Normuitleg Autoriteit Persoonsgegevens

De normuitleg van de AP ziet op één van de zes in de AVG genoemde verwerkingsgrondslagen: het gerechtvaardigd belang. Persoonsgegevens mogen op grond van de AVG uitsluitend worden verwerkt indien de verwerkingsverantwoordelijke daarvoor (onder meer) een beroep kan doen op een verwerkingsgrondslag. Andere verwerkingsgrondslagen zijn bijvoorbeeld toestemming van de betrokkene of de noodzaak om persoonsgegevens te verwerken voor de uitvoering van een overeenkomst waarbij de betrokkene partij is. In de praktijk is het gerechtvaardigd belang een belangrijke en veel gebruikte verwerkingsgrondslag. Als deze grondslag opgaat, hoeft er bijvoorbeeld geen toestemming gevraagd te worden voor de verwerking.

De AP geeft in haar normuitleg aan dat “het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.” niet als gerechtvaardigd belang kan gelden. Dat zou betekenen dat de verwerkingsverantwoordelijke alleen persoonsgegevens voor dergelijke doeleinden kan verwerken indien hij daarvoor een andere grondslag heeft, bijvoorbeeld toestemming van de betrokkene. Tot op heden werden in sommige gevallen de economische belangen van de verwerkingsverantwoordelijke geacht te prevaleren boven het privacybelang van de betrokkene. Bijvoorbeeld omdat de impact van de verwerking niet zo groot is. In dergelijke gevallen kon de verwerkingsverantwoordelijke mogelijk toch persoonsgegevens verwerken met een beroep op zijn (of andermans) gerechtvaardigd (economische) belang. Met dit standpunt van de AP zou dat niet meer of in ieder geval in veel beperktere mate mogelijk zijn.

Standpunt Autoriteit Persoonsgegevens juist?

Wij vragen ons af of het standpunt van de AP niet te strikt is. De AP hecht allereerst geen waarde aan het feit dat tot nu toe werd aangenomen dat economische belangen in bepaalde gevallen als een ‘gerechtvaardigd belang’ kunnen gelden. In de overwegingen bij de AVG wordt expliciet aangegeven dat bijvoorbeeld direct marketing een gerechtvaardigd belang kan zijn. Direct marketing is bij uitstek een middel om onder meer de commerciële en economische belangen van een onderneming en het doel van winstmaximalisatie te dienen. Bovendien zal de privacy impact van de betrokkene in dergelijke gevallen over het algemeen beperkt zijn. Wanneer de betrokkene geen direct marketing e-mails wil ontvangen, kan hij zich daarvoor immers eenvoudig afmelden. Hierover rept de AP in haar normuitleg echter met geen woord.

Daarnaast benadert de AP ons inziens haar standpunt wel heel erg vanuit een privacybeschermend perspectief. De praktische uitvoerbaarheid en het ondernemersbelang om persoonsgegevens voor bijvoorbeeld commerciële belangen te mogen verwerken, zouden ook meegewogen moeten worden. Bovendien biedt de verplichte belangenafweging tussen dergelijke economische belangen en het privacybelang van de betrokkene al voldoende ruimte om te voorkomen dat er misbruik wordt gemaakt van deze verwerkingsgrondslag. Ons inziens wordt er geen recht gedaan aan de systematiek van de te maken belangenafweging, wanneer op voorhand ervan wordt uitgegaan dat commerciële en economische belangen niet kunnen gelden als gerechtvaardigde belangen. Het is immers niet ondenkbaar dat in bepaalde gevallen de belangenafweging anders had kunnen uitvallen. Bijvoorbeeld omdat de impact op de privacy erg beperkt zal zijn.

‘Botsende’ standpunten Autoriteit Persoonsgegevens en Europese privacytoezichthouders

Bovendien heeft de werkgroep van Europese privacytoezichthouders (destijds de ‘Werkgroep 29’ geheten) eerder in een opinie geschreven dat een gerechtvaardigd belang bijvoorbeeld zou kunnen zijn: het economische belang van een bedrijf om zo veel mogelijk te weten te komen over potentiële klanten, zodat advertenties over de producten of diensten beter op de doelgroep kunnen worden gericht. Deze werkgroep was van mening dat het begrip ‘gerechtvaardigd belang’ ruim moet worden uitgelegd. Deze opinie staat haaks op de strikte uitleg die de AP nu geeft. Hoewel de opinie van deze werkgroep nog van vóór de AVG stamt – ten tijde van de Wet bescherming persoonsgegevens – is deze volgens ons nog steeds van belang. De verwerkingsgrondslag ‘gerechtvaardigd belang’ is in de kern immers niet gewijzigd onder de AVG. De opvolger van deze werkgroep – de European Data Protection Board (EDPB) – heeft overigens wel aangekondigd de voornoemde opinie binnenkort te zullen updaten. Wij zijn erg benieuwd waar de EDPB binnenkort mee komt. Zullen zij ook de strengere lijn van de AP gaan hanteren? Uiteraard houden wij het voor u in de gaten.