Direct marketing volstaat als gerechtvaardigd belang om persoonsgegevens te verwerken
Nu de GDPR-Verordening (hierna: de Verordening) al 7 jaar in werking is getreden, is iedereen ervan op de hoogte dat de verwerking van persoonsgegevens enkel is toegestaan onder één van de zes rechtsgronden die opgenomen zijn in artikel 6 van de GDPR.
U hebt ongetwijfeld in uw privacyverklaring of op uw website verduidelijkt welke persoonsgegevens u verwerkt en op welke rechtsgrond u zich baseert om dit op rechtmatige wijze te doen. In de wet zijn er zes rechtsgronden voorzien, waarvan de meest gebruikte de volgende zijn: de toestemming van de betrokkene, de uitvoering van een overeenkomst met de betrokkene, een wettelijke verplichting in hoofde van de verwerkingsverantwoordelijke en het gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde.
Wat dit laatste betreft, wordt in de Verordening het volgende vermeld: “de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is”.
Wat een “gerechtvaardigd belang” precies is, wordt echter niet gedefinieerd. Er heerste dan ook onduidelijkheid over de vraag hoe ver dit begrip precies reikte.
Op 4 oktober 2024 diende het Hof van Justitie een aantal prejudiciële vragen te beantwoorden die meer duidelijkheid gebracht hebben over het begrip “gerechtvaardigd belang”.
Een gerechtvaardigd belang kan ook een puur commercieel belang zijn
Het Hof van Justitie werd gevat in het kader van een discussie waarbij de Nederlandse tennisbond persoonsgegevens van haar leden aan haar sponsors (o.a. een sportwinkel) had verkocht. De Nederlandse tennisbond baseerde zich daarvoor op het gerechtvaardigd belang waarbij zij haar leden de mogelijkheid wou bieden om tennis te spelen tegen een schappelijke prijs. De Autoriteit Persoonsgegevens (de toezichthoudende instantie in Nederland) was echter van oordeel dat een gerechtvaardigd belang enkel een belang kan zijn dat wettelijk voorzien is.
Het Hof van Justitie volgde het standpunt van de tennisvereniging. Een gerechtvaardigd belang moet niet noodzakelijk wettelijk voorzien zijn. Elk belang kan gerechtvaardigd zijn, zolang het niet strijdig is met de wet. Ook een commercieel belang in hoofde van de verwerkingsverantwoordelijke volstaat.
Dit is volgens ons een te verwachten beslissing. In de overwegingen bij de GDPR-Verordening (meer bepaald overweging 47) wordt immers expliciet vermeld dat de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.
Ja maar …
Het Hof van Justitie legt tezelfdertijd wel de nadruk op de overige verplichtingen van de verwerkingsverantwoordelijke die voorzien zijn in de Verordening. Zo wijst het Hof van Justitie op het feit dat elke verwerking van persoonsgegevens moet gebeuren op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is, verwijzend naar artikel 5 (1) (a) van de Verordening. Bovendien herhaalt het Hof van Justitie dat de verwerkingsverantwoordelijk de plicht heeft om elke betrokkene te informeren over de verwerkingsdoeleinden, alsook de rechtsgrond voor de verwerking (zoals voorzien in artikel 13 (1) (c) van de Verordening). Indien de verwerking gebaseerd is op het gerechtvaardigd belang, moet elke betrokkene ook geïnformeerd worden van die gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, dit al op het moment dat de verwerkingsverantwoordelijke de persoonsgegevens verkrijgt (artikel 13 (1) (d) van de Verordening).
Bovendien heeft een betrokkene het recht om bezwaar te maken tegen de verwerking van persoonsgegevens ten behoeve van direct marketing.
Niet onbelangrijk is ook dat het Hof van Justitie aankaart dat het ook een mogelijkheid was voor de Nederlandse tennisbond om voorafgaand aan de verwerking haar leden te informeren omtrent de beoogde doorgifte aan de sponsors en om hun toestemming daarvoor te vragen. Op die manier lijkt het Hof van Justitie toch te neigen naar een voorkeur van toestemming als rechtsgrond.
De driestappentest
Uit het voorgaande blijkt met andere woorden dat ook een commercieel belang gekwalificeerd kan worden als een gerechtvaardigd belang, mits bepaalde voorwaarden vervuld zijn.
Drie cumulatieve voorwaarden moeten voldaan zijn opdat een verwerkingsverantwoordelijke zich rechtsgeldig kan beroepen op de rechtsgrond van het “gerechtvaardigd belang”:
- de “doeltoets”: de belangen die met de verwerking worden nagestreefd, moeten als gerechtvaardigd kunnen worden erkend;
- de “noodzakelijkheidstoets”: de beoogde verwerking is noodzakelijk voor de verwezenlijking van die belangen; en
- de “afwegingstoets”: die belangen moeten worden afgewogen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de betrokkenen en die afweging moet doorwegen in het voordeel van de verwerkingsverantwoordelijken of van een derde.
Toepassing door de Gegevensbeschermingsautoriteit
Deze driestappentest wordt ook veelvuldig door de Gegevensbeschermingsautoriteit toegepast in haar beslissingen.
De doeltoets vereist dus niet dat het gaat om een wettelijk voorgeschreven belang, maar wel dat het een belang is dat niet strijdig is met de wet (negatieve test). Daarnaast is het zo dat het moet gaan om een werkelijk en actueel belang en geen puur hypothetisch belang.
Bij de noodzakelijkheidstoets wordt nagegaan of de verwerking noodzakelijk is voor het bereiken van het nagestreefde belang. Dit hangt nauw samen met het principe van minimale gegevensverwerking (voorzien in artikel 5 (1) (c) van de Verordening). Verwerking mag maar plaatsvinden indien deze verwerking binnen de grenzen blijft van hetgeen voor de behartiging van dat gerechtvaardigde belang strikt noodzakelijk is.
Voor de afwegingstoets moet rekening gehouden worden met de concrete feitelijke omstandigheden. Daarbij zal het eveneens van belang zijn om na te gaan welke de redelijke verwachtingen van de betrokkenen waren op het moment dat hun persoonsgegevens door de verwerkingsverantwoordelijke werden verkregen. Indien een betrokkene niet redelijkerwijze kon verwachten dat persoonsgegevens voor een bepaald doel verwerkt zouden worden, dan zal doorgaans de afwegingstoets doorwegen in het voordeel van de betrokkene, waardoor geen beroep kan gedaan worden op het gerechtvaardigd belang als verwerkingsgrond.
De Gegevensbeschermingsautoriteit houdt voor de afwegingstoets rekening met de impact van de verwerking op de betrokkenen, door in het bijzonder te analyseren wat de aard is van de te verwerken persoonsgegevens (Zijn dit bv. gevoelige gegevens?), wat de context is van de verwerking (Wat zijn de concrete feitelijke omstandigheden?) en wat de gevolgen zijn van de verwerking (Verandert er veel voor de betrokkene?).
Dit wijst ook op het belang van een goede privacyverklaring, waarin bv. wordt vermeld dat het mogelijk is dat persoonsgegevens aan derden worden doorgegeven voor marketingdoeleinden of gebruikt worden voor marketingdoeleinden en waarin die marketingdoeleinden ook expliciet worden gespecificeerd. Door de inhoud van dergelijke privacyverklaring weten de betrokkenen waaraan zij zich kunnen verwachten en komt men tegemoet aan de informatie- en transparantieplicht. De Gegevensbeschermingsautoriteit zal immers steeds nagaan of betrokkenen voldoende geïnformeerd werden op het moment dat hun gegevens werden verkregen en zal hiervoor doorgaans de privacyverklaring uitpluizen.
Concrete aanbevelingen
Indien u als verwerkingsverantwoordelijke gebruik wenst te maken van de rechtsgrond van het gerechtvaardigd belang, dient u bovengenoemde driestappentest zorgvuldig uit te voeren. Bij voorkeur schrijft u deze uit in een interne nota om u te kunnen verantwoorden ten aanzien van de Gegevensbeschermingsautoriteit.
Het is eveneens aan te bevelen om te zorgen voor een goede privacyverklaring. Zo kan u in uw privacyverklaring vermelden dat persoonsgegevens van betrokkenen ook verwerkt kunnen worden of doorgegeven worden aan derden voor commerciële doeleinden, bv. met het oog op direct marketing, waarbij u dan concreet kan aangeven wat die direct marketing precies inhoudt.
Vergeet ook niet dat elke betrokkene het recht heeft om bezwaar te maken tegen verwerking ten behoeve van direct marketing, waarna de persoonsgegevens niet meer voor direct marketing verwerkt mogen worden.
CONTACTPERSOON
SANDRINE DOISE
Advocaat