juridisch analyse

door Martijn Poulus & Vonne Laan

Kan een commercieel belang een ‘gerechtvaardigd belang’ zijn in de zin van de AVG? Volgens de Autoriteit Persoons­gegevens (AP) niet. De Europese Commissie, Nederlandse rechters en academici vinden van wel. De hoogste EU-rechter geeft de AP in een recent arrest ongelijk.

Op grond van de Algemene Verordening Gegevensbescherming (AVG) moet de verwerking van persoons­gegevens altijd zijn gebaseerd op een geldige verwerkingsgrondslag. Eén van die verwerkingsgrondslagen is dat de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang.noot 1 Deze grondslag is al langere tijd onderwerp van discussie. Daarbij draait het in de kern om twee vragen: 1) kunnen zuiver commerciële belangen gerechtvaardigde belangen zijn en (2) vereist een gerechtvaardigd belang een wettelijke basis? Deze discussie is het gevolg van een door de Autoriteit Persoonsgegevens (AP) gepubliceerde normuitleg over de verwerkingsgrondslag gerechtvaardigd belang.noot 2 In zowel deze normuitleg als in handhavingszaken die na publicatie van de normuitleg volgden,noot 3 heeft de AP het begrip ‘gerechtvaardigd belang’ altijd uitzonderlijk strikt geïnterpreteerd.noot 4

Volgens de AP kan een puur commercieel belang nooit een gerechtvaardigd belang zijn. De privacytoezichthouder vindt dat een belang altijd een wettelijke basis moet hebben om als gerechtvaardigd belang te kunnen gelden. Anders gezegd: zonder wettelijke basis géén gerechtvaardigd belang. Deze interpretatie kon altijd al op veel kritiek rekenen, niet alleen van organisaties die de verwerkingsgrondslag in de praktijk terughoudender zijn gaan gebruiken, maar bijvoorbeeld ook van de Europese Commissie (mind you: de Europese Unie (EU)-instelling die ooit het eerste voorstel voor de AVG deed).noot 5 Ook verschillende auteurs,noot 6 rechtspraak van het Hof van Justitie van de Europese Unie (HvJ EU),noot 7 lokale rechtspraak,noot 8 de Artikel 29-werkgroep (het voormalige samen­werkings­verband van privacytoezicht­houders in de EU)noot 9 en individuele privacytoezichthoudersnoot 10 gingen uit van een diametraal andere interpretatie dan de AP.

Dat de AP daadwerkelijk alleen staat in haar curieuze interpretatie is nu bevestigd door de hoogste EU-rechter. In een recent arrest – het arrest dat in deze bijdrage centraal staat – oordeelt het HvJ EU namelijk dat een breed scala aan belangen als een ‘gerechtvaardigd belang’ kan gelden, en dat het géén vereiste is dat het belang een wettelijke basis kent.noot 11 Het HvJ EU oordeelt verder dat ook puur commerciële belangen in principe in aanmerking komen als ‘gerechtvaardigde belangen’ in de zin van de AVG. Met dit arrest komt eindelijk een einde aan jarenlange rechtsonzekerheid over dit onderwerp.

Sponsoren

Wat ging aan dit arrest van het HvJ EU vooraf? Iedereen die zich in Nederland aansluit bij een lokale tennisclub wordt automatisch lid van de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB). In 2018 heeft de KNLTB persoons­gegevens van een paar honderdduizend leden verkocht aan twee sponsoren. Die sponsoren hebben de leden vervolgens benaderd met tennisgerelateerde en andere aanbiedingen.

De KNLTB vond dat de sportbond de verkoop van de persoons­gegevens aan de sponsoren op de grondslag ‘gerechtvaardigd belang’ kon baseren en kreeg daarvoor goedkeuring van de algemene leden­vergadering. Sommige KNLTB-leden waardeerden de reclame van de sponsoren niet en klaagden daarover bij de AP.noot 12 Na onderzoek concludeerde de AP dat de KNLTB geen gerechtvaardigd belang had bij de verkoop van de ledengegevens en legde de sportbond een boete op van ruim een half miljoen euro.noot 13 De zaak kwam uit bij de rechtbank Amsterdam, die in een tussenvonnis besloot om aan het HvJ EU prejudiciële vragen te stellen.noot 14 Kort gezegd wilde de rechtbank Amsterdam weten of een gerecht­vaardigd belang een wettelijke basis moet hebben en of ieder belang een gerechtvaardigd belang kan zijn, mits niet in strijd met de wet. En meer specifiek: of een zuiver commer­cieel belang dan ook als gerechtvaardigd belang kan gelden.

Toverformule

Wat oordeelt het HvJ EU? Zoals het HvJ EU dat vaker doet, herformuleert het HvJ EU de gestelde vragen met de bekende toverformule ‘de verwijzende rechter wenst in essentie te vernemen of […].’ Ondanks deze herformulering zijn de antwoorden van het HvJ EU kristalhelder.

Onder verwijzing naar eerdere rechtspraak herhaalt het HvJ EU nog eens dat de verwerkingsgrondslag ‘gerechtvaardigd belang’ uitsluitend tot een rechtmatige verwerking kan leiden als aan drie cumulatieve voorwaarden is voldaan. Er moet sprake zijn van 1) een gerechtvaardigd belang, 2) de verwerking moet noodzakelijk (en proportioneel) zijn voor het nastreven van het belang en 3) de privacybelangen van de betrokkene wegen niet zwaarder dan het belang dat bij de verwerking is gediend.noot 15

Ten aanzien van de eerste voorwaarde oordeelt het HvJ EU dat een breed scala aan belangen als gerechtvaardigd kan worden beschouwd.noot 16 Het HvJ EU wijst er daarbij op dat de Uniewetgever nooit heeft voorgeschreven dat een gerechtvaardigd belang een wettelijke basis moet hebben. Een commercieel belang kan daarom ook een gerecht­vaardigd belang zijn, zolang het maar niet in strijd is met de wet. Die wettelijke systematiek wordt volgens het HvJ EU nog eens benadrukt doordat in de overwegingen bij de AVG direct marketing als voorbeeld van een gerechtvaardigd belang wordt genoemd.noot 17 Verder heeft het HvJ EU in het Google Spain-arrest eerder geoordeeld dat het verkopen van advertentieruimte (ook een commercieel belang) in principe als gerechtvaardigd belang kan gelden.noot 18

Het HvJ EU geeft ook nog wat – ongevraagde, maar voor de praktijk welkome – preciseringen mee voor de noodzakelijkheidstoets (stap 2) en de belangenafweging (stap 3). Uit die preciseringen lijkt te volgen dat veel commerciële belangen de genoemde driestappentoets niet zomaar zullen doorkomen. Zo oordeelt het HvJ EU dat het op de weg van de KNLTB had gelegen om haar leden vooraf te informeren over de verstrekking van de persoons­gegevens, en hen te vragen of zij daar wel prijs op stelden. Dat komt in praktijk neer op het bieden van een opt-outmogelijkheid. In het kader van de belangen­afweging (stap 3) benadrukt het HvJ EU het belang van de redelijke verwachtingen van de betrokkenen (degenen op wie de persoons­gegevens zien) en wat voor gevolgen de beoogde verwerking voor hen kan hebben.

Stemmingmakerij

Het arrest van het HvJ EU is niet verrassend. De uitkomst zorgt wel voor rechtszekerheid voor bedrijven die persoons­gegevens voor (uitsluitend) commerciële doelen willen (blijven) verwerken. Zij hoeven zich niet langer zorgen te maken over het ‘halen’ van de eerste stap van de driestappentoets en kunnen hun aandacht meer richten op de tweede en derde stap. Dat lijkt ons uiteindelijk ook in het belang van betrokkenen: bij de tweede en derde stap ligt de focus op de vraag of de verwerking wel écht noodzakelijk is en welke maatregelen een verwerkings­verantwoordelijke kan treffen om negatieve gevolgen voor betrokkenen te beperken.

De AP reageerde op het HvJ EU-arrest in een LinkedIn-bericht, qua stijl grenzend aan stemmingmakerij.noot 19 Kern van dat bericht: bij de toezichthouder staat de burger wél voorop (bij het HvJ EU volgens de AP kennelijk dus niet?); de toezichthouder betreurt de uitspraak en is nog steeds van mening dat haar visie correct is, maar kondigt wel aan haar normuitleg te zullen aanpassen. De inhoud van deze reactie is naar onze mening opmerkelijk: is het de rol van een – weliswaar onafhankelijke – toezichthouder om een arrest van de hoogste EU-rechter te bekritiseren? Op grond van de AVG moet een toezichthouder zich immers bezighouden met toezicht op privacywetgeving, het toetsen van nieuwe wetten en het geven van voorlichting.noot 20 De AP lijkt haar rol anders te zien: het LinkedIn-bericht bevat een gekleurd standpunt dat wat ons betreft meer thuishoort in een politieke discussie. Hopelijk geeft de AP rekenschap van het KNLTB-arrest in haar toekomstige handhavingspraktijk en is het voorleggen van evidente onderwerpen aan het HvJ EU niet vaker nodig.

Martijn Poulus en Vonne Laan zijn beiden advocaat bij The Data Lawyers.noot 21