Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er is echter veel meer gaande op het gebied van privacy, wat niet altijd het nieuws haalt. Door deze jurisprudentie leren we veel over hoe de AVG uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken van de maand augustus op een rij.
De meest besproken uitspraak van deze maand is ongetwijfeld de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (Afdeling) inzake VoetbalTV. In 2020 legde de Autoriteit Persoonsgegevens (AP) een boete van 575.000 euro op, omdat VoetbalTV volgens de toezichthouder geen gerechtvaardigd belang had bij het verwerken van de persoonsgegevens. De Afdeling oordeelde echter dat de boete op onjuiste gronden is opgelegd en vernietigde de boete. Wat was er precies aan de hand?
VoetbalTV is begin 2018 opgericht en was een initiatief van de Koninklijke Nederlandse Voetbalbond (KNVB) in samenwerking met mediabedrijf Talpa. VoetbalTV is een videoplatform voor amateurvoetbal dat in opdracht van (amateur)voetbalclubs videoregistraties maakt van wedstrijden. Daarnaast is VoetbalTV een sociaal platform waarop liefhebbers voetbalmomenten kunnen terugkijken, wedstrijden analyseren, gegevens verzamelen en delen met anderen. Het registeren en verspreiden van videobeelden is een verwerking van persoonsgegevens waar de Algemene verordening gegevensbescherming (AVG) op toepassing van is.
VoetbalTV kreeg een boete voor het onrechtmatig verwerken van de videobeelden. De AP stelde namelijk dat VoetbalTV geen gerechtvaardigd belang had om deze te verwerken. Volgens de AP is een ‘gerechtvaardigd belang’ een belang dat volgt uit de wet. Het belang van VoetbalTV is echter zuiver commercieel van aard en is daarom in strijd met de AVG, zo stelde de toezichthouder.
VoetbalTV was het niet eens met deze redenering en stelde dat een ‘gerechtvaardigd belang’ ieder belang is dat niet in strijd is met de wet. Volgens VoetbalTV heeft zij niet alleen een commercieel belang bij de gegevensverwerking, maar zorgt zij ook voor vergroting van de betrokkenheid en het spelplezier van voetballiefhebbers. Bovendien vergemakkelijkt VoetbalTV het uitvoeren van technische analyses door trainers en analisten en biedt het de optie voor spelers, vrienden en familieleden om wedstrijden op afstand (terug) te kijken.
De hoofdvraag die in deze zaak centraal stond is dus wat een gerechtvaardigd belang precies is en onder welke voorwaarden het verwerken van persoonsgegevens op basis van deze grondslag rechtmatig is. Volgens de Afdeling moet er aan drie vereisten worden voldaan om een geslaagd beroep te doen op het gerechtvaardigd belang:
De Afdeling is van oordeel dat het aan de organisatie die de persoonsgegevens verwerkt, is om aan te geven wat haar belangen zijn en waarom de verwerking van die gegevens daarvoor noodzakelijk zijn. Het is vervolgens aan de AP om te beoordelen wat de organisatie werkelijk doet, of dat overeenkomt met de gestelde belangen en of die belangen gediend worden door de gegevensverwerking en of die belangen gerechtvaardigd zijn. Volgens de Afdeling heeft de toezichthouder ten onrechte niet alle belangen van VoetbalTV bij haar beoordeling betrokken. Had zij dat wel gedaan, dan had de AP tot de conclusie gekomen dat VoetbalTV niet uitsluitend een commercieel belang had bij de verwerking. Dit betekent dat de boete onterecht is opgelegd en dat VoetbalTV deze niet hoeft te betalen. Hier gaat VoetbalTV echter weinig van merken, de streamingdienst werd in september 2020 failliet verklaard na het langlopende conflict.
Werkgevers kunnen behoefte hebben om werknemers te controleren. Bijvoorbeeld wanneer er meer mensen thuiswerken. Het monitoren van personeel is niet altijd verboden, wel moeten werkgevers rekening houden met de privacy van de werknemers. Wij schreven daar al eens over in een eerdere blog. Onlangs speelde zich een interessante zaak af over dit onderwerp voor het Gerechtshof Arnhem-Leeuwarden.
ING ontving signalen van fraude. Naar aanleiding daarvan heeft de bank intern onderzoek gedaan en het e-mailgebruik van een werknemer gemonitord. ING heeft gedurende het monitoren ontdekt dat de werknemer langdurig niet gemelde nevenactiviteiten verrichte tijdens zijn werk en dat hij structureel gebruik maakte van zijn werk-e-mail en-laptop voor privédoeleinden. Om die reden verzocht ING om ontbinding van de arbeidsovereenkomst.
De kantonrechter heeft dit verzoek afgewezen omdat het onduidelijk was of ING bij de monitoring van het e-mailgebruik van werknemer heeft voldaan aan de voorwaarden die het Europese Hof voor de Rechten van de Mens (EHRM) in de zaak Bărbulescu heeft gesteld. De kantonrechter heeft overwogen dat niet kan worden vastgesteld dat het gerechtvaardigd was om de zakelijke e-mails van de werknemer te monitoren. De kantonrechter wees het ontbindingsverzoek af. De zaak werd vervolgens aan het Gerechtshof voorgelegd.
Voor het antwoord op de vraag of een werkgever vrije toegang heeft tot de e-mailbox van de werknemer zoekt het Gerechtshof aansluiting bij de uitspraak van het EHRM in de zaak Bărbulescu. Het EHRM beantwoordde deze vraag aan de hand van de volgende richtsnoeren:
Het Gerechtshof oordeelde dat geen van de hiervoor genoemde richtsnoeren doorslaggevend is. Er zal altijd moeten worden gekeken naar het geheel om te beoordelen of de monitoring is toegestaan. Het Gerechtshof kwam in deze zaak (helaas) nog niet tot een oordeel. ING dient eerst bewijs aan te voeren waaruit blijkt dat er voldoende reden was om in de mailbox van de werknemer te kijken. Wordt dus vervolgd…
We sluiten af met een interessante uitspraak van de Afdeling Bestuursrechtspraak van de Raad van State (Afdeling). De Afdeling liet zich in deze zaak uit over de reikwijdte van het recht op gegevenswissing, ook wel het recht op vergetelheid.
Mensen hebben op grond van de AVG verschillende rechten om controle te houden op hun persoonsgegevens. Het recht op gegevenswissing stelt de betrokkene in staat om een organisatie te verzoeken om zijn persoonsgegevens te wissen. Zo’n verzoek moet in een aantal gevallen ingewilligd worden, bijvoorbeeld wanneer de toestemming door de betrokkene wordt ingetrokken of in situaties waarin persoonsgegevens onrechtmatig worden verwerkt. Er zijn echter een aantal uitzonderingen, dat zijn situaties waarin het recht op gegevenswissing niet ingeroepen kan worden. Dit is bijvoorbeeld het geval wanneer de verwerking van deze persoonsgegevens nodig is om een wettelijke verplichting na te komen, of om redenen van algemeen belang op het gebied van gezondheid. Daarnaast hoeft er niet tot wissing van de persoonsgegevens over te worden gegaan indien de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering. De laatste uitzondering was het onderwerp van geschil in deze zaak.
De verwerking van persoonsgegevens was in dit geval immers niet noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering, maar voor het voeren van een verweer tegen een rechtsvordering. In casu draaide het om een rechtsvordering die was ingesteld door een betrokkene tegen een gemeente. De Afdeling vergelijkt in haar beoordeling verschillende taalversies van de AVG. Uit de Duitstalige, Engelstalige en Franstalige versies bleek dat het voeren van verweer ook onder de uitzondering valt. De Afdeling oordeelt daarom dat de Nederlandse vertaling te beperkt is en stelt dat het voeren van verweer tegen een rechtsvordering ook onder deze uitzondering valt.
Benieuwd wat er in september 2022 gaat gebeuren? Wij ook! Over een maand zijn we bij u terug met de volgende jurisprudentieblog.
Meer lezen over dit onderwerp? Lees verder:
Meld je nu aan voor één van de nieuwsbrieven van ICTRecht en blijf op de hoogte van onderwerpen zoals AI, contracteren, informatiebeveiliging, e-commerce, privacy, zorg & ICT en overheid.
