Op 3 maart 2020 publiceerde de Autoriteit Persoonsgegevens haar boetebesluit van 20 december 2019, waarmee ze een boete van maar liefst €525.000,- oplegt aan de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB). Het boetebesluit vindt u hier.
De boete is – heel kernachtig samengevat – opgelegd omdat de AP meent dat de KNLTB geen gegevens aan sponsoren had mogen verstrekken omdat zij daarvoor geen (althans niet de juiste) grondslag had, c.q. de verstrekking niet verenigbaar was met het oorspronkelijke doel waarvoor de gegevens zijn verzameld.
Wat was er aan de hand?
De KNLTB heeft de beschikking over contact- en adresgegevens van haar meer dan 500.000 leden. Om extra inkomsten te genereren heeft de ledenraad van de KNLTB (op voorstel van het bondsbestuur) in 2007 besloten dat gegevens van leden kunnen worden verstrekt aan sponsoren in het kader van het mogelijk maken van briefpost-acties van deze sponsoren. De inkomsten zouden onder meer worden besteed aan Toptennis. Eind 2017 stemt de ledenraad van de KNLTB in met het uitbreiden van de verstrekking van gegevens voor acties van sponsoren naar verstrekking ten behoeve van direct marketing doeleinden.
De KNLTB heeft haar leden geïnformeerd over het verstrekken van gegevens aan sponsoren. Daarbij stelt de KNLTB in 2018 dat zij deze gegevens mag verstrekken aan deze sponsoren op basis van de AVG en wel op de grondslag “gerechtvaardigd belang” van de KNLTB. Leden die niet willen dat hun gegevens ter beschikking worden gesteld aan een derde kunnen hiertegen bezwaar maken bij de KNLTB. De gegevens worden in dat geval niet verstrekt aan sponsoren.
De AP is van mening dat de door de KNLTB gehanteerde grondslag niet de juiste is c.q. dat de verwerking niet verenigbaar is met het doel waarvoor de gegevens oorspronkelijk verzameld zijn. En daarvoor krijgt de KNLTB een enorme boete.
Hoe zit dat?
De ledenraad van de KNLTB heeft in 2007 vastgesteld dat zij gegevens van leden onder meer zou gaan verwerken met het doel om deze te verstrekken aan sponsoren. Omdat dit doel nog niet was vastgesteld in de periode voor 2007, maakt de AP een onderscheid tussen persoonsgegevens van mensen die voor 2007 lid geworden zijn van de KNLTB en de mensen die na 2007 lid geworden zijn.
Persoonsgegevens van leden die voor 2007 lid geworden zijn
Ten aanzien van het gebruik van persoonsgegevens voor sponsoren van mensen die lid geworden zijn voor 2007 moet worden afgewogen of het gebruik voor een ander doel (verstrekking aan sponsoren vanwege het generen van inkomsten) verenigbaar is met het doel waarvoor de gegevens oorspronkelijk verzameld zijn (ten behoeve van de uitvoering van de lidmaatschapsovereenkomst). De KNLTB stelt dat er een nauwe verwantschap is tussen de doelen en in elkaars verlengde liggen. De AP gaat hierin niet mee en geeft aan dat er geen enkel verband is tussen beide doeleinden.
Persoonsgegevens van leden die na 2007 lid geworden zijn
Ten aanzien van het gebruik van persoonsgegevens voor sponsoren van mensen die lid geworden zijn na 2007 stelt de AP vast dat de KLTB niet beschikte over een geldige grondslag. De KNLTB baseerde zich bij de verwerking (het verstrekken van gegevens aan sponsoren) op de grondslag “gerechtvaardigd belang van de verwerkingsverantwoordelijke” van artikel 6 lid 1 sub f AVG. Die grondslag gaat hier – aldus de AP – niet op. Het belang van de KNLTB was met name het genereren van inkomsten en dit is op zichzelf – aldus wederom de AP – geen gerechtvaardigd belang.
Onder toepassing van de Boetebeleidsregels 2019 legt de AP vervolgens een boete op van iets meer dan een half miljoen euro.
En nu?
Uit uitingen online is op te maken dat de KNLTB bezwaar heeft gemaakt tegen de boete. De uitkomst daarvan, en dat van een eventueel beroep bij de rechter, zal erg interessant zijn.
Naar onze mening is de AP wel erg vlug met het opleggen van een boete en is de boete bovendien ook enorm hoog. Vooral gezien de omstandigheden. In de uitspraak is bijvoorbeeld te lezen dat de KNLTB haar best heeft gedaan om zorgvuldig te handelen. Zo heeft de ledenraad besloten dat de gegevens verstrekt mochten worden, zijn leden geïnformeerd over de voorgenomen verstrekking en konden zij bezwaar maken.
Alhoewel de AP met deze uitspraak en de normuitleg grondslag “gerechtvaardigd belang” van 1 november 2019 de toepassing van deze grondslag verder duidelijk maakt, was de keuze die de KNLTB in 2018 heeft gemaakt, met de destijds heersende ideeën over de toepassing van de AVG en wanneer de grondslag gerechtvaardigd belang gebruikt kon worden, een goed verdedigbare keuze.
De exacte toepassing van de uitlegbehoeftige normen van de AVG is een zoektocht waar we met velen sinds 2018 aan bezig zijn. De AP zelf zoekt, maar ook de organisaties die persoonsgegevens verwerken, de FG’s en andere privacy professionals. Een boete opleggen voor gedragingen die onder de heersende opvattingen in het verleden verdedigbaar leken, komt (het gevoel van) de rechtszekerheid vast niet ten goede…
Vragen?
Mocht u vragen hebben op het gebied van privacy, neem dan gerust contact op met onze advocaten uit de sectie IE, IT & Privacy.
Neem contact op