By Nick Vrugt | Algemene Verordening Gegevensbescherming (AVG GDPR) | 10 March 2020 | 9 min. reading time
De Autoriteit Persoonsgegevens (AP) heeft de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete opgelegd van € 525.000,-, omdat de KNLTB persoonsgegevens van haar leden heeft verkocht aan twee sponsors. Wellicht denk je bij het lezen van de vorige zin dat dit een logisch besluit is. Je hoort namelijk vaak dat van de Algemene Verordening Gegevensbescherming (AVG) niets meer zou mogen; het verkopen van persoonsgegevens dan zeker niet. Ik vind het besluit van de AP echter toch verrassend. In deze blog bespreek ik het besluit. En geef ik aan waarom ik de uitleg van de AP verrassend vind.
Wat doet de KNLTB?
De KNLTB is het overkoepelend orgaan van de Nederlandse tennissport en tennisverenigingen. Zij adviseert en ondersteunt besturen van tennisverenigingen op het gebied van beleid, accommodatie en bij juridische geschillen. Daarnaast heeft de KNLTB tot doel om de tennissport te promoten.
In juni en juli 2018 heeft de KNLTB persoonsgegevens van haar leden verkocht aan twee sponsors. Deze sponsors gebruiken de persoonsgegevens voor direct marketingactiviteiten, meer in het bijzonder voor het verzenden van kortingflyers en voor telemarketingcampagnes.
(Verdere) verwerking van persoonsgegevens
De KNLTB verzamelt de persoonsgegevens van haar leden voor verschillende doeleinden. Voor wat betreft die doeleinden moet onderscheid worden gemaakt tussen de periode vóór 2007 en de periode vanaf 2007. De doeleinden van de verzameling van de persoonsgegevens in die periodes verschillen namelijk.
Vóór 2007
In de periode vóór 2007 verzamelt de KNLTB de persoonsgegevens van haar leden, zoals wordt afgeleid uit haar statuten, ter uitvoering van de lidmaatschapsovereenkomst. Daarnaast lijkt uit de statuten ook te volgen dat de persoonsgegevens worden verzameld 1) voor zover dit noodzakelijk is voor het bevorderen van de beoefening van het tennisspel en de ontwikkeling van de tennissport in Nederland, en 2) met het doel deze te verstrekken aan derden.
Vanaf 2007
Vanaf 2007 heeft de KNLTB een nieuw (verzamel)doel geformuleerd, namelijk het genereren van inkomsten door het verstrekken van ledengegevens aan sponsors.
De verwerkingen zijn onrechtmatig
De AP oordeelt dat het verkopen van de persoonsgegevens van leden aan sponsors in beide situaties onrechtmatig is. Dus zowel ten aanzien van leden die vóór 2007 lid zijn geworden als ten aanzien van leden die vanaf 2007 lid zijn. Beide verwerkingen zijn echter om een andere reden onrechtmatig.
Leden die vóór 2007 lid zijn geworden
De AP stelt zich op het standpunt dat in de situatie vóór 2007 het doel om de persoonsgegevens te verzamelen om deze te verstrekken aan derden niet welbepaald en uitdrukkelijk is omschreven. Volgens de AP konden leden van de KNLTB uit de statuten niet afleiden dat de persoonsgegevens ook zouden worden gebruikt voor het genereren van inkomsten door het
verstrekken ervan aan sponsors ten behoeve van hun direct marketingactiviteiten. De KNLTB had daarom op grond van 5 lid 1 sub b van de AVG geen persoonsgegevens mogen verzamelen voor dat doel:
Artikel 5 -Beginselen inzake verwerking van persoonsgegevens
1. Persoonsgegevens moeten:
(…)
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt(…)
In sommige gevallen is het echter toegestaan om persoonsgegevens te verwerken voor een ander doel, dan het doel waarvoor deze zijn verzameld. Namelijk als sprake is van een rechtmatige verdere verwerking.
Een verdere verwerking is rechtmatig als 1) de leden toestemming hebben gegeven voor de verdere verwerking, 2) de verdere verwerking berust op een wettelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in art. 23 lid 1 van de AVG genoemde doelstellingen, of 3) het doeleinde van de verdere verwerking verenigbaar is met het doeleinde waarvoor de persoonsgegevens oorspronkelijk zijn verzameld.
De AP stelt vast dat er geen toestemming is van de leden voor de verkoop van de gegevens aan sponsors. Ook is er geen wettelijke bepaling op grond waarvan de verkoop van de gegevens zou berusten. Er kan daarom alleen nog sprake zijn van de derde mogelijkheid: het doeleinde van de verdere verwerking is verenigbaar met het doeleinde waarvoor de persoonsgegevens oorspronkelijk zijn verzameld.
De AP oordeelt echter dat ieder verband tussen het verzameldoel en het doel van de verdere verwerking ontbreekt. Ook ligt de verkoop van de persoonsgegevens niet in de redelijke verwachtingen van de leden. Bovendien worden de leden onvoldoende gecompenseerd voor de gevolgen die de verkoop van de persoonsgegevens hebben. Kortom, de AP concludeert dat de verdere verwerking ten behoeve van het genereren van inkomsten niet verenigbaar is met het verzameldoel, namelijk de uitvoering van de lidmaatschapsovereenkomst.
De verkoop van persoonsgegevens van leden voldoet daarmee niet aan (een van) de drie voorwaarden om te kwalificeren als een rechtmatige verdere verwerking. Deze verdere verwerking van persoonsgegevens van leden die vóór 2007 lid zijn geworden is daarmee volgens de AP onrechtmatig.
Leden die vanaf 2007 lid zijn geworden
Vanaf 2007 is het (verzamel)doel om met de persoonsgegevens extra inkomsten te genereren door het verstrekken van persoonsgegevens van leden aan sponsors wel welbepaald en uitdrukkelijk omschreven. Er wordt daarom vanuit gegaan dat dit doel bij de leden bekend was. Van een verdere verwerking is dus geen sprake: het betreft een (gewone) verwerking van persoonsgegevens.
Op grond van de AVG dient de verwerking van persoonsgegevens op een geldige grondslag te berusten. De AVG kent de volgende geldige grondslagen (artikel 6 AVG):
- de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
- de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is;
- de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
- de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
- de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; en
- de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.
De KNLTB stelt zich op het standpunt dat de verwerking van persoonsgegevens voor het genereren van extra inkomsten noodzakelijk is voor de behartiging van haar eigen gerechtvaardigde belangen, omdat haar ledenaantal – en daarmee haar inkomsten – de afgelopen tien jaar sterk is gedaald. Zij beroept zich dus op een eigen gerechtvaardigd belang, hierboven genoemd als laatste grondslag.
De AP gaat hier niet in mee. Zij overweegt dat uit het systeem van de AVG volgt dat een gerechtvaardigd belang altijd moet zijn terug te voeren op een grondrecht of een rechtsbeginsel. Een verwerking van persoonsgegevens is namelijk altijd een inmenging op het fundamentele recht op bescherming van persoonsgegevens. Daardoor is iedere verwerking in beginsel onrechtmatig. Tenzij het eigen gerechtvaardigd belang is gestoeld op een ander grondrecht of rechtsbeginsel, dat bovendien zwaarder weegt.
Volgens de AP voldoet het enkele eigen belang om winst te maken niet aan dat vereiste. Dit belang kwalificeert dus niet als een eigen gerechtvaardigd belang. Dit sluit aan op de strenge uitleg die de AP eerder gaf aan een eigen gerechtvaardigd belang.
De KNLTB probeert zich nog te redden door daartegen in te brengen dat de vrijheid van ondernemerschap is erkend in artikel 16 van het Handvest van de grondrechten van de Europese Unie, en dat dit dus een grondrecht is. Volgens de KNLTB is haar commerciële belang dus wel degelijk een gerechtvaardigd belang. De AP gaat daar niet in mee. Zij oordeelt dat het niet zo is dat de vrijheid van ondernemerschap het belang om geld te verdienen op zichzelf beschermt. Uit dit grondrecht volgt slechts dat ondernemingen vrij zijn om te bepalen met wie zij zaken doen en welke prijzen ze rekenen voor producten en diensten.
De AP overweegt als volgt:
Het voorgaande brengt met zich dat gerechtvaardigde belangen een min of meer dringend en specifiek karakter hebben dat uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel voortvloeit; het moet in zekere zin onontkoombaar zijn dat deze gerechtvaardigde belangen worden behartigd. Zuiver commerciële belangen en het belang van winstmaximalisatie ontberen voldoende specificiteit en missen een dringend ‘wettelijk’ karakter zodat zij niet kunnen kwalificeren als gerechtvaardigde belangen.
Omdat wordt geoordeeld dat de belangen van de KNLTB niet kwalificeren als een eigen gerechtvaardigd belang, wordt aan een belangenafweging (“wiens belang weegt zwaarder?”) niet toegekomen. Nee: de verwerking heeft geen geldige grondslag en is daarmee onrechtmatig.
De AP legt een boete op van € 525.000,-
Gezien het voorgaande acht de AP de verwerkingen, zowel ten aanzien van leden die lid zijn geworden vóór 2007 als ten aanzien van leden die daarna lid zijn geworden, dus onrechtmatig. De AP heeft in 2019 boetebeleidsregels vastgesteld. In die beleidsregels zijn overtredingen op de AVG ingedeeld in bepaalde categorieën. De overtredingen door de KNLTB kwalificeren volgens de AP als Categorie III-overtredingen. Daarvoor is het beleid dat een boete wordt opgelegd van een bedrag tussen de € 300.000,- en € 750.000,-. De AP besluit in dit geval de basisboete voor die Categorie III-vertredingen op te leggen van € 525.000,-. Zij overweegt daarbij nog dat de schade van de betrokkenen relatief beperkt is, maar ziet daarin geen reden om de boete te verlagen.
Tot slot
Kortom, dit is een flinke tegenvaller voor de KNLTB. In de inleiding gaf ik aan de uitspraak verrassend te vinden. Dat zit met name in de overweging van de AP dat een (louter) commercieel belang niet kwalificeert als een gerechtvaardigd belang. Een commercieel belang heeft namelijk geen wettelijk karakter.
Relevant daarbij is dat overweging 47 van de AVG bepaalt dat een direct marketingbelang (toch ook een commercieel belang) wel een eigen gerechtvaardigd belang kan zijn. Artikel 21 van de AVG bepaalt in dat kader nog dat de betrokkene het recht heeft te allen tijde en kosteloos bezwaar te maken tegen een verwerking op grond van een direct marketingbelang. Als dit bezwaar wordt gemaakt, dan dient de verwerking altijd te worden gestaakt. Hieruit volgt mijns inziens dat ook commerciële belangen kunnen kwalificeren als een gerechtvaardigd belang. Met daarbij de kanttekening dat deze verwerking moet worden gestaakt als daartegen bezwaar wordt gemaakt. Op basis hiervan zet ik daarom mijn vraagtekens bij de uitleg van de AP.
De KNLTB heeft aangekondigd het besluit te zullen aanvechten. Ik ben benieuwd hoe deze zaak zal aflopen.
