Opschudding in privacyland: de tennisbond KNLTB kreeg een boete van maar liefst
€ 525.000 aan de broek van de Autoriteit Persoonsgegevens (“AP”) wegens het verkopen van persoonsgegevens van ruim 300.000 leden aan twee sponsoren van de bond in de zomer van 2018. Deze sponsoren benaderden vervolgens met deze gegevens de leden schriftelijk, telefonisch of per e-mail om ze aanbiedingen te doen, voornamelijk op het gebied van sportartikelen.
De KNLTB dacht met deze methode een nieuwe inkomstenbron aan te boren en, zo stelde ze, het lidmaatschap van de bond meer waard te maken. De grondslag voor deze verwerking lag volgens de KNLTB in een door de ledenraad vastgestelde aanvulling op de statuten van 2007. Daarin was opgenomen dat persoonsgegevens voor sponsordoeleinden mochten worden gebruikt. En daarnaast zou er, zo stelde de KNLTB, een gerechtvaardigd belang zijn voor de doorverkoop.
Na enkele klachten van leden die aanbiedingen hadden gekregen, startte de AP begin 2019 een onderzoek naar de gang van zaken. Dit alles met het doel om te achterhalen of deze doorverkoop wel mocht volgens de Algemene Verordening Gegevensbescherming (“AVG”). De eindconclusie is inmiddels bekend; de AP zag niets in het betoog van de KNLTB en concludeert dat de handelswijze in strijd is met de AVG.
De conclusies van de AP zijn voor de privacy praktijk zeer relevant. Zo levert de aanwezigheid van een zgn. ‘gerechtvaardigd belang’ zoals bedoeld in art. 5 lid 1 sub a jo. art. 6 lid 1 sub f AVG – naast bijvoorbeeld toestemming – een grondslag op voor verwerking. Aangenomen wordt dat voor een succesvol beroep op de aanwezigheid van zo’n gerechtvaardigd belang, een specifiek belang moet spelen waarbij de verzameling (verwerking) van gegevens prevaleert boven het privacyrecht van de betrokkenen. Er moet dan echt een duidelijke belangenafweging aanwezig zijn die in het voordeel uitpakt van de verwerking.
De AP heeft hier een eigen visie op losgelaten. Al in haar normuitleg van november 2019 stelde de AP dat een gerechtvaardigd belang pas aanwezig is als die “belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Het moet gaan om een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden. De verwerkingsverantwoordelijke moet zich dus op een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel kunnen beroepen.”
Voorbeelden van zo’n belang waren volgens de AP bijvoorbeeld de bescherming van gezondheid of eigendom, het uitoefenen van het procesrecht of het tegengaan van misdrijven.
Maar een belang dat hierbij ontbreekt is een ‘commercieel belang’. Volgens de AP kan het aanboren van nieuwe inkomstenbronnen géén gerechtvaardigd belang opleveren, of zoals het AP het zegt: “Het enkele belang persoonsgegevens te gelde te kunnen maken c.q. daar winst mee te kunnen maken kwalificeert op zichzelf echter niet als een gerechtvaardigd belang.”
Nog belangrijker daarbij is dat volgens de AP in die situatie (ook) van enige deugdelijke belangenafweging geen sprake kan zijn: “De gedachte dat het in beginsel toegestaan zou zijn om geld te verdienen door op eigen gezag inbreuk te maken op andermans grondrechten staat hier haaks op het uitgangspunt dat betrokkene - optreden van de wetgever daargelaten - grip op zijn gegevens zou moeten hebben. Een zo ruime mogelijkheid tot afweging kan dus niet zijn wat de AVG beoogt en wordt ook niet genoemd, toegelaten of voorgestaan door de Groep Gegevensbescherming Artikel 29 (WP29).”
Dat is op zichzelf verrassend te noemen, nu de AVG in overweging 47 juist als voorbeeld direct marketing – wat in de regel tot doel heeft inkomsten genereren – noemt als mogelijk gerechtvaardigd belang. Daar valt hier weliswaar het nodige over op te merken, omdat het hier niet gaat om eigen direct marketing van de KNLTB maar het voorbeeld an sich wordt wél genoemd. Een beroep op de ‘vrijheid van ondernemerschap’ ziet de AP ook niet zitten; dit geeft volgens de AP nog geen recht op geld verdienen op de onderhavige wijze.
Overigens was het ontbreken van een gerechtvaardigd belang niet het enige probleem dat hier speelde voor de KNLTB. Voor de mensen die lid werden van de bond vóór 2007 ontbrak namelijk hoe dan ook de zogeheten doelbinding voor de verwerking (art. 5 lid 1 sub b AVG). Pas in 2007 werd immers aan de statuten toegevoegd dat de persoonsgegevens ook aan sponsoren mocht worden verstrekt (voor wat die statuten waard zijn ingeval van discussie over de verwerking en de vraag of dit dan toestemming behelst). Daarvoor was de grondslag van de verwerking de lidmaatschapsovereenkomst, en de uitvoering daarvan. Voor een ander doel mochten de gegevens simpelweg niet gebruikt worden. Dat zou, ter verduidelijking, alleen mogen indien de KNLTB (opnieuw) toestemming had gevraagd aan haar leden. En die toestemming was niet gevraagd laat staan gegeven.
Het besluit van de AP heeft niet alleen juridisch-inhoudelijk veel stof doen opwaaien; het heeft ook geleid tot Kamervragen en steunbetuigingen aan de KNLTB van bijvoorbeeld NOC*NSF. De KNLTB heeft inmiddels aangegeven het besluit aan te vechten, vooralsnog eerst bij de AP. Blijft die bij het besluit, dan zal de rechter uiteindelijk moeten uitwijzen of de soep zo heet gegeten zal worden.
Voor privacyvragen, de AVG en de manier waarop persoonsgegevens verwerkt mogen worden kunt u terecht bij onze privacy experts Gerben Metz, Charissa Koster en Sebastiaan van Wijk via vanwijk@dayonelegal.nl, metz@dayonelegal.nl en koster@dayonelegal.nl
