De Belgische privacytoezichthouder GBA heeft de Belgische datahandelaar Black Tiger Belgium een boete van 175.000 euro opgelegd wegens de grootschalige verwerking van gegevens zonder betrokkenen voldoende te informeren. Daarmee heeft het bedrijf de AVG overtreden, aldus de Gegevensbeschermingsautoriteit (GBA). De datahandelaar beheert verschillende databases die met persoonsgegevens uit verschillende externe bronnen zijn aangevuld, waaronder de Kruispuntbank, die vergelijkbaar is met de Nederlandse KvK.

Volgens Black Tiger Belgium heeft het een gerechtvaardigd belang om de gegevens van personen in de databases te verwerken. De GBA stelt dat dit niet zo is. "Om geldig te zijn in de zin van de AVG moet het gerechtvaardigd belang echter aan bepaalde voorwaarden voldoen." Daarnaast is een belang niet gerechtvaardigd als het in strijd is met geldende wetgeving. Zo is het in België niet toegestaan om gegevens uit de Kruispuntbank voor marketingdoeleinden te gebruiken.

Tevens stelt de GBA dat de datahandelaar persoonsgegevens op indirecte wijze verzamelt en op grote schaal verwerkt, gedurende een lange periode (de gegevens worden 15 jaar bewaard), zonder dat de betrokkenen individueel op een duidelijke en proactieve manier worden geïnformeerd over de uitgevoerde verwerkingen. Deze verwerkingen kunnen wel een grote impact op betrokkenen hebben, aldus de Belgische privacytoezichthouder.

Een van de personen die bij de GBA over de datahandelaar klaagde verklaarde bijvoorbeeld dat hij door één van de klanten van Black Tiger Belgium werd geprofileerd op basis van door het bedrijf verstrekte gegevens. Volgens de GBA heeft de datahandelaar onvoldoende rekening gehouden met dit soort risico's bij het afwegen van zijn gerechtvaardigd belang tegen dat van de betrokkenen.

Bovendien kan het belang van de datahandelaar niet zwaarder wegen dan dat van de betrokkenen vanaf het moment dat zij, bij gebrek aan informatie over de uitgevoerde verwerkingen, niet in staat zijn om passende controle over hun persoonsgegevens uit te oefenen. De GBA stelt dat het bewaren van gegevens voor een periode van 15 jaar niet gerechtvaardigd is, met name in de context van het leveren van datakwaliteitsdiensten, die alleen vereisen dat de meest actuele gegevens bewaard worden.

"Transparantie is de hoeksteen waarop de AVG is gebaseerd. Omdat iemand op de hoogte is van het feit dat zijn gegevens worden verwerkt, kan hij de rechten uitoefenen die hem door de AVG worden toegekend, zoals bijvoorbeeld het recht om bezwaar te maken tegen een verwerking. Voor een data broker is het van essentieel belang om aan deze verplichting te voldoen, wat Black Tiger Belgium niet heeft gedaan", zegt Hielke Hijmans van de GBA. Tevens stelt de toezichthouder dat de datahandelaar geen volledig antwoord op inzageverzoeken gaf en er informatie ontbreekt in het register van de verwerkingsactiviteiten van het bedrijf.

Boete en maatregelen

In totaal heeft de GBA wegens de overtredingen drie boetes opgelegd met een totaalbedrag van 175.000 euro. Die hebben betrekking op de onrechtmatige en onbehoorlijke verwerking van persoonsgegevens zonder de betrokkenen proactief, individueel en op transparante wijze te informeren, het nalaten om op passende wijze gevolg te geven aan inzageverzoeken en op overtredingen die verband houden met het register van de verwerkingsactiviteiten.

Bij de berekening van de boetes heeft de toezichthouder rekening gehouden met het feit dat één van de databases is vernietigd en de dienstverlening op het gebied van gegevenslevering is gestopt. Naast de geldboete mag Black Tiger Belgium de 'datakwaliteitsdienst' niet meer aanbieden totdat alle betrokkenen proactief zijn geïnformeerd over uitgevoerde gegevensverwerkingen. Hierbij moet het bedrijf de betrokkenen onder meer informeren over hun recht om bezwaar te maken tegen de verwerking van hun gegevens.