Gerechtvaardigd belang in een nieuw jasje
Het Hof van Justitie van de Europese Unie (het Hof) heeft na lange tijd de verwachte opheldering gegeven over het ‘gerechtvaardigd belang’ begrip uit art. 6 lid 1 sub f AVG. De vraag of een zuiver commercieel belang aangemerkt kán worden als een gerechtvaardigd belang, is positief beantwoord door het Hof, mits het gerechtvaardigde belang rechtmatig is. Dit blog licht de uitspraak van 4 oktober 2024 nader toe en gaat in op de praktische implicaties ervan.
Wat ging hieraan vooraf?
Het geschil vindt zijn oorsprong in een langlopende procedure tussen de Autoriteit Persoonsgegevens (AP) en de Koninklijke Nederlandse Lawn Tennisbond (KNLTB). Tegen een vergoeding deelde de KNLTB de persoonsgegevens van zijn leden met het oog op de verzending van een kortingsflyer per post met twee sponsoren: TennisDirect en de Nederlandse Loterij Organisatie. Naar aanleiding van verschillende klachten heeft de AP bij besluit van 20 december 2019 de KNLTB een boete opgelegd van €525.000,- wegens het in strijd handelen met de AVG. Volgens de AP had de KNLTB de verordening geschonden omdat hij de persoonsgegevens van zijn leden had doorgegeven zonder dat de leden daarvoor toestemming hadden gegeven en zonder dat er een rechtmatige grondslag voor het verstrekken van hun gegevens bestond, omdat een commercieel belang niet als zodanig in een wet is terug te vinden. Tegen dit besluit heeft de KNLTB vervolgens beroep ingesteld bij de rechtbank Amsterdam. De rechtbank heeft vervolgens prejudiciële vragen gesteld aan het Hof over de uitleg van het begrip ‘gerechtvaardigd belang'.
Argumenten van KNLTB en AP
De KNLTB stelt zich op het standpunt dat de verwerking het gerechtvaardigd belang behartigt in het creëren van een sterke band tussen de KNLTB en zijn leden, door het lidmaatschap een meerwaarde te bieden in de vorm van kortingen en aanbiedingen bij partners. Hierdoor kunnen de leden tegen een betaalbare en toegankelijke prijs tennissen. Kortom, een commercieel belang. De KNLTB stelt dat een gerechtvaardigd belang niet noodzakelijkerwijs hoeft voort te vloeien uit een grondrecht of rechtsbeginsel. Een belang kan zodoende gerechtvaardigd zijn, zolang het niet expliciet in strijd is met de wet.
De AP neemt de stelling in dat een gerechtvaardigd belang enkel de bescherming waard is als het belang in een wet is vastgelegd. Een zuiver commercieel belang is niet als zodanig vastgelegd in de wet en dat maakt dat de AP een lange tijd het standpunt heeft ingenomen dat een zuiver commercieel belang niet kan worden opgevat als een gerechtvaardigd belang.
Ruimere uitleg van het begrip ‘gerechtvaardigd belang’
Aan het Hof om te bepalen welke uitleg de voorkeur geniet. Het gaat dan met name om de vraag of de verkoop van persoonsgegevens van de leden van de KNLTB aan sponsoren met het oog op direct marketing, zonder dat de leden toestemming hebben gegeven, kan worden aangemerkt als gerechtvaardigd belang. Met andere woorden, geldt een zuiver commercieel belang als een ‘gerechtvaardigd belang’ voor het verwerken van persoonsgegevens.
Als uitgangspunt neemt het Hof de beginselen die voortvloeien uit artikel 5 AVG en de rechtmatigheidsvoorwaarden uit artikel 6 AVG. Daarnaast gelden de drie voorwaarden van de ‘gerechtvaardigd belang’ grondslag uit artikel 6 lid 1 sub f AVG, waaraan moet worden voldaan. Als eerste moet sprake zijn van een gerechtvaardigd belang voor de verwerkingsverantwoordelijke of een derde. Het Hof bevestigt dat een belang als zodanig niet bij wet hoeft te zijn vastgelegd, wat maakt dat een commercieel belang hieronder kán vallen. Deze ruimere uitleg van het begrip ‘gerechtvaardigd belang’ neemt de EDPB eveneens mee in haar nieuwe richtsnoeren met betrekking tot de uitleg van het begrip. In een vorig blog zijn de andere aspecten van deze richtsnoeren uitgebreid besproken. Ten tweede moet het noodzakelijk zijn om persoonsgegevens te verwerken voor de behartiging van dit belang. Hierbij kan volgens het Hof worden gecontroleerd of de betrokkenen wisten van de verwerking en of zij bezwaar hebben kunnen maken. Als laatste volgt de belangenafweging tussen het recht op gegevensbescherming van de betrokkene en het gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde. Doordat het begrip ‘gerechtvaardigd belang’ nu volgens het Hof ruimer uitgelegd kan worden dan een “tot de wet behorend of in een wet vastgelegd” belang, is er in die belangenafweging meer ruimte voor commerciële belangen. Toch is het belangrijk dat een zorgvuldige afweging wordt gemaakt en dat er passende maatregelen worden genomen om de rechtmatigheid van de verwerking te verzekeren. Deze afweging kan dan ook per geval anders uit vallen.
Passende maatregelen
Het is dus van belang om verschillende maatregelen te nemen, waardoor de belangenafweging eerder in het voordeel uitvalt van de verwerkingsverantwoordelijke en/of een derde en de verwerking ook rechtmatig is. De punten die het Hof meeneemt in de belangenafweging zijn 1) in welke mate de betrokkenen de verwerking kunnen verwachten; 2) wat de omvang is van de verwerking; en 3) wat precies de gevolgen van de verwerking zijn voor de betrokkenen. Deze risico’s dien je als verwerkingsverantwoordelijke goed in kaart brengen, zodat je passende maatregelen kan treffen. In onderhavige zaak speelt bijvoorbeeld mee dat de gegevens van de leden worden gedeeld met een aanbieder van kansspelen en casinospelen, waardoor de leden kunnen worden blootgesteld aan risico’s die verbonden zijn met de ontwikkeling van een gokverslaving. Om die risico’s (en andere risico’s) te beperken is het belangrijk om betrokkenen goed te informeren, zodat deze weten wat ze kunnen verwachten. Dit kan bijvoorbeeld met een duidelijke privacyverklaring. Daarnaast dient de mogelijkheid op bezwaar te worden geboden. Tenslotte kunnen verschillende technische en organisatorische maatregelen worden genomen die bijdragen aan de bescherming van de persoonsgegevens die worden verwerkt. Denk aan een strikt autorisatiebeleid en het regelmatig controleren en evalueren van de beveiligingsmaatregelen.
De uitspraak van het Hof biedt dus de nodige ruimte in de uitleg van belangen die kunnen gelden als gerechtvaardigd, maar tegelijkertijd wijst het ook op de grote zorgvuldigheid in de belangenafweging die gepaard gaat met het inroepen van een dergelijk belang. Organisaties hebben geen vrijbrief gekregen om commerciële activiteiten te ontplooien waarbij persoonsgegevens worden verwerkt. Nog steeds dient er een zorgvuldige schriftelijke afweging te worden gemaakt door middel van een driestappentoets en dienen er passende maatregelen genomen te worden. De taak om de afweging te maken in deze kwestie, is nu eerst aan de rechtbank Amsterdam. De toekomst zal uitwijzen hoe zij dat doet.
