Tweede boete onder de AVG is opgelegd: hoe te voorkomen?

Sinds de Algemene verordening gegevensbescherming (hierna: AVG) in 2018 in werking is getreden, heeft de Autoriteit Persoonsgegevens (hierna: AP) duizenden klachten omtrent privacy schendingen binnen gekregen. In 2019 heeft de AP laten weten vaker te gaan onderzoeken naar aanleiding van klachten en vaker sancties op te leggen wanneer een overtreding wordt geconstateerd. De AP lijkt deze belofte waar te maken door recentelijk de tweede AVG-boete (ter hoogte van € 525.000,00) op te leggen aan de Koninklijke Nederlandse Lawn Tennisbond (hierna: KNLTB).

Waarom een boete?

De KNLTB had persoonsgegevens van 350.000 leden verkocht aan sponsoren. Deze leden werden vervolgens benaderd per post of telefoon, terwijl zij daar geen weet van hadden. Volgens de AP was er voor de verkoop van de persoonsgegevens geen grondslag uit de AVG. Zo hadden de leden voor het verstrekken van hun gegevens aan sponsoren geen toestemming gegeven. Zie voor meer informatie hierover de uitgebreide blog van collega Jarno Smit.

Hoe kun je een boete voorkomen?

Het is in de eerste plaats belangrijk om de doeleinden waarvoor persoonsgegevens worden verzameld en verwerkt, vooraf uitdrukkelijk te omschrijven. Persoonsgegevens mogen alleen worden verzameld voor een gerechtvaardigd doeleinde en voor zover noodzakelijk. Belangrijk is dat zo min mogelijk gegevens verzameld worden om het vooraf bepaalde doel te kunnen bereiken.

Als je er als organisatie vervolgens achter komt dat je gegevens voor een ander doel wil gebruiken dan waarvoor deze verzameld zijn, zoals in het voorbeeld van de KNLTB, dan moet in de meeste gevallen toestemming worden gevraagd aan de betrokkenen om de gegevens voor het beoogde (tweede) doel te gebruiken. Daarbij is dus weer van belang dat zo min mogelijk persoonsgegevens worden gebruikt.

Meer weten over de mogelijkheden of even sparren? Laat het ons weten!