Incidentenregister aanvechten: hoe komt u erin?

Banken en verzekeraars houden een Incidentenregister bij: een vastlegging van gedragingen die de veiligheid en integriteit van de financiële sector raken. Veel uitleg hierover gaat de mist in op één punt — dit register is geen onderdeel van de CIS-databank, en het is ook niet volledig intern. Hieronder leest u hoe het werkelijk werkt, wat de gevolgen zijn en welke route u volgt om een onterechte registratie aan te vechten.

Geschreven door Onur Arslan, advocaat bij Arslan Advocaten. Onur Arslan heeft jarenlange ervaring met privaatrechtelijke geschillen, waaronder verzekeringsrechtelijke en BKR-gerelateerde geschillen. Laatst bijgewerkt: 17 september 2026.

Wat het Incidentenregister is — en wat niet

Het Incidentenregister is geregeld in het Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI). De versie PIFI 2026 is van kracht sinds 1 april 2026. Iedere deelnemende bank, verzekeraar of financieringsonderneming is verplicht een eigen Incidentenregister te voeren (art. 4.1.1 PIFI). Aan dat register is het Extern Verwijzingsregister (EVR) gekoppeld, waarin alleen verwijzingsgegevens staan en dat via een hit/no-hit-systeem door alle deelnemers kan worden geraadpleegd.

Wat het Incidentenregister niet is: een onderdeel van de databank van Stichting CIS. Dat is een aparte databank van de verzekeringsbranche, met gewone verzekerings- en schadegegevens zoals claimmeldingen en royementen — daarvoor is geen fraudeverdenking nodig. De registers worden vaak door elkaar gehaald, en dat is meer dan een woordenkwestie: het bepaalt bij wie u een verzoek indient en welke termijnen gelden.

Register	Wat erin staat en wie erbij kan
Incidentenregister (per instelling, PIFI)	Dossierinformatie over incidenten. Toegang is beperkt tot Veiligheidszaken, maar er is gereguleerde uitwisseling met andere deelnemers en met de fraudeloketten (art. 4.2).
EVR (gekoppeld aan het Incidentenregister)	Alleen verwijzingsgegevens. Raadpleegbaar door alle deelnemers via hit/no-hit. Strikte opnamevoorwaarden (art. 5.2.1).
IVR (intern verwijzingsregister)	Alleen binnen de eigen instelling en haar groep.
CIS-databank (Stichting CIS)	Gewone verzekerings- en schadegegevens van verzekeraars en gevolmachtigden: claimverleden, royementen, voertuiggegevens. Geen fraudeverdenking vereist.

Intern? Niet helemaal

Het Incidentenregister wordt vaak omschreven als een puur intern geheugen van de instelling. Dat klopt niet. Artikel 4.2 PIFI schrijft voor dat de gegevens strikt vertrouwelijk zijn en alleen toegankelijk voor de afdeling Veiligheidszaken — maar staat daarnaast uitdrukkelijk uitwisseling toe:

op basis van reciprociteit met Veiligheidszaken van andere deelnemers, voor het onderzoeken van incidenten en het verifiëren van EVR-treffers (art. 4.2.2);
met de fraudeloketten: de coördinatiefuncties van NVB, Verbond van Verzekeraars, VFN, ZN en SFH (art. 4.2.3);
met Veiligheidszaken van de Stichting Waarborgfonds Motorverkeer (art. 4.2.4);
met derde-organisaties die aan alle vijf criteria van artikel 4.2.6 voldoen, waaronder een wettelijke grondslag en een gerechtvaardigd belang.

Elke verstrekking moet noodzakelijk zijn, aan proportionaliteit en subsidiariteit worden getoetst en schriftelijk worden vastgelegd (art. 3.2.2 en 3.2.3 PIFI). Dat geeft u een concreet aanknopingspunt: vraag op welke grondslag en met wie uw gegevens zijn gedeeld, en of die afweging is vastgelegd.

Hoe komt u erin?

De doelomschrijving van artikel 4.1.1 PIFI is ruim: het waarborgen van de veiligheid en integriteit van de financiële sector, waaronder het onderkennen, voorkomen, onderzoeken en bestrijden van gedragingen die de branche, de instelling, haar cliënten of haar medewerkers kunnen benadelen, en van oneigenlijk gebruik van producten en diensten. Bij de vastlegging moeten proportionaliteit en subsidiariteit in acht worden genomen (art. 4.1.2).

Vermoeden van fraude of onregelmatigheden

De meest voorkomende aanleiding: een verdachte schadeclaim, een vals document, ongebruikelijke transacties. Anders dan bij het EVR hoeft hier nog niet in voldoende mate vast te staan dat u erbij betrokken bent; een onderzoek naar aanleiding van een signaal kan al tot vastlegging leiden. Dat maakt de proportionaliteitstoets van artikel 4.1.2 des te belangrijker.

Schending van polisvoorwaarden of contractuele verplichtingen

Bij verzekeraars: schending van de mededelingsplicht, niet meewerken aan een schadeonderzoek, het overtreden van preventieve verplichtingen. Bij banken: schending van de rekeningvoorwaarden of van afspraken over het gebruik van bancaire diensten.

Betrokkenheid bij strafbare feiten

Het beschikbaar stellen van een bankrekening voor criminele transacties (geldezelschap), witwassen, identiteitsfraude. In deze gevallen is de kans op opschaling naar het EVR het grootst.

Opvallende claimpatronen

Een reeks claims binnen korte tijd, of claimgedrag dat afwijkt van het gebruikelijke. Dat betekent niet dat er fraude is gepleegd; het signaal wordt vastgelegd voor eventueel nader onderzoek. Wordt daaruit niets bevestigd, dan moeten de gegevens na afloop van het onderzoek direct uit het register worden verwijderd als niet langer aan artikel 4.1.1 wordt voldaan (art. 3.2.6 PIFI).

Het verschil met het EVR

Voor het EVR geldt een aanzienlijk hogere drempel. Artikel 5.2.1 PIFI eist cumulatief dat (a) de gedraging een bedreiging vormde, vormt of kan vormen voor de belangen van cliënten, medewerkers of de instelling, dan wel voor de continuïteit of integriteit van de sector; (b) in voldoende mate vaststaat dat u erbij betrokken bent — waarbij van strafbare feiten in beginsel aangifte wordt gedaan; en (c) het proportionaliteitsbeginsel in acht is genomen.

Het criterium onder b is in de praktijk het scherpst. Een enkel vermoeden is niet genoeg, en een intern rapport dat op aannames rust evenmin. Ontbreekt een aangifte zonder dat de instelling uitlegt waarom die achterwege bleef, dan is dat een aanknopingspunt — het protocol verplicht Veiligheidszaken om die afweging vast te leggen (art. 5.2.3).

Een registratie in het Incidentenregister kan wel de opmaat zijn voor een EVR-registratie: leidt het onderzoek tot de conclusie dat aan artikel 5.2.1 is voldaan, dan volgt opname in het EVR (art. 3.2.7). Neem een incidentenregistratie daarom serieus, ook als de directe gevolgen nog beperkt lijken.

Gevolgen

Verscherpt toezicht op uw rekening of polis: extra controles, aanvullende vragen bij een claim, een strengere beoordeling van wijzigingsverzoeken.
Doorwerking in beslissingen van dezelfde instelling: afwijzing van een nieuw product, of beëindiging van de relatie.
Doorwerking via uitwisseling. Ook zonder EVR-registratie kunnen gegevens op grond van artikel 4.2 worden gedeeld met Veiligheidszaken van andere deelnemers en met de fraudeloketten.
Opschaling naar het EVR, als uit het onderzoek volgt dat aan artikel 5.2.1 is voldaan.

Hoe lang blijft het staan?

Verwijdering moet uiterlijk acht jaar na opname plaatsvinden, tenzij zich een nieuwe aanleiding heeft voorgedaan die opname rechtvaardigt. Ook ten aanzien van de duur wordt getoetst aan het proportionaliteitsbeginsel (art. 4.3.3 PIFI; voor het EVR art. 5.3.2). Acht jaar is dus een bovengrens, geen automatisme. Daarnaast moet de deelnemer ná afloop van een onderzoek zelf beoordelen of opname nog aan de doelomschrijving voldoet (art. 4.3.2), en verwijderen zodra dat niet meer zo is (art. 4.3.1).

Uw rechten, met de termijnen erbij

Mededeling van opname. U heeft recht op mededeling, uiterlijk op het moment van de eerste verstrekking (art. 9.1.1 PIFI). Die mededeling kan achterwege blijven in de uitzonderingsgevallen van artikel 14 lid 5 AVG of artikel 41 UAVG, bijvoorbeeld in het belang van opsporing; de afweging daarover moet wel worden vastgelegd (art. 9.1.2). Bent u niet geïnformeerd, dan moet dat alsnog gebeuren zodra een toets een ‘hit’ oplevert (art. 9.1.3).
Inzage (art. 15 AVG, art. 9.3 PIFI). Schriftelijk verzoek, met legitimatie. De instelling antwoordt binnen een maand, met de mogelijkheid die met twee maanden te verlengen mits u daarover binnen de eerste maand wordt geïnformeerd.
Correctie, wissing en beperking (art. 16, 17 en 18 AVG, art. 9.4 PIFI). Ook hier: schriftelijk antwoord binnen een maand, met twee maanden verlenging mogelijk, en een met redenen omklede weigering.
Bezwaar wegens uw bijzondere persoonlijke omstandigheden (art. 9.5 PIFI), te allen tijde. De verwerkingsverantwoordelijke beoordeelt binnen een maand en maakt een belangenafweging.
Overzicht van verstrekkingen. Alle bevragingen worden gelogd zolang uw gegevens in het register staan (art. 9.6.2 en 3.3.2). Vraag dat overzicht op.

Let op de grens van het inzagerecht. Artikel 41 UAVG laat toe dat inzage wordt geweigerd, onder meer in het belang van de voorkoming, opsporing en vervolging van strafbare feiten (art. 9.3.4 PIFI). Artikel 15 AVG geeft u dus geen recht op het volledige onderzoeksdossier. Wel moet de instelling haar weigering vastleggen en motiveren — en dat is op zichzelf toetsbaar.

De registratie aanvechten

Inzage- en correctieverzoek bij de instelling die registreerde. Vraag uitdrukkelijk om: het register waarin u staat, de datum van opname, de grondslag, de duur, de vastgelegde proportionaliteitsafweging, de beslissing over aangifte, en het overzicht van verstrekkingen.
Bezwaar en interne klachtenprocedure. Artikel 10.1 PIFI wijst u eerst naar het bestuur of de directie van de deelnemer.
Kifid, de SKGZ (als het om een zorgverzekering gaat), de Autoriteit Persoonsgegevens of de bevoegde rechter (art. 10.2 PIFI). Voor consumenten is behandeling door de Geschillencommissie van Kifid kosteloos; dien in binnen drie maanden na het definitieve standpunt of binnen een jaar na uw eerste klacht, en kies bewust tussen bindend en niet-bindend advies.
De rechter. Baseert u zich op de AVG en heeft de instelling binnen de wettelijke termijn geantwoord, dan moet uw verzoekschrift binnen zes weken na ontvangst van dat antwoord bij de rechtbank liggen (art. 35 lid 2 UAVG). Die termijn is fataal. Antwoordde de instelling niet op tijd, dan geldt geen termijn.

Eén hardnekkig misverstand nog: dat niet-protesteren zou gelden als erkenning van de juistheid van de registratie. Dat is niet zo — aan stilzitten verbindt het protocol geen instemming, en de instelling moet de rechtmatigheid van de verwerking hoe dan ook zelf kunnen onderbouwen. Snel reageren is wél verstandig, om een andere reden: hoe langer u wacht, hoe meer beslissingen op de registratie zijn gebaseerd en hoe groter de kans dat er inmiddels is opgeschaald naar het EVR.

Het onderzoek zelf is toetsbaar

Een registratie berust op onderzoek — soms intern door de eigen afdeling Veiligheidszaken, soms door een extern onderzoeksbureau. Het protocol verplicht de instelling om het onderzoek, de onderzoeksmethode en de onderzoeksmiddelen in het Incidentenregister te documenteren (art. 3.2.4). Is dat onderzoek onzorgvuldig uitgevoerd, dragen de conclusies niet de feiten, of is er onevenredig ingegrepen in uw persoonlijke levenssfeer, dan raakt dat de rechtmatigheid van de registratie zelf. Vraag de documentatie daarom expliciet op.

Gevolgen voor bepaalde beroepen

Voor wie in de financiële sector werkt, bij de overheid, of in een functie waarvoor een VOG nodig is, kan een registratie extra ingrijpend zijn. Let wel op het onderscheid: het Incidentenregister wordt niet geraadpleegd bij de afgifte van een VOG — Justis kijkt naar de justitiële documentatie. Wat wél kan doorwerken, is een aangifte of een strafrechtelijk onderzoek dat op het incident volgt, en dat uiteindelijk in de justitiële documentatie belandt.

Veelgestelde vragen

Is het Incidentenregister onderdeel van de CIS-databank?

Nee. Iedere deelnemende financiële instelling voert een eigen Incidentenregister op grond van het PIFI. De CIS-databank van Stichting CIS is iets anders: daarin leggen verzekeraars en gevolmachtigden gewone verzekerings- en schadegegevens vast, zoals claimmeldingen en royementen, waarvoor geen fraudeverdenking nodig is.

Kan alleen mijn eigen bank of verzekeraar de registratie zien?

Niet uitsluitend. De gegevens zijn strikt vertrouwelijk en alleen toegankelijk voor Veiligheidszaken, maar artikel 4.2 PIFI staat gereguleerde uitwisseling toe met Veiligheidszaken van andere deelnemers, met de fraudeloketten van NVB, Verbond, VFN, ZN en SFH, met het Waarborgfonds Motorverkeer, en met derde-organisaties die aan de criteria van artikel 4.2.6 voldoen.

Krijg ik inzage in het hele onderzoeksdossier?

Niet zonder meer. Artikel 15 AVG geeft recht op inzage in de persoonsgegevens die worden verwerkt, maar artikel 41 UAVG laat weigering toe, onder meer in het belang van opsporing en vervolging (art. 9.3.4 PIFI). De instelling moet die weigering wel vastleggen en motiveren.

Betekent het dat ik akkoord ga als ik niet reageer?

Nee. Stilzitten geldt niet als erkenning van de juistheid van de registratie; de instelling moet de rechtmatigheid hoe dan ook kunnen onderbouwen. Snel reageren is wel verstandig, omdat er ondertussen beslissingen op de registratie worden gebaseerd en opschaling naar het EVR kan volgen.

Hoe lang mag een registratie duren?

Uiterlijk acht jaar na opname, tenzij zich een nieuwe aanleiding voordoet; ook de duur wordt aan proportionaliteit getoetst (art. 4.3.3 PIFI). Daarnaast moet de instelling na afloop van het onderzoek zelf beoordelen of opname nog aan de doelomschrijving voldoet, en zo niet: verwijderen.

Welke termijn geldt voor de gang naar de rechter?

Baseert u zich op de AVG en heeft de instelling binnen de wettelijke termijn op uw verzoek geantwoord, dan moet het verzoekschrift binnen zes weken na ontvangst van dat antwoord bij de rechtbank liggen (art. 35 lid 2 UAVG). Antwoordde zij niet op tijd, dan geldt die termijn niet.

Hulp nodig van een advocaat?

Wij stellen eerst vast in welk register u staat en wie de verwerkingsverantwoordelijke is, vragen de onderbouwing en de duurafweging op, en toetsen die aan het PIFI en de AVG. Onze advocaten zijn gespecialiseerd in verzekeringsrecht en behandelen registratiezaken via EVR- en CIS-registratie verwijderen. Afhankelijk van uw inkomen kan een toevoeging via de Raad voor Rechtsbijstand mogelijk zijn; wij toetsen dat bij de intake.

Gerelateerde juridische diensten

Deel dit bericht

Incidentenregister: hoe komt u erin en wat kunt u doen?