Gerechtvaardigd belang en Direct Marketing. Wat vindt de AP?

De normuitleg van de Autoriteit Persoonsgegevens (AP) als het gaat om ‘gerechtvaardigd belang’ lijkt strijdig te zijn met overweging 47 van de AVG en de systematiek van de AVG zelf. Het is ongefundeerd beperkend ten aanzien van direct marketing, en strookt niet met de eerdere opinie WP 217 van de Artikel 29 werkgroep. Het wachten is op een herziening van opinie WP217 en hoe die zich verhoudt tot de normuitleg van de AP. De uitleg door de AP van de grondslag voor verwerking ‘gerechtvaardigd belang’ lijkt beperkend voor direct marketing.

De Autoriteit Persoonsgegevens (AP) heeft op haar website haar uitleg gepubliceerd over de ‘vluchtheuvel’ van de persoonsgegevensverwerkingen, bijvoorbeeld als de verwerkingsverantwoordelijke geen overeenkomst of toestemming ten grondslag kan leggen aan de persoonsgegevensverwerkingen.
Deze uitleg ziet bijvoorbeeld ook op direct marketing en is daarom van belang voor iedere ondernemer die contact wil houden met de afzetmarkt zonder over de grenzen van de privacywetgeving te gaan.

Hoe zit het ook al weer met persoonsgegevensverwerkingen?

Een persoonsgegeven is ieder gegeven dat kan worden herleid tot een natuurlijke persoon. Een persoonsgegeven mag niet worden verwerkt tenzij er sprake is van minimaal één van de zes grondslagen in de Algemene verordening gegevensbescherming (AVG), zoals het uitvoeren van een overeenkomst met de betrokkene, of verwerken met diens uitdrukkelijke toestemming. Als er geen toestemming is of een overeenkomst, is de zesde grondslag, het ‘gerechtvaardigde belang’ van de verwerkingsverantwoordelijke, een soort laatste hoop voor het verwerken van persoonsgegevens. Die norm is vaag en daardoor is het van belang dat de AP nu een toelichting geeft.
De AVG omschrijft het zo in artikel 6 eerste lid onder f: “Noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”

Gerechtvaardigd belang

Voorbeelden van gerechtvaardigde belangen die de AP geeft zijn:
• Een veilig en gezond leven te hebben of eigendommen te beschermen in een dreigende situatie;
• De privésfeer te beschermen;
• Inbreuken op een persoonlijkheids– of vermogensrecht tegen te gaan;
• Te procederen en/of een rechtsvordering in te stellen, uit te oefenen of te onderbouwen;
• Grensoverschrijdend gedrag in een werkrelatie te onderzoeken en beëindigen;
• Fraude, oplichting of een ander onrechtmatig gedrag tegen te gaan;
• Iemand aansprakelijk te stellen voor schade;
• Bestaande klanten na een aankoop te informeren over soortgelijke, eigen producten of diensten;
• Computersystemen goed te beveiligen en beschermen;
• Zorgplichten na te komen voor werknemers en/of klanten;
• Aan alle verplichtingen te voldoen die op een bedrijf of instelling rusten op basis van bijvoorbeeld het Burgerlijk Wetboek;
• Zich te gedragen overeenkomstig hetgeen volgens ongeschreven recht in het maatschappelijke verkeer betaamt.
Het is duidelijk dat de toelichting vooral ziet op het verweer tegen betrokkenen die mogelijk onrechtmatig gedrag vertonen. De direct marketing belangen worden gevangen onder ‘Bestaande klanten na een aankoop te informeren over soortgelijke, eigen producten of diensten.’
Dit is een beperkte uitleg, omdat het moet gaan om bestaande klanten en soortelijke, eigen producten of diensten. De AP licht dat ook toe: ‘Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.’
Als dus al sprake is van een gerechtvaardigd belang, dan moet worden bezien of de verwerking noodzakelijk is. Staat de inbreuk voor betrokkene in verhouding tot het doel van de gegevensverwerking? En is het doel niet op een andere, voor betrokkene minder nadelige manier te bereiken? Als het antwoord ‘nee’ is, dan moeten de belangen van de betrokkene en de verwerkingsverantwoordelijke nog tegen elkaar worden afgewogen. Bij die afweging wordt gelet op de volgende factoren:
• De gevolgen voor de betrokkene;
• De (aanvullende) waarborgen die de verwerkingsverantwoordelijke of derde heeft getroffen om ongewenste gevolgen voor de betrokkene te voorkomen of beperken;
• De ernst van de inmenging op het grondrecht van de betrokkene;
• Of de betrokkene de verwerking min of meer kan verwachten, bijvoorbeeld als vervolg op een eerdere verwerking waarvoor diegene toestemming heeft gegeven of als vervolg op verwerkingen die noodzakelijk zijn om een contract uit te voeren.
Wegen de belangen van de betrokkene zwaarder, dan is de verwerking onrechtmatig. Wegen die belangen van de verwerkingsverantwoordelijke zwaarder, dan is de verwerking rechtmatig.
Let op: verwerkt de verwerkingsverantwoordelijke of derde persoonsgegevens op basis van de grondslag gerechtvaardigd belang, dan heeft hij nog steeds te voldoen aan andere voorschriften in de AVG, zoals de verplichting om de betrokkene vooraf te informeren over de voorgenomen verwerking. Hierin schuilt een onontkoombare kip-ei redenatie: “ik verwerk uw persoonsgegevens om u te informeren dat ik uw persoonsgegevens ga verwerken op de grondslag van het gerechtvaardigde belang als bedoeld onder artikel 6 lid 1 sub f AVG”. Artikelen 13 en 14 AVG nopen er ook toe om ongeacht de grondslag er voor te zorgen dat de betrokkene bij het verzamelen of verkrijgen van de persoonsgegevens wordt geïnformeerd over hun rechten, doel van de verwerking, grondslag, recht van bezwaar, etc.

Kritiek op de uitleg van de AP

In de AVG wordt in overweging 47 het volgende gezegd over direct marketing: “de verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.”
Geen woord dus over bestaande klanten en soortgelijke, eigen producten of diensten. Ook aangaande de noodzaak van artikel 6 lid 1 onder f AVG lijkt de overweging 47 er van uit te gaan dat direct marketing van uit de aard noodzakelijk is voor ondernemingen. Uiteindelijk is de vrijheid van ondernemerschap in overweging 4 van de AVG ook nog eens benoemd, hetgeen een recht is uit het Europees Handvest van de grondrechten van de EU. Dit past ook in het systeem van de AVG, dat in artikel 21 lid 2 bepaalt dat “wanneer de betrokkene bezwaar maakte tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.” Met andere woorden, in de AVG is voorzien in een systeem waarin de betrokkene zelf kan bepalen of hem de verwerking te ver gaat.

Toekomstige ontwikkeling

Het wachten is op een nadere uitleg van de opvolger van de artikel 29 Werkgroep van de Europese Commissie, de European Data Protection Board (EDPB). Deze gaat de oude opinie WP217 herzien, waarin als gerechtvaardigde belangen het navolgende lijstje staat te lezen:
“Hierna volgt een niet-uitputtende lijst met enkele van de meest voorkomende omstandigheden waarin de kwestie van het gerechtvaardigd belang in het kader van artikel 7, onder f), zich kan voordoen. De lijst wordt hier weergegeven ongeacht of de belangen van de voor de verwerking verantwoordelijke na de afweging uiteindelijk zullen prevaleren boven de belangen en rechten van betrokkenen of niet.
• Uitoefenen van het recht op de vrijheid van meningsuiting of de vrijheid van informatie, waaronder in de media en de kunsten;
• conventionele direct marketing en andere vormen van marketing of advertenties;
• ongevraagde niet-commerciële berichten, waaronder voor politieke campagnes of goede doelen;
• handhaving van juridische vorderingen, waaronder schuldinning via buitengerechtelijke procedures;
• preventie van fraude, misbruik van diensten of witwassen;
• toezicht op medewerkers ten behoeve van de veiligheid of managementdoeleinden;
• klokkenluidersregelingen;
• fysieke veiligheid, IT- en netwerkbeveiliging;
• verwerking ten behoeve van historische, wetenschappelijke of statistische doeleinden;
• verwerking voor onderzoeksdoeleinden (waaronder marketingdoeleinden).
Een belang kan daarom worden beschouwd als gerechtvaardigd zolang de voor de verwerking verantwoordelijke dit belang kan behartigen op een manier die overeenkomt met de gegevensbeschermings- en andere wetgeving.”

Meer weten of twijfelt u over wat voor uw situatie van toepassing is? Neem contact op met een van onze specialisten. Zij kunnen u helder en duidelijk adviseren.