>>>Het VoetbalTV vonnis: Gerechtvaardigd belang als rechtsgrond mag niet systematisch uitgesloten worden (Sirius Legal)

Het VoetbalTV vonnis: Gerechtvaardigd belang als rechtsgrond mag niet systematisch uitgesloten worden (Sirius Legal)

Auteur: Bart Van den Brande (Sirius Legal)

Publicatiedatum: 25/11/2020

Een erg interessante en relevante uitspraak van de Rechtbank Midden-Nederland van 23 november 2020 wijst erop dat gegevensbeschermingsautoriteiten de mogelijkheid van verantwoordelijken voor de verwerking om zich te beroepen op het gerechtvaardigd belang als rechtsgrond niet systematisch mogen inperken.  De vraag of gegevens verwerkt kunnen worden op basis van een gerechtvaardigd belang (en dus zonder expliciete toestemming) moet daarentegen geval per geval beoordeeld worden.

Dit vonnis is ook voor België bijzonder relevant, omdat ook de Belgische GBA in haar Direct Marketing Aanbevelingen van begin dit jaar de mogelijkheid voor bedrijven om zich te beroepen op het gerechtvaardigd belang bijzonder restrictief interpreteert. Daardoor is het met name in marketing en prospectie zeer moeilijk voor bedrijven om gegevens te verwerken zonder voorafgaande expliciete toestemming.

Gerechtvaardigd belang?

GDPR kent zes rechtsgronden op basis waarvan persoonsgegevens verwerkt kunnen worden.  Wie persoonsgegevens wil verwerken moet één van die zes geldig kunnen inroepen.  In een commerciële context moeten bedrijven vaak een keuze maken tussen:

  • toestemming vragen
  • gegevens verwerken zonder toestemming omdat dit noodzakelijk is om een overeenkomst uit te voeren
  • gegevens zonder toestemming verwerken op basis van het “gerechtvaardigd belang” van de verantwoordelijke voor de verwerking.

Met name die laatste rechtsgrond is van zeer groot belang in (direct) marketing en prospectie, waar bedrijven vaak om praktische redenen geen voorafgaande, vrije en geïnformeerde toestemming kunnen bekomen van hun doelpubliek en zich dus noodgedwongen moeten baseren op het gerechtvaardigd belang.

Volgens het Europees Hof voor Justitie kan je je beroepen op het gerechtvaardigd belang om gegevens te verwerken als je voldoet aan een zogenaamde “driestappentest” die individueel op jouw context wordt toegepast:

  1. Heb je een gerechtvaardigd belang (doel)?
  2. Is de voorgenomen verwerking van persoonsgegevens noodzakelijk om het doel te bereiken?
  3. Weegt het belang van jouw bedrijf zwaarder door dan het privacybelang van de betrokkene en vooral ook: verwacht de betrokkene redelijkerwijze dat je zijn gegevens gaat verwerken in deze context?  

Als verantwoordelijke voor de verwerking, moet je zélf deze afweging maken én documenteren in je dataregister.  Er is geen voorafgaande controle door de overheid en het komt niet aan de GBA of andere overheden toe om voorafgaand beperkingen op te leggen op de toepassing van deze toets.

Gerechtvaardigd belang in marketing en prospectie

Probleem voor heel wat marketeers is dat precies in een marketingcontext de Belgische Gegevensbeschermingsautoriteit in haar Aanbevelingen inzake Direct Marketing van begin 2020 het gebruik van het gerechtvaardigd belang wel bijzonder restrictief interpreteert, waardoor bedrijven die aan direct marketing of prospectie willen doen de facto in hun marketingbeleid geblokkeerd worden.

De GBA stelt zo bijvoorbeeld in haar aanbevelingen dat: “Wanneer u nooit enige relatie met een betrokkene heeft gehad, of deze relatie een hele tijd teruggaat zonder dat deze ondertussen werd opgevolgd, kan de rechtsgrond gerechtvaardigd belang niet worden ingeroepen, omdat de ontvangst van uw bericht niet tot hun redelijke verwachtingen behoort.’

De Direct Marketingaanbevelingen van de GBA leggen zo aan bedrijven ernstige beperkingen op aan de gevallen waarin zij wel of niet beroep kunnen doen op het gerechtvaardigd belang.  De GBA “interpreteert” immers al vooraf bepaalde situaties en bepaalt zo al vooraf en zonder individuele toetsing de uitkomst van zo’n driestappentest.  De GBA stelt zich met andere woorden ten onrechte in de plaats van de verwerkingsverantwoordelijke enerzijds en de betrokkene anderzijds en zij sluit op algemene gronden – zonder kennis van individuele elementen eigen aan elk dossier – per definitie het beroep op het gerechtvaardigd belang bij direct marketing ten aanzien van prospecten uit.

Daarmee interpreteert de GBA haar bevoegdheden wel érg breed. Het komt immers niet toe aan de GBA om zelf bijkomende beperkingen op te leggen die niet volgen uit de GDPR zelf of uit de rechtspraak van het Europees hof voor Justitie. De AVG stelt immers uitdrukkelijk dat direct marketing ook een gerechtvaardigd belang kan zijn.

Wie is (was) VoetbalTV?

VoetbalTV was (het bedrijf is inmiddels failliet) een online platform waarop amateur voetbalwedstrijden werden uitgezonden.  Lokale amateurclubs konden opnames laten maken, die dan online werden aangeboden aan ruim 500.000 gebruikers.

In die context worden natuurlijk bijzonder veel persoonsgegevens verwerkt. Er staan immers heel wat spelers, scheidsrechters en supporters herkenbaar op beeld. VoetbalTV was van oordeel dat zij onmogelijk aan iedereen toestemming kon vragen en dat zij een gerechtvaardigd belang had om gegevens te verwerken zonder voorafgaande toestemming.  Zij had daarvoor voor zichzelf ook de driestappentest doorlopen om tot dat besluit te komen en was van oordeel dat zij een belang had, dat de verwerking van persoonsgegevens (met name de afbeelding en stem van spelers, scheidsrechters en supporters) noodzakelijk was om wedstrijden op te nemen en dat het tot de gerechtvaardigde verwachting van de aanwezigen bij een voetbalwedstrijd behoort dat er video-opnames gemaakt worden.

De Nederlandse Autoriteit Persoonsgegevens was het daar niet mee eens.  De AP hanteerde altijd een strikte interpretatie van gerechtvaardigd belang. Zij herhaalde in het verleden meer dan eens dat belangen volgens haar pas gerechtvaardigd zijn als ze ergens in de wet expliciet zijn benoemd als rechtmatige, wettelijke belangen.  “Zuiver commerciële belangen en het belang van winstmaximalisatie”, zegt de AP, “zijn niet specifiek genoeg en missen een dringend ‘wettelijk’ karakter, zodat zij niet kunnen worden aangemerkt als gerechtvaardigde belangen. De kern van de activiteiten van eisers bestaat uit de verwerking van persoonsgegevens en met die verwerking verdient zij geld. Zij heeft daarmee een zuiver economisch belang bij het verwerken van persoonsgegevens. Dit kan volgens verweerder nooit een gerechtvaardigd belang zijn.” Zij legde aan VoetbalTV een boete op van maar liefst 575.000 euro.

Wat besliste de Nederlandse rechtbank nu?

Op 23 november 2020 oordeelde de Rechtbank Midden-Nederland nu dat VoetbalTV de door de AP opgelegde boete van € 575.000 niet moet betalen. De Autoriteit Persoonsgegevens heeft ten onrechte de mogelijkheid voor VoetbalTV om zich te beroepen op het gerechtvaardigd belang voorafgaand al ingeperkt in plaats van in de individuele context van VoetbalTV de driestappentest te doorlopen.

De rechtbank is van oordeel dat de AP al meteen bij de eerste stap van de driestappentest in de fout ging door te zeggen dat het “zuiver commercieel belang” van VoetbalTV geen gerechtvaardigd belang kan zijn omdat commerciële belangen nergens in de wet zijn ingeschreven als rechtmatige of wettelijke belangen.

De rechtbank maakt zeer duidelijk dat de AP de verkeerde logica hanteert: een gerechtvaardigd belang mag niet bij voorbaat uitgesloten zijn.  Een belang is altijd gerechtvaardigd, tenzij de driestappentoets leidt tot het besluit dat dat niet zo is.

Erg belangrijke uitspraak, ook in Belgische context

VoetbalTV is inmiddels failliet.  Het opheffen van de boete van 575.000 euro maakt voor hen nog weinig verschil.  Maar deze uitspraak is wél bijzonder relevant voor bedrijven in Nederland én in België.

Dit vonnis bevestigt immers dat, in tegenstelling tot wat onze eigen GBA in haar Direct Marketing Aanbevelingen tracht te doen, een overheid niet per definitie bepaalde verwerkingen kan uitsluiten van het gerechtvaardigd belang.

Je kan als marketeer in je eigen individuele geval en voor je individuele context beoordelen of je al dan niet persoonsgegevens zoals e-mailadressen, namen, fysieke adressen, geboortedata, profielinfo, surfgedrag, etc… kan verwerken zonder daarvoor de expliciete voorafgaande toestemming te hebben van de betrokkene.
De enige drie relevante vragen daarbij zijn:

  1. Heb je zelf een te verantwoorden rechtmatig belang (en dat belang kan dus ook puur commercieel zijn)?
  2. Is de verwerking van persoonsgegevens noodzakelijk om je belang te verwezenlijken (dit punt vereist wel de nodige aandachtig en terughoudendheid)
  3. Is er een evenwicht tussen jouw belangen en de privacy van de betrokkene en verwacht de betrokkene redelijkerwijze dat je zijn of haar gegevens gaat verwerken (wat in een online context zeker te verantwoorden is)

Dit vonnis is dus bijzonder relevant voor marketeers, want het geeft stevig tegengas aan de beperkingen die de Belgische overheid tracht op te leggen aan direct marketing en prospectie zonder voorafgaande toestemming.  Wie zichzelf kan verantwoorden op basis van de driestappentest kan altijd beroep doen op het gerechtvaardigd belang en daarmee openen zich heel wat deuren voor prospectie en direct marketing, vooral in een online context.

Belangrijk blijft wel dat je een gedetailleerd dataregister bijhoudt en dat je ook de driestappentest duidelijk motiveert en documenteert in je dataregister.  Daarnaast kan je maatregelen nemen om het evenwicht tussen jouw belangen en de privacy van de betrokkene in evenwicht te houden. Zorg bijvoorbeeld voor een transparante en gedetailleerde privacy policy, gebruik gegevens alleen voor het doel waarvoor je ze verzamelde, verzamel niet meer gegevens dat minimaal nodig is, bewaar prospectgegevens slechts voor een zeer beperkte periode, …

Hulp nodig bij het kiezen van de juiste rechtsgrond?

We zien vandaag nog al te vaak dat bedrijven zich maar al te makkelijk baseren op gerechtvaardigd belang, maar zonder hier verder de nodige juridische aandacht aan te schenken.   Heb jij als marketeer of webverantwoordelijke hulp nodig om je marketing- en prospectiebeleid juridisch in goede banen te leiden?

Sirius Legal verzorgt op zeer regelmatige basis legal compliance audits voor marketingdepartementen, webshops en  salesdepartementen, waarin we in overleg met de cliënt datastromen in kaart brengen, de marketingobjectieven voor de lange termijn analyseren, dataregisters opstellen, aanbevelingen en adviezen geven rond rechtsgronden, opt-ins, dataverzameling, … en samen met de cliënt ook een onderzoek doen naar de gebruikte tools, data export, privacy by design, verwerkersovereenkomsten met partners, etc…

Lees hier het originele artikel

2020-12-03T14:13:44+00:00 3 december 2020|Categories: Privacy recht|Tags: , , , |