AVG-boete van 525.000 euro voor KNLTB - Samenvatting van het AP-besluit

De AP stelt na onderzoek dat de KNLTB, in strijd met de AVG, persoonsgegevens van zijn leden heeft verstrekt aan twee van zijn sponsors. De sponsors hebben deze gegevens gebruikt voor een eigen promotionele actie. De AP maakt in haar boetebesluit een onderscheid tussen leden die voor en na 2007 lid zijn geworden. In 2007 nam de ledenraad van de KNLTB het besluit de NAW-gegevens van zijn leden te gaan verstrekken tegen vergoeding. Vanaf dat moment ontstond er dus juridisch gezien een nieuwe situatie.

Voor de situatie na 2007 stelt de AP dat ‘het genereren van inkomsten door het verstrekken van ledengegevens ten behoeve van hun direct marketingactiviteiten’ niet gerechtvaardigd is. Over het verstrekken van gegevens van leden die lid zijn geworden vóór 2007 stelt de AP dat het niet verenigbaar is met de verzameldoelen die toen waren geformuleerd. Hieronder licht ik het besluit van de toezichthouder uitgebreider toe.

Benieuwd naar het standpunt van DDMA over de interpretatie van het gerechtvaardigd belang door de AP? Lees hier verder.

Leden na 2007: Gerechtvaardigd belang is geen rechtmatige grondslag

De ledenraad van de KNLTB heeft in 2007 ingestemd met het voorstel om NAW-gegevens te verstrekken voor briefpostacties, ter uitbreiding van de communicatiemogelijkheden van KNLTB-sponsors. In 2017 heeft ledenraad ook toestemming gegeven voor het verstrekken van telefoonnummers aan sponsors voor telemarketingdoeleinden. Door deze besluiten bestaat er vanaf 2007 een verzameldoel dat door de AP wordt beschreven als ‘het genereren van inkomsten door het verstrekken van ledengegevens ten behoeve van hun direct marketingactiviteiten’. Dit nieuwe verzameldoel wordt op de rechtsgrond ‘gerechtvaardigd belang’ gebaseerd.

Voor een geslaagd beroep op de grondslag van het gerechtvaardigd belang moet aan drie voorwaarden zijn voldaan. De verwerking moet noodzakelijk zijn voor de behartiging van het belang, het belang van de betrokkene mag niet zwaarder wegen, maar in de eerste plaats moet het belang gekwalificeerd kunnen worden als ‘gerechtvaardigd’.

In het besluit stelt de AP dat een belang alleen gerechtvaardigd is als die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als rechtsbelang dat in beginsel afgedwongen kan worden. Dit betekent dat er een duidelijk omschreven (geschreven of ongeschreven) rechtsregel of -beginsel moet bestaan. Het belang om persoonsgegevens te gelde te kunnen maken kwalificeert op zichzelf niet als een gerechtvaardigd belang, vindt de AP. “In zekere zin heeft iedereen overal altijd wel belang bij het hebben van meer geld.”

De KNLTB verweert zich hiertegen omdat hun belang niet gaat om zuiver commerciële belangen, maar (onder andere) ook om het belang van het terugdringen van de verminderde inkomsten door dalende ledenaantallen. De rechtsregel waar de KNLTB dit aan hangt is de vrijheid van ondernemerschap. Dit fundamentele recht gaat onder meer over de vrijheid om economische of handelsactiviteiten uit te oefenen. Volgens de AP is dit belang onvoldoende concreet en rechtstreeks om te kunnen kwalificeren als gerechtvaardigd belang. Zodoende stelt de toezichthouder dat voor de verstrekking van gegevens van leden die na 2007 zijn toegetreden geen rechtmatige grondslag bestond.

Leden voor 2007: Verwerking niet verenigbaar met het verzameldoel

Voor de verstrekking van persoonsgegevens heeft de KNTLB een rechtsgrond en een doeleinde nodig. Als het doeleinde van de verdere verwerking verenigbaar is met een van de verzameldoelen, is er voor de verdere verwerking geen afzonderlijke rechtsgrond vereist. Maar omdat er geen toestemming is verkregen en de verwerking niet berust op een wettelijke bepaling, is de verdere verwerking onrechtmatig vanwege het ontbreken van een rechtsgrond. Een verdere verwerking is niet onrechtmatig als het nieuwe doel verenigbaar is met het verzameldoel.

In de KNLTB-statuten van 2005 stelt de KNLTB persoonsgegevens oorspronkelijk te hebben verzameld ten behoeve van de uitvoering van de lidmaatschapsovereenkomst. Het doel om (extra) inkomsten te genereren door verstrekking aan sponsors is hiermee niet verenigbaar.

In de statuten uit 2005 staat ook dat persoonsgegevens worden verzameld om deze te verstrekken aan derden. Een doeleinde van een verwerking moet altijd in overeenstemming met het recht (gerechtvaardigd) zijn en zo duidelijk zijn geformuleerd dat het helder is in hoeverre de verwerking echt nodig is voor het doeleinde. Omdat verder niet in de statuten staat wie deze derden zijn of waarvoor deze derden de gegevens zullen gebruiken, stelt de AP zich op het standpunt dat deze doelen niet duidelijk genoeg omschreven zijn. Leden konden niet uit deze informatie halen dat hun persoonsgegevens verstrekt zouden worden aan sponsors. Zodoende stelt de toezichthouder dat voor leden die vóór 2007 zijn toegetreden de verstrekking een onverenigbare verdere verwerking van het verzameldoel is geweest.

De KNLTB heeft bezwaar gemaakt tegen het boetebesluit. De AP zal dit gaan beoordelen. DDMA houdt de ontwikkelingen rond dit besluit specifiek en rond het gerechtvaardigd belang in het algemeen in de gaten. Ons standpunt over de KNLTB-boete lees je hier. Heb je vragen? Stuur een mail naar legal@ddma.nl. 

Sara Mosch

Legal counsel