Inleiding
De Autoriteit Persoonsgegevens (hierna: AP) kwam de laatste maanden veel in het nieuws vanwege de forse boetes die zijn uitgedeeld aan (inter)nationale bedrijven. In een aantal gevallen was de AP van mening dat de bedrijven geen gerechtvaardigd belang hadden bij de verwerking van persoonsgegevens.[1] Zo ook in 2019, toen de AP de Koninklijke Nederlandse Lawn Tennis Bond (hierna: KNLTB) een boete gaf voor het onrechtmatig verwerken van persoonsgegevens van haar leden.[2] Volgens de AP is een zuiver commercieel belang niet aan te merken als een gerechtvaardigd belang in de zin van art. 6 lid 1 onder f van de Algemene Verordening Gegevensbescherming (hierna: AVG).[3] De zaak is momenteel nog aanhangig bij de rechter, die prejudiciële vragen heeft gesteld over de uitleg van dit begrip.[4] In deze update wordt uitgelegd wat een gerechtvaardigd belang in de zin van de AVG inhoudt en of een zuiver commercieel belang kan worden aangemerkt als een gerechtvaardigd belang.
Een gerechtvaardigd belang
Een van de belangrijkste grondrechten, namelijk het recht op eerbiediging van de privésfeer, wordt door onder meer de AVG beschermd. Het verwerken van persoonsgegevens vormt derhalve een inbreuk op dit grondrecht en is in beginsel onrechtmatig. Als een verwerkingsverantwoordelijke kan beargumenteren dat de verwerking rechtmatig was in de zin van art. 6 AVG, levert dit geen inbreuk op. Onder meer verwerking op basis van toestemming of een gerechtvaardigd belang kunnen een rechtmatige verwerking van persoonsgegevens opleveren.[5]
Bij de verwerking op grond van een gerechtvaardigd belang als bedoeld in art. 6 lid 1 onder f AVG speelt de vraag of een (zuiver) commercieel belang kan worden aangemerkt als noodzakelijk voor de behartiging van dit gerechtvaardigd belang. In overweging 47 van de preambule van de AVG is te lezen dat een gerechtvaardigd belang aanwezig is indien er sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke. Tevens moet worden nagegaan of de betrokkene op het tijdstip van de afgifte van de persoonsgegevens redelijkerwijs had mogen verwachten dat verwerking met dat specifieke doel zou plaatsvinden. Er is een zorgvuldige beoordeling nodig om na te gaan of er sprake is van een gerechtvaardigd belang. Wat volgens de preambule in ieder geval kan worden aangemerkt als een gerechtvaardigd belang, zijn de verwerking van gegevens die strikt noodzakelijk zijn voor fraudevoorkoming en de verwerking voor ‘direct marketing’ doeleinden. In een zaak over een boete van de AP aan VoetbalTV concludeert de Afdeling Bestuursrechtspraak van de Raad van State dat een combinatie van commerciële belangen en belangen van andere aard kunnen worden aangemerkt als gerechtvaardigde belangen in de zin van de AVG.[6]
De AP heeft in 2019 een normuitleg gepubliceerd waarin zij uiteenzet hoe het gerechtvaardigd belang moet worden toegepast.[7] De AP interpreteert deze grond zodanig dat een zuiver commercieel belang nooit kan leiden tot een gerechtvaardigd belang.[8] Op deze strenge uitleg kwam kritiek. De Europese Commissie riep in een brief op om de normuitleg aan te passen conform Europees recht.[9] De Commissie stelt zich op het standpunt dat een minder restrictieve uitleg er niet meteen voor zorgt dat bedrijven zich altijd kunnen beroepen op art. 6 lid 1 onder f AVG zodra zij een commercieel belang nastreven.[10] Dit klopt, want de AVG voorziet in twee andere toetsen die moeten worden doorstaan bij een beroep op het gerechtvaardigd belang. Uit vaste rechtspraak van het Europees Hof blijkt dat de verwerkingsverantwoordelijke bij de verwerking op de grondslag van het gerechtvaardigd belang moet voldoen aan de volgende drie eisen: (I) er moet sprake zijn van behartiging van een gerechtvaardigd belang, (II) er moet worden getoetst of verwerking voor dat gerechtvaardigde belang noodzakelijk is en (III) er moet een belangenafweging gemaakt worden tussen de belangen van de verwerkingsverantwoordelijke en de belangen en grondrechten van diegene van wie de gegevens worden verwerkt.[11]
“Ons standpunt was dat alleen een commercieel belang niet genoeg is om jouw persoonlijke data te verzamelen en te verkopen zonder jouw toestemming.” Aleid Wolfsen (voorzitter AP). [12]
De AP heeft aan deze brief geen gehoor gegeven en de normuitleg staat momenteel nog steeds in dezelfde versie online. De privacy-waakhond heeft sindsdien enkele forse boetes uitgedeeld aan (inter)nationale bedrijven die beroep hebben gedaan op het gerechtvaardigd belang. Volgens de AP ontbrak dit belang omdat een zuiver commercieel belang nooit kan worden aangemerkt als een gerechtvaardigd belang.
Prejudiciële vragen Europees Hof van Justitie
De KNLTB heeft zonder toestemming, maar in het kader van ‘gerechtvaardigd belang’ persoonsgegevens van leden gedeeld met sponsoren, namelijk een onderneming die sportartikelen verkoopt en een aanbieder van kansspelen, die daarmee beogen reclameboodschappen en aanbiedingen naar leden te versturen.[13] De AP heeft naar aanleiding hiervan een boete gegeven, omdat hier sprake zou zijn van een zuiver commercieel belang dat niet als gerechtvaardigd belang kan worden aangewezen.
De rechtbank Amsterdam kon niet zonder twijfel oordelen of sprake is van een gerechtvaardigd belang ingevolge art. 6 lid 1 onder f AVG.[14] Enerzijds zou de rechtbank kunnen aansluiten bij een eerdere uitspraak van rechtbank Midden-Nederland, waaruit voortvloeit dat de meeste belangen onder het gerechtvaardigd belang kunnen worden geschaald.[15] Aan de andere kant stelt de rechtbank dat een dergelijke uitleg niet strookt met de hoge mate van bescherming die de AVG beoogt te bieden.[16] Daarom heeft de rechtbank prejudiciële vragen gesteld aan het Europees Hof van Justitie. Met de hamvraag: Kan een zuiver commercieel belang worden aangemerkt als gerechtvaardigd belang?[17]
Het Europees Hof sluit niet uit dat een (zuiver) commercieel belang van de verwerkingsverantwoordelijke, zoals hiervoor genoemd, kan worden aangemerkt als een gerechtvaardigd belang in de zin van art. 6 lid 1 onder f AVG.[18] Hier wordt aan toegevoegd dat dit per zaak anders kan zijn en moet worden getoetst aan de hand van de omstandigheden van dat specifieke geval.[19] Dit betekent dus dat een (zuiver) commercieel belang wel degelijk als gerechtvaardigd belang kan worden aangenomen en daarmee is de uitleg die de AP hanteert inderdaad te streng.
Tot slot
De vraag dringt zich op of het nu zonder meer mogelijk is om persoonsgegevens te verwerken voor een uitsluitend commercieel belang. Een verwerkingsverantwoordelijke moet naast het benoemen dat hij een gerechtvaardigd belang heeft, beargumenteren dat deze verwerking noodzakelijk was voor dat specifieke belang. Verder moet hij aantonen dat zijn eigen belangen zijn afgewogen met de belangen van diegene van wie de gegevens worden verwerkt. Het enkele feit dat een (zuiver) commercieel belang kan worden aangewezen als gerechtvaardigd belang, betekent dus niet meteen dat de andere twee toetsen worden doorstaan. De rechtbank Amsterdam zal in de concrete zaak tussen de AP en KNLTB moeten oordelen of het commercieel belang dat de KNLTB had, ook kan worden aangemerkt als gerechtvaardigd belang.
Auteur: M. van Dieren
1. Zie onder meer ‘AP pakt opnieuw multinational aan met forse boete en sancties’, FD.nl, 30 oktober 2024.
2. Zie onder meer ‘Boete voor tennisbond vanwege verkoop van persoonsgegevens’, autoriteitpersoonsgegevens.nl, 3 maart 2020.
3. Normuitleg grondslag ‘gerechtvaardigd belang’, Autoriteit Persoonsgegevens, 2020.
4. Hof van Justitie 4 oktober 2024, Case C-621/22, ECLI:EU:C:2024:858.
5. Zie art. 6 lid 1 Algemene Verordening Gegevensverwerking.
6. Hof van Justitie 4 oktober 2024, Case C-621/22, ECLI:EU:C:2024:858.
7. Normuitleg grondslag ‘gerechtvaardigd belang’, Autoriteit Persoonsgegevens 2020.
8. Normuitleg grondslag ‘gerechtvaardigd belang’, Autoriteit Persoonsgegevens 2020.
9. Brief van de Europese Commissie, directoraat-generaal Justitie en consumentenzaken (DG JUST) d.d. 6 maart 2020, ref. Ares (2020) 1417369. Geraadpleegd via: https://static.nrc.nl/2022/pdf/letter-dutch-dpa-legitimate-interest.pdf.
10. Brief van de Europese Commissie, directoraat-generaal Justitie en consumentenzaken (DG JUST) d.d. 6 maart 2020, ref. Ares (2020) 1417369. Geraadpleegd via: https://static.nrc.nl/2022/pdf/letter-dutch-dpa-legitimate-interest.pdf.
11. Zie onder meer Hof van Justitie, C-40/17, ECLI:EU:C:2019:629, rov. 95 (Fashion ID).
12. ‘Aleid Wolfsen: ‘Bij twijfel is het voordeel burger en niet voordeel overheid’’, FD.nl, 2 november 2024.
13. Hof van Justitie 4 oktober 2024, Case C-621/22, ECLI:EU:C:2024:858, rov. 47.
14. Rechtbank Amsterdam 22 september 2022, ECLI:NL:RBAMS:2022:5565, rov. 5.2.
15. Rechtbank Amsterdam 22 september 2022, ECLI:NL:RBAMS:2022:5565, rov. 5.3.
16. Rechtbank Amsterdam 22 september 2022, ECLI:NL:RBAMS:2022:5565, rov. 5.4.
17. Rechtbank Amsterdam 22 september 2022, ECLI:NL:RBAMS:2022:5565, rov. 6.
18. Hof van Justitie 4 oktober 2024, Case C-621/22, ECLI:EU:C:2024:858., rov. 48.
19. Hof van Justitie 4 oktober 2024, Case C-621/22, ECLI:EU:C:2024:858., rov. 49.