Autoriteit Persoonsgegevens gaat normuitleg aanpassen na uitspraak Hof
De Autoriteit Persoonsgegevens (AP) gaat na de recente uitspraak van het Hof van Justitie van de Europese Unie, dat een commercieel belang bij de verkoop van klantgegevens in sommige gevallen een gerechtvaardigd belang kan zijn, de normuitleg aanpassen. De uitspraak is echter geen vrijbrief voor bedrijven, zo laat de privacytoezichthouder tegenover Security.NL weten.
Het Hof beantwoordde vragen van de rechtbank Amsterdam, die een zaak behandelt over een boete die de AP aan tennisbond KNLTB oplegde. Het ging daarbij vooral over de invulling van een 'gerechtvaardigd belang'. Volgens de AP had de KNLTB met het verstrekken van ledengegevens aan een webshop voor tennisproducten en de Nederlandse Loterij Organisatie de AVG geschonden, omdat leden geen toestemming was gevraagd.
Volgens de KNLTB had het een gerechtvaardigd belang voor de verkoop van klantgegevens aan derden. De AP stelt dat er alleen sprake is van een gerechtvaardigd belang als dit in een wet is vastgelegd, wat in het geval van de verkoop van klantgegevens voor een commercieel belang niet zo is. Het Hof stelt nu dat een commercieel belang in bepaalde gevallen een gerechtvaardigd belang kan zijn, zolang dit niet in strijd is met de wet.
"Bij de AP staat de burger voorop. Vandaar onze principiële interpretatie van de wet, waarin organisaties bijvoorbeeld nooit zonder toestemming persoonsgegevens van mensen mogen verkopen, alleen omdat ze daar geld mee kunnen verdienen. Daar hebben wij ons voor ingezet en wat ons betreft is dat nog steeds hoe het zou moeten zijn, maar helaas is dat niet de juridische realiteit. Dat is nu duidelijk. Wij zullen onze normuitleg op dit punt dan ook aanpassen", aldus de privacytoezichthouder tegenover Security.NL.
Geen vrijbrief
De Autoriteit Persoonsgegevens waarschuwt dat de uitspraak van het Hof geen vrijbrief voor bedrijven en andere organisaties is om zomaar zonder toestemming van alles te doen met persoonsgegevens, alleen omdat die daar geld mee kunnen verdienen. Voor een geslaagd beroep op een ‘gerechtvaardigd belang’ moeten organisaties aan drie voorwaarden voldoen."De eerste voorwaarde is dus niet zo absoluut als de AP die zag, maar het Hof van Justitie benadrukt dat er nog twee voorwaarden zijn waaraan bedrijven moeten voldoen, willen zij zonder toestemming persoonsgegevens verkopen. Uit de uitspraak van het Hof van Justitie volgt dat bij de tweede en de derde voorwaarde de belangen van de burger zwaar wegen", legt de AP uit, die toevoegt hier scherp op te zullen blijven toezien.
Loterij
Het Hof maakte duidelijk dat er een 'relevante en passende verhouding' moet zijn aan de partijen aan wie klantgegevens worden doorverkocht. De KNLTB verkocht ledengegevens ook aan de Nederlandse Loterij Organisatie. In dit geval is het de vraag of er sprake is van een 'relevante en passende verhouding', aldus het Hof. "Bovendien kan de verwerking van dergelijke gegevens in bepaalde omstandigheden nadelige gevolgen hebben voor de leden van de betrokken tennisverenigingen, aangezien deze activiteiten deze leden kunnen blootstellen aan de risico’s die verbonden zijn aan de ontwikkeling van gokverslaving", merkte het Hof verder op."In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf. En verwacht jij als lid van een tennisvereniging dat de tennisbond onder meer jouw telefoonnummer verkoopt aan een loterij? Het is nu aan de Amsterdamse rechtbank om dit soort vragen rond de KNLTB-zaak te beantwoorden en een oordeel te vellen over de rechtmatigheid van het verkopen van de persoonsgegevens van de KNLTB-leden", laat de AP daarover weten.
In dit deel van de wereld heb ik wel vertrouwen in de rechtvaardigheid en onafhankelijkheid van de rechters. Helaas lijken in sommige delen van de wereld persoonlijke belangen of partijbelangen wel eens een rol te spelen.
(Anoniem van 13:14)
Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
Iemand die lid wordt van een plaatselijke tennisclub zal typisch helemaal niet verwachten dat dan opeens een landelijke organisatie zijn of haar persoonsgegevens gaat doorverkopen. Je zou het van de tennisclub waar je lid van was geworden zelf al niet verwachten. Dan wordt dus niet aan de voorwaarde voldaan en dan mag het niet.
Waarom moeten wij (leden/klanten/cliënten) dit verwachten? Als ik mijn gegevens aan een bepaalde organisatie geef, verwacht ik daarbij helemaal niet dat deze organisatie mijn gegevens doorverkoopt. Ik verwacht namelijk alleen maar dat ze deze gegevens gebruiken die nodig zijn voor het uitvoeren/uitleveren van de gevraagde diensten/producten.
Iemand die lid wordt van een plaatselijke tennisclub zal typisch helemaal niet verwachten dat dan opeens een landelijke organisatie zijn of haar persoonsgegevens gaat doorverkopen. Je zou het van de tennisclub waar je lid van was geworden zelf al niet verwachten. Dan wordt dus niet aan de voorwaarde voldaan en dan mag het niet.
In de PrivacyVerklaring kan de betrokkene lezen welke verwerkingen (inwinnen, opslaan, verwijderen, verkopen) de VerwerkingsVerantwoordelijke met welke persoonsgegevens doet. Staat daar niet verkopen vermeld en dat wordt toch gedaan, dan kan de betrokkene alsnog klacht indienen bij de AP want de doeleinden voor de verwerking dienen transparant gecommuniceerd te worden (artikel 5 "Beginselen inzake verwerking van persoonsgegevens") in de PV.
In het geval in de PV verkopen van persoonsgegevens staat beschreven en men is het er niet mee eens, kan men een andere sport kiezen of een eigen bond oprichten.
Als iets gratis is en je krijgt er het nodige voor terug, dan betaal je vaak met je privacy. Dat kan ik helemaal begrijpen. En vaak zijn dat ook de mensen die niet zo heel erg zuinig zijn op hun privacy. (Lees: de mensen die voor alles en nog wat met hun gegevens strooien om maar die korting of een of ander product te mogen ontvangen.)
Maar als ik lid van een tennisbond zou zijn omdat ik tennis het een noodzakelijk iets is dat zij mijn gegevens ontvangen zodat zij mij een licentie op wedstrijden kan verstrekken + een factuur voor lidmaatschap kunnen sturen: dan is dat helemaal prima en in de lijn der verwachting. Maar dat ze mijn gegevens ook zouden verkopen om er zelf aan te verdienen is echt ongebrijpelijk.
Had als tennisbond op z'n minst om expliciete toestemming gevraagd. Waarschijnlijk hadden ze dan ook kunnen zien dat een groot deel van de leden hier niet bij gebaat is en de actie voor hen dus als een inbreuk op hun privacy wordt ervaren. En voor die leden die wel toestemming zouden geven, daar snijdt het mes aan 2 (of zelfs 3) kanten:
- het is wetmatig geregeld d.m.v. een gerechtvaardigd belang
- de tennisbond heeft kan zijn commerciële blang uitoefenen
- de privacy van de mensen die geen toestemming geeft blijft gerespecteerd
- de mensen die wel toestemming geven zijn blij met wat hun aangeboden wordt
En als je je later toch als lid bedenkt, dan trek je gewoon je toestemming in.
Ik hoop maar dat de rechter die uitspraak gaat doen in deze zaak hier hetzelfde over denkt. Want anders is het hek van de dam en is de Cookiewet de volgende die sneuvelt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
