Een commercieel belang als een ‘gerechtvaardigd belang’ onder de AVG? Wat de KNLTB-zaak betekent voor uw organisatie (Timelex)

Auteurs: Seliha Buelens en Bernd Fiten (Timelex)

Op 4 oktober 2024 heeft het Hof van Justitie van de Europese Unie (HvJEU) een beslissing genomen in de zaak Koninklijke Nederlandse Lawn Tennisbond tegen de Nederlandse Autoriteit Persoonsgegevens (de “KNLTB-zaak”). Deze langverwachte uitspraak neemt, minstens gedeeltelijk, wat onduidelijkheid weg rond de rechtsgrond ‘gerechtvaardigd belang’ uit artikel 6.1 f) AVG. Hieronder lichten wij deze uitspraak verder toe.

Waarover gaat het?

AP oordeelde dat het verkopen van persoonsgegevens aan sponsors geen gerechtvaardigd belang is 

De Nederlandse Autoriteit Persoonsgegevens (AP) legde de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete op wegens de onrechtmatige verkoop van persoonsgegevens van leden door de KNLTB aan sponsors.

Het verkopen van persoonsgegevens is een verwerking van persoonsgegevens die onder de Algemene Verordening Gegevensbescherming (AVG) valt. De KNLTB treedt voor deze verwerking op als verwerkingsverantwoordelijke en moet zich dus beroepen op een gepaste rechtsgrond uit artikel 6.1 a) tot f) AVG. Een mogelijke rechtsgrond is het gerechtvaardigd belang van de verwerkingsverantwoordelijke (artikel 6.1 f) AVG). Merk op dat ook het gerechtvaardigd belang van een derde in aanmerking kan genomen worden. De KNLTB beriep zich op de rechtsgrond ‘gerechtvaardigd belang’ voor de verkoop van persoonsgegevens van leden aan sponsors.

Volgens de AP was de rechtsgrond ‘gerechtvaardigd belang’ echter niet geschikt voor deze verkoop. De AP oordeelde dat het belang van de verwerkingsverantwoordelijke (dus de KNLTB in deze zaak) in rechte beschermd moet zijn opdat het gerechtvaardigd kan zijn (AP, Besluit van 20 december 2019, punt 131). De AP was van mening dat enkel belangen die in (algemene) wetgeving of elders in het recht voorgeschreven staan, kunnen gelden als gerechtvaardigde belangen. De AP interpreteerde de rechtsgrond ‘gerechtvaardigd belang’ aldus restrictief. Bijgevolg oordeelde de AP dat de toestemming van de betrokkenen vereist was voor het verkopen van hun persoonsgegevens aan sponsors.

KNLTB vocht de beslissing aan en de rechtbank van Amsterdam stelde een prejudiciële vraag

De KLNTB vocht de beslissing van de AP aan voor de rechtbank van Amsterdam. Die stelde vervolgens een prejudiciële vraag aan het Hof van Justitie van de Europese Unie (HvJEU). De prejudiciële vraag ging enerzijds over de betekenis van het begrip ‘gerechtvaardigd belang’ want de AVG voorziet geen definitie voor dit begrip, en anderzijds over de eventuele verenigbaarheid van een gerechtvaardigd belang met een commercieel belang.

Met andere woorden, laat de AVG toe dat een louter commercieel belang ook een gerechtvaardigd belang zou kunnen zijn?

Wat oordeelde het Hof van Justitie? 

Het Hof oordeelt dat een commercieel belang wel een gerechtvaardigd belang kan zijn 

De vraag of een zuiver commercieel belang ook een gerechtvaardigd belang kan zijn, werd steeds negatief beantwoord door de AP. Uit de KNLTB-zaak volgt dat dit standpunt niet in overeenstemming is met de AVG.

Het Hof oordeelde in de KNLTB-zaak dat een puur commercieel oogmerk wel degelijk een gerechtvaardigd belang kan uitmaken. Het Hof verwijst naar overweging 47 AVG en oordeelt dat een gerechtvaardigd belang niet bij wet voorgeschreven moet zijn, in tegenstelling tot de visie van de AP. Het gaat om een negatieve test, i.e. een waaier aan belangen kunnen worden beschouwd als zijnde gerechtvaardigd, voor zover ze niet strijdig zijn met de wet.

Dus zolang het nagestreefde belang geen wetten schendt, is het belang in principe gerechtvaardigd en kan het niet op voorhand uitgesloten worden. Daaruit volgt dat commerciële belangen zoals het aanbieden van advertentieruimte met het oog op commerciële doeleinden en gepersonaliseerde promoties, of het verkopen van persoonsgegevens teneinde gerichte advertenties per post te kunnen opsturen naar betrokkenen volgens het Hof dus gerechtvaardigde belangen kunnen zijn (KNLTB-zaak, punt 48).

De driestappentest om te bepalen of een commercieel belang is geschikt om te dienen als rechtsgrond 

Dat een commercieel belang gerechtvaardigd kan zijn, betekent echter niet dat elk gerechtvaardigd belang ook geschikt is als rechtsgrond onder de AVG.

Opdat een louter commercieel belang ook als rechtsgrond kan dienen onder de AVG, moet immers een driestappentest, namelijk een ‘legitimate interest assessment’ (LIA), worden uitgevoerd. De driestappentest is geslaagd als er aan drie voorwaarden is voldaan. Het Hof bevestigde dit opnieuw in de KNLTB-zaak (zie ook HvJEU, arrest van 4 juli 2023, C-252/21, Meta Platforms e.a. t. Bundeskartellamt, punt 105 e.v.). De drie cumulatieve voorwaarden zijn als volgt:

1) Er moet een rechtmatig gerechtvaardigd belang aanwezig zijn in hoofde van de verwerkingsverantwoordelijke of een derde (de ‘doeltoets’); en

2) De verwerking van persoonsgegevens moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang (de ‘noodzakelijkheidstoets’); en

3) De fundamentele vrijheden en grondrechten van de betrokkene mogen niet zwaarder wegen dan het nagestreefde gerechtvaardigde belang (de ‘afwegingstoets’).

Indien aan elk van deze drie cumulatieve voorwaarden wordt voldaan, biedt het commercieel oogmerk een rechtmatige rechtsgrond tot verwerking van persoonsgegevens in de zin van artikel 6.1 f) AVG. Waar het Hof in het verleden stelde dat de rechtsgronden uit artikel 6.1 AVG strikt geïnterpreteerd dienen te worden, voorziet het in de KNLTB-zaak een eerder ruime rechtsgrond voor commerciële organisaties om tot verwerking van persoonsgegevens over te gaan.

De Belgische Gegevensbeschermingsautoriteit oordeelde ook al dat een commercieel belang gerechtvaardigd kan zijn 

De GBA oordeelde in het verleden al, namelijk in beslissing 46/2024, dat een zuiver commercieel belang kan gelden als een gerechtvaardigd belang.

De beslissing betrof een bank die persoonsgegevens verwerkte om datamodellen te bouwen met het oog op het aanbieden van gepersonaliseerde kortingen voor producten en diensten van derden. De GBA oordeelde dat dit zuiver commercieel belang gericht was op marktpositionering, rekening houdend met activiteiten van concurrenten, en paste de driestappentoets toe. De bank mocht zich aldus beroepen op haar gerechtvaardigd belang om persoonsgegevens te verwerken in het licht van het trainen van die datamodellen. Voor het aanbieden van die gepersonaliseerde kortingen aan haar klanten was wel toestemming vereist (zie beslissing 46/2024, punt 51). Die reclame op maat betreft namelijk de klassieke, gepersonaliseerde direct marketing waarvoor de bank dus voorafgaande toestemming van de betrokkene moet vragen.

Aldus kan een zuiver commercieel belang een gerechtvaardigd belang uitmaken volgens de GBA, minstens wat betreft het trainen van datamodellen voor het aanbieden van gepersonaliseerde kortingen.

Conclusie

De uitspraak van het HvJEU in de KNLTB-zaak verduidelijkt dat commerciële belangen onder de AVG als een gerechtvaardigd belang kunnen gelden, mits voldaan wordt aan de driestappentest. Dit betekent een verschuiving van de eerdere restrictieve interpretatie van de AP, waarbij organisaties nu meer ruimte krijgen om persoonsgegevens te verwerken voor commerciële doeleinden, zolang ze de rechten van betrokkenen respecteren en de transparantie waarborgen. Dit vereist een beoordeling geval per geval die in het kader van de verantwoordingsplicht best nauwkeurig wordt gedocumenteerd in een LIA (Legitimate Interest Assessment), zeker met het oog op een eventuele controle door een toezichthoudende autoriteit. Het belang van LIA’s voor bedrijven en andere organisaties die aan commercieel gedreven gegevensverwerking doen, kan bijgevolg niet overschat worden.

Bron: Timelex