17 miljoen registraties sturen wie verzekerd wordt. Stichting CIS kan er niet één uitleggen.

Het begint achter een scherm, met een identiteitsapp die precies doet wat hij moet doen. Mevrouw Visser wil begin 2026 weten wat de verzekeringssector over haar heeft vastgelegd. De webapp van Stichting CIS stelt haar identiteit feilloos vast. Dan komt de vraag die het hele traject zal bepalen: “Als u de afgelopen 8 jaar bent verhuisd, vult u hier uw vorige adres(sen) in. Denkt u hierbij verder ook aan een postbus en 2e woning adressen.” Acht jaar adressen, uit het hoofd, inclusief postbussen. Ze vult in wat ze weet. Het digitale proces valt uit, keer op keer, met telkens dezelfde uitkomst: handmatige verwerking, wachttijd tot een maand.1Notities van telefonisch contact met de CIS-klantenservice, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar.

Waarom het uitvalt, legt de klantenservice haar later uit: de ingevoerde adressen moeten exact matchen met wat verzekeraars ooit aanleverden, invoerfouten van derden inbegrepen. En wat niet matcht, blijft dicht: treft CIS iets aan op een adres dat je niet opgaf, dan mag het dat volgens de medewerker niet met je delen. Op de vraag of haar verzekeraar zo'n registratie dan wél ziet, was het antwoord volgens dezelfde notities eenvoudig: ja.1Notities van telefonisch contact met de CIS-klantenservice, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. Daar staat de fuik, in twee antwoorden uit hetzelfde gesprek. De aangesloten verzekeraars bevragen hetzelfde bestand doorlopend en geautomatiseerd, ruim een miljoen keer per maand volgens de eigen folder van CIS2Ongedateerde voorlichtingsfolder van Stichting CIS (pdf op stichtingcis.nl). Openbaar te controleren, vastgelegd 30 juli 2026.; de persoon om wie het gaat ziet alleen het deel dat toevallig hangt aan adressen die zij foutloos wist te reproduceren.

Wat er onder een postbus valt, licht het formulier niet toe; navraag bij CIS leverde op dat ook postadressen eronder vallen.1Notities van telefonisch contact met de CIS-klantenservice, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. Juist dat lijstje is nergens op te halen. Bij navraag kon de gemeente wel woonadresgegevens uit de basisregistratie leveren, maar geen historie van postadressen; een register waar je zo'n lijstje opvraagt, bestaat niet.3Navraag bij de gemeente: uit de basisregistratie worden woonadresgegevens verstrekt, geen historie van postadressen. Bij Lysey, geanonimiseerd verifieerbaar. Het formulier vraagt dus gegevens die je nergens compleet kunt opvragen, accepteert elke invoer zonder controle of foutmelding, en legt het risico van een gat volledig bij degene die het lijstje onmogelijk compleet kan krijgen. Wie een adres vergeet, krijgt geen melding dat er iets openstaat; het antwoord oogt gewoon compleet.

CIS bevestigde de constructie in het voorjaar zelf op schrift: adressen aanleveren is “geenszins verplicht”, maar zonder die opgave kan CIS “niet alle registraties delen”. Het proces is volgens CIS zo ingericht vanwege de privacywet.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026: de adres-gebonden inzagegrens, door CIS “volledig in lijn met de AVG” genoemd, mede namens de Raad van Toezicht. Bij Lysey, geanonimiseerd verifieerbaar. Als privacyargument houdt dat geen stand. De identiteit van de verzoeker staat op dat moment al vast; daarvoor was die identiteitsapp er juist, en in de kop van het inzagerapport dat volgt staan voorletters, achternaam en geboortedatum als gebruikte zoeksleutels.5Notities van telefonisch contact met de CIS-klantenservice, maart 2026, over de identiteitscontrole tegen de basisregistratie, en de kop van het inzagerapport van Stichting CIS met de gebruikte zoeksleutels. Bij Lysey, geanonimiseerd verifieerbaar. Als CIS registraties dan nog steeds niet aan die geverifieerde persoon kan koppelen, is dat geen zorgvuldigheid maar het gebrek zelf: de databank hangt registraties niet deugdelijk aan een persoon. Hoe dat komt, legde de klantenservice uit: verzekeraars vullen de personalia in de registraties zelf in en laten daarbij soms een geboortedatum of voorletter weg.1Notities van telefonisch contact met de CIS-klantenservice, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. CIS controleert die aanlevering bij binnenkomst niet op juistheid; bij 350.000 meldingen per maand noemt het dat in de eigen reglementen onmogelijk.6CIS Privacyreglement (okt 2025, pdf op stichtingcis.nl), toelichting: gemiddeld 350.000 meldingen per maand. Openbaar te controleren, vastgelegd 30 juli 2026. Een sterkere sleutel is bovendien wettelijk buiten bereik: schadeverzekeraars mogen het burgerservicenummer niet gebruiken, want buiten de overheid mag dat alleen als een wet dat regelt, en voor deze databank bestaat zo'n grondslag niet.7Rijksoverheid, vraag-en-antwoordpagina “Welke organisaties mogen mijn burgerservicenummer (BSN) gebruiken?”: organisaties buiten de overheid mogen het BSN alleen gebruiken als dit in een wet staat. De regel zelf staat in art. 46 UAVG. Openbaar te controleren, vastgelegd 30 juli 2026. Het adres is dus geen gekozen waarborg maar een noodsleutel, en de rekening van dat gebrek ligt bij de verkeerde partij. De aangesloten verzekeraars bevragen hetzelfde bestand zonder ooit een adreslijstje te hoeven reconstrueren, en zien daarbij ook wat jij niet ziet.1Notities van telefonisch contact met de CIS-klantenservice, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. Het koppelingsgebrek dat bij jouw inzage doorgaat voor privacyzorgvuldigheid, hindert de partijen die over je oordelen kennelijk nergens.

Eén detail maakt de uitvraag extra scheef. Volgens het eigen Privacyreglement bewaart de databank een claimmelding maximaal vijf jaar en wordt ze daarna binnen 24 uur verwijderd.8CIS Privacyreglement (okt 2025), art. 6 lid 1 en lid 7. Openbaar te controleren, vastgelegd 30 juli 2026. Waarom moet je dan acht jaar adressen opgeven? Het enige register waarvoor in datzelfde reglement een termijn van acht jaar bestaat, is het externe verwijzingsregister voor fraudegevallen, een ander en veel zwaarder regime. Of dat de verklaring is, zegt CIS nergens. Wat de laatste drie van die acht jaren voor een gewone claimmelding nog zouden moeten opleveren, blijft onverklaard.

Wie in het deel dat hij wél te zien krijgt een fout vindt, belandt in het tweede mechanisme. Op papier is het goed geregeld: het eigen Privacyreglement van CIS bepaalt dat je een verzoek tot correctie of verwijdering bij állebei kunt indienen, bij CIS én bij de verzekeraar die de registratie plaatste.9CIS Privacyreglement art. 15 lid 1 en Gebruikersprotocol art. 27 lid 1 (okt 2025). Openbaar te controleren, vastgelegd 30 juli 2026. De Europese privacywet zegt hetzelfde, dwingend: bij gezamenlijk verantwoordelijke partijen mag je bij elk van beide terecht, en hun onderlinge afspraken binden jou niet.

De praktijk staat in brieven van beide kanten. Uitgerekend een rechtsbijstandsverzekeraar, het soort bedrijf dat mensen inhuren om hun rechten uit te oefenen, schreef in het voorjaar dat correcties niet door haar maar door Stichting CIS worden verzorgd, en dat zij zelf geen inzage kan verlenen.10Schriftelijke reactie van een deelnemende rechtsbijstandsverzekeraar, voorjaar 2026. Bij Lysey, geanonimiseerd verifieerbaar. CIS schreef in dezelfde periode het spiegelbeeld: bij CIS kan alleen een verzoek tot inzage worden gedaan, terwijl een verzoek tot correctie of verwijdering “uitsluitend wordt beoordeeld door de verzekeraar”.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026: mede namens de Raad van Toezicht. Bij Lysey, geanonimiseerd verifieerbaar. Twee loketten, allebei dicht, allebei met een bordje naar het andere loket.

Het inzagerapport dat iedere verzoeker thuiskrijgt, geeft de lus nog een eigen draai. Daarin staat dat je óók via CIS een correctieverzoek kunt indienen. Enkele regels verder staat de waarschuwing: een correctieverzoek “omdat u bijvoorbeeld van mening bent niet verantwoordelijk te zijn voor het ontstaan van de schade” zal “over het algemeen niet worden toegekend”.11Standaardtoelichting in het inzagerapport van Stichting CIS; iedere verzoeker krijgt dezelfde tekst. Bij Lysey, geanonimiseerd verifieerbaar. Het enige voorbeeld dat het rapport zelf noemt, wordt op voorhand kansloos verklaard; een grond die wél kansrijk is, noemt het niet.

Hoe CIS de eigen rol ziet, wisselde intussen per brief. In februari schreef de bestuurder dat CIS en haar deelnemers gezamenlijk verantwoordelijk zijn voor de verwerking van de persoonsgegevens in de databank.12E-mail van de bestuurder van Stichting CIS, februari 2026. Bij Lysey, geanonimiseerd verifieerbaar. Vijf weken later, zelfde afzender, zelfde correspondentie: “CIS is ‘slechts’ de beheerder van de CIS-databank. Het merendeel van jouw vragen kunnen wij dan ook niet beantwoorden.”13E-mail van de bestuurder van Stichting CIS, maart 2026, in dezelfde correspondentie. Bij Lysey, geanonimiseerd verifieerbaar. Het etiket werd erkend; de plichten die erbij horen werden in dezelfde briefwisseling afgewezen.

Na weken aandringen kwam in maart het antwoord dat dit dossier zijn naam geeft. In één alinea schreef de bestuurder: er staan circa 17 miljoen registraties in de CIS-databank; CIS heeft zelf geen zicht op de inhoud van individuele registraties; CIS beschikt niet over informatie om te onderzoeken of er foutieve gegevens in staan; en CIS weet niet voor welk doel registraties zijn vastgelegd.15E-mail van de CIS-bestuurder, maart 2026: circa 17 miljoen registraties, geen zicht op de inhoud, geen kennis van het doel per registratie. Bij Lysey, geanonimiseerd verifieerbaar. De conclusie stond er meteen bij.

Dat is een opmerkelijke zin van de partij die volgens de privacywet juist móét kunnen uitleggen wat er in haar databank staat en waarom. En het is geen incident maar architectuur. In de eigen reglementen noteert CIS dat er gemiddeld 350.000 meldingen per maand binnenkomen, waardoor het naar eigen zeggen “voor CIS onmogelijk [is] om deze op juistheid te controleren”.6CIS Privacyreglement (okt 2025, pdf op stichtingcis.nl), toelichting: gemiddeld 350.000 meldingen per maand; Gebruikersprotocol, toelichting: meer dan 15.000 aangeleverde registraties per dag. Openbaar te controleren, vastgelegd 30 juli 2026. Dezelfde organisatie bepaalt intussen, samen met haar deelnemers, wélke gegevens worden vastgelegd en hoe lang. En ze heeft in het eigen Gebruikersprotocol de zelfstandige bevoegdheid om registraties te onderzoeken en te verwijderen wanneer die in strijd met wet- of regelgeving tot stand kwamen.16CIS Gebruikersprotocol (okt 2025, pdf op stichtingcis.nl), art. 29 lid 1 en lid 2: onderzoeks- en verwijderbevoegdheid van CIS. Openbaar te controleren, vastgelegd 30 juli 2026. Die bevoegdheid is in dit dossier niet gebruikt. CIS noemt de blindheid zelf geen gebrek maar een keuze: juist om dataminimalisatie te borgen krijgt het de onderbouwing van registraties niet te zien, aldus de bestuurder.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026: de onderbouwing van registraties blijft bij de deelnemer, juist vanwege dataminimalisatie. Bij Lysey, geanonimiseerd verifieerbaar. Dat verweer keert de zaak om. De blindheid vloeit volgens dezelfde brief voort uit de onderlinge afspraken tussen CIS en haar deelnemers, en heet een alinea verder een vereiste van de privacywet.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026. Bij Lysey, geanonimiseerd verifieerbaar. Dataminimalisatie beperkt bovendien wat je voor je taak niet nodig hebt, en voor de bevoegdheid die CIS zichzelf in het eigen protocol geeft, onrechtmatige registraties onderzoeken en verwijderen, is zicht op de onderbouwing juist onmisbaar.16CIS Gebruikersprotocol (okt 2025, pdf op stichtingcis.nl), art. 29 lid 1 en lid 2: onderzoeks- en verwijderbevoegdheid van CIS. Openbaar te controleren, vastgelegd 30 juli 2026. Het beginsel geldt kennelijk ook niet voor de circa 17 miljoen registraties zelf, en evenmin voor de acht jaar adreshistorie die CIS bij inzage opvraagt; het weert precies die ene laag waarmee de rechtmatigheid van een registratie te toetsen zou zijn. En waar de bestuurder van borgen spreekt, noemde het eigen reglement dezelfde controle al onmogelijk.6CIS Privacyreglement (okt 2025, pdf op stichtingcis.nl), toelichting: gemiddeld 350.000 meldingen per maand, “voor CIS onmogelijk om deze op juistheid te controleren”. Openbaar te controleren, vastgelegd 30 juli 2026. De vraag die daarmee bij de Autoriteit Persoonsgegevens ligt, is of een organisatie haar verantwoordingsplicht zo bij een ander kan leggen, terwijl wie er last van heeft het moet uitzoeken met de partij die ooit iets aanleverde.

Kan zo'n register dan überhaupt zorgvuldig? Jawel, en dat bewijst CIS zelf. Voor één categorie bestaat er wél een toets. Wie als verzekeraar een “Vertrouwelijke Mededeling” wil plaatsen, bijvoorbeeld nadat de polis van een wanbetaler is opgezegd, moet volgens de eigen CIS-voorwaarden eerst per geval afwegen of registratie in verhouding staat tot wat er gebeurd is: een proportionaliteitsafweging. Gedocumenteerd, door een aangewezen functionaris, met verplichte tussenstappen en controle achteraf.17CIS-voorwaarden voor het plaatsen van een Vertrouwelijke Mededeling, stap 5: verplichte individuele proportionaliteitsafweging. Openbaar te controleren, vastgelegd 30 juli 2026. Voor de gewone claimmelding, de categorie die vrijwel de hele databank vult, bestaat niets van dat alles. Daar geldt het omgekeerde: aanleveren is verplicht, uiterlijk vijf werkdagen na registratie van de claim, zonder enig afwegingsmoment.18CIS Gebruikersprotocol (okt 2025), art. 18 lid 3 (aanleverplicht) en art. 19 lid 2 (uiterlijk vijf werkdagen). Openbaar te controleren, vastgelegd 30 juli 2026. Het woord proportionaliteitsafweging komt in de eigen reglementen alleen voor bij die ene categorie.

Wat zo'n ongewogen melding vervolgens betekent, hangt af van wie hem leest, en dat is precies het probleem. De toelichting bij het Gebruikersprotocol is streng: claimmeldingen zijn “nadrukkelijk niet bedoeld om een risico-inschatting op het te verwachten claimgedrag van betrokkene te maken”, en de databank is “bedoeld als een controlemiddel en niet als voorselectiesysteem”.19CIS Gebruikersprotocol (okt 2025), toelichting op art. 10 t/m 12. Openbaar te controleren, vastgelegd 30 juli 2026. De eigen voorlichtingsfolder van CIS verkoopt aan de sector het tegendeel: mede op basis van deze gegevens kan de verzekeraar het claimrisico inschatten.2Ongedateerde voorlichtingsfolder van Stichting CIS (pdf op stichtingcis.nl). Openbaar te controleren, vastgelegd 30 juli 2026. En een verzekeraar schreef zwart-op-wit hoe het bij haar werkt: ook meldingen zonder uitgekeerde schade “worden meegenomen in een weging van het totaal aantal meldingen”.20Brief van een deelnemende verzekeraar, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. Een melding waarop nooit een cent is uitgekeerd, telt dus mee in het oordeel over jou, precies het gebruik dat het protocol uitsluit. Het bestand meet niet risico maar aanraking met de sector: wie vaker in aanraking komt, wordt vanzelf verdachter. Dezelfde verzekeraar zegt er zelf bij dat van een kale optelsom geen sprake is en dat er “heel goed en gedifferentieerd” wordt gekeken; welke context dan de doorslag geeft, staat in geen van de brieven.20Brief van een deelnemende verzekeraar, maart 2026. Bij Lysey, geanonimiseerd verifieerbaar. Nieuw is dat gebruik niet: in 2019 liet het tv-programma Kassa na eigen onderzoek zien dat verzekeraars de databank tegen de eigen regels in bij acceptatie gebruikten.21Kassa (BNNVARA), uitzending en artikel “Databank verzekeraars vervuild door foute claimgegevens” (16 mrt 2019): informatieverzoeken als claims geregistreerd; gebruik bij acceptatie tegen de eigen regels in. Openbaar te controleren, vastgelegd 30 juli 2026. De sector beloofde beterschap en scherpte de registratie-definitie aan; in november 2025 scherpte CIS diezelfde definitie opnieuw aan, omdat deelnemers nog altijd uiteenlopend registreren.22Verbond van Verzekeraars, nieuwsbericht “CIS scherpt definitie ‘claimmelding’ aan” (17 nov 2025): opnieuw aanscherping omdat deelnemers uiteenlopende registratiekeuzes maken. Openbaar te controleren, vastgelegd 30 juli 2026.

Hoe weinig zo'n ongewogen melding betekent, bevestigde een verzekeraar zelf op schrift. Gevraagd om twee registraties van elk rond de tien euro te verwijderen waarop nooit iets was uitgekeerd, antwoordde haar fraude-afdeling dat de vermelde bedragen “indicatief [zijn] en zeggen niets over het ware schadebedrag”, en dat de gegevens niettemin “terecht zijn opgenomen”. Pas na verder aandringen verdwenen de twee registraties alsnog uit de databank; op het oordeel dat ze terecht waren opgenomen, kwam de verzekeraar niet terug.23Schriftelijk antwoord van de fraude-afdeling van een verzekeraar, voorjaar 2026, op een verwijderingsverzoek, en het latere bericht dat de twee registraties alsnog volledig uit de databank zijn verwijderd. Bij Lysey, geanonimiseerd verifieerbaar. Betekenisloos volgens de sector zelf, maar zolang zo'n melding staat, tot vijf jaar zichtbaar voor de hele sector. Hoeveel van de circa 17 miljoen registraties zouden een individuele proportionaliteitstoets doorstaan? Die vraag ligt sinds dit voorjaar bij de Autoriteit Persoonsgegevens.24Klacht (art. 77 AVG) over Stichting CIS bij de Autoriteit Persoonsgegevens, met ontvangstbevestiging. Bij Lysey, geanonimiseerd verifieerbaar.

Tot hier ging het over één register en één dossier. Het venijn zit in wat dat register doet met alles eromheen. Wie meerdere vermogensbestanddelen wil verzekeren, een huis, een auto, iets kostbaars, moet vaker langs de poort, en bij elke poort kan hetzelfde bestand opnieuw tegen je werken.

Hoe dat gaat, staat in de notities van één telefoongesprek. Een online aanvraag van mevrouw Visser strandde direct: de beoordeling is geautomatiseerd, en de uitkomst was “geen aanbod”. Een officiële afwijzing was het niet, legde de verzekeraar later schriftelijk uit: die valt pas als een mens ernaar kijkt.25Schriftelijke correspondentie van een verzekeraar, begin 2026: geautomatiseerde beoordeling, “geen aanbod”, en de vastlegging en opgaveplicht van een definitieve afwijzing. Bij Lysey, geanonimiseerd verifieerbaar. Juist daar zit het risico, waarschuwde de medewerker aan de telefoon: keurt die beoordelaar de aanvraag alsnog af, dan wordt dat vastgelegd, en die afwijzing moet je bij elke volgende aanvraag opgeven zodra ernaar wordt gevraagd.26Notities van telefonisch contact met een verzekeraar, begin 2026. De opgaveplicht bij een volgende aanvraag volgt uit de mededelingsplicht van de aspirant-verzekeringnemer (art. 7:928 BW) en de vragenlijst van de verzekeraar. Bij Lysey, geanonimiseerd verifieerbaar. Wie doorzet, riskeert een stempel dat jarenlang meereist. Wie het niet riskeert, blijft onverzekerd. Zij zette de formele aanvraag niet door; het bezit bleef onverzekerd, en een afwijzing die nooit formeel is uitgesproken duikt in geen enkele statistiek op.

Zelfs vragen stellen is in dit stelsel niet vrijblijvend: in het gesprek met de directie van CIS, begin 2026, werd niet weersproken dat ook een oriënterend telefoontje als claimmelding geregistreerd kan worden; de directie noemde het een definitiekwestie, zonder oplossing op korte termijn.14Notities van het gesprek met de bestuurder en de huisjurist van Stichting CIS, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar. In datzelfde gesprek gaf de eigen jurist van CIS een advies dat het systeem beter samenvat dan welke klacht ook: schakel een onafhankelijke tussenpersoon in, die weet welke verzekeraars welke risico's accepteren, juist om een formele afwijzing te voorkomen; de bestuurder herhaalde dat advies daarna zwart-op-wit per mail.14Notities van het gesprek met de bestuurder en de huisjurist van Stichting CIS, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar.12E-mail van de bestuurder van Stichting CIS, februari 2026: met daarin het advies om een tussenpersoon in te schakelen. Bij Lysey, geanonimiseerd verifieerbaar. Het gewicht van dat advies stond er in het gesprek bij: een formele afwijzing moet je vijf jaar lang bij elke nieuwe aanvraag melden.14Notities van het gesprek met de bestuurder en de huisjurist van Stichting CIS, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar. De beheerder van de databank adviseert de consument dus te voorkomen dat het eigen registratiemechanisme afgaat.

Wat een formele afwijzing of een royement kost, prijst de sector zelf aan. Voor wie nergens meer een schadeverzekering kan afsluiten bestaat één vangnet: de Vereende, de verzekeraar die zichzelf meestal de laatste mogelijkheid noemt en daarvoor naar eigen zeggen soms een marktconforme, maar vaak een aanzienlijk hogere premie vraagt.27Artikel van vangnetverzekeraar de Vereende, “Hogere premies, grotere risico’s en de positie van de Vereende” (persrubriek): soms marktconform, vaak aanzienlijk hoger; meestal de laatste mogelijkheid. Openbaar te controleren, vastgelegd 30 juli 2026. Onder de voorbeelden die de Vereende zelf geeft van wie bij een reguliere verzekeraar niet meer terechtkan: wie veel schades heeft geclaimd.27Artikel van vangnetverzekeraar de Vereende, “Hogere premies, grotere risico’s en de positie van de Vereende” (persrubriek). Openbaar te controleren, vastgelegd 30 juli 2026. Wie geroyeerd is, kan zich volgens de Consumentenbond alleen nog verzekeren tegen een veel hogere premie bij deze verzekeraar voor risicovolle klanten.28Consumentenbond, pagina “Autoverzekering geweigerd: dit zijn je rechten”: na royement alleen nog verzekeren tegen een veel hogere premie bij de Vereende. Openbaar te controleren, vastgelegd 30 juli 2026. Zo groeit één verkeerd aangevinkt ja/nee-hokje op een vergelijkingssite, bedoeld om een paar euro te besparen, uit tot een kostenpost van jaren.

Verzekeraars vertellen intussen wél dat ze de databank gebruiken, in de kleine lettertjes. Nationale-Nederlanden schrijft in haar privacyverklaring dat ze persoonsgegevens in CIS kan laten opnemen en via CIS informatie kan opvragen, bijvoorbeeld bij de beoordeling van een aanvraag of claim;29Privacyverklaring van Nationale-Nederlanden (nn.nl): registratie in en raadpleging van CIS, onder meer bij de beoordeling van een aanvraag of claim. Openbaar te controleren, vastgelegd 30 juli 2026. Interpolis meldt dat ze gegevens kan opvragen of laten opnemen, bijvoorbeeld voor schademeldingen.30Privacy statement van Interpolis: gegevens kunnen bij Stichting CIS worden opgevraagd of opgenomen, bijvoorbeeld voor schademeldingen. Openbaar te controleren, vastgelegd 30 juli 2026. Formeel is iedereen dus geïnformeerd; hoeveel Nederlanders werkelijk weten dat ze in het bestand staan, heeft niemand ooit publiek gemeten. En mevrouw Visser is in dit dossier het beste geval: iemand die alles vastlegt, doorvraagt en de wet kent, en het systeem daarmee nog niet in beweging krijgt. De open vraag is wat het doet met iedereen die dat niet doet.

De bank

Hoe het afloopt als je de aanvraag wél doorzet, had mevrouw Visser een jaar eerder al ondervonden, toen ze via een grote vergelijkingssite een autoverzekering afsloot bij een grote bank-verzekeraar. Het formulier stelde één ja/nee-vraag: had zij de afgelopen vijf jaar “schade gehad” met of aan een motorrijtuig? Een toelichting geven kon niet. Zij had al jaren geen eigen auto; de autoschades die op haar naam in de databank stonden, kwamen uit een werkcontext en had zij nooit zelf geclaimd. Ze antwoordde nee, kreeg voorlopige dekking, en kocht pas daarna de auto, juist om geen dag onverzekerd te rijden.31Correspondentie over een afgewezen autoverzekeringsaanvraag, de registratie in het royementsregister die daarop volgde, de formele klacht en de intrekking van de afwijzing, begin 2025. Bij Lysey, geanonimiseerd verifieerbaar.

Toen kwam de controle tegen de databank. De aanvraag werd alsnog afgewezen, met de zin “Het aantal keren dat u een schade heeft gemeld, is hoger dan gemiddeld”, zonder te vermelden wat dat gemiddelde dan is. En het bleef niet bij een afwijzing: omdat haar nee niet spoorde met registraties waarvan zij niet wist dat ze op haar naam stonden, kreeg ze wegens het verstrekken van onjuiste informatie een aantekening in het royementsregister van de autoverzekeraars, een twééde databank van de sector.31Correspondentie over een afgewezen autoverzekeringsaanvraag, de registratie in het royementsregister die daarop volgde, de formele klacht en de intrekking van de afwijzing, begin 2025. Bij Lysey, geanonimiseerd verifieerbaar. Haar nieuwe auto stond intussen onverzekerd op straat, en de nooduitgang was dichtgemetseld: elders aanvragen betekende de weigering opgeven, en dus een nieuwe aantekening. Pas na een formele klacht trok de verzekeraar de afwijzing in en mocht ze alsnog bij hem verzekeren; dat daarbij de fout was erkend, legde zij direct schriftelijk aan de bank vast, die de goede afloop bevestigde. De vraag kwam van de vergelijkingssite, het oordeel uit de databankcontrole, de aantekening op haar naam. Bij de eerste inhoudelijke heroverweging hield de afwijzing geen stand. In de formele klacht van begin 2025 is over dat formulier ook vastgelegd wat er niet stond: geen definitie van “schade gehad”, geen mogelijkheid tot toelichting, en nergens een begrippenlijst of waarschuwing dat een verkeerd antwoord tot een registratie in de sectorregisters kan leiden.31Correspondentie over een afgewezen autoverzekeringsaanvraag, de registratie in het royementsregister die daarop volgde, de formele klacht en de intrekking van de afwijzing, begin 2025. Bij Lysey, geanonimiseerd verifieerbaar.

Na de aantekening was zelfs vragen stellen niet meer vanzelfsprekend. Voordat ze ergens een offerte durfde op te vragen, wilde ze eerst zeker weten dat de vraag zélf geen spoor zou achterlaten. Dezelfde bank stelde haar in een later gesprek gerust: een offerte is vrijblijvend en wordt niet geregistreerd.32Notities van een gesprek met een medewerker van een grote bank: een offerte is vrijblijvend en wordt niet geregistreerd. Bij Lysey, geanonimiseerd verifieerbaar. Maar aan de directietafel van CIS werd niet weersproken dat een informatieverzoek soms wél als claimmelding in de databank belandt.14Notities van het gesprek met de bestuurder en de huisjurist van Stichting CIS, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar. Twee financiële instellingen, twee tegengestelde antwoorden op dezelfde vraag: laat oriënteren een spoor na of niet? Wie het verkeerde antwoord krijgt, ontdekt dat pas als de registratie er al staat. De fuik begint dus niet bij het claimen; ze begint bij het vragen.

De kostbaarhedenpolis

Bij een verzekeraar waar mevrouw Visser een kostbaar object wilde verzekeren, een horloge van ruim tienduizend euro, gaven drie kanalen van hetzelfde bedrijf drie verschillende antwoorden. Aan de telefoon was een maximum van 5.000 euro voor een horloge genoemd. Dat legde zij het bedrijf diezelfde week schriftelijk voor; die weergave is nooit weersproken. De online omgeving accepteerde de volledige waarde zonder waarschuwing en rekende er ruim twintig euro premie per maand voor, met wereldwijde dekking als belofte.33Schriftelijke correspondentie met een verzekeraar over een kostbaarhedenverzekering, begin 2026: met een bewaarde print van de online premieberekening. De onlineflow was bij vastlegging door iedereen te reproduceren. Bij Lysey, geanonimiseerd verifieerbaar. En in de openbare voorwaarden van het product staat geen maximum en geen kluisplicht; het plafond is er de aankoopnota of het taxatierapport.34De openbare voorwaarden van de betreffende kostbaarhedenverzekering, integraal nagelezen: geen absoluut maximum voor sieraden of horloges, geen kluisverplichting. De verzekeraar wordt hier niet genoemd om de betrokkene te beschermen; vindplaats bij Lysey op verzoek. Welke van de drie antwoorden geldt, bleef in de vastgelegde correspondentie onbeantwoord. Het enige schriftelijke antwoord was een verwijzing naar de telefoon: “Sorry je zou echter moeten bellen.”33Schriftelijke correspondentie met een verzekeraar over een kostbaarhedenverzekering, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar.

Draai het om, en je ziet waarom dit meer is dan slordige klantenservice. Vergeet jíj bij een aanvraag één claimmelding, bijvoorbeeld omdat die buiten je inzage viel, dan heet dat verzwijging, met opzegging of verval van dekking als mogelijk gevolg. Geven drie kanalen van één verzekeraar drie verschillende antwoorden op dezelfde vraag, dan tekent daar niemand voor. Hun slordigheid kost niets; die van jou kan je dekking kosten. Dus vroeg mevrouw Visser alles liever zwart op wit, “zodat ik weet waar ik aan toe ben voordat ik de verzekering afsluit”. Zwart op wit kwam er niet.

Blijft de vraag wie hierop toeziet. Binnen de stichting is dat de Raad van Toezicht, en de samenstelling daarvan staat gewoon op de website van CIS: zes zetels, gevuld door vertegenwoordigers van Achmea Schadeverzekeringen, Allianz Benelux, ASR Schadeverzekering, Nationale-Nederlanden Schadeverzekering, Unigarant en de branchevereniging van gevolmachtigden. Geen onafhankelijk lid, geen consumentenvertegenwoordiging. De statuten maken die binding structureel. De raad kiest zijn eigen leden. Hij benoemt, beoordeelt en ontslaat de enige bestuurder.35Statuten bij de akte van fusie van 31 maart 2025: co-optatie (art. 11 lid 4), benoeming en ontslag van de bestuurder (art. 5), einde zetel bij einde dienstverband (art. 11 lid 11), tegenstrijdig belang (art. 14 lid 3 en 4) en het statutaire doel (art. 2). Bij de KvK te bestellen onder nummer 41153866; Lysey publiceert het stuk niet, want het is een betaald registerstuk. Voor het geval dat geen enkel lid kan meestemmen wegens een persoonlijk tegenstrijdig belang, bepalen dezelfde statuten dat de leden mét dat belang alsnog meestemmen. Zo'n noodklep is wettelijk gebruikelijk; de vraag is wat hij waard is in een raad waarvan elke zetel door een deelnemer of branchepartij wordt gevuld. En het statutaire doel van de stichting laat weinig te raden over: “het behartigen van de gemeenschappelijke belangen van haar deelnemers”.

Volg de geldstroom en het beeld wordt scherper. CIS wordt gefinancierd door de circa 350 aangesloten deelnemers, verzekeraars en gevolmachtigden; in die geldstroom komt de consument niet voor.36Kennisbankpagina van verzekeraar de Vereende, “Wat is Stichting CIS en wat doet het voor verzekerden?”: gefinancierd door de circa 350 aangesloten deelnemers; consumenten dienen jaarlijks gemiddeld 70.000 inzageverzoeken in. Openbaar te controleren, vastgelegd 30 juli 2026. De opbrengstkant becijfert de sector zelf: fraudeopsporing “bespaarde” verzekeraars 95,6 miljoen euro in 2024.37Verbond van Verzekeraars, nieuwsbericht bij de fraudecijfers 2024 van het Centrum Bestrijding Verzekeringscriminaliteit (20 nov 2025): ruim 9.000 vastgestelde fraudegevallen, 95,6 miljoen euro besparing door fraudeopsporing. Openbaar te controleren, vastgelegd 30 juli 2026. Hoeveel daarvan aan deze databank hangt, zegt de sector er niet bij; wel dat volgens de eigen folder van CIS 9 van de 10 fraudeonderzoeken bij CIS-data beginnen.2Ongedateerde voorlichtingsfolder van Stichting CIS (pdf op stichtingcis.nl). Openbaar te controleren, vastgelegd 30 juli 2026. Tegenover die machine staan circa zeventigduizend inzageverzoeken van consumenten per jaar,36Kennisbankpagina van verzekeraar de Vereende, “Wat is Stichting CIS en wat doet het voor verzekerden?”. Openbaar te controleren, vastgelegd 30 juli 2026. op zeventien miljoen registraties.2Ongedateerde voorlichtingsfolder van Stichting CIS (pdf op stichtingcis.nl): 17 miljoen registraties. Openbaar te controleren, vastgelegd 30 juli 2026. Het loket leunt niet alleen op adressen die je moet raden, maar vooral op mensen die niet weten dat er iets te raden valt.

De redenering ging in het gesprek nog verder: verantwoording legt CIS volgens dezelfde notities af aan de verzekeraars die deelnemer zijn, en die ook in de raad van toezicht zitten.14Notities van het gesprek met de bestuurder en de huisjurist van Stichting CIS, begin 2026. Bij Lysey, geanonimiseerd verifieerbaar. Dat is geen verspreking maar een accurate beschrijving. En ook buiten de stichting kijkt niemand mee. De vergunningen die de Autoriteit Persoonsgegevens voor het waarschuwingsstelsel van financiële instellingen verleende, dekken alleen het zware fraudedeel, waaronder het externe verwijzingsregister; de gewone claimdatabank valt erbuiten. In het besluit tekent de toezichthouder zelf aan dat hij zich niet uitlaat over wat buiten de vergunning valt, en noteert hij dat voor de private uitwisseling van fraude-informatie “geen specifiek wettelijk kader” bestaat.38Besluit van de Autoriteit Persoonsgegevens op de vergunningaanvraag PIFI 2021 (zaak z2021-03355), randnummers 13 en 15. Openbaar te controleren, vastgelegd 30 juli 2026. Verreweg het grootste deel van de databank kent dus geen voorafgaande toets en geen systeemtoezichthouder.

Het “toezicht” in het onderliggende protocol is een tweejaarlijkse zelfcontrole, waarvan de deelnemer vertrouwelijk verslag doet aan het eigen bestuur.39Protocol Incidentenwaarschuwingssysteem Financiële Instellingen (PIFI 2021), hoofdstuk 11. Openbaar te controleren, vastgelegd 30 juli 2026. Ook de mededingingsautoriteit kreeg de vraag voorgelegd, want hier delen concurrenten verplicht elkaars klantgegevens. Haar antwoord, vastgelegd in notities: in het datadelen zelf zag zij vooralsnog geen direct mededingingsprobleem, uitsluiting speelt bij haar vooral tussen bedrijven, en voor de consumentenkant verwees ze naar de Autoriteit Persoonsgegevens.40Melding bij de ACM met ontvangstbevestiging, en notities van een gesprek met medewerkers van de directie Mededinging, voorjaar 2026. Bij Lysey, geanonimiseerd verifieerbaar. Die nam de klacht aanvankelijk niet in behandeling, omdat ze per e-mail was ingediend in plaats van via het webformulier.24Klacht (art. 77 AVG) over Stichting CIS bij de Autoriteit Persoonsgegevens, met ontvangstbevestiging: inclusief de correspondentie over de indieningsvorm. Bij Lysey, geanonimiseerd verifieerbaar. Binnen kijkt de sector naar zichzelf; buiten wijst iedereen door.

Dat een miljoenenregister met een werkend loket kan bestaan, is geen theorie. Bij kredietregister BKR heette moeilijke inzage geen pech maar een overtreding: de Autoriteit Persoonsgegevens legde in 2019 een boete van 830.000 euro op wegens drempels bij het inzagerecht, en het gratis digitale inzageloket stond er nog vóór het boetebesluit viel.41Boetebesluit van de Autoriteit Persoonsgegevens over Stichting BKR (30 jul 2019): 830.000 euro wegens drempels bij het inzagerecht; gratis digitale inzage beschikbaar sinds 29 april 2019. Openbaar te controleren, vastgelegd 30 juli 2026. De bestuursrechter hield beide overtredingen in 2023 in stand en stelde alleen het bedrag lager vast, op 668.000 euro.42Uitspraak van de rechtbank Gelderland, 17 juli 2023 (ECLI:NL:RBGEL:2023:4071): beide overtredingen terecht vastgesteld, boete bepaald op 668.000 euro. Openbaar te controleren, vastgelegd 30 juli 2026. Ander register, andere drempel, maar hetzelfde inzagerecht uit dezelfde verordening. In het Verenigd Koninkrijk beantwoordt zusterdatabank CUE hetzelfde soort verzoek in de regel gratis, binnen een maand, over meerdere databanken tegelijk, op basis van identiteitsbewijs, zonder de eis om acht jaar adressen foutloos te reproduceren.43MIB (Verenigd Koninkrijk), pagina “Your data rights”: een Subject Access Request over onder meer de claimdatabank CUE wordt in de regel gratis en binnen een maand beantwoord, over meerdere databanken tegelijk, op basis van identiteitsbewijs. Openbaar te controleren, vastgelegd 30 juli 2026. En de rekensom is hier simpel: elke registratie die bij toetsing sneuvelt, maakt het bestand minder compleet, en een minder compleet bestand is voor risicoselectie minder waard. Of iemand de drempels daaróm heeft gebouwd, valt niet te bewijzen, en dit dossier beweert dat ook niet. Dat de drempels precies die kant op werken, wel.

Dit artikel is niet het begin van dit dossier maar het sluitstuk. In januari 2026 vroeg mevrouw Visser inzage en sprak ze de bestuurder en de jurist van CIS rechtstreeks. In februari legde ze haar vragen schriftelijk voor: welke registraties staan er, op welke grond, en wie corrigeert ze. De wettelijke antwoordtermijn van één maand verstreek zonder inhoudelijk antwoord en zonder beroep op verlenging.24Klacht (art. 77 AVG) over Stichting CIS bij de Autoriteit Persoonsgegevens, met ontvangstbevestiging: daarin verwerkt de chronologie en correspondentie van januari t/m april 2026. Bij Lysey, geanonimiseerd verifieerbaar. In maart kwam de brief dat CIS “slechts” de beheerder is. Later die maand ging een formele laatste aanmaning met een termijn van twee dagen naar de Raad van Toezicht. Die antwoordde dat die termijn niet haalbaar was en dat een inhoudelijke reactie zou volgen.44Sommatie aan de Raad van Toezicht van Stichting CIS, maart 2026, en de schriftelijke reactie van de voorzitter. Namen van personen worden niet gepubliceerd. Bij Lysey, geanonimiseerd verifieerbaar. Die kwam in april, van de bestuurder, mede namens de raad: het toezichtsorgaan liet zich vertegenwoordigen door precies degene op wie het toezicht moest houden.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026: mede namens de Raad van Toezicht. Bij Lysey, geanonimiseerd verifieerbaar.

Voor de volledigheid, want dit verhaal heeft twee kanten: CIS betwist de lezing van de telefoongesprekken op onderdelen, en stelt dat de formele inzageverzoeken zelf binnen de geldende termijnen zijn afgehandeld. Het noemt de adresverificatie volledig in lijn met de AVG, wijst erop dat realtime inzage volgens de AVG niet verplicht is, en heeft aangeboden om met toestemming van mevrouw Visser verzekeraars te vragen registraties te herbeoordelen; ook stelde het een gesprek voor.4Schriftelijk antwoord van de CIS-bestuurder, voorjaar 2026. Bij Lysey, geanonimiseerd verifieerbaar. Die posities horen bij dit verhaal en staan hier daarom in. Ze laten de kernvragen intact: wat er over je vastligt kun je niet volledig zien, wie het moet corrigeren blijft een cirkel, en waarom het er staat kan naar eigen zeggen niemand onderbouwen.

De klacht is sinds mei 2026 geregistreerd bij de Autoriteit Persoonsgegevens en wordt beoordeeld; een oordeel is er nog niet. Bij de mededingingsautoriteit ligt een melding, zonder formeel besluit. Vóór deze publicatie is maandenlang achter de schermen om een oplossing gevraagd, bij CIS en bij de betrokken verzekeraars; die kwam niet.

• Het bewijst niet dat een individuele registratie te kwader trouw is geplaatst, of dat CIS onrechtmatig handelde; dat oordeel is aan de Autoriteit Persoonsgegevens en, als het zover komt, de rechter.
• Het stelt geen fraude door een genoemde partij. Verzekeraars worden in dit stuk bewust niet bij naam genoemd waar dat de betrokkene herleidbaar zou maken; genoemd zijn alleen Stichting CIS zelf en de samenstelling van haar toezichtsorgaan, die openbaar is.
• Het stelt geen schending vast van het verbod op louter geautomatiseerde besluiten (art. 22 AVG). Of de rechtspraak daarover reikt tot een register dat zelf geen score berekent maar wel de gegevens levert waarop een geautomatiseerde afwijzing steunt, is niet beslist. Dat is een open vraag, en wie hem als beslecht presenteert claimt te veel.
• Of het verplichte, wederkerige datadelen een mededingingsprobleem oplevert, is geen vaststaand feit. De vraag ligt bij de toezichthouder; een formeel besluit is er niet.
• Stand van zaken: open. De klacht bij de Autoriteit Persoonsgegevens is geregistreerd en in beoordeling. De betrokkene heeft daarnaast zelf juridische stappen aangekondigd; dat is haar eigen spoor. Lysey voert die actie niet, organiseert er niets omheen en werft er geen deelnemers voor.