Mag je klantgegevens gebruiken voor commerciële doeleinden?

Autoriteit Persoonsgegevens vs. De Koninklijke Nederlandse Tennisbond

Misschien heb je het wel meegekregen: begin oktober dit jaar werd de Autoriteit Persoonsgegevens (AP) op de vingers getikt door het Hof van Justitie. De AP zou een te strenge interpretatie hebben gehanteerd van de Europese wetgeving in haar Normuitleg grondslag ‘gerechtvaardigd belang’. Daarover later meer.

Wat was er gebeurd? In 2020 kreeg de Koninklijke Nederlandse Tennisbond (KNLTB) een boete van 525.000 euro van de AP voor het doorverkopen van persoonsgegevens van 350.000 leden aan twee sponsoren. Leden van de KNLTB ontvingen hierdoor (ongevraagd) brieven, e-mails en telefoontjes met reclame van deze bedrijven, wat leidde tot een golf aan klachten bij de AP. Na onderzoek concludeerde de AP dat de KNLTB in strijd handelde met de Algemene verordening gegevensbescherming (AVG).

Wat is een ‘gerechtvaardigd belang’?

Allereerst is het belangrijk om in te zoomen op het begrip ‘gerechtvaardigd belang’. De AVG kent zes wettelijke grondslagen voor het verwerken van persoonsgegevens: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang van de betrokkene of anderen, een taak van algemeen belang en een gerechtvaardigd belang.

De grondslag ‘gerechtvaardigd belang’ houdt kort gezegd in dat je persoonsgegevens mag verwerken als dit noodzakelijk is om de gerechtvaardigde belangen van je organisatie of van een derde te behartigen. Hieraan zijn echter voorwaarden verbonden. Of er sprake is van een gerechtvaardigd belang en of de verwerking van persoonsgegevens op deze grondslag is toegestaan, wordt getoetst aan de hand van drie stappen. Dit wordt ook wel de driestappentoets genoemd:

• Aanwezigheid van een gerechtvaardigd belang: Er moet een gerechtvaardigd belang zijn voor de verwerking van persoonsgegevens. Een commercieel belang kan volgens het Hof in principe als gerechtvaardigd belang gelden. Het is aan de rechter om per situatie te beoordelen of dit belang gerechtvaardigd is, rekening houdend met de juridische context en omstandigheden.
• Noodzakelijkheidstoets: De verwerking moet strikt noodzakelijk zijn om dit belang te bereiken en mag niet verder gaan dan nodig. Dit betekent dat je alleen de gegevens verwerkt die essentieel zijn om het doel te realiseren en de minst ingrijpende methode kiest.
• Belangenafweging: Tenslotte moet je afwegen of het belang van je organisatie zwaarder weegt dan de fundamentele rechten en vrijheden van de betrokkenen, zoals hun privacyrechten. Hierbij spelen factoren zoals de aard van de gegevens en de redelijke verwachtingen van de betrokkene een rol. Wegen de privacyrechten zwaarder? Dan mag de verwerking niet plaatsvinden.

Een te strikte interpretatie van ‘gerechtvaardigd belang’

De conclusie van het Hof was duidelijk: een commercieel belang kan een gerechtvaardigd belang zijn. Daarmee werd duidelijk dat de AP een te strikte interpretatie van het begrip ‘gerechtvaardigd belang’ hanteerde. Hierdoor moesten organisaties volgens de AP vrijwel altijd expliciete toestemming vragen om persoonsgegevens voor commerciële doeleinden te gebruiken.

Het gevolg van het arrest van het Hof is dat de AP deze strenge benadering zal moeten herzien. Commerciële belangen kunnen onder de AVG als gerechtvaardigd belang worden beschouwd. Die uitkomst is niet verrassend, maar wel belangwekkend. Op dit punt bestaat nu rechtszekerheid.

Of de AP ook minder snel en minder streng zal optreden blijft nog onzeker. Feit blijft natuurlijk wel dat organisaties ook de tweede en de derde stap in de driestappentoets moeten doorlopen om met succes een beroep te doen op de verwerkingsgrondslag ‘gerechtvaardigd belang’.

Wat betekent deze uitspraak voor ondernemers?

Het arrest van het Hof betekent voor het bedrijfsleven dat er duidelijkheid is over de vraag of commerciële belangen ook een gerechtvaardigd belang kunnen opleveren om persoonsgegevens te verwerken. Betekent dit dat bedrijven persoonsgegevens kunnen verwerken zonder expliciete toestemming van klanten? In sommige gevallen wel, maar dan zullen wel de tweede en derde stap met succes moeten worden doorlopen.

Ondernemers moeten dus per situatie blijven afwegen of hun commerciële belang opweegt tegen de privacyrechten van betrokkenen. Transparantie, passende beschermingsmaatregelen en een zorgvuldige afweging per geval blijven cruciaal om te kunnen spreken van een rechtmatige verwerking.

Hoe de zaak tussen de KNLTB en de AP afloopt? De Rechtbank Amsterdam zal met de uitspraak van het Hof in de hand bepalen of in dit specifieke geval daadwerkelijk sprake was van een ‘gerechtvaardigd belang’. Met name de tweede en derde stap zullen waarschijnlijk worden meegenomen bij de beoordeling door de rechtbank.

Wil je weten hoe jouw bedrijf klantgegevens verantwoord kan gebruiken? Onze privacyrecht advocaten staan klaar om je verder te helpen.