De Autoriteit Persoonsgegevens legt de Koninklijke Nederlandse Lawn Tennis Bond een boete op

17 april 2020 | Blog

De Autoriteit Persoonsgegevens ("AP") heeft een boete van € 525.000,- aan de Koninklijke Nederlandse Lawn Tennis Bond (“KNLTB”) opgelegd. De AP heeft deze boete uitgedeeld aan de bond omdat zij onrechtmatig tegen betaling persoonsgegevens van een paar honderdduizend leden heeft verstrekt aan twee sponsors. De sponsors hebben de gegevens gebruikt voor het aanbieden van promotionele acties aan de leden van de KNLTB.

Verkoop persoonsgegevens

De KNLTB heeft in 2007 besloten om persoonsgegevens van leden aan een sponsor te verstrekken ten behoeve van reclame per post, en aan het einde van 2017 ten behoeve van benadering per telefoon/telemarketing. Hierover later meer. De verkoop van persoonsgegevens vond plaats in 2018. De KNLTB verkocht de persoonsgegevens om meerwaarde te creëren voor het lidmaatschap en extra inkomsten te genereren om de dalende contributie-inkomsten door teruglopende ledenaantallen op te vangen. De verkoop betreft een bestand met adresgegevens van 50.000 leden aan sponsor ‘A’ en een bestand met persoonsgegevens (onder andere telefoonnummer, e-mailadres, adresgegevens en geboortedatum) van 314.846 leden aan sponsor ‘B’.

De door sponsor ‘A’ ontvangen persoonsgegevens zijn na ontvangst doorgezonden aan een bedrijf dat de adressen op kortingsflyers heeft gedrukt en bij de leden heeft bezorgd. Een deel van de door sponsor ‘B’ ontvangen persoonsgegevens zou door deze sponsor worden gebruikt om leden telefonisch te benaderen met een aanbieding (hierna tezamen aangeduid als “sponsors”).

Constateringen AP

De AP zet in haar rapport, kortweg, drie constateringen uiteen. Ten eerste constateert de AP dat het verzamelen van persoonsgegevens van leden door KNLTB rechtmatig was, omdat deze persoonsgegevens noodzakelijk waren voor de uitvoering van de lidmaatschapsovereenkomst. Ten tweede constateert de AP dat de leden geen toestemming hebben gegeven voor het doorgeven van de persoonsgegevens aan de sponsors, terwijl is gebleken dat voor de verdere verwerking dat wel nodig was geweest. Ten derde constateert de AP dat voor een deel van de verzamelde persoonsgegevens het doel van het verzamelen niet verenigbaar was met het doel van verstrekken aan de sponsors.

Ingevolge de AVG mogen persoonsgegevens slechts worden verwerkt als daar een grondslag voor bestaat. Voorts mogen persoonsgegevens volgens de AVG slechts worden verwerkt voor het doel waarvoor deze aanvankelijk zijn verzameld, of voor een doel dat verenigbaar is met het oorspronkelijke verwerkingsdoel. De AP heeft de verenigbaarheid getoetst aan de hand van een aantal factoren zoals het kader waarin de persoonsgegevens zijn verzameld. Voor een deel van de verzamelde persoonsgegevens constateert de AP dat deze verwerking niet verenigbaar is met het doel van het verstrekken ervan aan de sponsors. Voor het andere deel van de verstrekte persoonsgegevens constateert de AP dat de verstrekking aan sponsors niet had mogen worden gebaseerd op de grondslag ‘gerechtvaardigd belang’.

De KNLTB is van mening dat de verwerking van persoonsgegevens ten behoeve van het genereren van extra inkomsten noodzakelijk is voor de behartiging van zijn gerechtvaardigde belangen aangezien het ledenaantal (dito inkomsten) de afgelopen jaren sterk is gedaald. De KNLTB is daarnaast van mening van de AP eraan voorbij gaat dat het belang van de KNLTB is terug te voeren op de AVG. In overweging 47 van de considerans bij de AVG wordt namelijk vermeld dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.

AP over grondslag ‘gerechtvaardigd belang’

Bij een geldig beroep op de grondslag ‘gerechtvaardigd belang’ moet aan een drietal voorwaarden zijn voldaan: (a) het belang van de verwerkingsverantwoordelijke moet een gerechtvaardigd belang zijn, waarbij (b) de verwerking noodzakelijk is om dat belang te kunnen behartigen. Vervolgens moet (c) een zgn. ‘balancing test’ plaatsvinden, dat wil zeggen dat een afweging moet worden gemaakt tussen het belang van de verwerkingsverantwoordelijke en het belang van de betrokkene. Wij achten het opmerkelijk dat de AP aan deze belangenafweging niet eens toekomt omdat volgens de AP het belang van de KNLTB niet gerechtvaardigd is. De AP stelt zich onder andere op het standpunt dat het enkele belang persoonsgegevens te gelde te kunnen maken c.q. daar winst mee te kunnen maken op zichzelf geen gerechtvaardigd belang is (“in zekere zin heeft iedereen overal altijd wel belang bij het hebben van meer geld”, aldus de AP). Hoewel bij de verwerking op grond van toestemming en overeenkomst beperkingen zijn aan de commerciële mogelijkheden, gaat het bij de verwerking op grond van een gerechtvaardigd belang in de kern om verwerkingen buiten de wil van de betrokkene om. De gedachte dat het in beginsel zou zijn toegestaan om inkomsten te genereren door op eigen gezag inbreuk te maken op andermans grondrechten staat hier volgens de AP haaks op het uitgangspunt dat de betrokkene grip op zijn gegevens zou moeten hebben.

Gerechtvaardigde belangen hebben volgens de AP een min of meer dringend en specifiek karakter dat uit een rechtsregel of rechtsbeginsel voortvloeit (het moet tot op zekere hoogte onvermijdbaar zijn dat deze gerechtvaardigde belangen worden behartigd). In die zin zijn zuivere commerciële belangen en winstmaximalisatie onvoldoende specifiek en missen een dringend wettelijk karakter zodat zij niet kunnen worden gekwalificeerd als gerechtvaardigde belangen.

Vervolgens overweegt de AP dat het bij de door de KNLTB gestelde belangen ontbreekt aan een min of meer dringend karakter dat uit een (ongeschreven) rechtsregel of rechtsbeginsel voortvloeit, en dat het belang van de KNLTB bij de verstrekking van de persoonsgegevens aan de sponsors niet kwalificeert als een gerechtvaardigd belang als bedoeld in de AVG.

Tot slot concludeert de AP dat de verstrekkingen ook niet gebaseerd konden worden op een andere wettelijke grondslag uit artikel 6, eerste lid, AVG en daarmee dat de persoonsgegevens onrechtmatig zijn verstrekt.

Opmerking bij beoordeling AP over de grondslag ‘gerechtvaardigd belang’

Hoewel de zojuist uiteengezette visie van de AP in lijn is met haar eerdere normuitleg ten aanzien van de grondslag ‘gerechtvaardigd belang’, is het de vraag of deze interpretatie niet te strikt is. Uit de slotzin van overweging 48 van de AVG volgt bijvoorbeeld immers zonneklaar dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. Bovendien is het de vraag of deze strikte uitleg niet in strijd is met het grondrecht vrijheid van ondernemerschap (zoals opgenomen in het Handvest van de grondrechten van de Europese Unie). Het nastreven van economisch voordeel is een onvermijdelijk uitvloeisel van de uitoefening van de vrijheid van ondernemerschap en dat wordt – gelukkig – ook als gerechtvaardigd gezien. . Met het volgen van de interpretatie van de AP lijkt het nagenoeg onvermijdelijk dat in commerciële situaties enkel de grondslag ‘toestemming’ nog kan worden gebruikt voor (zuiver) commerciële verwerkingen. Die toestemming kan dan altijd ingetrokken worden. Dat geeft inderdaad op het oog maximale grip voor betrokkenen, maar ontneemt het systeem zijn souplesse. Naar ons idee zou het wenselijker zijn wanneer een commercieel belang an sich een gerechtvaardigd belang kan zijn, maar dat wel moet worden getoetst of de (verdere) verwerking rechtmatig is. Dit hangt onder meer af van de vraag of wordt voldaan aan het noodzakelijkheidscriterium en de uitkomst van de afweging tussen het commercieel belang van een bedrijf tegenover het privacybelang van een betrokkene (zie in dit verband ook ons vorige blog: “Autoriteit Persoonsgegevens geeft normuitleg over grondslag “gerechtvaardigd belang”). Overigens gelden specifiek voor direct marketing naast de algemene regels van de AVG ook nog de beperkingen uit de e-privacy richtlijn zoals geïmplementeerd in art. 11.7 Tw.

Boete

Op het overtreden van artikel 6 AVG geldt een boetebandbreedte tussen € 300.000,- en € 750.000,- met een basisboete van € 525.000,-. De basisboete wordt hierbij gezien als een neutraal uitgangspunt. De AP kan vervolgens, conform de Boetebeleidsregels 2019, de hoogte van de boete aanpassen door het bedrag van de basisboete naar boven of naar beneden bij te stellen. De factoren van artikel 7 van de Boetebeleidsregels 2019 in aanmerking nemende en toegepast op de situatie concludeert de AP dat de door de betrokkenen geleden schade beperkt is. De schade is echter niet dusdanig beperkt dat de AP aanleiding ziet om de basisboete te verlagen. Dit resulteert erin dat de AP de basisboete van € 525.000,- handhaaft.

Beroep KNLTB

De KNLTB heeft te kennen gegeven in beroep te zullen gaan tegen de uitspraak van de AP. Om in de woorden van de KNLTB te blijven: “De KNLTB heeft met verbazing kennisgenomen van de boete van €525.000 die is opgelegd door de Autoriteit Persoonsgegevens (AP) wegens vermeende privacy-schendingen. De betreffende acties waarvoor de tennisbond is beboet zijn uitgevoerd binnen het kader van het verenigingsrecht en conform het handboek Sport & Privacy, opgesteld in opdracht van NOC*NSF. De KNLTB vreest dat door de uitspraak de sport duurder wordt en de ondersteuning van verenigingen in gevaar komt. NOC*NSF deelt deze zorg en gesterkt door deze steun verzet de KNLTB zich tegen het besluit van de AP.”

Lees de volledige publicatie hier.

Juridisch advies of meer informatie

Heeft u vragen over de rechtmatigheid van verwerkingen binnen uw organisatie? Wilt u meer weten over de grondslag ‘gerechtvaardigd belang’? Neem dan contact op met Martin Hemmer.

Dit blog is geschreven door Martin Hemmer en Dick Poerink.

Meld u aan voor onze nieuwsbrieven