Rond fraudebestrijding in de financiële sector circuleren vier begrippen die vaak op één hoop gaan. Ze verschillen in wie ze inziet, wat erin staat en hoe ingrijpend ze zijn. Voordat u iets aanvecht, moet u weten waar u staat.
De vier registers naast elkaar
| Incidentenregister | Extern Verwijzingsregister (EVR) | CIS-databank | Interne registratie | |
|---|---|---|---|---|
| Wie ziet het | Alleen de instelling zelf | Alle deelnemende financiële instellingen, via een hit–no hit-melding | Aangesloten verzekeraars | Alleen de instelling zelf |
| Wat erin staat | Gegevens over incidenten die de instelling heeft vastgelegd | Verwijzingsgegevens: een signaal dat er bij een instelling iets bekend is | Verzekerings- en schadegegevens, bijvoorbeeld ingediende claims | Aantekeningen in het eigen klantdossier |
| Kader | PIFI | PIFI, artikel 5.2.1 en 5.3.2 | Eigen reglement van Stichting CIS, plus de AVG | Intern beleid en de AVG |
| Impact | Beperkt tot die instelling | Zeer groot: sectorbreed | Kan meewegen bij acceptatie en premiestelling | Beperkt |
De term IVR. U komt soms de aanduiding "intern verwijzingsregister" tegen. In het actuele protocol wordt gewerkt met het Incidentenregister en het daaraan gekoppelde Extern Verwijzingsregister. Ziet u de term IVR in een brief, vraag dan expliciet welk register wordt bedoeld, wie het raadpleegt en op welke grondslag u erin staat. Het maakt voor uw route uit.
Welke protocolversie geldt? Het PIFI 2026 is met ingang van 1 april 2026 van kracht en verving het PIFI 2021. Voor de beoordeling van uw registratie is bepalend welke versie gold op het moment dat u werd geregistreerd. Vraag dat dus expliciet na: staat u sinds vóór 1 april 2026 geregistreerd, dan wordt getoetst aan het PIFI 2021.
Wie beheert het EVR?
Niet één partij. De verwijzingsgegevens worden ontsloten door een verwijzingsapplicatie, en die verschilt per sector:
- Verzekeraars: de applicatie wordt beheerd door de Stichting Centraal Informatie Systeem (CIS).
- Banken en overige deelnemers, zoals financieringsondernemingen, hypotheekverstrekkers en zorgverzekeraars: de applicatie wordt beheerd door de Stichting Bureau Krediet Registratie (BKR).
CIS en BKR zijn in die rol verwerker. De bank of verzekeraar die u registreerde is verwerkingsverantwoordelijke. Uw inzage-, correctie- of verwijderingsverzoek richt u dus tot die instelling, niet tot CIS of BKR.
Presenteer CIS dus niet als beheerder voor banken. Het protocol wijst de verwijzingsapplicatie van de verzekeraars toe aan Stichting CIS en die van de overige deelnemers aan Stichting BKR. Naast deze twee bestaan er sectorspecifieke registers en gegevensuitwisselingen die buiten het PIFI vallen; staat u ergens geregistreerd waarvan de naam u niets zegt, vraag dan expliciet om welk systeem het gaat en wie de verwerkingsverantwoordelijke is.
Deelnemers zijn aangesloten via de NVB, het Verbond van Verzekeraars, de VFN, de SFH of Zorgverzekeraars Nederland.
Let op: de CIS-databank is iets anders dan het EVR
Dit onderscheid wordt het vaakst verward. Stichting CIS beheert namelijk twee verschillende dingen:
- De verwijzingsapplicatie voor het EVR namens de verzekeraars, onder het PIFI.
- De eigen CIS-databank, waarin verzekerings- en schadegegevens van verzekerden staan, bijvoorbeeld omdat u claims heeft ingediend. Dat is geen frauderegistratie: het gaat om gegevens die verzekeraars gebruiken bij risicobeoordeling en schadeafhandeling.
Staat u in de CIS-databank, dan betekent dat dus niet dat u van fraude wordt verdacht. Ook hier geldt dat alleen de betrokken verzekeraar de gegevens kan aanpassen; u kunt inzage vragen en om correctie verzoeken, waarbij een termijn geldt voor het indienen van het correctieformulier.
Wanneer mag u in het EVR?
Dit is het zwaarste register en het kent daarom de strengste eisen. Artikel 5.2.1 PIFI stelt drie cumulatieve voorwaarden:
- Bedreiging. De gedragingen vormden, vormen of kunnen een bedreiging vormen voor de financiële belangen van cliënten, medewerkers of de instelling zelf, of voor de continuïteit en integriteit van de financiële sector.
- Betrokkenheid staat in voldoende mate vast. Het protocol koppelt dit aan het aangiftebeleid: bij strafbare feiten wordt in principe aangifte of klachte gedaan. In de rechtspraak is dit nader ingevuld: een enkel vermoeden volstaat niet.
- Proportionaliteit. Het belang van opname wordt afgewogen tegen de nadelige gevolgen voor u, met inbegrip van subsidiariteit: kan met een lichter middel worden volstaan, bijvoorbeeld alleen een interne registratie in het Incidentenregister?
Die laatste voorwaarde is precies waarom het onderscheid tussen de registers ertoe doet. Het protocol maakt uitdrukkelijk mogelijk dat gegevens wél in het Incidentenregister blijven staan terwijl de proportionaliteitsafweging opname in het EVR niet rechtvaardigt, of alleen voor een kortere duur.
Verwijdering werkt niet automatisch door. Het EVR is gekoppeld aan het Incidentenregister. Wordt u uit het EVR verwijderd, dan kunnen de gegevens in het Incidentenregister blijven staan. Alleen wanneer onvoldoende kan worden aangetoond dat u bij de gedragingen betrokken was, mag opname in het EVR niet plaatsvinden én moeten de gegevens ook uit het Incidentenregister worden verwijderd. Vraag dus altijd expliciet om verwijdering uit beide.
Duur
Voor het EVR geldt op grond van artikel 5.3.2 PIFI dat verwijzingsgegevens uiterlijk acht jaar na opname in het Incidentenregister worden verwijderd. De klok begint dus bij die opname en niet bij het incident zelf.
Over die acht jaar bestaat veel misverstand in beide richtingen. Het protocol gaat ervan uit dat, gelet op de aard van incidenten, een opnameduur van acht jaar in beginsel proportioneel is. Tegelijk moet de instelling per geval bezien of omstandigheden een kortere duur rechtvaardigen, en die afweging documenteren. Er bestaat dus geen algemene regel dat lichtere gevallen "standaard" naar vijf of zes jaar gaan.
Wat u doet, per register
| Stap | Wat |
|---|---|
| 1. Achterhaal waar u staat | Dien een schriftelijk, gelegitimeerd inzageverzoek in bij de instelling. Vraag expliciet: in welk register, sinds welke datum, op welke grond en voor welke duur |
| 2. Vraag het besluit op | Met de motivering, en met de vastgelegde afweging over de duur |
| 3. Bepaal de route | Zijn de gegevens onjuist, dan is dat rectificatie. Kloppen ze maar treft de registratie u onevenredig, dan is het een verzoek om verwijdering met een belangenafweging |
| 4. Dien het verzoek in | Bij de instelling die registreerde, met feiten, bewijs, uw concrete belang en de gevraagde beslissing. Vraag om verwijdering uit beide registers |
| 5. Klacht of rechter | Interne klacht, daarna Kifid of de civiele rechter. Bij een aantoonbare spoedeisendheid kan een kort geding aangewezen zijn |
Op een inzageverzoek moet in beginsel binnen een maand worden gereageerd, met een mogelijke verlenging van twee maanden bij een complex verzoek waarover u binnen de eerste maand bericht krijgt. In uitzonderingsgevallen, bijvoorbeeld bij lopende opsporing, kan inzage worden geweigerd; die afweging moet worden vastgelegd.
Voorbeeldbrief: opvragen van uw registratie
Gebruik deze brief om éérst vast te stellen waar u staat. Vraag in dit stadium nog niet om verwijdering: u weet dan immers nog niet op welke grond en voor welke duur u bent geregistreerd, en dat bepaalt uw route. Stuur de brief aan de bank of verzekeraar zelf, aangetekend of per e-mail met ontvangstbevestiging, en voeg een kopie van uw identiteitsbewijs bij met uw burgerservicenummer en pasfoto onherkenbaar gemaakt.
Betreft: inzageverzoek op grond van artikel 15 AVG
Naam, geboortedatum, adres, eventueel klant- of dossiernummer, datum
Geachte heer, mevrouw,
Op grond van artikel 15 van de Algemene verordening gegevensbescherming verzoek ik u mij mee te delen of u persoonsgegevens van mij verwerkt, en zo ja, mij daarvan een overzicht te verstrekken.
Ik verzoek u daarbij uitdrukkelijk de volgende gegevens te vermelden:
- In welk register mijn gegevens zijn opgenomen: het Incidentenregister, het Extern Verwijzingsregister, een interne registratie, of een combinatie daarvan.
- De grond waarop de registratie berust, met vermelding van de gedraging die mij wordt verweten en de bepaling van het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen waarop u zich baseert.
- De datum van opname in het Incidentenregister en, indien van toepassing, de datum van opname in het Extern Verwijzingsregister.
- De duur waarvoor is geregistreerd, en de afweging die aan die duur ten grondslag ligt.
- Aan welke ontvangers mijn gegevens zijn verstrekt.
Ik verzoek u binnen de wettelijke termijn schriftelijk te reageren. Deze brief is uitsluitend een inzageverzoek en houdt geen erkenning in van enige gedraging.
Met vriendelijke groet,
[naam en handtekening]
Let op de termijn. Uw verzoek moet in beginsel binnen een maand na ontvangst worden beantwoord, met een mogelijke verlenging van twee maanden bij een complex verzoek waarover u binnen de eerste maand bericht krijgt. Blijft een reactie uit, stuur dan een herinnering en wijs op die termijn.
Termijnen en de gang naar de rechtbank
Twee termijnen die u strikt uit elkaar moet houden: de termijn waarbinnen de instelling moet antwoorden, en de termijn waarbinnen u dat antwoord aan de rechter kunt voorleggen.
| Reactietermijn | Gerechtelijke termijn | |
|---|---|---|
| Grondslag | Artikel 12 lid 3 AVG | Artikel 35 UAVG |
| Termijn | Onverwijld en in ieder geval binnen één maand na ontvangst van uw verzoek | Verzoekschrift indienen binnen zes weken na ontvangst van het antwoord |
| Verlenging | Met nog eens twee maanden, afhankelijk van de complexiteit en het aantal verzoeken. U moet daarvan binnen de eerste maand bericht krijgen, met de redenen voor de vertraging | Niet van toepassing |
| Geen antwoord? | De instelling moet u binnen één maand meedelen waarom het verzoek zonder gevolg blijft, en u wijzen op de mogelijkheid een klacht in te dienen bij de toezichthoudende autoriteit en op een beroep bij de rechter | Dan is de indiening niet aan een termijn gebonden. Blijft een antwoord binnen de AVG-termijnen uit, dan vervalt de zesweken-termijn dus niet |
Wat artikel 35 UAVG inhoudt. Is de beslissing op uw verzoek genomen door een ander dan een bestuursorgaan, en een bank of verzekeraar is dat, dan kunt u zich tot de rechtbank wenden met het schriftelijke verzoek de verwerkingsverantwoordelijke te bevelen uw verzoek op grond van de artikelen 15 tot en met 22 AVG alsnog toe of af te wijzen. De rechtbank wijst dat verzoek toe voor zover zij het gegrond oordeelt.
Noteer dus twee data: de dag waarop u uw verzoek verstuurde, en de dag waarop u het antwoord ontving. Die tweede datum start de zes weken. Kreeg u helemaal geen antwoord binnen de AVG-termijn, leg dat dan vast: dat houdt uw gang naar de rechter open.
Verder lezen
De volledige route om een EVR-registratie aan te vechten, met de opbouw van het verzoek, staat in EVR-registratie verwijderen. Loopt er nog een onderzoek, zie fraudeonderzoek door verzekeraar. Volgde er ook een afwijzing of een beëindiging, zie schadeclaim afgewezen en verzekeraar beëindigt polis. Voor de klachtroute, zie de Kifid-procedure.
Wilt u weten waar u geregistreerd staat en of dat standhoudt? Neem vrijblijvend contact met ons op.
Veelgestelde vragen
Wat is het verschil tussen het Incidentenregister en het EVR?
Het Incidentenregister is intern: alleen de instelling die de gegevens vastlegde kan het raadplegen. Het Extern Verwijzingsregister is sectorbreed: andere aangesloten financiële instellingen krijgen bij bevraging een hit-no hit-melding en vragen dan bij de bron om toelichting. Het EVR is daardoor veel ingrijpender, en de voorwaarden zijn strenger. Het protocol maakt bovendien mogelijk dat gegevens in het Incidentenregister blijven staan terwijl de proportionaliteitsafweging opname in het EVR niet rechtvaardigt. Vraag daarom bij een verwijderingsverzoek altijd expliciet om verwijdering uit beide registers.
Betekent een registratie bij CIS dat ik van fraude word verdacht?
Niet noodzakelijk. Stichting CIS beheert twee verschillende dingen. Ten eerste de verwijzingsapplicatie voor het Extern Verwijzingsregister namens de verzekeraars, onder het PIFI: dat is het fraudegerelateerde register. Ten tweede de eigen CIS-databank met verzekerings- en schadegegevens, bijvoorbeeld omdat u claims heeft ingediend; die gegevens gebruiken verzekeraars bij risicobeoordeling en schadeafhandeling en zeggen niets over fraude. Vraag daarom altijd na in welk register u precies staat en op welke grondslag.
Bij wie dien ik mijn verzoek in?
Bij de bank of verzekeraar die de registratie heeft gedaan. Die instelling is verwerkingsverantwoordelijke voor de inhoud. Stichting CIS en Stichting BKR beheren alleen de verwijzingsapplicatie en zijn in die rol verwerker; zij kunnen uw registratie niet zelfstandig aanpassen. Weet u niet welke instelling de bron is, dien dan eerst een schriftelijk en gelegitimeerd inzageverzoek in en vraag expliciet in welk register u staat, sinds welke datum, op welke grond en voor welke duur.
Hoelang blijft een EVR-registratie staan?
Uiterlijk acht jaar na opname in het Incidentenregister, op grond van artikel 5.3.2 PIFI. De termijn begint dus te lopen bij die opname en niet bij het incident zelf. Het protocol gaat ervan uit dat een opnameduur van acht jaar bij een incident in beginsel proportioneel is, maar verplicht de instelling wel per geval te bezien of omstandigheden een kortere duur rechtvaardigen en die afweging vast te leggen. Er is dus geen algemene regel dat lichtere gevallen standaard naar vijf of zes jaar gaan; wat u kunt aanvoeren is dat de verplichte afweging ontbreekt of onvoldoende is gemotiveerd.
Is iedere CIS-melding een fraudemelding?
Nee. Stichting CIS beheert twee verschillende dingen. Enerzijds de verwijzingsapplicatie voor het Extern Verwijzingsregister namens de verzekeraars, onder het PIFI: dat is het fraudegerelateerde register. Anderzijds de eigen CIS-databank met verzekerings- en schadegegevens, bijvoorbeeld omdat u een claim heeft ingediend. Die laatste gegevens gebruiken verzekeraars bij risicobeoordeling en schadeafhandeling en zeggen niets over fraude. Vraag daarom altijd expliciet na in welk register u staat en op welke grondslag.
Wie kan een interne registratie zien?
Alleen de instelling die de gegevens heeft vastgelegd. Het Incidentenregister is intern: andere banken en verzekeraars hebben er geen toegang toe. Dat is het wezenlijke verschil met het Extern Verwijzingsregister, waar andere deelnemers bij bevraging een hit-no hit-melding krijgen en vervolgens bij de bron om toelichting vragen. Een interne registratie raakt u dus alleen bij die ene instelling, terwijl een EVR-registratie sectorbreed doorwerkt. Het protocol laat uitdrukkelijk toe dat gegevens in het Incidentenregister blijven staan terwijl opname in het EVR niet gerechtvaardigd is.
Juridisch gecontroleerd door Onur Arslan, advocaat bij Arslan Advocaten. Gecontroleerd op 9 september 2026.
