Op 23 november 2020 heeft de rechtbank Midden-Nederland een uitspraak gedaan in de zaak “VoetbalTV”. De rechtbank oordeelde dat VoetbalTV een door de Autoriteit Persoonsgegevens opgelegde boete van € 575.000 niet hoeft te betalen. De Autoriteit Persoonsgegevens heeft een verkeerd besluit genomen ten aanzien van de grondslag “gerechtvaardigd belang”. Inmiddels is de speeltijd van VoetbalTV verstreken, want het platform is in september 2020 failliet verklaard. Dat neemt echter niet weg dat de uitspraak van wezenlijk belang is voor de praktijk. In deze blog neem ik de uitspraak onder de loep.
VoetbalTV en de grondslag gerechtvaardigd belang
VoetbalTV was een online platform waarop amateurwedstrijden werden uitgezonden. Ruim 500.000 gebruikers konden deze beelden terugkijken, analyseren en delen met anderen. Leuk als je op zondagmiddag een hattrick hebt gescoord, en je je kunsten middels beeld kunt etaleren. Maar waar beelden worden gemaakt komt privacy om de hoek kijken. Meer specifiek de AVG. Er staan immers mensen herkenbaar op beeld. Dit betekent dat er persoonsgegevens worden verwerkt.
Om persoonsgegevens te verwerken heb je volgens artikel 6 van de AVG een grondslag nodig. Toestemming is de bekendste grondslag. Aangezien het juridisch en praktisch gezien onmogelijk is om van iedereen toestemming te vragen, kom je al gauw uit bij de grondslag “gerechtvaardigd belang”. Al eerder heb ik een blog geschreven over de grondslag gerechtvaardigd belang. In deze blog noemde ik het gerechtvaardigd belang niet voor niets een oplossing voor privacy hordes, omdat het soelaas biedt voor gegevensverwerkingen waar andere grondslagen – juridisch en praktisch gezien – onhaalbaar zijn. VoetbalTV beriep zich daarom geheel begrijpelijk op deze grondslag. Dit was in strijd met de AVG, aldus de Autoriteit Persoonsgegevens. Daarom besloot de Autoriteit Persoonsgegevens een boete op te leggen.
De strikte uitleg van de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens hanteerde altijd een strikte uitleg van de grondslag gerechtvaardigd belang. Zo staat in de normuitleg grondslag ‘gerechtvaardigd belang’ van de Autoriteit Persoonsgegevens – wat kan worden gezien als de visie van de Autoriteit Persoonsgegevens – dat belangen pas gerechtvaardigd zijn als deze in (algemene) wetgeving of elders in het recht zijn benoemd als rechtsbelang. Uit rechtsoverweging 14 van onderhavige uitspraak blijkt dat de Autoriteit Persoonsgegevens in dit kader het volgende tijdens de procedure naar voren heeft gebracht:
“Zuiver commerciële belangen en het belang van winstmaximalisatie zijn niet specifiek genoeg en missen een dringend ‘wettelijk’ karakter, zodat zij niet kunnen worden aangemerkt als gerechtvaardigde belangen. De kern van de activiteiten van eiseres bestaat uit de verwerking van persoonsgegevens en met die verwerking verdient zij geld. Zij heeft daarmee een zuiver economisch belang bij het verwerken van persoonsgegevens. Dit kan volgens verweerder nooit een gerechtvaardigd belang zijn.”
De rechtbank kan zich echter niet vinden in deze strikte uitleg van de Autoriteit Persoonsgegevens en tikt de Autoriteit Persoonsgegevens dan ook op de vingers. De toetsing van de Autoriteit Persoonsgegevens gaat volgens de rechtbank uit van een verkeerde interpretatie van de grondslag “gerechtvaardigd belang”.
Rechtbank fluit de Autoriteit Persoonsgegevens terug
De rechtbank overweegt aan de hand van rechtspraak van het Europese Hof van Justitie waarom de Autoriteit Persoonsgegevens een onjuist maatstaf hanteert. In rechtsoverweging 14 refereert de rechtbank aan de uitspraak Fashion ID, waarin drie voorwaarden naar voren komen voor een geslaagd beroep op de grondslag gerechtvaardigd belang. Oftewel de driestappentoets zoals beschreven in mijn blog die ik eerder heb geschreven. In het kort komt het erop neer dat moet zijn voldaan aan de volgende drie voorwaarden:
- Heb je een gerechtvaardigd belang (doel)?
- Is de voorgenomen verwerking van persoonsgegevens noodzakelijk om het doel te bereiken?
- Weegt het belang van jouw organisatie (of een derde) zwaarder dan het privacybelang van de betrokkene?
De Autoriteit Persoonsgegevens heeft al bij de eerste stap een streep gezet door het standpunt van VoetbalTV. De Autoriteit Persoonsgegevens was immers van mening dat VoetbalTV een zuiver commercieel belang had bij de exploitatie van het platform. Zoals gezegd kan een zuiver commercieel belang volgens de Autoriteit Persoonsgegevens niet worden aangemerkt als gerechtvaardigd belang. En een belang kan pas gerechtvaardigd zijn als deze in (algemene) wetgeving of ergens anders in het recht is benoemd als rechtsbelang: een positieve toets.
De rechtbank overweegt echter in rechtsoverweging 16 dat de vraag of een organisatie een gerechtvaardigd belang heeft, aan de hand van een negatieve toets moet worden beoordeeld. Dit brengt met zich mee dat ieder belang gerechtvaardigd kan zijn, zo lang deze maar niet in strijd is met het recht. Dit is een ruime interpretatie. De rechtbank vindt in overweging 47 van de AVG steun voor deze ruime interpretatie. Hierin staat namelijk expliciet genoemd dat “direct marketing” als voorbeeld kan dienen van een mogelijk gerechtvaardigd belang. Bij “direct marketing” kan ook geen rechtsbelang worden genoemd als basis.
Wat kunnen organisaties met de uitspraak?
Organisaties hebben op basis van onderhavige uitspraak meer ruimte om persoonsgegevens te verwerken op basis van de grondslag gerechtvaardigd belang. Dit betekent met name “een winst” voor organisaties die commerciële activiteiten willen ontplooien. Dit neemt niet weg dat je als organisatie nog steeds een goed verhaal moet hebben om de grondslag gerechtvaardigd belang rond te krijgen.
Als organisatie mag je je belang zelf naar voren brengen. De Autoriteit Persoonsgegevens moet zich laten leiden door de belangen die door de verwerker naar voren worden gebracht. Daarbij mag de Autoriteit Persoonsgegevens niet vooraf – bij stap 1 uit de driestappentoets – bepalen dat er geen gerechtvaardigd belang is, tenzij een belang in strijd is met het recht. De Autoriteit Persoonsgegevens zal dit moeten aantonen. Is het belang niet in strijd met het recht, dan moet de Autoriteit Persoonsgegeven een noodzakelijkheidstoets uitvoeren en een belangenafweging maken (stap 2 en stap 3 uit de driestappentoets). Commerciële activiteiten mogen dus niet al vooraf – bij stap 1 uit de driestappentoets – worden getackeld door de Autoriteit Persoonsgegevens. Of VoetbalTV gebruik kon maken van de grondslag gerechtvaardigd belang blijkt niet uit de uitspraak, omdat de Autoriteit Persoonsgegevens dit – stap 2 en stap 3 uit de driestappentoets – dus niet heeft getoetst.
Aan organisaties de taak om een gefundeerd verhaal te hebben bij de (voorgenomen) gegevensverwerking. In dit kader is het raadzaam om de driestappentoets op papier te zetten, zodat je kunt motiveren waarom gebruik kan worden gemaakt van de grondslag “gerechtvaardigd belang”. Mocht er ooit discussie ontstaan over de grondslag, dan heb je je papieren motivering altijd achter de hand. Daarnaast kunnen maatregelen worden genomen om belangenafweging tussen de belangen van jouw organisatie (of een derde) en het privacybelang van de betrokkene(n) in het voordeel te laten uitvallen van jouw organisatie (of een derde). Denk aan maatregelen zoals (1) het op de juiste wijze informeren over de verwerking van persoonsgegevens; (2) de persoonsgegevens niet inzetten voor andere doeleinden; (3) de persoonsgegevens zo snel mogelijk op een veilige manier verwijderen; (4) een onvoorwaardelijk recht van bezwaar aanbieden; en (5) het nemen van een passende beveiligingsmaatregelen. Dergelijke maatregelen kunnen in de driestappentoets worden opgenomen. Vanzelfsprekend dienen de maatregelen ook in de praktijk ten uitvoer te worden gebracht.
Of de Autoriteit Persoonsgegevens in hoger beroep gaat tegen de uitspraak moeten we afwachten. We houden de zaak in ieder geval in de gaten.
