Een commercieel belang als gerechtvaardigd belang in de AVG?

Inzichten door het HvJEU in de KNLTB-zaak en de ontwerprichtsnoeren van de EDPB

Op 4 oktober 2024 heeft het Hof van Justitie van de Europese Unie (HvJEU) een beslissing genomen in de zaak Koninklijke Nederlandse Lawn Tennisbond tegen de Nederlandse Autoriteit Persoonsgegevens (de “KNLTB-zaak”). Deze langverwachte uitspraak neemt, minstens gedeeltelijk, wat onduidelijkheid weg rond de rechtsgrond ‘gerechtvaardigd belang’ uit artikel 6.1 f) AVG. Hieronder lichten wij deze uitspraak verder toe en houden we rekening met de nieuwe ontwerprichtsnoeren van de EDPB over rechtsgrond ‘gerechtvaardigd belang’.

Door Seliha Buelens en Bernd Fiten, advocaten bij Timelex

Waarover gaat het?

AP oordeelde dat het verkopen van persoonsgegevens aan sponsors geen gerechtvaardigd belang is

De Nederlandse Autoriteit Persoonsgegevens (AP) legde de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete op wegens de onrechtmatige verkoop van persoonsgegevens van leden door de KNLTB aan sponsors.

Het verkopen van persoonsgegevens is een verwerking van persoonsgegevens die onder de Algemene Verordening Gegevensbescherming (AVG) valt. De KNLTB treedt voor deze verwerking op als verwerkingsverantwoordelijke en moet zich dus beroepen op een gepaste rechtsgrond uit artikel 6.1 a) tot f) AVG. Een mogelijke rechtsgrond is het gerechtvaardigd belang van de verwerkingsverantwoordelijke (artikel 6.1 f) AVG). De KNLTB beriep zich op de rechtsgrond ‘gerechtvaardigd belang’ voor de verkoop van persoonsgegevens van leden aan sponsors.

Volgens de AP was de rechtsgrond ‘gerechtvaardigd belang’ echter niet geschikt voor deze verkoop. De AP oordeelde dat het belang van de verwerkingsverantwoordelijke (dus de KNLTB in deze zaak) in rechte beschermd moet zijn opdat het gerechtvaardigd kan zijn. De AP was van mening dat enkel belangen die in (algemene) wetgeving of elders in het recht voorgeschreven staan, kunnen gelden als gerechtvaardigde belangen. De AP interpreteerde de rechtsgrond ‘gerechtvaardigd belang’ aldus restrictief. Bijgevolg oordeelde de AP dat de toestemming van de betrokkenen vereist was voor het verkopen van hun persoonsgegevens aan sponsors.

KNLTB vocht de beslissing aan en de rechtbank van Amsterdam stelde een prejudiciële vraag

De KLNTB vocht de beslissing van de AP aan voor de rechtbank van Amsterdam. Die stelde vervolgens een prejudiciële vraag aan het Hof van Justitie van de Europese Unie (HvJEU). De prejudiciële vraag gaat enerzijds over de betekenis van het begrip ‘gerechtvaardigd belang’ want de AVG voorziet geen definitie voor dit begrip, en anderzijds over de eventuele verenigbaarheid van een gerechtvaardigd belang met een commercieel belang.

Met andere woorden, laat de AVG toe dat een louter commercieel belang ook een gerechtvaardigd belang zou kunnen zijn?

Wat oordeelde het Hof van Justitie?

Het Hof oordeelt dat een commercieel belang wel een gerechtvaardigd belang kan zijn

De vraag of een zuiver commercieel belang ook een gerechtvaardigd belang kan zijn, werd steeds negatief beantwoord door de AP. Uit de KNLTB-zaak volgt dat dit standpunt niet in overeenstemming is met de AVG.

Het Hof oordeelde in de KNLTB-zaak dat een puur commercieel oogmerk wel degelijk een gerechtvaardigd belang kan uitmaken. Het Hof verwijst naar overweging 47 AVG en oordeelt dat een gerechtvaardigd belang niet bij wet voorgeschreven moet zijn, in tegenstelling tot de visie van de AP. Het gaat om een negatieve test, i.e. een waaier aan belangen kunnen worden beschouwd als zijnde gerechtvaardigd, voor zover ze niet strijdig zijn met de wet.

Dus zolang het nagestreefde belang geen wetten schendt, is het belang in principe gerechtvaardigd en kan het niet op voorhand uitgesloten worden. Daaruit volgt dat commerciële belangen zoals het aanbieden van advertentieruimte met het oog op commerciële doeleinden en gepersonaliseerde promoties, of het verkopen van persoonsgegevens teneinde gerichte advertenties per post te kunnen opsturen naar betrokkenen volgens het Hof dus gerechtvaardigde belangen kunnen zijn.

De driestappentest om te bepalen of een commercieel belang is geschikt om te dienen als rechtsgrond

Dat een commercieel belang gerechtvaardigd kan zijn, betekent echter niet dat elk gerechtvaardigd belang ook geschikt is als rechtsgrond onder de AVG.

Opdat een louter commercieel belang ook als rechtsgrond kan dienen onder de AVG, moet immers een driestappentest, namelijk een ‘legitimate interest assessment’ (LIA), worden uitgevoerd. De driestappentest is geslaagd als er aan drie voorwaarden is voldaan. Het Hof bevestigde dit opnieuw in de KNLTB-zaak. De drie cumulatieve voorwaarden zijn als volgt:

• Er moet een rechtmatig gerechtvaardigd belang aanwezig zijn in hoofde van de verwerkingsverantwoordelijke of een derde (de ‘doeltoets’); en
• De verwerking van persoonsgegevens moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang (de ‘noodzakelijkheidstoets’); en
• De fundamentele vrijheden en grondrechten van de betrokkene mogen niet zwaarder wegen dan het nagestreefde gerechtvaardigde belang (de ‘afwegingstoets’).

Indien aan elk van deze drie cumulatieve voorwaarden wordt voldaan, biedt het commercieel oogmerk een rechtmatige rechtsgrond tot verwerking van persoonsgegevens in de zin van artikel 6.1 f) AVG. Waar het Hof in het verleden stelde dat de rechtsgronden uit artikel 6.1 AVG strikt geïnterpreteerd dienen te worden, voorziet het in de KNLTB-zaak een eerder ruime rechtsgrond voor commerciële organisaties om tot verwerking van persoonsgegevens over te gaan.

De Belgische Gegevensbeschermingsautoriteit oordeelde ook al dat een commercieel belang gerechtvaardigd kan zijn

De GBA oordeelde in het verleden al, namelijk in beslissing 46/2024, dat een zuiver commercieel belang kan gelden als een gerechtvaardigd belang.

De beslissing betrof een bank die persoonsgegevens verwerkte om datamodellen te bouwen met het oog op het aanbieden van gepersonaliseerde kortingen voor producten en diensten van derden. De GBA oordeelde dat dit zuiver commercieel belang gericht was op marktpositionering, rekening houdend met activiteiten van concurrenten, en paste de driestappentoets toe. De bank mocht zich aldus beroepen op haar gerechtvaardigd belang om persoonsgegevens te verwerken in het licht van het trainen van die datamodellen. Voor het aanbieden van die gepersonaliseerde kortingen aan haar klanten was wel toestemming vereist. Die reclame op maat betreft namelijk de klassieke, gepersonaliseerde direct marketing waarvoor de bank dus voorafgaande toestemming van de betrokkene moet vragen.

Aldus kan een zuiver commercieel belang een gerechtvaardigd belang uitmaken volgens de GBA, minstens wat betreft het trainen van datamodellen voor het aanbieden van gepersonaliseerde kortingen.

Wat zegt de European Data Protection Board (EDPB) hierover?

Ontwerprichtsnoeren van de EDPB inzake de rechtsgrond ‘gerechtvaardigd belang’

Op 8 oktober 2024 heeft de EDPB de richtsnoeren 01/2024 uitgevaardigd betreffende de verwerking van persoonsgegevens steunend op artikel 6.1 f) AVG, i.e. steunend op de rechtsgrond ‘gerechtvaardigd belang’. Het doel van de ontwerprichtsnoeren is het verduidelijken van de voorwaarden waaraan een verwerkingsverantwoordelijke moet voldoen om zich rechtmatig te kunnen doen beroepen op diens gerechtvaardigd belang als rechtsgrond onder de AVG.

Wat stellen de ontwerprichtsnoeren van de EDPB?

De EDPB bevestigt ook dat de rechtmatigheid van het gerechtvaardigd belang van de verwerkingsverantwoordelijke beoordeeld moet worden aan de hand van de voormelde driestappentoets. Het gaat aldus om een vraag die geval per geval beantwoord moet worden. Vervolgens gaat de EDPB dieper in op elk van de drie cumulatieve voorwaarden (aanwezigheid van een belang, noodzakelijkheid en proportionaliteit). In het kader van de noodzakelijkheidstoets wijst de EDPB op het basisprincipe van de minimale gegevensverwerking. Met betrekking tot de afwegingstoets is het van belang om de redelijke verwachtingen van de betrokkenen te overwegen.

De richtsnoeren bespreken ook de rechten die de betrokkenen genieten op basis van de AVG, zoals (maar niet beperkt tot) het recht op inzage en gegevenswissing, en hoe die in verhouding staan tot de gegevensverwerking gesteund op het gerechtvaardigd belang. Tenslotte worden enkele veelvoorkomende situaties besproken en de daarmee gepaard gaande aandachtspunten. Zo biedt de EDPB bijkomende richtsnoeren in geval van persoonsgegevens die betrekking hebben op kinderen, of direct marketingdoeleinden van de verwerkingsverantwoordelijke als gerechtvaardigd belang.

Enkele bemerkingen bij de ontwerprichtsnoeren van de EDPB

We merken op dat deze versie van de richtsnoeren op het moment van schrijven nog open is voor publieke consultatie. De tekst van de finale versie van de richtsnoeren zou dus nog kunnen wijzigen. In het kader daarvan formuleren we enkele bemerkingen.

De commerciële belangen moeten verband houden met de economische activiteiten van de verwerkingsverantwoordelijke, maar wat met activiteiten van een derde?

Vooreerst stellen de voorgestelde richtsnoeren dat de gerechtvaardigde belangen van economisch en commercieel georiënteerde verwerkingsverantwoordelijken zich moeten beperken tot “diens” economische activiteiten. Echter, de AVG laat ook toe om persoonsgegevens te verwerken op basis van het gerechtvaardigd belang van een derde.

Wanneer er door de verwerkingsverantwoordelijke gesteund wordt op het behartigen van gerechtvaardigde belangen van een derde is het onduidelijk of dezelfde beperking zou gelden. Dient het nagestreefde belang van een derde binnen het doel en de middelen van de verwerkingsverantwoordelijke te passen opdat het nagestreefde belang gerechtvaardigd kan zijn? Van welke aard dient de relatie tussen de verwerkingsverantwoordelijke en de derde dan te zijn? De vraag rijst aldus in welke gevallen een verwerkingsverantwoordelijke rechtmatig kan steunen op het nastreven van een gerechtvaardigd belang van een derde.

De ontwerprichtsnoeren zouden meer duidelijkheid kunnen verschaffen over de afwegingstoets in het geval van kwetsbare betrokkenen

Verder besteedt de EDPB bijkomende aandacht aan verwerkingen die gesteund zijn op het gerechtvaardigd belang en waar de betrokkenen kinderen zijn, i.e. een kwetsbare categorie van betrokkenen onder de AVG. Dergelijke verwerkingen vragen om een zorgvuldige afwegingstoets (als derde voorwaarde van de driestappentoets), benadrukt de EDPB. Er wordt echter niet gekeken naar gelijkaardige verwerkingssituaties die andere kwetsbare categorieën van betrokkenen betreffen.

De ontwerprichtsnoeren erkennen in paragraaf 47 werknemers impliciet als een kwetsbare categorie van betrokkenen. De ontwerprichtsnoeren benadrukken namelijk dat de specifieke context van een verwerkingssituatie in overweging moet worden genomen wanneer de afwegingstoets wordt doorlopen, omdat iedere betrokkene andere belangen heeft. De EDPB verduidelijkt verder dat dit zeker van toepassing is in een werkgever-werknemer verhouding, maar verdere verduidelijking omtrent andere mogelijks kwetsbare betrokkenen blijft uit.

Zo stellen de richtsnoeren voor gegevensbeschermingseffectbeoordelingen van de voorganger van de EDPB (de WP29) dat niet alleen kinderen en werknemers, maar ook minstens geesteszieken, asielzoekers, bejaarden en patiënten als kwetsbare betrokkenen beschouwd moeten worden. Hierover wordt niets gesteld in de ontwerprichtsnoeren van de EDPB. Desalniettemin is dit van groot belang voor verwerkingsverantwoordelijken gelet op de noodzaak van bijkomende, risicobeperkende maatregelen in deze context.

De ontwerprichtsnoeren zouden meer duidelijkheid kunnen verschaffen over mogelijke risicobeperkende maatregelen

Tot slot is het te betreuren dat er niet meer duidelijkheid geschept wordt omtrent mogelijke risicobeperkende maatregelen. Indien bij het uitvoeren van een LIA zou blijken dat de fundamentele rechten en vrijheden van een betrokkene zwaarder wegen dan het gerechtvaardigd belang van de verwerkingsverantwoordelijke, zou deze laatste mitigerende maatregelen kunnen nemen ter bescherming van die rechten en vrijheden om zo alsnog de afwegingstoets in het voordeel van de verwerkingsverantwoordelijke te doen keren. In dat geval zou de verwerkingsverantwoordelijke de persoonsgegevens in kwestie na het nemen van bijkomende maatregelen toch kunnen verwerken op basis van de rechtsgrond ‘gerechtvaardigd belang’. Hoewel er gesteld wordt dat deze mitigerende maatregelen geen verplichtingen mogen uitmaken die volgen uit de AVG, voorziet de EDPB geen alternatieve voorbeelden die wél als risicobeperkend, maar niet als AVG-verplichtingen, beschouwd kunnen worden.

Enkele aandachtspunten bij een commercieel belang als gerechtvaardigd belang

Verwerkingsverantwoordelijken, en in het bijzonder commerciële organisaties zoals bedrijven, genieten zo de bevestiging dat een commercieel belang ook een gerechtvaardigd belang zou kunnen zijn. Hierbij moet wel extra aandacht besteed worden aan een aantal zaken:

• Hoewel er strikt genomen geen hiërarchie bestaat tussen de verschillende rechtsgronden uit de AVG, lijkt de EDPB wel te suggereren dat de verwerkingsverantwoordelijke dient te zijn nagegaan of er geen andere, minder ingrijpende wijze was om diens commercieel belang na te streven dan zich te beroepen op diens gerechtvaardigd belang. Dit volgt uit het feit dat de rechtsgrond ‘gerechtvaardigd belang’ volgens de EDPB niet tot laatste redmiddel mag dienen voor onverwachte verwerkingssituaties in geval de andere vijf rechtsgronden tekortschieten, noch mag het een automatische keuze zijn van de verwerkingsverantwoordelijke. Bovendien is de noodzakelijkheidstoets (de tweede voorwaarde van de driestappentoets), en het daarmee gepaard gaande beginsel van minimale gegevensverwerking van groot belang.
• Indien de verwerkingsverantwoordelijke zich beroept op diens gerechtvaardigd belang is het aan te raden om de eerder vermelde LIA niet alleen zorgvuldig uit te voeren, maar ook nauwgezet te documenteren, vooral voor het geval van een eventuele controle door een bevoegde toezichthoudende autoriteit. Een gedocumenteerde LIA kan de verwerkingsverantwoordelijke ook helpen bij het beantwoorden van een verzoek van een betrokkene, ook al heeft de betrokkene geen recht om een kopie van de LIA te ontvangen of deze in te kijken.
• De verwerkingsverantwoordelijke met een commercieel gerechtvaardigd belang moet tijdens de afwegingstoets (de derde voorwaarde van de driestappentoets) bijkomende aandacht besteden aan de aard van de betrokkenen, en meer bepaald aan de mogelijkheid dat persoonsgegevens van kwetsbare categorieën van personen worden verwerkt. Dergelijke betrokkenen zijn namelijk meer vatbaar om hun fundamentele rechten en vrijheden geschaad te zien. Aldus dient daarmee rekening gehouden te worden bij het afwegen van het commercieel gerechtvaardigd belang en de fundamentele rechten en vrijheden van de kwetsbare betrokkenen.

Conclusie

Een zuiver commercieel belang kan aldus beschouwd worden als een gerechtvaardigd belang onder de AVG. Althans, dit is niet principieel uitgesloten in tegenstellig tot de zienswijze van de Nederlandse Autoriteit Persoonsgegevens. De KNLTB-arrest bevestigt dat ook commerciële organisaties persoonsgegevens kunnen verwerken op grond van een gerechtvaardigd belang, mits de nodige maatregelen worden genomen en rekening wordt gehouden met bepaalde voorwaarden zoals de driestappentoets. Dit wordt ook bevestigd door de EDPB in de desbetreffende ontwerprichtsnoeren. Verder benadrukt het Hof in de KNLTB-zaak het belang van de bescherming van de fundamentele vrijheden en rechten van de betrokkenen. Dit vereist een beoordeling geval per geval die in het kader van de verantwoordingsplicht best wordt gedocumenteerd in een LIA. Het belang van LIA’s voor bedrijven en andere organisaties die aan commercieel gedreven gegevensverwerking doen, kan bijgevolg niet overschat worden.