Spring naar content

De AP stelt na onderzoek dat de KNLTB, in strijd met de AVG, persoonsgegevens van zijn leden heeft verstrekt aan twee van zijn sponsors. De sponsors hebben deze gegevens gebruikt voor een eigen promotionele actie. De AP maakt in haar boetebesluit een onderscheid tussen leden die voor en na 2007 lid zijn geworden. In 2007 nam de ledenraad van de KNLTB het besluit de NAW-gegevens van zijn leden te gaan verstrekken tegen vergoeding. Vanaf dat moment ontstond er dus juridisch gezien een nieuwe situatie.

Voor de situatie na 2007 stelt de AP dat het doel ‘het genereren van inkomsten door het verstrekken van ledengegevens ten behoeve van hun direct marketingactiviteiten’ niet gerechtvaardigd is. Over het verstrekken van gegevens van leden die lid zijn geworden vóór 2007 stelt de AP dat het niet verenigbaar is met de verzameldoelen die toen waren geformuleerd. In dit artikel vat onze legal counsel Sara Mosch het besluit van de toezichthouder samen

Zo interpreteert de AP het gerechtvaardigd belang

De boete die de AP de KNLTB oplegt is in lijn met de eerder gepubliceerde ‘Normuitleg Gerechtvaardigd Belang’ van de toezichthouder. In het besluit stelt de AP dat een belang alleen gerechtvaardigd is als die belangen in wetgeving of elders in het recht zijn benoemd als rechtsbelang dat in beginsel afgedwongen kan worden. Dit betekent dat er een duidelijk omschreven (geschreven of ongeschreven) rechtsregel of -beginsel moet bestaan. Het belang om persoonsgegevens te gelde te kunnen maken kwalificeert volgens de AP op zichzelf niet als een gerechtvaardigd belang. “In zekere zin heeft iedereen overal altijd wel belang bij het hebben van meer geld.”

Een logische gedachte is dat organisaties een afweging moeten maken tussen het bedrijfsbelang en het privacybelang van de betrokkenen, zoals de KNLTB ook gedaan heeft. Maar door de hierboven omschreven interpretatie van de AP kom je aan deze belangenafweging helemaal niet toe. Dit is opmerkelijk, omdat deze interpretatie van het gerechtvaardigd belang af lijkt te wijken van de AVG en jurisprudentie van het Europese Hof van Justitie, waarin commerciële belangen wel worden aangemerkt als gerechtvaardigd. Bovendien wijkt de AP hiermee af van de zienswijze van andere Europese Toezichthouders, terwijl de Europese Commissie zich eerder duidelijk heeft uitgesproken voor harmonisatie van AVG-regels in de verschillende lidstaten, onder meer omdat anders een ongelijk speelveld voor organisaties ontstaat.

Gevolgen van deze interpretatie van het gerechtvaardigd belang voor organisaties en consumenten

Het gevolg van de interpretatie van het gerechtvaardigd belang door de AP is dat voor veel commerciële verwerkingen het vragen van toestemming het enige alternatief wordt. DDMA vreest dat dit een remmend effect zal hebben op de gebruiksvriendelijkheid en ontwikkeling van producten en diensten in veel sectoren. Ook wordt het lastiger om nieuwe klanten aan te trekken, als (startende) ondernemers telkens eerst toestemming moeten vragen voordat zij potentiële klanten een aanbieding kunnen doen. Dit geldt nog sterker voor ondernemers in het MKB of non-profitorganisaties.

DDMA is er daarnaast van overtuigd dat ook consumenten hier nadelige gevolgen van ondervinden. Zijn privacybelangen beter gewaarborgd als consumenten telkens om toestemming wordt gevraagd voor het gebruik van persoonsgegevens (in plaats van hen goed te informeren en een opt-out aan te bieden)? We hebben met de cookiebepaling gezien dat het vragen van toestemming helemaal niet zorgt voor meer bescherming van de consument. Sterker nog, het leidt vooral tot een slechte gebruikerservaring en toestemmingsmoeheid (consent fatigue). Door de grote hoeveelheid toestemmingsvragen zie je nu namelijk dat mensen alles achteloos wegklikken, zonder de voorwaarden te lezen.

Hier maakt DDMA zich hard voor

DDMA wil dat de AP organisaties ruimte geeft om een zorgvuldige afweging te maken tussen het commerciële belang van de eigen onderneming en de privacybelangen van de personen van wie de gegevens worden verwerkt. Deze verantwoordelijkheid krijgen organisaties ook van de AVG. De toezichthouder zou daarom de uitkomst van deze belangenafweging tussen bedrijfsbelang en privacybelang moeten toetsen, in plaats van ervoor te zorgen dat bedrijven die afweging überhaupt niet meer maken, en de verantwoordelijkheid bij de consument neerleggen. DDMA maakt zich er hard voor dat deze afwegingsruimte blijft bestaan en verwacht dat de Europese Toezichthouder de zienswijze van de AP niet ondersteunt en organisaties deze ruimte wel blijft geven.

DDMA is hierbij uiteraard van mening dat niet zomaar alles mogelijk moet zijn. Verantwoord gebruik van data is de absolute norm. DDMA maakt zich er sterk voor dat alle bedrijven en organisaties die bij ons zijn aangesloten bij iedere verwerking van data stilstaan bij de consequenties van het datagebruik voor mens en maatschappij. Daarom starten we onder meer volgende week met workshops waarin het organisaties handvatten geeft om het gesprek over ethiek en data op verschillende niveaus in de organisaties te voeren.

DDMA houdt de ontwikkelingen rond het gerechtvaardigd belang in de gaten. Meer weten over de stappen die DDMA neemt op dit vlak richting de toezichthouder en de politiek? Neem contact op met manager public affairs Mariet Feenstra.

Voor juridische vragen over dit onderwerp kun je terecht bij legal@ddma.nl.

Ook interessant

Lees meer
AVG |

Privacykoepel deelt richtlijnen voor ‘consent or pay’ model voor grote online platformen

Meta introduceerde eind vorig jaar de nieuwe ‘consent or pay’ banner. Naar aanleiding van deze wijziging komt de koepel van Europese privacytoezichthouders onder leiding van de Nederlandse Autoriteit Persoonsgegevens (AP)…
Lees meer
AVG |

Europees Hof: IAB Europe aansprakelijk voor TCF-cookiebanners

De hoogste Europese rechter oordeelde recentelijk dat IAB Europe verwerkingsverantwoordelijke is bij de inzet van het Transparency and Consent Framework. Daarmee lijkt IAB niet onder de boete uit te kunnen…
Lees meer
AVG |

Verbod gepersonaliseerd adverteren voor Facebook en Instagram: wat is de impact?

De koepel van Europese privacytoezichthouders (EDPB) eist een dringend verbod voor het verwerken van persoonsgegevens door Meta voor advertentiedoeleinden. Het huidige systeem van gepersonaliseerde advertenties voor Facebook en Instagram is…