Op 20 december 2019 heeft de Autoriteit Persoonsgegevens een boete van € 525.000,- opgelegd aan de Koninklijke Nederlandse Lawn Tennisbond (KNLTB). Deze boete is opgelegd, omdat de KNLTB in 2018 tweemaal tegen betaling persoonsgegevens heeft gedeeld met sponsoren. De sponsoren gebruikten deze gegevens vervolgens voor direct marketing campagnes.
Naar aanleiding van een aantal klachten en tips, alsmede aandacht voor de kwestie in de media, besloot de Autoriteit Persoonsgegevens een onderzoek te starten. In dit blog zal ik bespreken hoe de Autoriteit Persoonsgegevens tot het boetebesluit is gekomen.
Welke persoonsgegevens zijn er verstrekt?
Voor de eerste direct marketing campagne zijn door de KNLTB van 50.000 meerderjarige leden de naam, het geslacht en het adres verstrekt aan een sponsor. Deze sponsor heeft de gegevens vervolgens gebruikt voor het versturen van kortingsflyers.
Voor de tweede direct marketing campagne is een bestand met persoonsgegevens van 314.846 meerderjarige leden verstrekt aan een sponsor. Van deze leden werd de naam, het geslacht, het adres, de geboortedatum, het (mobiele) telefoonnummer, het e-mailadres en de naam van de tennisvereniging waarbij het lid speelt verstrekt. Vervolgens heeft de sponsor, na onder meer het raadplegen van het bel-me-niet-register, uit dit bestand 39.478 leden geselecteerd om telefonisch te benaderen.
Geen minimale gegevensverwerking
Er mochten volgens de Autoriteit Persoonsgegevens überhaupt geen persoonsgegevens worden verstrekt aan de sponsoren, maar zelfs als dat wél had gemogen, mocht minder worden verstrekt dan de KNLTB heeft gedaan. Volgens het Autoriteit Persoonsgegevens ging de KNLTB voor wat betreft de tweede actie namelijk enkel en alleen al in de fout door de betreffende sponsor de te benaderen leden te laten selecteren. Dit terwijl de KNLTB dat ook zelf had kunnen doen. Door zelf een selectie te maken hadden immers veel minder persoonsgegevens aan de sponsor verstrekt hoeven te worden. Ook zijn aan de sponsor e-mailadressen verstrekt, terwijl die gegevens voor de beoogde belactie niet nodig waren.
Doelbinding
Persoonsgegevens mogen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Eenmaal verzamelde gegevens mogen vervolgens niet verder worden verwerkt op een met die doeleinden onverenigbare wijze. Daarbij geldt de uitzondering dat verdere verwerking van persoonsgegevens altijd is toegestaan, indien daarvoor toestemming is verleend, of een wettelijke grondslag bestaat. Ook hiermee gaat de KNLTB volgens de Autoriteit Persoonsgegevens in de fout, doordat voor beide acties gebruik is gemaakt van gegevens van leden die vóór 2007 lid zijn geworden. Op het moment dat deze leden lid werden -en de persoonsgegevens verzameld werden- verzamelde de KNLTB de gegevens enkel voor het uitvoeren van de lidmaatschapsovereenkomst. De gegevens werden destijds niet verzameld met het doel (extra) inkomsten te genereren door het verstrekken van de gegevens aan sponsoren.
Mede gelet op het verplichte lidmaatschap hadden de leden mogen verwachten dat hun persoonsgegevens alleen zouden worden gebruikt voor het oorspronkelijke verzameldoel. Hierbij neemt de Autoriteit Persoonsgegevens in aanmerking dat de KNLTB een non-profitorganisatie is en dat ook hierom de leden niet konden verwachten dat hun persoonsgegevens zouden worden verstrekt aan sponsors met commerciële motieven. Aangezien de gegevens van de leden die vóór 2007 lid waren geworden, slechts waren verzameld voor het uitvoeren van de lidmaatschapsovereenkomst, mochten de betreffende persoonsgegevens op een later moment niet alsnog voor een met dat doel onverenigbare wijze worden gebruikt. Ook niet nadat de KNLTB haar leden over dit andere doel had geïnformeerd.
Enkel winst maken = geen gerechtvaardigd belang
In 2007 had de ledenraad van de KNLTB toestemming gegeven voor het genereren van inkomsten, door het verstrekken van ledengegevens aan sponsoren ten behoeve van hun direct marketingactiviteiten. De Autoriteit Persoonsgegevens gaat er vanuit dat de persoonsgegevens van leden die ná 2007 lid zijn geworden, met dat doel werden verzameld en dat de leden van dat doel op de hoogte waren. Desondanks was het volgens de Autoriteit Persoonsgegevens niet toegestaan om de betreffende persoonsgegevens aan sponsoren te verstrekken.
Het verwerken van persoonsgegevens mag alleen op basis van één van de zes in de AVG genoemde verwerkingsgrondslagen. Eén van deze grondslagen is dat de betrokkene toestemming heeft gegeven voor het verwerken van zijn persoonsgegevens voor het beoogde doel. De individuele leden hadden echter nooit hun toestemming gegeven. Een andere grondslag op basis waarvan persoonsgegevens mogen worden verwerkt, is dat dit noodzakelijk is voor de uitvoering de uitvoering van de overeenkomst met de betrokkene. Op die grondslag werd door de KNLTB geen beroep gedaan.
De KNLTB heeft zich tegenover de Autoriteit Persoonsgegevens beroepen op de grondslag van het gerechtvaardigde belang van de KNLTB en/of haar sponsoren. Op basis van deze grondslag is allereerst van belang om te beoordelen of de belangen van de KNLTB en/of de sponsors kwalificeren als gerechtvaardigd. Dat houdt volgens de Autoriteit Persoonsgegevens in dat die belangen in (algemene) wetgeving of elders in het (ongeschreven) recht zijn benoemd als een rechtsbelang. Het moet volgens de Autoriteit Persoonsgegevens gaan om een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden. Het enkele belang persoonsgegevens te gelde te kunnen maken c.q. daar winst mee te kunnen maken, kwalificeert volgens de Autoriteit Persoonsgegevens op zichzelf niet als een gerechtvaardigd belang. Volgens de Autoriteit Persoonsgegevens kom je dan ook niet toe aan de vervolgvraag of de verwerking door de KNLTB of de sponsors noodzakelijk is, noch kom je toe aan een belangenafweging. De eerste drempel van ‘gerechtvaardigdheid’ wordt immers niet gehaald. De Autoriteit Persoonsgegevens wijst er daarbij op dat het bij een beroep op de grondslag van het gerechtvaardigd belang in de kern gaat om verwerkingen buiten de wil van de leden om en dat het dus gaat om een botsing met de grondrechten van de leden. Om die reden kan niet elk belang van de KNLTB en de sponsoren als gerechtvaardigd belang kwalificeren. De KNLTB heeft dus ook om die reden in strijd met de AVG gehandeld.
De hoogte van de boete
Ter onderbouwing van de hoogte van de boete verwijst de Autoriteit Persoonsgegevens naar de Boetebeleidsregels 2019. Volgens de bijlage bij deze beleidsregels geldt voor een overtreding van artikel 6 AVG een basisboete van € 525.000,- en kan deze boete worden verlaagd of verhoogd met inachtneming van diverse factoren. De Autoriteit Persoonsgegevens komt tot het oordeel dat er geen omstandigheden zijn die dermate zwaar wegen dat de boete dient te worden verlaagd (of verhoogd). Het feit dat de boete betrekking heeft op persoonsgegevens van de leden van de KNLTB en dat de KNLTB een vereniging is, waardoor de leden uiteindelijk zelf opdraaien voor de boete, is geen reden voor matiging. De Autoriteit Persoonsgegevens wijst er ook nogmaals op dat het voor het opleggen van een boete niet vereist is dat iemand opzettelijk de AVG schendt.
Conclusie
Indien persoonsgegevens worden verzameld voor een bepaald doel, mag je deze gegevens niet zomaar voor een ander doel gebruiken. Ook wanneer persoonsgegevens wél zijn verzameld voor het doel waarvoor ze gebruikt gaan worden, betekent dat nog niet dat je de persoonsgegevens daadwerkelijk mocht verzamelen en/of mag gebruiken. Daarvoor is immers ook vereist dat een van de in de AVG genoemde verwerkingsgrondslagen aanwezig is. Het besluit van de Autoriteit Persoonsgegevens om aan de KNLTB een boete op te leggen, toont aan dat de Autoriteit Persoonsgegevens van oordeel is dat een verwerkingsdoel dat enkel en alleen bestaat uit een financieel motief, onvoldoende is om te kwalificeren als verwerkingsgrondslag gerechtvaardigd belang.
