Toezichthouder verruimt interpretatie privacynorm
De Autoriteit Persoonsgegevens, die toeziet op naleving van de privacywet AVG, heeft toegezegd haar strenge interpretatie van de norm ‘gerechtvaardigd belang’ aan te passen. “De toezichthouder zal wel moeten,” zegt advocaat Eliëtte Vaal.
Mag de tennisclub telefoonnummers van haar leden verkopen aan een loterij? Dat is de vraag waar de rechtszaak van de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) tegen de Autoriteit Persoonsgegevens (AP) om draait.
De KNLTB kreeg in 2020 van de AP een boete van € 525.000 omdat het de gegevens van 350.000 leden had verkocht aan twee sponsors: TennisDirect, een bedrijf dat sportartikelen verkoopt, en de Nederlandse Loterij Organisatie (NLO), de grootste aanbieder van kansspelen en casinospelen in Nederland. De tennisbond ging tegen de boete in beroep. De KNLTB vond dat ze wel gegevens van leden aan de sponsors mocht doorsturen tegen een vergoeding.
Mag een commercieel belang een juridische basis zijn voor het doorverkopen van persoonsgegevens? Toezichthouder AP zegt dat dit per definitie niet mag, maar het Europees Hof zegt dat het wel degelijk een reden kan zijn die het verwerken van de gegevens van leden van een sportvereniging toestaat. Inmiddels heeft AP het arrest van het Hof bestudeerd. De toezichthouder kondigt aan dat ze haar strenge interpretatie van de privacynorm zal aanpassen.
“AP zal wel moeten,” zegt advocaat Eliëtte Vaal van The Data Lawyers. Volgens haar is de uitspraak van het Europese Hof en de reactie van AP van belang voor de praktijk. Er verandert volgens Vaal echter niet veel omdat veel bedrijven hun beleid niet hadden aangepast op basis van het afwijkende beleid van de AP. Voor bedrijven die hun beleid wel hebben aangepast heeft het grotere gevolgen, meent de advocaat. “Dit betekent dat bedrijven die aan de regels van AP voor de AVG hebben voldaan ten onrechte inkomsten hebben misgelopen,” aldusVaal in het Financieele Dagblad.
In 2018 klaagden leden van de KNLTB bij de AP over ongewenste reclame via mails, telefoontjes en brieven van de sponsors van hun bond. Zij hadden hier nooit toestemming voor gegeven. Volgens AP mocht dit niet, maar volgens KNLTB was het toegestaan om de gegevens te versturen, omdat ze het wettelijk vereiste ‘gerechtvaardigd belang’ hadden. Dit is een manier zijn om toch gegevens aan derden te verstrekken zonder expliciet toestemming te vragen.
Volgens AP was er van een gerechtvaardigd belang geen sprake. “Direct marketing kan nooit een gerechtvaardigd belang zijn”, meldde AP destijds. Het Europees Hof maakte begin oktober korte metten met die redenering. Verrassend is dat volgens advocaat Vaal niet. “Eigenlijk zag iedereen die zich met privacyrecht bezighoudt in Nederland dit al aankomen,” zegt Vaal in het FD.
De advocaat verwijst in een gesprek met TheDataConnection.nl naar vergelijkbare zaken in het buitenland, zoals rechtszaken tegen Google en Meta. Ook in de tekst van de AVG staat al dat direct marketing een gerechtvaardigd belang kan zijn, voegt Vaal toe in het interview.
Wat is direct marketing?
Vaal: “Direct marketing is een vorm van adverteren waarbij de aanbieder direct promotie maakt bij de klant. De data die werd verkocht werd door KNLTB werd gebruikt voor direct marketing door derden.”
Volgens toezichthouder AP kan direct marketing nooit gerechtvaardigd belang zijn, volgens het Europese Hof wel. Wat vindt u?
“Ik ben het eens met het Hof. Direct marketing is ook een gerechtvaardigd belang. Gerechtvaardigd belang kan ieder belang zijn, als het maar niet in strijd is met de wet.”
Betekent het arrest van het Europese Hof een gelopen race voor de rechtszaak?
“Nee, het Europese Hof heeft zich alleen uitgesproken over de eerste van de drie stappen die moeten worden getoetst om te oordelen of een boete terecht is. Er moet vervolgens ook een noodzaak zijn om de gegevens te delen met derden, in dit geval de sponsors van de KNLTB. Volgens het Hof is daarvoor in het bijzonder van belang of leden zijn geïnformeerd en de mogelijkheid hadden om bezwaar te maken tegen de doorverkoop op het moment dat hun gegevens werden verzameld. Derde stap is het afwegen of er voldoende rekening is gehouden met de belangen van de leden. Daarvoor is het relevant of de gegevensverwerking in de lijn der verwachting lag van de betrokkenen. Het Gerechtshof in Amsterdam zal zich nu buigen over de tweede en derde stap.”
Was voor het doorverkopen van hun gegevens niet eerst toestemming nodig van de leden van de KNLTB?
“Dat de essentie van de zaak. Als er geen gerechtvaardigd belang is in de zin van de AVG (dat voldoet aan de drie stappen) is toestemming vereist.”
Welke uitkomst verwacht u van het Gerechtshof in Amsterdam?
“Het Gerechtshof in Amsterdam zal met de handvatten die het Europese Hof heeft meegegeven moeten toetsen of er sprake was van een noodzaak voor de gegevensverwerking. Ook zal het gerechtshof moeten toetsen of de belangenafweging niet in het voordeel van de leden uitvalt. Mogelijk lag het niet binnen de redelijke verwachting van de leden dat hun gegevens werden doorverkocht aan de Nederlandse Loterij Organisatie en TennisDirect.”
Wat betekent de conclusie van het Europese Hof voor bedrijven die wel aan de regels van AP hebben voldaan?
“Vrij weinig, al geeft een ruimere interpretatie van het begrip ‘gerechtvaardigd belang’ bedrijven meer ruimte om gegevens te delen. Maar pas op, deze zaak geeft geen carte blanche om zonder toestemming persoonsgegevens te verwerken. Ook al kan een gerechtvaardigd belang ieder belang zijn dat niet in strijd is met de wet, er is nog steeds een noodzaak en belangenafweging vereist voor een rechtmatige gegevensverwerking.”
De uitspraak geldt voor alle bedrijven die gegevens van hun klanten opslaan, zoals webwinkels en socialemediabedrijven, meldt het FD. Maar de KNLTB is geen webwinkel of social mediabedrijf, maar een vereniging. Maakt dat geen verschil?
“Nee, de uitspraak geldt voor alle gegevensverwerkingen die onder de AVG vallen. Gebruik van persoonsgegevens puur voor persoonlijke doeleinden valt hierbuiten.”
Wat adviseert u bedrijven die willen voldoen aan de AVG maar wel gegevens van hun klanten willen doorverkopen?
“Ik adviseer bedrijven om zorgvuldig hun direct marketing beleid te bepalen en de gemaakte afwegingen vast te leggen in een legitimate interest assessment, afgekort LIA.” Dat is vertaald in het Nederlands: een beoordeling over het legitiem oftewel gerechtvaardigd belang.
Lees het arrest van het Europese Hof
Bronnen:
EU-Hof berispt privacywaakhond AP over handel in privédata (fd.nl)
Boete voor tennisbond vanwege verkoop van persoonsgegevens | Autoriteit Persoonsgegevens
Hof zet AP na 5 jaar op zijn plek: belang van KNLTB kan wél gerechtvaardigd zijn – DDMA
Bedrijfsleven slaakt zucht van verlichting na privacy-oordeel EU-Hof (fd.nl)