Is de Autoriteit Persoonsgegevens te streng? Volgens de Europese Commissie wel
De Europese Commissie vindt dat de Autoriteit Persoonsgegevens te streng is bij de uitleg van het begrip 'gerechtvaardigd belang'. Dit blijkt uit een brief uit 2020, die NRC recent heeft gepubliceerd. De autoriteit zou zo het vrije ondernemerschap in de Europese Unie belemmeren. De Autoriteit Persoonsgegevens is niet van plan haar standpunt te wijzigen, zo zou blijken uit een (andere) brief die NRC in handen heeft. Dit belooft voer te worden voor het aanhangige hoger beroep in de VoetbalTV zaak, waarin de uitleg van het begrip 'gerechtvaardigd belang' centraal staat. In dit blog gaan wij kort in op deze zaak en op de visies van de Nederlandse toezichthouder en de Europese Commissie op het begrip 'gerechtvaardigd belang'. We analyseren daarbij of de Autoriteit Persoonsgegevens, gelet op de achtergrond van het persoonsgegevens-beschermingsrecht, inderdaad te streng is en of dit gevolgen moet hebben voor de aan VoetbalTV opgelegde boete.
In haar brief d.d. 6 maart 2022 stelt de Europese Commissie dat de Autoriteit Persoonsgegevens ('AP') te streng is bij de uitleg van het begrip 'gerechtvaardigd belang' als bedoeld in artikel 6 lid 1 onder f van de Algemene Verordening Gegevensbescherming ('AVG'). Dit artikel biedt een grondslag voor onder meer commerciële partijen om persoonsgegevens te gebruiken (te verwerken) bij het aanbieden van hun diensten. De Europese Commissie vreest dat de uitleg van de AP de markt te veel belemmert, terwijl de AP op haar beurt wil voorkomen dat persoonsgegevens te makkelijk gebruikt worden.
Al enkele jaren speelt deze uitleg van de AP een rol in het kader van de VoetbalTV zaak. VoetbalTV was een streamingsdienst die amateurvoetbalwedstrijden uitzond. Hiertoe had zij bij 150 amateurclubs camera's opgehangen. Hoewel de clubs hiervoor toestemming hadden gegeven, hadden de individuele spelers – waaronder veel minderjarigen – dit niet gedaan. VoetbalTV stelt dat zij de gegevens van de spelers desalniettemin mocht verwerken, omdat zij hier een gerechtvaardigd belang voor had. De AP was het hier niet mee eens en heeft in november 2019 een boete van € 575.000 opgelegd aan VoetbalTV. Hierover is veel te doen geweest. Hoewel de Rechtbank Midden-Nederland ('de Rechtbank') het boetebesluit in november 2020 vernietigde omdat de AP volgens haar uitging van een verkeerde interpretatie van 'gerechtvaardigd belang', kwam dit voor VoetbalTV te laat: zij was in september 2020 failliet verklaard, na eigen zeggen vanwege door een treuzelende houding van de AP. De AP is bovendien (toentertijd) in hoger beroep gegaan tegen de uitspraak van de Rechtbank, zo blijkt uit het Jaarverslag 2020 van de AP.
Dit blog bespreekt het standpunt dat de AP innam (in de context van de procedure bij de Rechtbank) over het begrip 'gerechtvaardigd belang' en welke redenen de AP heeft om aan dit standpunt vast te houden (paragraaf 1). Kortgezegd vreest de AP dat ander het hek van de dam is en dat commerciële partijen te snel persoonsgegevens gaan verwerken. Vervolgens zet dit blog uiteen hoe de Rechtbank en de Europese Commissie tegen dit standpunt aankijken (paragraaf 2). Tot slot zet dit blog uiteen waarom de AVG mogelijkheden biedt voor de AP om te snel en onnodig gebruik van persoonsgegevens aan banden te leggen (paragraaf 3).
1. Het 'gerechtvaardigd belang' volgens de AP: zuiver commerciële belangen zijn onvoldoende
Voor de Rechtbank stelt de AP zich op het standpunt dat een gerechtvaardigd belang een belang is dat in wetgeving of elders in het recht is benoemd als een rechtsbelang. Zuiver commerciële belangen en het belang van winstmaximalisatie zijn niet specifiek genoeg en missen dergelijk 'wettelijk' karakter, zodat zij volgens de AP niet kunnen worden aangemerkt als gerechtvaardigde belangen.
Volgens de NRC zou vooral de voorzitter van de AP deze visie sterk aanhangen. Uit zijn reactie op de hiervoor genoemde brief van de Europese Commissie zou blijken dat hij vreest dat wanneer puur commerciële belangen reden kunnen zijn om ongevraagd persoonsgegevens te verwerken, dit leidt tot een situatie waarin extra gevoelige persoonlijke data juist sneller worden verzameld dan minder privacygevoelige gegevens. Hij zou ervan overtuigd zijn dat dit niet het geval kan zijn.
2. Het 'gerechtvaardigd belang' volgens de Rechtbank Midden-Nederland en de Europese Commissie
Zowel de Rechtbank als de Europese Commissie gaan niet mee in de visie van de AP. De Rechtbank overweegt dat nergens uit blijkt dat een gerechtvaardigd belang altijd een benoemd rechtsbelang is. Bij de uitleg van het begrip vindt zij wel houvast bij de conclusie van advocaat-generaal ('AG') Bobek in de zaak Fashion ID (r.o. 15). AG Bobek concludeert dat de term 'gerechtvaardigd belang' "tamelijk flexibel en open van aard" is (o. 122). Volgens hem bestaat er geen type belang dat per se uitgesloten is, mits het belang op zichzelf wettig is. Deze visie sluit aan bij een opinie uit 2014 van de WP29 (een voormalig onafhankelijke Europese adviesorgaan) (WP 217). Hij is dan ook van mening dat ook het zo goed mogelijk maken van reclame een gerechtvaardigd belang kan zijn (o. 123). Uiteindelijk concludeert de Rechtbank dat de vraag of een verwerkingsverantwoordelijke een gerechtvaardigd belang heeft, moet worden beoordeeld aan de hand van de negatieve toets: hij mag slechts geen belang nastreven dat in strijd is met de wet. 'Gerechtvaardigd belang' verwijst, met andere woorden, naar legitiem belang en niet naar wettig belang (r.o. 16).
De Europese Commissie zit op dezelfde lijn, en stelt – in het bijzonder onder verwijzing naar de opinie van de WP29 en andere taalversies van de wet – dat vele verschillende belangen onder een 'gerechtvaardigd belang' kunnen zijn. Het categorisch uitsluiten van commerciële belangen zou niet leiden tot een passend evenwicht tussen het recht op gegevensbescherming enerzijds en de vrijheid van ondernemerschap anderzijds. Daarbij benadrukt zij dat het doel van de AVG niet het belemmeren van bedrijfsactiviteiten is, maar juist het mogelijk maken daarvan terwijl een hoog niveau van gegevensbescherming wordt gewaarborgd.
3. Een gevaar voor de betrokkene als commerciële belangen gerechtvaardigde belangen zijn? Een gerechtvaardigd belang is nog geen verwerkingsgrondslag
De Europese Commissie benoemt verder dat het enkel aanwezig zijn van een gerechtvaardigd belang niet meteen leidt tot een verwerkingsgrondslag in de zin van de AVG. Hiervoor moet aan nog twee eisen zijn voldaan:
(i) de verwerking moet noodzakelijk zijn, en
(ii) de belangen van de grondrechten en fundamentele vrijheden van betrokkenen die tot de bescherming van persoonsgegevens nopen, mogen niet zwaarder wegen dan het gerechtvaardigde belang.
Dit blijkt ook uit de relevante AVG-bepaling. Artikel 6 lid 1 aanhef en onder f AVG bepaalt dat gerechtvaardigde belangen een grondslag voor verwerking vormen "behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van betrokkene die tot de bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is". De VoetbalTV zaak betreft een voor zover relevant gelijkluidende voorganger van deze bepaling, die in artikel 8 aanhef en onder f Wet bescherming persoonsgegevens ('Wbp') was verankerd. In dit artikel is enkel de toevoeging ten aanzien van kinderen niet opgenomen.
Wij denken dat de visie van de AP en de visie van de Rechtbank en de Europese Commissie in de VoetbalTV zaak, en in vergelijkbare zaken, samen kunnen komen, via de noodzakelijkheidseis en de belangenafweging. Gezien de jurisprudentie en de brief van de Europese Commissie is het lastig vol te houden dat commerciële belangen onder geen beding een gerechtvaardigd belang kunnen opleveren. Hoewel een categorische uitsluiting leidt tot meer persoonsgegevensbescherming, betekent een ruimere uitleg nog niet dat belangen van betrokkenen niet goed worden beschermd. De aanwezigheid van een gerechtvaardigd belang impliceert immers nog geen verwerkingsgrondslag. Hiervoor is meer nodig. Er moet een belangenafweging plaatsvinden, waarbij grondrechtelijke belangen worden meegenomen. Dit zou de door AP-voorzitter geuite zorg moeten tegengaan dat "extra gevoelige persoonlijke data juist sneller worden verzameld dan minder privacygevoelige gegevens" wanneer commerciële belangen gerechtvaardigde belangen kunnen zijn. Immers, als extra gevoelige persoonlijke data is betrokken, hebben de grondrechtelijke belangen van de betrokkene veel gewicht en zal het gerechtvaardigde belang van de verwerkingsverantwoordelijke niet automatisch tot een verwerkingsgrondslag leiden.
Ook in de VoetbalTV-zaak is goed verdedigbaar dat de fundamentele vrijheden van betrokkenen zwaarder wegen dan het gerechtvaardigd belang van VoetbalTV. De gegevens die werden uitgezonden betroffen immers ook minderjarige voetballers. Dat dit van belang is blijkt weliswaar niet letterlijk uit artikel 8 aanhef en onder f Wbp, maar de toevoeging hiervan in artikel 6 lid 1 onder f AVG is volgens ons niet zozeer een inhoudelijke wijziging, maar een verduidelijking. Het grondrechtelijk kader is met de AVG immers niet gewijzigd. Wij zouden de AP dan ook aanraden zich in het hoger beroep voornamelijk op deze belangenafweging te richten. Mogelijk moet zij haar boetebesluit dan wel alsnog aanpassen. De Rechtbank heeft namelijk overwogen dat deze toets onvoldoende in het boetebesluit is aangelegd. Deze zou hierdoor niet voldoende zorgvuldig tot stand zijn gekomen.
