“EU-Hof berispt privacy waakhond AP over handel in privédata” kopte het FD op 7 oktober naar aanleiding van een arrest van het Europees Hof van Justitie (EHvJ) van 4 oktober. Een dag later werd dat nog eens dunnetjes overgedaan: “Bedrijfsleven slaakt zucht van verlichting na privacy-oordeel EU-Hof”. Ook andere nieuwsbronnen wekte de suggestie dat de uitspraak van het EU-Hof vrijelijke handel in persoonsgegevens mogelijk maakt.
Die zucht van opluchting wordt denk ik een beetje te vroeg geslaakt. De uitspraak zet zeker niet de poort open voor grootschalige handel in persoonsgegevens. Het Hof oordeelt maar over een deel van de interpretatie van Gerechtvaardigd belang. Uitspraak EU-Hof: juich niet te vroeg
Wat was de zaak ook alweer?
In 2018 legde de Autoriteit Persoonsgegevens de Koninklijke Lawn Tennis Bond (KNLTB) een boete op van een half miljoen euro wegens het verkopen van de gegevens van leden aan partners. Deze partners mochten de gegevens drie keer per kwartaal gebruiken voor marketingacties behalve voor email acties want daarvoor vraagt de Telecomwet een opt-in. De KNLTB gebruikte “gerechtvaardigd belang ” als grondslag voor deze actie. Nee zei de AP dit is een commercieel belang en dat kan nooit een gerechtvaardigd belang zijn. Een standpunt dat tot veel verbazing leidde, en niet alleen in Nederland.
De KNLTB vocht de boete aan bij de Rechtbank Amsterdam. Deze vroeg aan het EHvJ een zogenaamd prejudiciële beslissing. Nationale rechters kunnen die vragen aan het Hof als ze niet zeker zijn hoe het EU-recht moet worden geïnterpreteerd.
Het Hof kwam dus op 4 oktober met haar uitspraak daarover. Voor de duidelijkheid: in haar arrest geeft het Hof uitleg over het begrip “gerechtvaardigd belang”, van een berisping van de AP is dus geen sprake.
Uitspraak EHvJ: de race is nog niet gelopen
De uitspraak gaat om een deel van de uitleg van “Gerechtvaardigd belang”. Om die grondslag te kunnen gebruiken moet je drie afwegingen maken.
De eerste afweging is beoordelen of het belang rechtmatig is. Vervolgens beoordeel je of het nodig is persoonsgegevens te gebruiken om je doel te behalen of dat er andere manieren mogelijk zijn. De derde stap is beoordelen of jouw belang opweegt tegen de privacy van de personen waarvan de gegevens worden gebruikt: is de inbreuk redelijk en in verhouding.
Als je aan de hand van deze stappen concludeert dat je de grondslag kan gebruiken dan moeten er nog maatregelen getroffen worden om de privacy te beschermen. En je communiceert het gebruik en de onderbouwing daarvan in je privacyverklaring.
De stelling van de AP had betrekking op de eerste afweging. De AP had de opinie dat een commercieel belang nooit het gebruik van de grondslag “Gerechtvaardigd belang” in kon houden. Het gebruik van persoonsgegevens met dit belang werd daarmee niet legitiem.
Het EHvJ is het niet eens met deze stelling. Een commercieel belang betekent, zo stelt het Hof, niet dat het gebruik van ‘Gerechtvaardigd belang” niet legitiem is. Een Gerechtvaardigd belang kan ook commercieel van aard zijn.
Dat betekent dus dat met de uitspraak van het Hof alleen de eerste stap positief kan worden beantwoord, mits natuurlijk het belang legaal is en niet wettelijk verboden.
De tweede en derde afweging moeten nog steeds worden gemaakt. Heb je afgewogen of er een andere manier is om je belang te behartigen en of het gebruik proportioneel is. Daarna volgt dan nog de beoordeling of er voldoende maatregelen zijn genomen om de privacy te waarborgen.
Kortom, de suggestie die in verschillende artikelen wordt gewekt dat met deze uitspraak in de hand persoonsgegevens vrijelijk verhandeld mogen worden, is onjuist. De eerste horde is genomen maar er moeten daarna nog een aantal vervolgstappen worden gezet die alsnog tot de conclusie kunnen leiden dat het gebruik niet mogelijk is. Kortom: Uitspraak EU-Hof: juich niet te vroeg
Het is nu weer aan de Rechtbank Amsterdam om zich hier verder over te buigen.
