Mag een bedrijf een lijst met mogelijke fraudeurs bijhouden?

Daar valt iedereen onder, dus ook kleine bedrijven en ook de overheid.
Het bijhouden van persoonsgegevens die niet direct noodzakelijk zijn voor een van te voren omschreven doel is niet toegestaan.

Als aan een aantal voorwaarden wordt voldaan mag dat.

Bij verzekeringsfraude bijvoorbeeld wordt de fraudeur geregistreerd in de databank van Stichting CIS. Stichting CIS staat voor Stichting Centraal Informatie Systeem. Verzekeraars en gevolmachtigden kunnen deze gegevens in de landelijke databank zetten. "De databank heeft als doel om eventuele risico’s voor verzekeraars beheersbaar te maken en fraude zoveel mogelijk te voorkomen.

Verzekeraars kunnen in de CIS-databank controleren of u geregistreerd staat en waarom. (...) Een registratie wegens verzekeringsfraude blijft ongeveer 8 jaar staan. Gedurende deze 8 jaar is de melding voor elke aangesloten verzekeraar in de CIS-databank te zien. (...)
.
.
Een instantie als het CAK mag bijvoorbeeld aan gemeenten een lijst aanleveren van wanbetalers die hun premie voor de Zorgverzekering 6 maanden of langer niet hebben betaald. Maar goed, het CAK is geen voorbeeld van een bedrijf.

En natuurlijk mag een bedrijf een lijst bijhouden van problematische klanten. (Klanten die wel spullen bestellen maar ze niet betalen). Het is een goede gewoonte dat bedrijven stoppen met het leveren van goederen of het verrichten van diensten wanneer de klant een dubieuze debiteur (dus een kostenpost) blijkt te zijn.

Ja, het mag. Maar… een zwarte lijst met strafrechtelijke gegevens beheren is aan strenge voorwaarden verbonden. Wanneer organisaties zo’n zwarte lijst met elkaar willen delen, moeten zij daarvoor een vergunning aanvragen bij de Autoriteit Persoonsgegevens. Deze autoriteit kan zo’n vergunning verlenen wanneer het echt noodzakelijk is dat de gegevens worden gedeeld en er voldoende waarborgen zijn getroffen om de (potentiële) fraudeurs die op zo’n lijst staan te beschermen.
Het delen van zo’n zwarte lijst tussen veel bedrijven in verschillende sectoren mag volgens de Nederlandse wet alleen in heel uitzonderlijke gevallen:
https://privacy-web.nl/wp-content/uploads/po_assets/596809.pdf