragen en om correctie verzoeken, waarbij een termijn geldt voor het indienen van het correctieformulier.

Wanneer mag u in het EVR?

Dit is het zwaarste register en het kent daarom de strengste eisen. Artikel 5.2.1 PIFI stelt drie cumulatieve voorwaarden:

1. Bedreiging. De gedragingen vormden, vormen of kunnen een bedreiging vormen voor de financiële belangen van cliënten, medewerkers of de instelling zelf, of voor de continuïteit en integriteit van de financiële sector.
2. Betrokkenheid staat in voldoende mate vast. Het protocol koppelt dit aan het aangiftebeleid: bij strafbare feiten wordt in principe aangifte of klachte gedaan. In de rechtspraak is dit nader ingevuld: een enkel vermoeden volstaat niet.
3. Proportionaliteit. Het belang van opname wordt afgewogen tegen de nadelige gevolgen voor u, met inbegrip van subsidiariteit: kan met een lichter middel worden volstaan, bijvoorbeeld alleen een interne registratie in het Incidentenregister?

Die laatste voorwaarde is precies waarom het onderscheid tussen de registers ertoe doet. Het protocol maakt uitdrukkelijk mogelijk dat gegevens wél in het Incidentenregister blijven staan terwijl de proportionaliteitsafweging opname in het EVR niet rechtvaardigt, of alleen voor een kortere duur.

Verwijdering werkt niet automatisch door. Het EVR is gekoppeld aan het Incidentenregister. Wordt u uit het EVR verwijderd, dan kunnen de gegevens in het Incidentenregister blijven staan. Alleen wanneer onvoldoende kan worden aangetoond dat u bij de gedragingen betrokken was, mag opname in het EVR niet plaatsvinden én moeten de gegevens ook uit het Incidentenregister worden verwijderd. Vraag dus altijd expliciet om verwijdering uit beide.

Duur

Voor het EVR geldt op grond van artikel 5.3.2 PIFI dat verwijzingsgegevens uiterlijk acht jaar na opname in het Incidentenregister worden verwijderd. De klok begint dus bij die opname en niet bij het incident zelf.

Over die acht jaar bestaat veel misverstand in beide richtingen. Het protocol gaat ervan uit dat, gelet op de aard van incidenten, een opnameduur van acht jaar in beginsel proportioneel is. Tegelijk moet de instelling per geval bezien of omstandigheden een kortere duur rechtvaardigen, en die afweging documenteren. Er bestaat dus geen algemene regel dat lichtere gevallen “standaard” naar vijf of zes jaar gaan.

Wat u doet, per register

Op een inzageverzoek moet in beginsel binnen een maand worden gereageerd, met een mogelijke verlenging van twee maanden bij een complex verzoek waarover u binnen de eerste maand bericht krijgt. In uitzonderingsgevallen, bijvoorbeeld bij lopende opsporing, kan inzage worden geweigerd; die afweging moet worden vastgelegd.

---

Kort: uw registratie opvragen

Wilt u de uitgebreide versie, met de zeven punten die u moet uitvragen, uitleg over privacybewuste identificatie en wat u na de inzage doet? Die staat in EVR-registratie inzien en opvragen. Hieronder de korte brief.

Gebruik deze brief om éérst vast te stellen waar u staat. Vraag in dit stadium nog niet om verwijdering: u weet dan immers nog niet op welke grond en voor welke duur u bent geregistreerd, en dat bepaalt uw route. Stuur de brief aan de bank of verzekeraar zelf, aangetekend of per e-mail met ontvangstbevestiging, en voeg een kopie van uw identiteitsbewijs bij met uw burgerservicenummer en pasfoto onherkenbaar gemaakt.

Betreft: inzageverzoek op grond van artikel 15 AVG
Naam, geboortedatum, adres, eventueel klant- of dossiernummer, datum

Geachte heer, mevrouw,

Op grond van artikel 15 van de Algemene verordening gegevensbescherming verzoek ik u mij mee te delen of u persoonsgegevens van mij verwerkt, en zo ja, mij daarvan een overzicht te verstrekken.

Ik verzoek u daarbij uitdrukkelijk de volgende gegevens te vermelden:

1. In welk register mijn gegevens zijn opgenomen: het Incidentenregister, het Extern Verwijzingsregister, een interne registratie, of een combinatie daarvan.
2. De grond waarop de registratie berust, met vermelding van de gedraging die mij wordt verweten en de bepaling van het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen waarop u zich baseert.
3. De datum van opname in het Incidentenregister en, indien van toepassing, de datum van opname in het Extern Verwijzingsregister.
4. De duur waarvoor is geregistreerd, en de afweging die aan die duur ten grondslag ligt.
5. Aan welke ontvangers mijn gegevens zijn verstrekt.

Ik verzoek u binnen de wettelijke termijn schriftelijk te reageren. Deze brief is uitsluitend een inzageverzoek en houdt geen erkenning in van enige gedraging.

Met vriendelijke groet,
[naam en handtekening]

Let op de termijn. Uw verzoek moet in beginsel binnen een maand na ontvangst worden beantwoord, met een mogelijke verlenging van twee maanden bij een complex verzoek waarover u binnen de eerste maand bericht krijgt. Blijft een reactie uit, stuur dan een herinnering en wijs op die termijn.

---

Termijnen en de gang naar de rechtbank

Twee termijnen die u strikt uit elkaar moet houden: de termijn waarbinnen de instelling moet antwoorden, en de termijn waarbinnen u dat antwoord aan de rechter kunt voorleggen.

Wat artikel 35 UAVG inhoudt. Is de beslissing op uw verzoek genomen door een ander dan een bestuursorgaan, en een bank of verzekeraar is dat, dan kunt u zich tot de rechtbank wenden met het schriftelijke verzoek de verwerkingsverantwoordelijke te bevelen uw verzoek op grond van de artikelen 15 tot en met 22 AVG alsnog toe of af te wijzen. De rechtbank wijst dat verzoek toe voor zover zij het gegrond oordeelt.

Noteer dus twee data: de dag waarop u uw verzoek verstuurde, en de dag waarop u het antwoord ontving. Die tweede datum start de zes weken. Kreeg u helemaal geen antwoord binnen de AVG-termijn, leg dat dan vast: dat houdt uw gang naar de rechter open.

Verder lezen

De volledige route om een EVR-registratie aan te vechten, met de opbouw van het verzoek, staat in EVR-registratie verwijderen. Loopt er nog een onderzoek, zie fraudeonderzoek door verzekeraar. Volgde er ook een afwijzing of een beëindiging, zie schadeclaim afgewezen en verzekeraar beëindigt polis. Voor de klachtroute, zie de Kifid-procedure.

Wilt u weten waar u geregistreerd staat en of dat standhoudt? Neem vrijblijvend contact met ons op.

---

Gerelateerde juridische diensten

• Meer informatie over EVR-registratie verwijderen
• Meer informatie over BKR-registratie verwijderen
• Meer informatie over Verzekeringsrecht