Hoe de KNVB en Always meisjes maandverband opdringen

e-mail-email-brief-post-envelopIemand met de functie ‘marketing intelligence’ bevestigt dat de KNVB ‘persoonsgegevens’ van leden verkoopt, meldde de Volkskrant licht verontwaardigd. De verkochte persoonsgegevens betroffen namelijk Volkskrantlezer Anne de Rooij en haar elfjarige dochter, die een “vrolijke envelop met smileys en de tekst ‘Kleine meisjes worden groot…’ ” ontving met daarin twee stuks Always maandverband. Ja, die puntjes vond ik ook dubieus. Maar goed, laten we bij het juridische blijven: mag de KNVB dat zo doen en mag de Always dan die reclame uit sturen?

De dochter blijkt vier jaar eerder bij de KNVB lid te zijn geweest. De voetbalbond heeft bepaalde gegevens (ongeveer: “Op adres X woont een meisje geboren in 2005”) verkocht aan databeheerbedrijf EDM, die ze op basis van intelligente profielen in liet zetten voor deze reclameactie van het maandverbandmerk. Dus laten we eens met de KNVB beginnen, mag die dat? Ja, aldus de bond: er is door de ledenvergadering toestemming gegeven voor dergelijke handel. Dat lijkt me niet heel relevant, sinds wanneer geeft de ledenvergadering opt-ins op lidgegevens?

Toen viel ik van mijn stoel, want de journalist had de Autoriteit Persoonsgegevens gebeld en die zegt:

Een vereniging mag na toestemming van de ledenvergadering inderdaad gegevens over die leden verstrekken voor commerciële activiteiten.

Dat wordt bevestigd in hun informatieblad over verenigingen:

Uw vereniging hoeft u niet expliciet om toestemming te vragen om uw gegevens door te geven als het gaat om activiteiten die zijn goedgekeurd door de ledenvergadering.

Wel moet je worden geïnformeerd en heb je een recht van verzet (opt-out) als je niet wilt dat men dit doet.

In telefonisch overleg meldt de AP aan mij dat goedkeuring door de ALV niet genoeg is. Je moet nog steeds toestemming of een andere grondslag vinden, bijvoorbeeld een eigen dringende noodzaak (art. 8 sub f) die zwaarder weegt dan de privacy van de leden. De goedkeuring ALV is een extra controle: zonder goedkeuring mag het überhaupt niet. Maar goedkeuring impliceert niet “alles mag”. Ik kan dan werkelijk geen rechtvaardiging bedenken onder die dringende noodzaak die handel in persoonsgegevens rechtvaa rdigt.

Dan duik ik nog even in de melding van de KNVB van haar verwerkingen als vereniging. Hierin staat gemeld dat men gegevens gebruikt voor reclame- en marketingactiviteiten. Alleen zie ik daar niet dat er verstrekt wordt aan dat EDM, tenzij dat onder “listmanagers” valt wat ik wel héél obscuur zou vinden. Verder is dat gebruik gekoppeld aan “Informatievoorziening aan de leden”, wat voor mij betekent dat het informatievoorziening dóór de KNVB is, waaronder reclame en marketing. Van de KNVB zelf dus. Ik zie dan ook geen melding van deze verkoop aan derden.

Via Twitter wijst Simon Hania erop dat het mogelijk kan gaan om een foute interpretatie van het Vrijstellingsbesluit Wbp. Daarin staat namelijk een vrijstelling voor verenigingen bij een verstrekking van persoonsgegevens aan

anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen.

Die zou goed kunnen. Er is een wijdverbreid misverstand dat dingen mogen omdat ze in een vrijstelling staan. Dat is echt onzin. De vrijstelling gaat immers alleen over het moeten melden van deze verwerking. Het wil niet zeggen dat de verwerking überhaupt legaal is. Je moet nog steeds gewoon voldoen aan alle wettelijke eisen, en netjes het Vrijstellingsbesluit volgen is géén garantie dat je voldoet. Maar als ik een euro kreeg voor elke keer dat mensen dat misverstand uiten, dan had ik een dag minder kunnen werken. Maar de tekst hier lijkt genoeg op die uit het informatieblad om de basis te kunnen zijn van het misverstand.

Vervolgens dat matchen en reclamemaken door EDM voor Always. Als er een grondslag is voor de KNVB om die gegevens aan EDM te geven ten behoeve van marketing, dan mag EDM natuurlijk ook die marketingactiviteit uitvoeren. Niet naar kinderen, staat er dan. Klopt: het is een verboden (‘agressieve’) handelspraktijk, art. 6:193i BW om

e. kinderen in reclame er rechtstreeks toe aanzetten om geadverteerde producten te kopen of om hun ouders of andere volwassenen ertoe over te halen die producten voor hen te kopen;

Het doet dan wel wat raar aan dat de envelop zodanig is opgemaakt dat een kind zou denken, dit is wat voor mij. Maar goed, daar ben ik vast een kniesoor in.

En raar, dat is het algehele gevoel dat ik hierbij heb. Ik kan niet vinden hoe dit legaal is onder de Wbp. Maar je zou denken dat een club als de KNVB toch wel dingen juridisch checkt voordat ze zulke marketing doen?

Tijd om massaal te gaan opt-outen tegen zulke handel?

Arnoud