De Autoriteit Persoonsgegevens (AP) gaat na de recente uitspraak van het Hof van Justitie van de Europese Unie, dat een commercieel belang bij de verkoop van klantgegevens in sommige gevallen een gerechtvaardigd belang kan zijn, de normuitleg aanpassen. De uitspraak is echter geen vrijbrief voor bedrijven, zo laat de privacytoezichthouder tegenover Security.NL weten.

Het Hof beantwoordde vragen van de rechtbank Amsterdam, die een zaak behandelt over een boete die de AP aan tennisbond KNLTB oplegde. Het ging daarbij vooral over de invulling van een 'gerechtvaardigd belang'. Volgens de AP had de KNLTB met het verstrekken van ledengegevens aan een webshop voor tennisproducten en de Nederlandse Loterij Organisatie de AVG geschonden, omdat leden geen toestemming was gevraagd.

Volgens de KNLTB had het een gerechtvaardigd belang voor de verkoop van klantgegevens aan derden. De AP stelt dat er alleen sprake is van een gerechtvaardigd belang als dit in een wet is vastgelegd, wat in het geval van de verkoop van klantgegevens voor een commercieel belang niet zo is. Het Hof stelt nu dat een commercieel belang in bepaalde gevallen een gerechtvaardigd belang kan zijn, zolang dit niet in strijd is met de wet.

"Bij de AP staat de burger voorop. Vandaar onze principiële interpretatie van de wet, waarin organisaties bijvoorbeeld nooit zonder toestemming persoonsgegevens van mensen mogen verkopen, alleen omdat ze daar geld mee kunnen verdienen. Daar hebben wij ons voor ingezet en wat ons betreft is dat nog steeds hoe het zou moeten zijn, maar helaas is dat niet de juridische realiteit. Dat is nu duidelijk. Wij zullen onze normuitleg op dit punt dan ook aanpassen", aldus de privacytoezichthouder tegenover Security.NL.

Geen vrijbrief

De Autoriteit Persoonsgegevens waarschuwt dat de uitspraak van het Hof geen vrijbrief voor bedrijven en andere organisaties is om zomaar zonder toestemming van alles te doen met persoonsgegevens, alleen omdat die daar geld mee kunnen verdienen. Voor een geslaagd beroep op een ‘gerechtvaardigd belang’ moeten organisaties aan drie voorwaarden voldoen.

"De eerste voorwaarde is dus niet zo absoluut als de AP die zag, maar het Hof van Justitie benadrukt dat er nog twee voorwaarden zijn waaraan bedrijven moeten voldoen, willen zij zonder toestemming persoonsgegevens verkopen. Uit de uitspraak van het Hof van Justitie volgt dat bij de tweede en de derde voorwaarde de belangen van de burger zwaar wegen", legt de AP uit, die toevoegt hier scherp op te zullen blijven toezien.

Loterij

Het Hof maakte duidelijk dat er een 'relevante en passende verhouding' moet zijn aan de partijen aan wie klantgegevens worden doorverkocht. De KNLTB verkocht ledengegevens ook aan de Nederlandse Loterij Organisatie. In dit geval is het de vraag of er sprake is van een 'relevante en passende verhouding', aldus het Hof. "Bovendien kan de verwerking van dergelijke gegevens in bepaalde omstandigheden nadelige gevolgen hebben voor de leden van de betrokken tennisverenigingen, aangezien deze activiteiten deze leden kunnen blootstellen aan de risico’s die verbonden zijn aan de ontwikkeling van gokverslaving", merkte het Hof verder op.

"In het geval van de KNLTB benoemt het Hof bijvoorbeeld dat mensen ook moeten kunnen verwachten dat een organisatie hun gegevens verkoopt aan een bepaald bedrijf. En verwacht jij als lid van een tennisvereniging dat de tennisbond onder meer jouw telefoonnummer verkoopt aan een loterij? Het is nu aan de Amsterdamse rechtbank om dit soort vragen rond de KNLTB-zaak te beantwoorden en een oordeel te vellen over de rechtmatigheid van het verkopen van de persoonsgegevens van de KNLTB-leden", laat de AP daarover weten.