Privacy blijft belangrijk. Mensen willen regie hebben en houden over hun gegevens, ze willen hun privacy bewaren. Dat lukt door de onlinewereld van tegenwoordig echter minder makkelijk dan vroeger.
Uit onderzoek is gebleken dat maar liefst 94% (!) van de mensen zich zorgen maakt over de bescherming van hun persoonsgegevens. Denk daarbij vooral ook aan het misbruik van het identiteitsbewijzen, wifitracking, het volgen van online zoekgedrag e.d. Dat zijn situaties waarin mensen de ‘grip’ op hun persoonsgegevens (dreigen) kwijt (te) raken.
AVG: Staat de deur inmiddels open voor het commercieel gerechtvaardigd belang?
De AVG (de Algemene Verordening Gegevensbescherming) zorgt voor een deel voor ‘grip’ op persoonsgegevens. Dat is voor u als ondernemer ook relevant.
Enkele vragen: Heeft u de basis van gegevensverwerking goed op orde? Heeft u de juiste grondslag voor uw verwerking? Heeft u een verwerkersovereenkomst met al uw verwerkers?
Een onderwerp dat de laatste maanden meerdere keren in het nieuws is geweest, is dat de Autoriteit Persoonsgegevens een ‘rode kaart’ heeft gekregen van de rechter. Wat was het geval?
Recente uitspraak
De rechter heeft in een uitspraak van 23 november 2020 de Autoriteit Persoonsgegevens in het ongelijk gesteld wat betreft haar uitleg over de verwerkingsgrondslag ‘gerechtvaardigd belang’ als bedoeld in de AVG.
De Autoriteit Persoonsgegevens stelde zich enkele jaren namelijk kort gezegd op het standpunt dat een zuiver commercieel belang geen gerechtvaardigd belang zou zijn. Dit standpunt van de Autoriteit Persoonsgegevens zou voor veel, zo niet bijna alle ondernemers problemen kunnen geven bij het verwerken van persoonsgegevens, zeker ook als het gaat om ‘direct marketing’.
De rechter heeft beslist dat het door de Autoriteit Persoonsgegevens op voorhand uitsluiten van een bepaald belang (in casu dus een zuiver commercieel belang) als gerechtvaardigd belang in strijd is met de Europese rechtspraak. Daarmee veegt de rechter een door de Autoriteit Persoonsgegevens opgelegde boete van € 575.000,- euro van tafel.
Volgens de rechtbank moet de vraag of een verwerker van persoonsgegevens een gerechtvaardigd belang heeft aan de hand van een negatieve toets worden beoordeeld. Dat betekent dat je geen belang mag nastreven dat in strijd is met de wet. Anders gezegd: in rechte toegestane belangen kunnen steeds ook gerechtvaardigde belangen zijn. In zijn motivering wijst de rechtbank onder meer als voorbeeld van een mogelijk gerechtvaardigd belang op ‘direct marketing’.
Wat betekent deze uitspraak voor de praktijk?
Voor de praktijk is deze uitspraak van groot belang. De uitspraak geeft namelijk ruimte aan bedrijven die persoonsgegevens voor commerciële doeleinden willen verwerken.
Er moet daarbij – naast de toets van het ‘gerechtvaardigd belang’ – nog wel ook aan twee andere criteria worden getoetst, te weten:
a) de verwerking moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang en
b) de fundamentele rechten en vrijheden van de betrokkene van wie persoonsgegevens worden verwerkt mogen niet zwaarder wegen dan het betreffende (commercieel) belang van de organisatie.
Op het moment dat aan deze drie voorwaarden is voldaan- gerechtvaardigd belang, noodzakelijkheid en belangenafweging -, dan mag een organisatie persoonsgegevens verwerken op basis van de grondslag gerechtvaardigd belang. Een zuiver commercieel belang heeft in (juridisch) privacyland onomwonden een plaats gekregen.
Paul Arentshorst
Advocaat IE-, ICT- en Privacyrecht @ Daniels Huisman advocaten te Deventer
Voor vragen: Email: privacy@danielshuisman.nl
