Het verkopen van gegevens van klanten aan commerciële bedrijven mag onder de AVG, concludeert het Europees Hof van Justitie. Dat meldde Tweakers vorige week. Hiermee is het standpunt van onze AP eindelijk naar de prullenbak verwezen: ook commerciële belangen kunnen en mogen de basis zijn voor een “gerechtvaardigd belang” onder de AVG. Maar we zijn nog lang niet bij “verkopen van data mag als je een commercieel belang verzint”.
De zaak begon in 2018, toen de Koninklijke Nederlandse Lawn Tennis Bond (Knltb) een nieuwe stap deed:
Tussen de regels door lees ik dat de KNLTB op zoek is naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet.De Knltb beriep zich daarbij op het gerechtvaardigd belang, een van de zes grondslagen uit de AVG. De AP was het daar niet mee eens en deelde een half miljoen boete uit:
De AP komt nu met het strenge standpunt dat commerciële belangen nooit gerechtvaardigd kunnen zijn. Die zijn namelijk niet als zodanig in de wet erkend, in tegenstelling tot zeg eigendomsrecht of de vrijheid van meningsuiting. Er is natuurlijk het grondrecht van de ondernemingsvrijheid, maar dat vindt men te onbepaald en generiek om als grondslag te kunnen dienen voor de handel in persoonsgegevens. Daarmee is er dus eigenlijk nóóit een rechtvaardiging te verzinnen om in persoonsgegevens te handelen, als ik even tussen de regels samenvat.De bond satpte daarop naar de rechter, en die besloot vragen aan het Hof van Justitie te stellen. Iets dat moet, als er een nieuwe en creatieve lezing van een term uit een Europese wet wordt gehanteerd. En nu eindelijk hebben we het verlossende woord:
In die omstandigheden kan een commercieel belang van de verwerkingsverantwoordelijke, zoals het in punt 47 van het onderhavige arrest genoemde belang, een gerechtvaardigd belang in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG vormen, voor zover het niet in strijd is met de wet. Het staat evenwel aan de verwijzende rechter om van geval tot geval te beoordelen of een dergelijk belang bestaat, rekening houdend met het toepasselijke rechtskader en alle omstandigheden van de zaak.Hieruit concludeerden velen dat je dus gewoon mag handelen in persoonsgegevens als je het maar even snel “gerechtvaardigd belang moehaha” noemt. Dat is dus onjuist.
De wet stelt namelijk vier eisen aan gerechtvaardigd belang:
- Het belang is op zichzelf legitiem,
- Het gebruik van de gegevens is proportioneel en redelijk voor dat belang,
- Er is goed rekening gehouden met de privacy, zoals door privacyvriendelijke maatregelen inbouwen,
- Er is een opt-out ingebouwd, die bij marketing/reclame altijd ingeroepen mag worden en bij andere dingen als je persoonlijke redenen hebt.
Blijven over 2 en 3: is dit proportioneel en heb je maatregelen genomen. De tennisbond kan bijvoorbeeld tegen juridisch uitgever Kluwer zeggen, ik heb 230 leden die advocaat zijn, welke reclame zullen wij ze sturen? Of contractueel afspreken dat er eenmalig een brief naar een lijst adressen mag en dat die daarna vernietigd wordt, op straffe van boetes.
Waar ineens vandaan komt dat “datahandel” legaal is, weet ik niet. Die term associeer ik met het doorverkopen van Excellijsten als zodanig, waarna de ontvanger daarmee mag doen wat die goeddunkt. Iets dat sowieso niet mag van de AVG.
Wat mij betreft verandert er dus weinig aan de praktijk. We weten nu dat je in principe mag zeggen dat je een commercieel belang gebruikt voor gegevensverwerking. Maar je moet nog steeds je belangenafweging rond krijgen, maatregelen inbouwen en met een opt-out rekening houden. Dat was altijd al zo.
En ja, ik snap het dat het Hof de gelegenheid niet te baat nam om persoonsgebonden marketing illegaal te verklaren. Maar de wet biedt deze ruimte nadrukkelijk, en dus moet de wetgever nieuwe regels maken als we als maatschappij dit willen afschaffen.
Arnoud