De driestappentoets in de praktijk: EDPB richtsnoeren over gerechtvaardigd belang (Timelex)

Auteurs: Seliha Buelens en Bernd Fiten (Timelex)

Na de uitspraak in de KNLTB-zaak op 4 oktober 2024, vaardigde de EDPB op 8 oktober 2024 richtsnoeren uit betreffende de verwerking van persoonsgegevens steunend op artikel 6.1 f) AVG, i.e., steunend op de rechtsgrond ‘gerechtvaardigd belang’. Het doel van de richtsnoeren is het verduidelijken van de voorwaarden waaraan een verwerkingsverantwoordelijke moet voldoen om zich rechtmatig te kunnen doen beroepen op diens gerechtvaardigd belang als rechtsgrond onder de AVG. Wij lichten dit verder toe in deze blog.

Wat stellen de richtsnoeren van de EDPB?

De EDPB bevestigt ook dat de rechtmatigheid van het gerechtvaardigd belang van de verwerkingsverantwoordelijke beoordeeld moet worden aan de hand van de driestappentoets vermeld in onze vorige blog. Het gaat aldus om een vraag die geval per geval beantwoord moet worden. Vervolgens gaat de EDPB dieper in op elk van de drie cumulatieve voorwaarden (aanwezigheid van een belang, noodzakelijkheid en proportionaliteit). In het kader van de noodzakelijkheidstoets wijst de EDPB op het basisprincipe van de minimale gegevensverwerking. Met betrekking tot de afwegingstoets is het van belang om de redelijke verwachtingen van de betrokkenen te overwegen.

De richtsnoeren bespreken ook de rechten die de betrokkenen genieten op basis van de AVG, zoals (maar niet beperkt tot) het recht op inzage en gegevenswissing, en hoe die in verhouding staan tot de gegevensverwerking gesteund op het gerechtvaardigd belang. Tenslotte worden enkele veelvoorkomende situaties besproken en de daarmee gepaard gaande aandachtspunten. Zo biedt de EDPB bijkomende richtsnoeren in geval van persoonsgegevens die betrekking hebben op kinderen, of direct marketingdoeleinden van de verwerkingsverantwoordelijke als gerechtvaardigd belang.

Enkele bemerkingen bij de richtsnoeren van de EDPB 

De commerciële belangen moeten verband houden met de economische activiteiten van de verwerkingsverantwoordelijke, maar wat met activiteiten van een derde? 

Vooreerst stellen de voorgestelde richtsnoeren dat de gerechtvaardigde belangen van economisch en commercieel georiënteerde verwerkingsverantwoordelijken zich moeten beperken tot “diens” economische activiteiten. Echter, de AVG laat ook toe om persoonsgegevens te verwerken op basis van het gerechtvaardigd belang van een derde.

Wanneer er door de verwerkingsverantwoordelijke gesteund wordt op het behartigen van gerechtvaardigde belangen van een derde is het onduidelijk of dezelfde beperking zou gelden. Dient het nagestreefde belang van een derde binnen het doel en de middelen van de verwerkingsverantwoordelijke te passen opdat het nagestreefde belang gerechtvaardigd kan zijn? Van welke aard dient de relatie tussen de verwerkingsverantwoordelijke en de derde dan te zijn? De vraag rijst aldus in welke gevallen een verwerkingsverantwoordelijke rechtmatig kan steunen op het nastreven van een gerechtvaardigd belang van een derde.

De richtsnoeren zouden meer duidelijkheid kunnen verschaffen over de afwegingstoets in het geval van kwetsbare betrokkenen 

Verder besteedt de EDPB bijkomende aandacht aan verwerkingen die gesteund zijn op het gerechtvaardigd belang en waar de betrokkenen kinderen zijn, i.e., een kwetsbare categorie van betrokkenen onder de AVG. Dergelijke verwerkingen vragen om een zorgvuldige afwegingstoets (als derde voorwaarde van de driestappentoets), benadrukt de EDPB. Er wordt echter niet gekeken naar gelijkaardige verwerkingssituaties die andere kwetsbare categorieën van betrokkenen betreffen.

De richtsnoeren erkennen in paragraaf 47 werknemers impliciet als een kwetsbare categorie van betrokkenen. De richtsnoeren benadrukken namelijk dat de specifieke context van een verwerkingssituatie in overweging moet worden genomen wanneer de afwegingstoets wordt doorlopen, omdat iedere betrokkene andere belangen heeft. De EDPB verduidelijkt verder dat dit zeker van toepassing is in een werkgever-werknemer verhouding, maar verdere verduidelijking omtrent andere mogelijks kwetsbare betrokkenen blijft uit.

Zo stellen de richtsnoeren voor gegevensbeschermingseffectbeoordelingen van de voorganger van de EDPB (de WP29) dat niet alleen kinderen en werknemers, maar ook minstens geesteszieken, asielzoekers, bejaarden en patiënten als kwetsbare betrokkenen beschouwd moeten worden. Hierover wordt niets gesteld in de richtsnoeren van de EDPB. Desalniettemin is dit van groot belang voor verwerkingsverantwoordelijken gelet op de noodzaak van bijkomende, risicobeperkende maatregelen in deze context.

De richtsnoeren zouden meer duidelijkheid kunnen verschaffen over mogelijke risicobeperkende maatregelen

Tot slot is het te betreuren dat er niet meer duidelijkheid geschept wordt omtrent mogelijke risicobeperkende maatregelen. Indien bij het uitvoeren van een LIA zou blijken dat de fundamentele rechten en vrijheden van een betrokkene zwaarder wegen dan het gerechtvaardigd belang van de verwerkingsverantwoordelijke, zou deze laatste mitigerende maatregelen kunnen nemen ter bescherming van die rechten en vrijheden om zo alsnog de afwegingstoets in het voordeel van de verwerkingsverantwoordelijke te doen keren. In dat geval zou de verwerkingsverantwoordelijke de persoonsgegevens in kwestie na het nemen van bijkomende maatregelen toch kunnen verwerken op basis van de rechtsgrond ‘gerechtvaardigd belang’. Hoewel er gesteld wordt dat deze mitigerende maatregelen geen verplichtingen mogen uitmaken die volgen uit de AVG, voorziet de EDPB geen alternatieve voorbeelden die wél als risicobeperkend, maar niet als AVG-verplichtingen, beschouwd kunnen worden.

Enkele aandachtspunten bij een commercieel belang als gerechtvaardigd belang

Verwerkingsverantwoordelijken, en in het bijzonder commerciële organisaties zoals bedrijven, genieten zo de bevestiging dat een commercieel belang ook een gerechtvaardigd belang zou kunnen zijn. Hierbij moet wel extra aandacht besteed worden aan een aantal zaken, volgend uit de KNLTB-zaak en de EDPB richtsnoeren:

• Hoewel er strikt genomen geen hiërarchie bestaat tussen de verschillende rechtsgronden uit de AVG, lijkt de EDPB wel te suggereren dat de verwerkingsverantwoordelijke dient te zijn nagegaan of er geen andere, minder ingrijpende wijze was om diens commercieel belang na te streven dan zich te beroepen op diens gerechtvaardigd belang. Dit volgt uit het feit dat de rechtsgrond ‘gerechtvaardigd belang’ volgens de EDPB niet tot laatste redmiddel mag dienen voor onverwachte verwerkingssituaties in geval de andere vijf rechtsgronden tekortschieten, noch mag het een automatische keuze zijn van de verwerkingsverantwoordelijke. Bovendien is de noodzakelijkheidstoets (de tweede voorwaarde van de driestappentoets), en het daarmee gepaard gaande beginsel van minimale gegevensverwerking van groot belang.

• Indien de verwerkingsverantwoordelijke zich beroept op diens gerechtvaardigd belang is het aan te raden om de eerder vermelde LIA niet alleen zorgvuldig uit te voeren, maar ook nauwgezet te documenteren, vooral met het oog op een eventuele controle door een bevoegde toezichthoudende autoriteit. Een gedocumenteerde LIA kan de verwerkingsverantwoordelijke ook helpen bij het beantwoorden van een verzoek van een betrokkene, ook al heeft de betrokkene geen recht om een kopie van de LIA te ontvangen of deze in te kijken.

• De verwerkingsverantwoordelijke met een commercieel gerechtvaardigd belang moet tijdens de afwegingstoets (de derde voorwaarde van de driestappentoets) bijkomende aandacht besteden aan de aard van de betrokkenen, en meer bepaald aan de mogelijkheid dat persoonsgegevens van kwetsbare categorieën van personen worden verwerkt. Dergelijke betrokkenen zijn namelijk meer vatbaar om hun fundamentele rechten en vrijheden geschaad te zien. Aldus dient daarmee rekening gehouden te worden bij het afwegen van het commercieel gerechtvaardigd belang en de fundamentele rechten en vrijheden van de kwetsbare betrokkenen.

Conclusie

Zoals reeds geconcludeerd in onze vorige blog, kan een zuiver commercieel belang beschouwd worden als een gerechtvaardigd belang onder de AVG, mits de nodige maatregelen worden genomen en rekening wordt gehouden met bepaalde voorwaarden zoals de driestappentoets. Althans, dit is niet principieel uitgesloten, in tegenstellig tot de zienswijze van de Nederlandse Autoriteit Persoonsgegevens in het verleden. Dat dit niet principieel is uitgesloten, bevestigt de EDPB eveneens (zie EDPB richtsnoeren 01/2024).

Hoewel de richtsnoeren van de EDPB zeker antwoorden bieden omtrent de rechtsgrond van het gerechtvaardigd belang, zijn er ook enkele bemerkingen te formuleren. Zo blijft het onduidelijk of een commercieel belang ook mag duiden op de commerciële activiteiten van een derde, in plaats van de commerciële activiteiten van de verwerkingsverantwoordelijke zelf. Verder stellen we vast dat er, buiten kinderen en werknemers, geen verdere vermelding van andere groepen van kwetsbare betrokkenen in aanmerking wordt genomen wanneer de EDPB wijst op het belang van bijkomende risico’s voor dergelijke groepen en bijkomende mitigerende maatregelen. Tot slot zouden de richtsnoeren meer duidelijkheid kunnen verschaffen over mogelijke risicobeperkende maatregelen.

Bron: Timelex