Commerciële belangen als AVG-grondslag: Hof van Justitie doet uitspraak

Op 4 oktober 2024 wees het Hof van Justitie van de EU een belangrijk arrest voor het privacy- en gegevensbeschermingsrecht in de EU.

HVJ EU 4 oktober 2024 (KNLTB/Autoriteit Persoonsgegevens) zaak C -162/22, ECLI:EU:C:2024:857

Kan een commercieel belang gelden als een ‘gerechtvaardigd belang’?

De zaak ging kortgezegd over de vraag of een commercieel belang kan gelden als een ‘gerechtvaardigd belang’ in de zin van de AVG, waarop een verwerking van persoonsgegevens kan worden gestaafd.

Naar dit arrest keken experts op het gebied van privacyrecht in de gehele EU, maar ook daarbuiten, reikhalzend uit. Het resultaat lag in lijn met de verwachtingen van deze kritische experts, zo zal blijken uit het oordeel van het Hof van Justitie van de EU, dat in dit artikel kort zal worden toegelicht.

Gemaakt door Lodewijk Koster van Loko Cartoons

Wat is er gebeurd?

In deze zaak tussen de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) en de Autoriteit Persoonsgegevens had de toezichthouder op 20 december 2019 een boete van €525.000,- opgelegd aan de KNLTB. De Autoriteit Persoonsgegevens is in Nederland de bevoegde toezichthouder die toeziet op de naleving van de Algemene Verordening Gegevensbescherming (AVG), in de volksmond ook wel “de privacywet” genoemd. De Autoriteit Persoonsgegevens vond dat de KNLTB de AVG had geschonden door persoonsgegevens van leden van de KNLTB te verstrekken aan twee sponsors ten behoeve van direct marketing activiteiten van die sponsors aan tennisliefhebbers.

De KNLTB was het niet eens met de kritiek van de Autoriteit Persoonsgegevens op de sponsoren en wees ‘gerechtvaardigde belangen’ aan als de grondslag waarop die gewraakte verwerking van persoonsgegevens volgens KNLTB rechtmatig is geweest.

De Autoriteit Persoonsgegevens veegde de bezwaren van de KNLTB van tafel en wees op haar eigen document omtrent de invulling en interpretatie van het wettelijke begrip “gerechtvaardigd belang” in de zin van de AVG. In de “Normuitleg grondslag ‘gerechtvaardigd belang’” had de Autoriteit Persoonsgegevens tot verbazing van vele experts op het gebied van privacyrecht de volgende zin opgenomen:

“Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.”

De interpretatie die de Autoriteit Persoonsgegevens gaf leek niet te passen in de lijn van de jurisprudentie van het Hof van Justitie van de EU omtrent dat onderwerp. In de beroemde Google Spain zaak waarin vele interpretatievragen omtrent de AVG zijn beantwoord door het Hof van Justitie van de EU stond namelijk o.a.:

“81 Gelet op de potentiële ernst van deze inmenging moet worden vastgesteld dat zij niet kan worden gerechtvaardigd door louter het economisch belang dat de exploitant van een dergelijke zoekmachine bij deze verwerking heeft. […].”

Uit de overweging dat díe specifieke inmenging uit de Google Spain- zaak “niet louter” kon worden gerechtvaardigd door het economisch belang volgt immers logischerwijs dat er andere – minder ingrijpende- inmengingen denkbaar zijn die wél gerechtvaardigd kunnen worden door een economisch belang waarbij andere belangenafwegingen spelen, althans dat is de heersende consensus binnen het vakgebied van privacy- en gegevensbeschermingsrecht.

De KNLTB vecht de boete aan bij de rechter en in dat kader werd een prejudiciële beslissing van het Hof van Justitie van de EU verzocht omtrent de vraag of de opvallend strenge en smalle invulling van de Autoriteit Persoonsgegevens in diens normuitleg over ‘gerechtvaardigd belang’ klopt.

Waar ging de zaak over?

Juridisch gezien betrof de zaak de vraag of een commercieel belang ook onder de paraplu van de restcategorie ‘gerechtvaardigd belang’ van artikel 6 lid 1 onder f AVG kan vallen, of daar naar zijn aard nooít onder kan vallen. Het antwoord op die vraag is essentieel voor de toepassing van de AVG.

De Autoriteit Persoonsgegevens leek van mening dat een belang uitsluitend valt onder het begrip ‘gerechtvaardigd belang’ in de zin van artikel 6 lid 1 onder f AVG als het belang in de wet is aangemerkt als een beschermenswaardig belang. Volgens de Autoriteit Persoonsgegevens kon een belang alleen als gerechtvaardigd worden aangenomen, indien zij eerst door de wetgever als beschermingswaardig was aangemerkt.. Dat wil zeggen dat een ”positieve toets” van de gerechtvaardigdheid van belangen zou bestaan.

De KNLTB daarentegen interpreteert de AVG aan de hand van de heersende consensus en stelt dat een “gerechtvaardigd belang” niet noodzakelijkerwijs hoeft voort te vloeien uit een grondrecht, een rechtsbeginsel, of de wet. Volgens KNLTB volgt uit de systematiek van de AVG dat élk belang een gerechtvaardigd belang kán zijn, mits dat belang niet in strijd is met de wet, dat wil zeggen dat de vraag of een bepaald belang gerechtvaardigd is moet worden beoordeeld per geval aan de hand van een “negatieve toets”, mede aan de hand van de gegeven feiten en omstandigheden in die situatie.

Artikel 6 lid 1 AVG

Met uitzondering van de bijzondere categorieën van persoonsgegevens, waarvoor een strenger wettelijk regime geldt, is een hoofdregel uit de AVG dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Het rechtmatigheidsbeginsel is één van de verwerkingsbeginselen uit de AVG. Alle regels en verplichtingen uit de AVG zijn terug te voeren op deze verwerkingsbeginselen.

In totaal kent de AVG de volgende zes grondslagen op grond waarvan een persoonsgegevens, m.u.v. een bijzondere categorie van persoonsgegevens, op rechtmatige wijze kan worden verwerkt:

“ Artikel 6 lid 1 AVG:
De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”

Deze lijst is limitatief, dat betekent dat indien een bepaalde verwerking niet op ten minste één van de bovengenoemde grondslagen gestoeld kan worden die verwerking van het persoonsgegeven niet rechtmatig is geweest in de zin van de AVG.

De AVG is een zeer strenge verordening. Voldoet de verwerking niet aan de vereisten die de AVG stelt, is deze verwerking bijvoorbeeld onrechtmatig geweest, dan kan het gevolg daarvan hoge boetes of zelfs aansprakelijkheidsclaims zijn in verband met die schending van de AVG.

Eerder schreven wij een artikel over de grondslag “toestemming”.

artikel toestemming voldoet niet altijd

Deze uitspraak die in dit artikel centraal staat betrof een andere grondslag, namelijk de grondslag “gerechtvaardigd belang”.

Hoe oordeelde het Hof van Justitie van de EU?

De Algemene Verordening Gegevensbescherming is een EU verordening. De hoogste rechter die bevoegd is te oordelen over de interpretatie van die verordening is het Hof van Justitie van de EU (“ HvJ EU”) te Luxemburg. De duidelijkheid die de uitspraak van het Hof van Justitie van de EU over deze grondslag heeft gebracht is dus zeer belangrijk voor de praktijk. Het Hof van Justitie van de EU floot in dit arrest de Nederlandse toezichthouder op de Algemene Verordening Gegevensbescherming (“AVG”) terug, de Autoriteit Persoonsgegevens, en oordeelde dat diens extreem strenge interpretatie van de wet niet klopte.

Het Hof van Justitie van de EU zorgt dat de Autoriteit Persoonsgegevens diens “Normuitleg grondslag ‘gerechtvaardigd belang’” die veel te streng en te nauw geformuleerd is zal moeten aanpassen, met dien verstande dat ook commerciële belangen gerechtvaardigde belangen in de zin van de AVG kúnnen zijn.

De vraag of de belangen van KNLTB gerechtvaardigd zijn of niet, daar moet de nationale rechter nu een oordeel over vellen aan de hand van het geldende toetsingskader. KNLTB zou de zaak dus alsnog kunnen verliezen na de belangenafweging door de rechter: de kous is dus nog niet af.

Mogen commerciële belangen ook gerechtvaardigde belangen zijn?

Het Hof van Justitie van de EU benadrukt dat het in de beroemde Google Spain – zaak, HvJ EU13 mei 2014, (Google Spain en Google), C‑131/12, EU:C:2014:317, punt 73 al had aangegeven dat het niet is uitgesloten dat een commercieel belang, bestaande in de promotie en verkoop van advertentieruimte voor marketingdoeleinden, kan worden aangemerkt als een gerechtvaardigd belang. Experts die kritiek uitten op de zeer strenge normuitleg van de Autoriteit Persoonsgegevens wezen precies op die overweging uit dat arrest uit 2014. Het Hof van Justitie van de EU bevestigt dus de heersende consensus, een gerechtvaardigd belang kan ook een commercieel belang zijn.

Uiteraard dient het commerciële belang wel te worden getoetst binnen de grenzen van de toepasselijke wet- en regelgeving en aan de grondrechten. Echter, het Hof van Justitie geeft geen aanwijzing dat op voorhand anders gekeken zou moeten worden naar commerciële belangen dan andersoortige belangen in dergelijke afwegingen door de rechter. De toetsen omtrent belangafwegingen zijn nog steeds dezelfde en de interpretatie van de Autoriteit Persoonsgegevens was onjuist.

Het toetsingscriterium bij een beroep op het gerechtvaardigde belang is:

1. Er is sprake van de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde,
2. De verwerking van de persoonsgegevens is noodzakelijk voor de behartiging van het gerechtvaardigde belang
3. De belangen of de fundamentele vrijheden en de grondrechten van de bij de gegevensbescherming betrokken persoon wegen niet zwaarder dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of een derde
4. Ook dient het verwerkingsbeginsel ‘dataminimalisatie’ te zijn toegepast, d.w.z. ook als de verwerking rechtmatig is op de bovenstaande drie criteria in het licht van het rechtmatigheidsbeginsel, is het niet geoorloofd om méér persoonsgegevens te verwerken dan noodzakelijk voor de behartiging van het gerechtvaardigde belang ingevolge het  dataminimalisatiebeginsel.

Ook in de recentere uitspraak HVJ EU 4 juli 2023, (Meta Platforms e.a. (Algemene gebruiksvoorwaarden van een online sociaal netwerk)), C‑252/21, EU:C:2023:537, is die toetsingsnorm nog een bevestigd.

Mag alles nu in direct marketing?

De uitspraak betekent niet dat ‘direct marketing’ nu is toegestaan in alle gevallen, zeker niet. Voor direct marketing gelden strenge wettelijke regels, mede uit hoofde van de Telecommunicatiewet waarvoor de Autoriteit Consument & Markt (ACM) de bevoegde toezichthouder is. Wie de wettelijke regels omtrent de voorwaarden voor de rechtmatigheid van direct marketing overtreedt, kan naast boetes ook andere bestuurlijke maatregelen, of een claim van gedupeerden tegen zich krijgen. Het is zeker niet zomaar geoorloofd om betrokkenen ongevraagd op elektronische wijze te benaderen met aanbiedingen of advertenties.

De uitspraak van het Hof van Justitie van de EU houdt wel in dat de Autoriteit Persoonsgegevens de AVG op onjuiste wijze geïnterpreteerd heeft. De hoogste Europese rechter grijpt dus in. Kenmerkend aan de rechtsstaat is dat eenieder zich aan de wet dient te houden, ook bevoegde toezichthouders. Krijgt u ooit een boete of een andere maatregel opgelegd door een bevoegde toezichthouder, dan hoeft u zich daar niet in alle gevallen bij neer te leggen. Ook toezichthouders kunnen ernaast zitten. Het is de rechter die uiteindelijk een oordeel mag vellen over de interpretatie van de wet. Tegen een besluit van een toezichthouder kunt u, al dan niet bijgestaan door een advocaat, in beroep gaan en -als de wet aan uw kant staat- alsnog uw gelijk halen.

Vragen?

Vraagt u zich af wat deze uitspraak voor u of uw organisatie betekent? Hebt u vragen op het gebied van privacy- of gegevensbeschermingsrecht? Hebt u vragen over de do’s en don’ts van direct marketing? Neem vandaag nog contact op met onze IT & privacyjuristen. Zij staan u graag te woord.

Advies

Heeft u vragen en wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail ons direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!