image

Autoriteit Persoonsgegevens gaat normuitleg aanpassen na uitspraak Hof

woensdag 9 oktober 2024, 11:44 door Redactie, 7 reacties

De Autoriteit Persoonsgegevens (AP) gaat na de recente uitspraak van het Hof van Justitie van de Europese Unie, dat een commercieel belang bij de verkoop van klantgegevens in sommige gevallen een gerechtvaardigd belang kan zijn, de normuitleg aanpassen. De uitspraak is echter geen vrijbrief voor bedrijven, zo laat de privacytoezichthouder tegenover Security.NL weten.

Het Hof beantwoordde vragen van de rechtbank Amsterdam, die een zaak behandelt over een boete die de AP aan tennisbond KNLTB oplegde. Het ging daarbij vooral over de invulling van een 'gerechtvaardigd belang'. Volgens de AP had de KNLTB met het verstrekken van ledengegevens aan een webshop voor tennisproducten en de Nederlandse Loterij Organisatie de AVG geschonden, omdat leden geen toestemming was gevraagd.

Volgens de KNLTB had het een gerechtvaardigd belang voor de verkoop van klantgegevens aan derden. De AP stelt dat er alleen sprake is van een gerechtvaardigd belang als dit in een wet is vastgelegd, wat in het geval van de verkoop van klantgegevens voor een commercieel belang niet zo is. Het Hof stelt nu dat een commercieel belang in bepaalde gevallen een gerechtvaardigd belang kan zijn, zolang dit niet in strijd is met de wet.

"Bij de AP staat de burger voorop. Vandaar onze principiële interpretatie van de wet, waarin organisaties bijvoorbeeld nooit zonder toestemming persoonsgegevens van mensen mogen verkopen, alleen omdat ze daar geld mee kunnen verdienen. Daar hebben wij ons voor ingezet en wat ons betreft is dat nog steeds hoe het zou moeten zijn, maar helaas is dat niet de juridische realiteit. Dat is nu duidelijk. Wij zullen onze normuitleg op dit punt dan ook aanpassen", aldus de privacytoezichthouder tegenover Security.NL.

Geen vrijbrief

De Autoriteit Persoonsgegevens waarschuwt dat de uitspraak van het Hof geen vrijbrief voor bedrijven en andere organisaties is om zomaar zonder toestemming van alles te doen met persoonsgegevens, alleen omdat die daar geld mee kunnen verdienen. Voor een geslaagd beroep op een ‘gerechtvaardigd belang’ moeten organisaties aan drie voorwaarden voldoen.

"De eerste voorwaarde is dus niet zo absoluut als de AP die zag, maar het Hof van Justitie benadrukt dat er nog twee voorwaarden zijn waaraan bedrijven moeten voldoen, willen zij zonder toestemming persoonsgegevens verkopen. Uit de uitspraak van het Hof van Justitie volgt dat bij de tweede en de derde voorwaarde de belangen van de burger zwaar wegen", legt de AP uit, die toevoegt hier scherp op te zullen blijven toezien.

Loterij

Het Hof maakte duidelijk dat er een 'relevante en passende verhouding' moet zijn aan de partijen aan wie klantgegevens worden doorverkocht. De KNLTB verkocht ledengegevens ook aan de Nederlandse Loterij Organisatie. In dit geval is het de vraag of er sprake is van een 'relevante en passende verhouding', aldus het Hof. "Bovendien kan de verwerking van dergelijke gegevens in bepaalde omstandigheden nadelige gevolgen hebben voor de leden van de betrokken tennisverenigingen, aangezien deze activiteiten deze leden kunnen blootstellen aan de risico’s die verbonden zijn aan de ontwikkeling van gokverslaving", merkte het Hof verder op.

"In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf. En verwacht jij als lid van een tennisvereniging dat de tennisbond onder meer jouw telefoonnummer verkoopt aan een loterij? Het is nu aan de Amsterdamse rechtbank om dit soort vragen rond de KNLTB-zaak te beantwoorden en een oordeel te vellen over de rechtmatigheid van het verkopen van de persoonsgegevens van de KNLTB-leden", laat de AP daarover weten.

Reacties (7)
09-10-2024, 13:14 door Anoniem
De uitleg "commercieel belang = gerechtvaardigd belang" lijkt mij toch echt niet de bedoeling. Hopelijk hebben de rechters zelf ook geen "gerechtvaardigd belang" bij hun uitspraken. De uitleg van de KNLTB zie ik als een "netfout".
09-10-2024, 13:50 door Anoniem
Door Anoniem: De uitleg "commercieel belang = gerechtvaardigd belang" lijkt mij toch echt niet de bedoeling.
Dat is ook niet wat de uitspraak zegt. Het standpunt van de AP was dat een zuiver comercieel belang nooit een gerechtvaardigd belang kan zijn. Dat was eigenlijk al een onhandige theroretische oefening omdat een belang eigenlijk nooit zuiver commercieel is. De uitspraak van het Europese hof bevestigt wat velen al dachten: een belang kan ook gerechtvaardigd zijn als het niet expliciet in de wet genoemd staan. Een commercieel belang kan daarmee, afhankelijk van de omstandigheden, ook een gerechtvaardigd belang zijn. Wat er niet staat is dat alle commerciele belangen ook gerechtvaardigdige belangen zijn. De uitspraak is daarmee volledig in lijn met wat vrijwel alle experts al vonden. De suggestie van belangen van de rechter lijkt me zwaar ongepast.
09-10-2024, 15:40 door Anoniem
De suggestie was niet bedoeld als een sneer. En eigenlijk is er ook niets mis met echte gerechtvaardigde belangen.

In dit deel van de wereld heb ik wel vertrouwen in de rechtvaardigheid en onafhankelijkheid van de rechters. Helaas lijken in sommige delen van de wereld persoonlijke belangen of partijbelangen wel eens een rol te spelen.

(Anoniem van 13:14)
10-10-2024, 08:02 door Anoniem
In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf

Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
10-10-2024, 10:41 door Anoniem
Door Anoniem:
In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf

Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
Je kan het op twee manieren lezen, en het Hof bedoelt wat anders dan jij denkt. Ze bedoelen niet dat iedereen alles maar moet verwachten, ze bedoelen het als voorwaarde die gehaald moet worden: het kan pas oké zijn als een mens het ook wel moet kunnen verwachten.

Iemand die lid wordt van een plaatselijke tennisclub zal typisch helemaal niet verwachten dat dan opeens een landelijke organisatie zijn of haar persoonsgegevens gaat doorverkopen. Je zou het van de tennisclub waar je lid van was geworden zelf al niet verwachten. Dan wordt dus niet aan de voorwaarde voldaan en dan mag het niet.
11-10-2024, 16:09 door Anoniem
Door Anoniem:
Door Anoniem:
In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf

Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
Je kan het op twee manieren lezen, en het Hof bedoelt wat anders dan jij denkt. Ze bedoelen niet dat iedereen alles maar moet verwachten, ze bedoelen het als voorwaarde die gehaald moet worden: het kan pas oké zijn als een mens het ook wel moet kunnen verwachten.

Iemand die lid wordt van een plaatselijke tennisclub zal typisch helemaal niet verwachten dat dan opeens een landelijke organisatie zijn of haar persoonsgegevens gaat doorverkopen. Je zou het van de tennisclub waar je lid van was geworden zelf al niet verwachten. Dan wordt dus niet aan de voorwaarde voldaan en dan mag het niet.

In de PrivacyVerklaring kan de betrokkene lezen welke verwerkingen (inwinnen, opslaan, verwijderen, verkopen) de VerwerkingsVerantwoordelijke met welke persoonsgegevens doet. Staat daar niet verkopen vermeld en dat wordt toch gedaan, dan kan de betrokkene alsnog klacht indienen bij de AP want de doeleinden voor de verwerking dienen transparant gecommuniceerd te worden (artikel 5 "Beginselen inzake verwerking van persoonsgegevens") in de PV.

In het geval in de PV verkopen van persoonsgegevens staat beschreven en men is het er niet mee eens, kan men een andere sport kiezen of een eigen bond oprichten.
14-10-2024, 15:37 door Anoniem
Ongelofelijk dat er situaties te bedenken zijn waarbij een commercieel belang van de Verwerkingsverantwoordelijke wetmatig zwaarder kan wegen dan het privacybelang op bescherming van de persoonsgegevens door de betrokkene als dat niet inherent duidelijk is.

Als iets gratis is en je krijgt er het nodige voor terug, dan betaal je vaak met je privacy. Dat kan ik helemaal begrijpen. En vaak zijn dat ook de mensen die niet zo heel erg zuinig zijn op hun privacy. (Lees: de mensen die voor alles en nog wat met hun gegevens strooien om maar die korting of een of ander product te mogen ontvangen.)

Maar als ik lid van een tennisbond zou zijn omdat ik tennis het een noodzakelijk iets is dat zij mijn gegevens ontvangen zodat zij mij een licentie op wedstrijden kan verstrekken + een factuur voor lidmaatschap kunnen sturen: dan is dat helemaal prima en in de lijn der verwachting. Maar dat ze mijn gegevens ook zouden verkopen om er zelf aan te verdienen is echt ongebrijpelijk.

Had als tennisbond op z'n minst om expliciete toestemming gevraagd. Waarschijnlijk hadden ze dan ook kunnen zien dat een groot deel van de leden hier niet bij gebaat is en de actie voor hen dus als een inbreuk op hun privacy wordt ervaren. En voor die leden die wel toestemming zouden geven, daar snijdt het mes aan 2 (of zelfs 3) kanten:
- het is wetmatig geregeld d.m.v. een gerechtvaardigd belang
- de tennisbond heeft kan zijn commerciële blang uitoefenen
- de privacy van de mensen die geen toestemming geeft blijft gerespecteerd
- de mensen die wel toestemming geven zijn blij met wat hun aangeboden wordt

En als je je later toch als lid bedenkt, dan trek je gewoon je toestemming in.

Ik hoop maar dat de rechter die uitspraak gaat doen in deze zaak hier hetzelfde over denkt. Want anders is het hek van de dam en is de Cookiewet de volgende die sneuvelt.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.