Een commercieel belang als gerechtvaardigd belang onder de AVG?

Op 4 oktober 2024 heeft het Hof van Justitie van de Europese Unie (HvJ EU) een belangrijke uitspraak gedaan in zaak C‑621/22, betreffende de rechtmatigheid van de verwerking van persoonsgegevens door de KNLTB. Dit arrest verduidelijkt de toepassing van de Algemene Verordening Gegevensbescherming (AVG) wanneer sportbonden persoonsgegevens van hun leden aan sponsoren verstrekken zonder expliciete toestemming van die leden.

Achtergrond van de zaak: de AP en de rechtbank Amsterdam

De kwestie ontstond toen de Autoriteit Persoonsgegevens (AP) een boete uitschreef aan de Nederlandse tennisbond wegens ongeoorloofde verwerking van persoonsgegevens. De tennisbond deelde gegevens van 350.000 leden met sponsoren zoals TennisDirect en de Nederlandse Loterij voor commerciële doeleinden, zonder toestemming van de leden. De KNLTB verdedigde dit zich te beroepen op een "gerechtvaardigd belang" zoals bedoeld in artikel 6 lid 1 sub f van de AVG. Volgens de AP kan direct marketing echter nooit als gerechtvaardigd belang worden beschouwd. De AP legde daarom de KNLTB een boete van 525.000 euro op.

De KNLTB heeft vervolgens beroep ingesteld tegen dat besluit bij de rechtbank Amsterdam. Daar draaide de discussie om de interpretatie van een gerechtvaardigd belang onder artikel 6 lid 1sub f van de AVG. De KNLTB stelde dat het delen van de gegevens was gebaseerd op een gerechtvaardigd belang, namelijk het versterken van de band tussen de KNLTB en haar leden en het bieden van meerwaarde aan het lidmaatschap. Daarbij betoogden zij dat elk belang in principe als gerechtvaardigd kan worden beschouwd, zonder dat dit uit een grondrecht of rechtsprincipe hoeft voort te komen, zolang het belang niet in strijd is met de wet.

Prejudiciële vragen van de rechtbank aan het HvJ EU

De rechtbank Amsterdam heeft naar aanleiding van de discussie over het gerechtvaardigd belang de volgende vragen aan het HvJ EU gesteld:

• Op welke wijze moet de rechtbank de term 'gerechtvaardigd belang' interpreteren volgens artikel 6, lid 1, eerste alinea, onder f) van de AVG?
• Moet die term worden geïnterpreteerd zoals de AP het omschrijft? Betreft het alleen de belangen die wettelijk zijn vastgesteld?
• Kan elk belang een gerechtvaardigd belang zijn zolang het niet wettelijk verboden is? Kan een puur commercieel belang, zoals het verstrekken van persoonsgegevens tegen betaling zonder toestemming, als een gerechtvaardigd belang worden gezien? Zo ja, welke omstandigheden bepalen dit?

Uitspraak van het HvJ EU: hoge bescherming en drie criteria

Het HvJ EU benadrukt dat de AVG tot doel heeft een hoog niveau van bescherming van de fundamentele vrijheden en rechten van natuurlijke personen te waarborgen. Vooral hun recht op privacy volgens artikel 8 van het Handvest en artikel 16 VWEU bij de verwerking van persoonsgegevens is in dit kader van belang.

In zijn arrest bespreekt het HvJ EU drie criteria waaraan moet worden voldaan om van een gerechtvaardigd belang als rechtsgrond voor gegevensverwerking te kunnen spreken. Het HvJ EU heeft ervoor gekozen om specifieke verduidelijkingen toe te passen op deze zaak, zodat duidelijk wordt wat de antwoorden concreet betekenen voor de betrokken partijen:

1. Behartiging van een gerechtvaardigd belang: Het HvJ EU benadrukt dat een commercieel belang, zoals het verkopen van persoonsgegevens aan sponsoren, als een gerechtvaardigd belang kan worden aangemerkt, mits het niet in strijd is met de wet.
2. Noodzakelijkheid van de verwerking: De verwerking van persoonsgegevens moet strikt noodzakelijk zijn om het gerechtvaardigde belang te behartigen. Dit betekent dat de KNLTB moet kunnen aantonen dat er geen minder ingrijpende maatregelen beschikbaar zijn om hetzelfde doel te bereiken.
3. Afweging van belangen: Het HvJ EU stelt dat de belangen en grondrechten van de betrokkenen (de leden) niet zwaarder mogen wegen dan het commerciële belang van de verwerkingsverantwoordelijke (de KNLTB). Hierbij moet gekeken worden naar de redelijke verwachtingen van de leden op het moment dat hun gegevens werden verzameld.

Concrete toets: is de verwerking noodzakelijk en weegt het zwaarder dan de belangen van de betrokkenen?

Hoewel een commercieel belang kan worden aangemerkt als een gerechtvaardigd belang blijft het de vraag of de gegevensverwerking door de KNLTB noodzakelijk was. Volgens het HvJ EU had de KNLTB het beoogde doel kunnen bereiken met alternatieve middelen die minder inbreuk zouden maken op de grondrechten en fundamentele vrijheden van betrokkenen. Het HvJ EU suggereerde bijvoorbeeld dat de KNLTB zijn leden vooraf zou kunnen informeren en hun toestemming zou kunnen vragen voor het delen van persoonsgegevens met derden voor reclame- of marketingdoeleinden.

Deze suggestie maakt helaas niet duidelijk of de KNLTB ook had kunnen volstaan met alternatieve middelen die minder ingrijpend zijn maar waarbij de toestemming van de betrokkenen (conform artikel 6 lid 1 sub a AVG) niet wordt verkregen. De vraag blijft dus of dat de KNLTB inderdaad had moeten kiezen voor het verkrijgen van de toestemming van haar leden, als minst inbreukmakend alternatief.

In de belangenafweging benadrukt het HvJ EU dat het aan de verwijzende rechter is om na te gaan of het recht op bescherming van de persoonlijke levenssfeer met betrekking tot de verwerking van persoonsgegevens zwaarder kan wegen dan het commerciële belang van de KNLTB. Daarbij is het van belang in hoeverre betrokkenen daadwerkelijk konden verwachten dat hun gegevens tegen betaling aan derden zouden worden verstrekt. De Nederlandse rechter zal alle omstandigheden van het geval moeten meenemen in haar beoordeling. Het HvJ EU wijst er in ieder geval op dat de verkoop van de gegevens aan TennisDirect meer voor de hand lagen dan de verkoop van de gegevens aan de Nederlandse Loterij. Het verstrekken van de gegevens aan de Nederlandse Loterij kan namelijk nadelige gevolgen hebben voor de leden omdat zij hierdoor blootgesteld kunnen worden aan de risico’s die gepaard gaan met gokverslaving.

Conclusie

Dit arrest van 4 oktober 2024 is een belangrijke herinnering voor alle verwerkingsverantwoordelijken om aan hun verplichtingen onder de AVG te voldoen. Het behalen van commercieel voordeel kan een gerechtvaardigd belang zijn, wat als verwerkingsgrond kan dienen maar vereist een zorgvuldige belangenafweging. Bovendien moet de gegevensverwerking noodzakelijk zijn. Organisaties moeten kritischer kijken naar hun verwerkingspraktijken en nauwlettend beoordelen in hoeverre ze persoonsgegevens kunnen delen zonder de privacy van betrokkenen te schenden. Het naleven van de AVG-vereisten is zowel van belang om sancties te voorkomen als om het vertrouwen van betrokkenen te behouden.

Heb je vragen over de AVG of wil je eens sparren over de verwerking van persoonsgegevens binnen jouw organisatie, neem dan contact op met één van onze privacyspecialisten.

Ralf Kerkhof