De AVG vereist voor elke verwerking van data een grondslag. Een door bedrijven veel gebruikte grondslag is het zogeheten gerechtvaardigd belang. Wát precies een gerechtvaardigd belang is, is in de AVG niet uitgewerkt. Het betreft een ‘open norm’, waarbij een bedrijf per verwerking moet bepalen welk belang zij daarbij heeft, of dat als ‘gerechtvaardigd’ kwalificeert, de verwerking echt noodzakelijk is en of het privacybelang van de betrokkene van wie data worden verwerkt – kort gezegd – niet zwaarder dient te wegen. Dat is soms een complexe puzzel…
De Autoriteit Persoonsgegevens (“AP”) dacht de praktijk van dienst te zijn met een normuitleg, waarin zij het standpunt inneemt dat “het enkel dienen van een zuiver commercieel belang” géén gerechtvaardigd belang voor het verwerken van data zou kunnen zijn. Van een gerechtvaardigd belang zou volgens de AP (samengevat) alleen sprake kunnen zijn bij een rechtens afdwingbaar belang – een zogenaamd ‘rechtsbelang’.
Dit standpunt leidde direct tot een storm van kritiek uit zowel juridische als commerciële hoek, onder meer omdat de AP met deze strenge normuitleg feitelijk ‘roomser dan de paus’ leek te willen zijn. De uitleg bij de AVG noch de adviezen van de European Data Protection Board (“EDBP”) gaven immers aanleiding voor deze strenge benadering.
Toch hield de AP voet bij stuk. En hoe. De AP legde VoetbalTV (videoplatform voor amateurvoetbal met circa 153 deelnemende clubs en circa 520.000 gebruikers) een boete van € 575.000 omdat VoetbalTV volgens de AP uitsluitend een commercieel belang had bij haar activiteit. Een commercieel belang, zo hield de AP vol, kon “nooit” een gerechtvaardigd belang voor de verwerking van data opleveren. Derhalve zou VoetbalTV onrechtmatig (want zonder grondslag) data hebben gebruikt.
Het – inmiddels failliete – VoetbalTV liet het hier niet bij zitten en vocht de boete aan bij de bestuursrechter.
De bestuursrechter stelt VoetbalTV in het gelijk.
In de uitspraak, die deels ook draait om het (niet) toepasselijk zijn van de zogeheten “journalistieke exceptie”, maakt de bestuursrechter korte metten met de normuitleg van de AP. Kort samengevat oordeelt de rechtbank dat:
- de rechtbank geen aanwijzingen heeft kunnen vinden in de rechtspraak en adviezen van de EDBP (en haar voorganger, WP29), voor de interpretatie van de AP dat van een gerechtvaardigd belang alleen sprake kan zijn als er een ‘rechtsbelang’ is (een in de wet/het recht beschermd belang);
- de vraag of sprake is van een gerechtvaardigd belang als volgt moet worden getoetst:
- het belang mag niet in strijd zijn met de wet (het moet een legitiem belang zijn);
- het gerechtvaardigd belang moet worden afgewogen tegen het privacybelang van de betrokkene, en
- er moet worden voldaan aan de eisen van proportionaliteit en subsidiariteit (‘noodzakelijkheidstoets’).
- de AP ten onrechte niet aan zo’n belangenafweging is toegekomen, door haar te strenge toepassing. De AP had, aldus de rechtbank, het gerechtvaardigd belang op een open en flexibele manier moeten uitleggen;
- de AP ook heeft miskend dat het gerechtvaardigd belang vooral als ‘buitengrens’ dient voor de beoordeling en niet als drempel.
Met andere woorden: door het bij voorbaat uitsluiten van de aanwezigheid van een gerechtvaardigd belang als een partij uit puur commercieel oogpunt gegevens verwerkt, is de AP te kort door de bocht gegaan. Des te meer omdat het Hof van Justitie van de EU, zo geeft ook de rechtbank aan, bij herhaling heeft geoordeeld dat het lidstaten niet vrijstaat om een beroep op het gerechtvaardigd belang voor bepaalde soorten verwerkingen op voorhand of categorisch uit te sluiten.
Al met al blijft de boete voor VoetbalTV niet in stand.
De uitspraak bevestigt feitelijk in alle opzichten de kritiek die was geuit op de normuitleg door de AP en zal waarschijnlijk veel partijen die uit (zuiver) commercieel perspectief data verwerken, een betere nachtrust gunnen. Ook voor de Koninklijke Nederlandse Tennisbond, die van de AP een flinke boete kreeg op basis van een vergelijkbare (te strenge) benadering, is deze uitspraak een opsteker. Of de AP haar normuitleg nu zal bijstellen, is nog onduidelijk. To be continued!
Vragen naar aanleiding van deze blog? Neem contact op met het privacyteam van Banning Advocaten (privacy@banning.nl).
