Handel in persoonsgegevens aan banden
Dit besluit van de Autoriteit Persoonsgegevens kan behoorlijke gevolgen hebben voor de manier waarop data van persoonsgegevens wordt verhandeld. Een commercieel belang levert geen rechtvaardigheidsgrond op om persoonsgegevens te verhandelen.
Boete voor het verkopen van ledengegevens
De Autoriteit Persoonsgegevens heeft een boete van € 525.000 opgelegd aan de Koninklijke Nederlandse Lawn Tennisbond (KNLTB). Deze boete is opgelegd omdat de KNLTB persoonsgegevens van haar leden heeft verkocht aan sponsoren. Deze sponsoren hebben de gegevens ingezet bij marketingcampagnes. Mede naar aanleiding van klachten van leden is de AP een onderzoek gestart naar de handelswijze van de KNLTB.
Zonder wettelijke grondslag
De KNLTB heeft inkomsten gegenereerd door persoonsgegevens van een groot deel van haar leden aan commerciële partijen te verkopen. De AVG bepaalt dat verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant moet zijn. Daarnaast bepaalt de AVG dat persoonsgegevens uitsluitend voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld. Doordat de KNLTB de persoonsgegevens van haar leden zonder wettelijke grondslag heeft verkocht, heeft de KNLTB onrechtmatig persoonsgegevens verstrekt.
Gerechtvaardigde doeleinden
Je mag Persoonsgegevens verwerken voor zogenaamde welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Deze gegevens mag je vervolgens niet voor andere doeleinden gaan verwerken, behalve als daarvoor toestemming is verleend of als er een wettelijke grondslag voor is.
De persoonsgegevens van de KNLTB leden die vóór 2007 lid zijn geworden, werden alleen verzameld voor het uitvoeren van de lidmaatschapsovereenkomst. Zeker omdat er sprake is van een verplicht lidmaatschap mag je als lid verwachten dat je persoonsgegevens alleen voor dit oorspronkelijke verzameldoel worden gebruikt.
Toestemming ledenvergadering is geen toestemming in de zin van de AVG
Anders dan vóór die tijd, heeft de ledenraad van de KNLTB in 2007 toestemming gegeven voor het genereren van inkomsten door het verstrekken van ledengegevens aan sponsoren. Dit ten behoeve van direct marketingactiviteiten door deze sponsoren.
Ondanks deze toestemming is het volgens de AP niet toegestaan om de ledengegevens aan sponsoren te verstrekken. Het verwerken van persoonsgegevens mag immers alleen op basis van in de AVG genoemde verwerkingsgrondslagen. Eén van deze grondslagen is inderdaad “toestemming”. In motivering 110 van haar Besluit tot het opleggen van een bestuurlijke boete, geeft de AP aan dat de instemming van een ledenraad geen toestemming is in de zin van de AVG. Op grond van deze benadering hebben de individuele leden dus geen toestemming gegeven.
Noodzakelijk voor de uitvoering van een overeenkomst?
De KNLTB heeft daarnaast een beroep gedaan op de grondslag van het gerechtvaardigde belang. Om tot een geslaagd beroep op deze grondslag te komen moet aan drie cumulatieve voorwaarden worden voldaan. Kort samengevat dient het om een gerechtvaardigd belang te gaan, die noodzakelijk is voor de behartiging van het gerechtvaardigde belang. Ten derde mogen de fundamentele rechten en vrijheden van de betrokken persoon niet prevaleren.
De eerste drempel, dat het om een “gerechtvaardigd belang” dient te gaan, wordt al niet gehaald. In overweging 134 motiveert de AP dit als volgt: “Het enkele belang persoonsgegevens te gelde te kunnen maken c.q. daar winst mee te kunnen maken kwalificeert op zichzelf echter niet als een gerechtvaardigd belang”. De AP komt dan ook niet toe aan de hiervoor benoemde vervolgvragen.
Inkomsten genereren met persoonsgegevens
Doordat de KNLTB inkomsten heeft gegenereerd door persoonsgegevens van haar leden, zonder wettelijke grondslag aan commerciële partijen te verkopen, heeft zij deze gegevens onrechtmatig verstrekt. De AP kwalificeert deze overtreding als ernstige. Dit mede vanwege de hoeveelheid persoonsgegevens die zijn verstrekt.
Conclusie
We wisten natuurlijk al dat je persoonsgegevens niet zomaar mag inzetten voor een nieuw doel. Nee, ook niet na aanpassing van je privacyverklaring. Je moet voor dit andere, nieuwe doel weer opnieuw toestemming vragen. Die toestemming vraag je, zo hebben we geleerd, niet aan bijvoorbeeld een algemene ledenvergadering maar aan de betrokkenen zelf.
Maar wanneer mag je nu handelen in persoonsgegevens zonder dat er een toestemming is van de betrokkenen? Op basis van de AVG dien je een beroep te kunnen doen op een gerechtvaardigd belang waarbij de privacy afweging in jouw voordeel dient uit te wijzen. De AP geeft nu aan dat een commercieel belang geen gerechtvaardigd belang is.
Dit besluit van de Autoriteit Persoonsgegeven kan behoorlijke gevolgen hebben voor de manier waarop data van persoonsgegevens wordt verhandeld. Dat lijkt alleen nog mogelijk te zijn nadat er vooraf expliciet toestemming is gegeven door de betrokkene. De KNLTB heeft al aangeven tegen de uitspraak in beroep te gaan. Ik wacht de bezwaar- en beroepsprocedure met interesse af.
