De AP snapt er geen bal van: Waarom toestemming de betrokkene minder beschermt dan het ‘gerechtvaardigd belang’

Auteur(s): Bron:
  • OpenRecht, 25 januari 2021, JCDI:ALT598:1

Samenvatting

De AP heeft in november 2019 een 'normuitleg gerechtvaardigd belang' gepubliceerd. Daarin stelt de AP dat de grondslag 'gerechtvaardigd belang' uit artikel 6 sub f AVG veel minder vaak gebruikt zou mogen worden dan
gedacht. Zij handhaaft die normuitleg ook, zo hebben inmiddels Voetbal TV en de Tennisbond ondervonden. Dit dwingt partijen om een andere verwerkingsgrondslag te gebruiken. Toestemming ligt dan voor de hand. Deze
OpenNoot legt uit waarom de grondslag gerechtvaardigd belang betrokkenen beter beschermt dan toestemming en de AP de bal hier dus misslaat.

                                                                                                                           CC BY creative commons 135

Inleiding

Binnen een jaar nadat de Autoriteit Persoonsgegevens  (AP) haar ‘normuitleg gerechtvaardig belang’ heeft gepubliceerd, is er door de AP ten minste twee keer een boete opgelegd gerelateerd aan de grondslag gerechtvaardigd belang (art. 6 sub f) uit de Algemene Verordening Gegevensbescherming (AVG). De Koninklijke Nederlandse Lawn Tennis Bond (KNLTB) kreeg een boete voor het ter beschikking stellen van het ledenbestand aan sponsors en Voetbal TV kreeg een boete voor het hanteren van de grondslag ‘gerechtvaardigd belang’ bij het uitzenden van amateur voetbalwedstrijden.

Normuitleg

Op 1 november 2019 publiceerde de AP haar ‘normuitleg gerechtvaardigd belang’.[1] De normuitleg kwam behoorlijk uit de lucht vallen. Het is voor het eerst dat de AP een ‘normuitleg’ publiceert. Er is geen consultatie geweest en dus geen vorm van vooraankondiging. De AP geeft in de normuitleg haar interpretatie van de grondslag gerechtvaardigd belang.

Tot dan was de algemeen aanvaarde interpretatie in de hele EU dat je de grondslag gerechtvaardigd belang uit de AVG (en de Wbp) kon gebruiken voor elk belang dat niet in strijd is met de wet, en dus ook voor een commercieel belang, mits dat commerciële belang zorgvuldig werd afgewogen tegen het privacybelang van de betrokkene en die belangenafweging niet leidt tot de conclusie dat het privacybelang zwaarder weegt. Veel organisaties gebruiken daarvoor de ‘Legitimate Interest Assesmement’ (LIA) met een driestappentoets. De ICO (de Engelse AP) heeft daarvoor uitgebreide en bruikbare informatie en templates gepubliceerd.[2]

Volgens de normuitleg houdt het begrip ‘gerechtvaardigd’ echter in dat het belang in (algemene) wetgeving of elders in het recht benoemd moet zijn als een rechtsbelang. Ofwel: ‘Een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden’. De verantwoordelijke zou zich op een (geschreven of ongeschreven) rechtsregel moeten kunnen beroepen. Dit is een positieve toets: het mag pas als het op de wet (of het recht) gebaseerd is. Een ‘zuiver commercieel belang’ kwalificeert volgens de AP niet als zodanig.

Wat een ‘zuiver’ commercieel belang is en welke 'onzuivere' commerciële belangen dan wel gerechtvaardigd zijn, blijft uiterst vaag. De AP noemt bijvoorbeeld het informeren van klanten over soortgelijke, eigen producten en diensten gerechtvaardigd. Doen die bedrijven dat dan niet ‘zuiver commercieel’? De AP noemt ook fraudebestrijding gerechtvaardigd. Maar ik denk dat de meeste bedrijven die aan fraudeopsporing doen (denk aan banken of verzekeraars) dat niet in de eerste plaats doen omdat ze de strafrechtshandhaving willen ondersteunen. Fraude kost gewoon geld. De AP laat zich in de normuitleg niet uit over de vraag  hoe het in art. 16 EU Handvest verankerde rechtsbelang van vrijheid van ondernemerschap zich verhoudt tot haar stellingname dat het verwerken van persoonsgegevens ongerechtvaardigd is voor zuiver commerciele belangen.

Voetbal TV

Voetbal TV is een spin-off van de KNVB en Talpa. Zij hadden - met instemming van voetbalclubs -  camera’s geplaatst op de velden, waarmee geautomatiseerd amateurwedstrijden opgenomen worden. Deze verwerking (het ter beschikking stellen van beelden van spelers en publiek) vindt plaats op grond van gerechtvaardigd belang. Op 6 november 2019 brengt de AP een rapport uit en op 22 november kondigt de AP een voornemen tot handhaving aan bij Voetbal TV. Het blijft bij een voornemen totdat Voetbal TV op 20 mei 2020 noodgedwongen naar de rechter stapt om een besluit af te dwingen. Voetbal TV kon niet anders, omdat zij hangende het aangekondigde besluit haar business niet verder kon uitrollen[3]. Daarop neemt de AP op 16 juli een (niet gepubliceerd) boetebesluit en legt een boete van € 575.000,-- op. Voetbal TV gaat in beroep tegen dat besluit.[4]

De rechter geeft de AP een keiharde tik op de neus. In een uitgebreid gemotiveerde uitspraak komt de rechter tot de conclusie dat de interpretatie van de AP over het gerechtvaardigd belang verkeerd is. Er zijn juist allerlei uitspraken[5] van het Hof van Justitie van de EU, de (toen nog) WP29 werkgroep[6] en de overwegingen van de verordening zelf[7] die tot een andere interpretatie leiden. De rechtbank zegt dat het HvJ bij herhaling heeft bevestigd dat het lidstaten niet vrijstaat om een beroep op het gerechtvaardigd belang voor bepaalde categorieën verwerkingen op voorhand of categorisch uit te sluiten.[8] De AP past ten onrechte een positieve toets toe door te stellen dat er een op de wet of het recht gebaseerd rechtsbelang moet zijn, terwijl juist een negatieve toets moet worden toegepast, ofwel: het belang is gerechtvaardigd als het niet in strijd met het recht is.

Wat de AP had moeten doen volgens de rechter is de belangenafweging die een verantwoordelijke maakt beoordelen. Daarbij moet bekeken worden of de verwerking noodzakelijk is voor de behartiging van dat gerechtvaardigde belang, waarbij ook wordt getoetst aan de proportionaliteit en subsidiariteit: is de inbreuk voor de betrokkenen in verhouding tot het met de verwerking te dienen doel? En kan het doel niet op een minder voor de betrokkenen nadelige wijze worden bereikt? De derde voorwaarde is dat er een afweging moet plaatsvinden tussen de belangen van de verantwoordelijke en de betrokkenen. Hier zien we de driestappentoets uit de LIA terug.

De rechtbank ziet er duidelijk geen heil in dat de AP deze belangenafweging alsnog gaat maken, en doet de zaak zelf af: de boete vervalt. De AP is inmiddels in hoger beroep gegaan.

KNLTB

Ook de Tennisbond krijgt het voor haar kiezen. Op 20 december 2019 neemt de AP een boetebesluit[9] tegen de KNLTB  en legt een boete van € 525.000,-- op. De tennisbond heeft adresgegevens van leden verstrekt aan sponsoren, zodat leden benaderd konden worden met reclame. Het ging om een nogal geringe inbreuk op de privacy, omdat er bij de sponsoren alleen bekend was dat de persoon lid was van de tennisbond. De KNLTB kon met dat geld haar ideële doelstelling ondersteunen, namelijk meer doen voor de bevordering van het tennisspel. Daarnaast had de tennisbond er alles aan gedaan om dit goed te regelen. De statuten waren erop aangepast, de ledenvergadering had erover gestemd en er was veel aan voorlichting gedaan, waarbij leden voor een opt-out konden kiezen. Toch is de AP van mening dat er toestemming had moeten zijn van elk individueel lid voor deze verwerking. De tennisbond is in beroep gegaan tegen het besluit.

Commentaar procesverloop

Waarom de AP nu juist de tennisbond beboet die zo zijn best heeft gedaan om het juist goed te regelen vind ik – op zijn zachtst gezegd - verrassend. Er moeten partijen zijn die het een stuk minder nauw nemen met de regels. Ook slaat het boetebesluit op meerdere plekken de bal mis.[10] Zo gaat de AP uit van de statische gedachte dat een verwerkingsdoel nooit kan worden gewijzigd, terwijl de huidige (en logische) praktijk is dat partijen juist wel een verwerkingsdoel wijzigen, omdat de wereld om ons heen verandert. Daarbij moet er natuurlijk wel voor gezorgd worden dat alle privacyregels worden nageleefd, waarvan tijdig informeren en een opt-out beiden belangrijke zaken zijn. Daarnaast wordt er niets gedaan met de – in dit geval – botsende grondrechten van ‘vrijheid van vereniging’ en het recht op privacy.

Bij Voetbal TV kun je de vraag stellen of het opnemen en uitzenden van amateurwedstrijden, zeker van minderjarigen, de toets van de belangenafweging kan doorstaan. Voetbal TV[11] heeft er wel van alles aan gedaan om mitigerende maatregelen voor betrokkenen te implementeren. Die zijn niet meegenomen omdat de AP überhaupt geen belangenafweging heeft uitgevoerd. De AP stopt bij haar eigen interpretatie uit de normuitleg dat geld verdienen (om daarmee het amateurvoetbal toegankelijker te maken voor iedereen) geen beschermenswaardig belang is dat uit de wet voortvloeit.

Algemene beginselen van behoorlijk bestuur

Nog even iets over het tijdsverloop in deze zaken. De beide uitspraken zijn van net na publicatie van de normuitleg, maar gaan over feiten van voor die datum. Ik zit niet goed in mijn bestuursrecht, maar het lijkt erop dat de AP hiermee diverse algemene beginselen van behoorlijk bestuur schendt, zoals het zorgvuldigheidsbeginsel,[12] het motiveringsbeginsel,[13] het vertrouwensbeginsel en de rechtszekerheid.[14] De KNLTB stelt vertrouwd te hebben op een informatieblad van het CBP (voorloper van de AP), waarin vrij letterlijk staat[15] dat wat de KNLTB heeft gedaan, was toegestaan. De AP veegt dit van tafel met de mededeling dat het informatieblad niet meer op de site staat en dat er ‘dus’ niet van mocht worden uitgegaan dat de AP nog hetzelfde standpunt had. Maar hoe had de tennisbond dat moeten weten vóór de publicatie van de normuitleg?

Bij Voetbal TV heeft de AP handhaving aangekondigd, maar niet uitgevoerd, zodat Voetbal TV met het water aan de lippen zelf maar naar de rechter is gestapt.

Toestemming of gerechtvaardigd belang, wat heb je liever?

De AP is met de normuitleg ten strijde gegaan tegen het gebruik van gerechtvaardigd belang met een commercieel tintje. Zij is een weg ingeslagen waarbij toestemming blijkbaar als heilige graal wordt gezien en gerechtvaardigd belang als minderwaardig wordt beschouwd. Waarschijnlijk heeft de AP het idee dat de grondslag ‘toestemming’ aan betrokkenen de meeste controle geeft. Maar is dat zo? Ik betwijfel dat.

Er zijn talloze verwerkingen waarbij toestemming vragen niet goed mogelijk is. Neem nu Voetbal TV: als je video-opnamen van sportwedstrijden wilt uitzenden, is het ondoenlijk om toestemming te vragen van iedereen die in beeld kan komen (spelers en publiek).

Gek genoeg hebben juist grote bedrijven een voordeel bij toestemming. Omdat ze groot zijn, kunnen ze toestemming heel goed inregelen en in ruil voor gratis diensten toestemming vragen om geld te verdienen met persoonsgegevens. Een MKB-er heeft veel minder mogelijkheden om zo’n deal te sluiten. En ja, welke zunige Hollander gaat er nu niet voor gratis diensten en een onzichtbaar verlies van privacy, tegenover betaalde dienstverlening. Oneerlijke concurrentie ligt op de loer.

Een betrokkene is ook maar een mens en het vlees is zwak. Toestemming is daarom gemakkelijk gegeven als de verleiding groot is, bijvoorbeeld voor een gratis dienst, toegang tot nuttige informatie, korting, en gebrek aan tijd (en zin) om te lezen waarvoor je nu eigenlijk toestemming geeft. Waar het in andere rechtsgebieden gebruikelijk is om mensen te beschermen tegen negatieve effecten voor zichzelf[16] door bepaalde handelingen te verbieden, geldt dat in het databeschermingsrecht niet. Daar wordt toestemming, ook door de AP, verheven tot het hoogste goed, ook als dit schadelijk kan zijn voor het individu.

Bij toepassing van de gerechtvaardigd-belanggrondslag[17] moeten verantwoordelijken een belangenafweging maken (en documenteren) die vervolgens getoetst kan worden door een rechter of toezichthouder. Dat voordeel van die toetsing wordt mijns inziens zwaar onderschat. Door te toetsen of een bedrijf op de juiste manier alle belangen heeft afgewogen kan de rechter bedrijven corrigeren. Bij toestemming kan een rechter dat niet. Een betrokkene is immers zelf vrij om te bepalen waar hij ja op zegt. Ik begrijp dan ook niets van het beleid van de AP om de grondslag gerechtvaardigd belang zo smal mogelijk te willen interpreteren, zodat vaker toestemming gevraagd moet worden. Je kunt je daarbij afvragen of de AP door het leggen van nadruk op toestemming in plaats van  gerechtvaardigd belang de (zwakkere) betrokkenen wel zo’n dienst bewijst.

Hoe mooi zou het zijn als de AP niet in beroep maar in gesprek zou gaan met de markt om samen te onderzoeken hoe we als maatschappij om willen gaan met de belangenafweging die art. 6 sub f meebrengt. Daarbij zullen zich ongetwijfeld ingewikkelde vragen voordoen. Maar de antwoorden zullen leiden tot duidelijker kaders voor het maken van de belangenafweging, een meer gelijk speelveld en een betere bescherming van de betrokkene. Als de AP niet bereid is om die ingewikkelde vragen te onderzoeken, had zij beter een andere tak van sport kunnen kiezen.

Eindnoten

[3] Het heeft niet mogen baten: inmiddels is Voetbal TV failliet.

[4] Rechtbank Midden-Nederland 23 november 2020, ECLI:NL:RBMNE:2020:5111 .

[5] Onder andere: HvJ inzake Fashion ID, ECLI:EU:C:2019:629

[6]  Advies 06/2014 over het begrip "gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke" in artikel 7 van Richtlijn 95/46/EG, Groep Gegevensbescherming Artikel 29, 9 april 2014.

[7] Overweging 47 AVG.

[8] Zie bijvoorbeeld het arrest van het HvJ, inzake ASNEF, 24 november 2011, nrs. C-468/10 en C-469/10, ECLI:EU:C:2011:777, para. 48 en het arrest inzake M5A-ScaraA, 11 december 2019, nr. C-708/18, ECLI:EU:C:2019:1064, punt 53.

[9] Boete voor tennisbond vanwege verkoop van persoonsgegevens, Autoriteit Persoonsgegevens, 3 maart 2020. 

[10] Zie voor een uitgebreid commentaar op het boetebesluit een mooi artikel:´KNLTB-boete: wie kaatst kan de bal verwachten of toch een misslag?’, Mark Jansen, Computerrecht 2020/180.

[11] Zie de website Voetbaltv.nl.

[12] De overheid moet een besluit zorgvuldig voorbereiden en nemen: correcte behandeling van de burger, zorgvuldig onderzoek naar de feiten en belangen, procedure goed volgen en deugdelijke besluitvorming (art. 3:2 Awb)

[13] De overheid moet haar besluiten goed motiveren: de feiten moeten kloppen en de motivering moet logisch en begrijpelijk zijn (art. 3:46 Awb).

[14] Zie randnummer 145 van het boetebesluit.

[15] Daar staat in: “Verstrekken van persoonsgegevens aan personen en bedrijven buiten de vereniging, zoals een sponsor, mag als de vereniging daarvoor aan zijn leden toestemming heeft gevraagd. […] Als het gaat om activiteiten die voor de vereniging gebruikelijk zijn of zijn goedgekeurd door de ledenvergadering, hoeft geen expliciete toestemming gevraagd te worden aan de leden. Verder kan een vereniging gegevens verstrekken aan bedrijven ten behoeve van direct marketing. De vereniging mag dan alleen als de leden gedurende een redelijke termijn in de gelegenheid zijn gesteld om hiertegen verzet aan te tekenen.” De quote komt uit het boetebesluit van de KNLTB. Het informatieblad zelf is verwijderd van de site.

[16] Denk aan het arbeidsrecht, consumentenrecht, of een verbod op geld vragen voor bloeddonatie.

[17] Zie voor een pleidooi dat toetsing aan de hand van het gerechtvaardigd belang bij verwerking van persoonsgegevens een effectievere privacybescherming oplevert dan toetsing aan het doel van de verwerking het preadvies van Prins en Moerel voor de NJV,  Privacy voor de homo digitalis, 2016. 

Titel, auteur en bron

Titel

De AP snapt er geen bal van: Waarom toestemming de betrokkene minder beschermt dan het ‘gerechtvaardigd belang’

Auteur(s)

Sylvia Huydecoper

Bron

OpenRecht, 25 januari 2021, JCDI:ALT598:1

Permanente link

Huidige versie

https://www.openrecht.nl?jcdi=JCDI:ALT598:1