Op 1 november 2019 liet de Autoriteit Persoonsgegevens (AP) in een nadere toelichting op haar website weten dat louter commerciële belangen niet onder de verwerkingsgrondslag gerechtvaardigd belang konden vallen (1). Onomstreden was deze uitleg niet (2). Onlangs heeft de rechtbank te Utrecht zich over de vraag gebogen of een commercieel belang toch een gerechtvaardigd belang zou kunnen zijn.
Waar gaat het om
De AP legde videoplatform VoetbalTV (een samenwerking tussen Talpa, ook een groot data-verzamelaar, en de KNVB) een boete op van € 575.000,-. (3). VoetbalTV zond beelden uit van jeugd- en amateurvoetbalwedstrijden. In totaal deden 153 verenigingen mee. Maandelijks werden er tussen de 2500 en 3000 wedstrijden uitgezonden. Er was ook een app waarvan 520.000 mensen gebruik maakten. Naast de voetballers kwamen ook toeschouwers in beeld. Maar daarnaast ook kinderen vanaf de leeftijd van 13 jaar, want ook hun wedstrijden werden uitgezonden. Als grondslag voor de geautomatiseerde verwerking van de persoonsgegevens door het platform voerde VoetbalTV de grondslag van het gerechtvaardigd belang aan (4). De AP achtte deze grondslag niet rechtmatig en legde een boete op van € 575.000,- (5). Tegen dit besluit stelde VoetbalTV beroep in bij de rechtbank (6).
Journalistieke exceptie
In beroep stelt VoetbalTV ten eerste dat er sprake is van de journalistieke vrijheid (7). Bij het uitzenden van de wedstrijden gaat het om het informeren en het bekend maken van meningen of ideeën aan het publiek, aldus VoetbalTV. De rechtbank volgt VoetbalTV hierin niet. Als bekendmaking van informatie, meningen of ideeën hebben de beelden van de wedstrijden te weinig nieuwswaarde. Het zijn amateurwedstrijden en de beelden geven geen informatie over bekende personen en ze dragen al helemaal niet bij aan enig maatschappelijk debat. Voor het geheel van de verwerkingen geldt niet dat zij uitsluitend een journalistiek doeleinde hebben.
Het standpunt van de AP
De AP herhaalt in de procedure haar standpunt zoals verwoord in haar toelichting op het begrip gerechtvaardigd belang. De grondslag ex artikel 6 lid 1 onder f AVG moet ten eerste gerechtvaardigd zijn. Gerechtvaardigd wil zeggen dat de verwerkingsverantwoordelijke het belang moet kunnen baseren op een geschreven of ongeschreven rechtsbelang. Het belang moet ergens in de wet te baseren zijn op een rechtsregel of rechtsbeginsel. Er moet in de wet ergens een basis voor het belang aan te wijzen zijn. De AP noemt enkele voorbeelden van belangen die een grondslag hebben in het recht: een veilig en gezond leven, bescherming van eigendommen of zorgplichten tegenover werknemers of klanten. De AP noemt ook wat zij daar uitdrukkelijk niet onder verstaan: het enkel dienen van zuivere commerciële belangen en winstmaximalisatie.
Ten tweede dient de verwerkingsverantwoordelijke zich af te vragen of de verwerking van persoonsgegevens wel noodzakelijk is om dat doel te behartigen. Daarbij dient deze ook te voldoen aan de eisen van proportionaliteit (overdrijf je niet met het middel om het belang te behartigen? Kan het ook “een onsje” minder?) en subsidiariteit (wordt het belang ook niet behartigt met een minder vergaande inbreuk op de privacy? Zijn er betere alternatieven?).
Als derde voorwaarde stelt de AP dat de verwerkingsverantwoordelijke moet laten zien dat hij zijn belang heeft afgewogen tegenover het privacybelang van de betrokkene. Slechts als bij die afweging de belangen van de verantwoordelijke zwaarder blijken te wegen dan de belangen van de betrokkene is het belang van de verantwoordelijke rechtmatig. Zo’n belangenafweging kan blijken uit een door de verantwoordelijke uitgevoerde DPIA (8).
In de procedure bij de rechtbank komt slechts de eerste voorwaarde aan de orde. Omdat de AP bij de beoordeling van die voorwaarde al tot de conclusie kwam dat de verwerking onrechtmatig was, is er in het besluit van de AP niets gezegd over de twee andere voorwaarden. Weliswaar heeft de AP in haar boetebesluit ook nog subsidiair iets gezegd over de noodzakelijkheid en de belangenafweging, maar de rechtbank beperkt zich tot het primaire gedeelte van het besluit van de AP.
De AP heeft aan VoetbalTV een boete opgelegd, omdat de AP van mening is dat de kern van de activiteiten van VoetbalTV erin bestaat dat VoetbalTV geld verdient met de verwerking van persoonsgegevens. Dat is een zuiver economisch en commercieel belang. Zo’n belang mist een dringend “wettelijk” karakter. Het is niet een belang dat in het recht beschermd wordt. Als VoetbalTV zo’n belang toch als grondslag aan het uitzenden van de sportwedstrijden ten grondslag legt, dan is dat onrechtmatig.
De procedure bij de rechtbank
De rechtbank onderzoekt de Europese jurisprudentie, de conclusies van de advocaat-generaal en de mening van de WP29-groep en komt tot de conclusie dat er geen definitie of opsomming is van wat het begrip gerechtvaardigd belang precies inhoudt. Wel concludeert de rechtbank dat de omschrijvingen van de belangen ruimer zijn dan door de AP gehanteerd wordt. Het gaat om werkelijke en aanwezige belangen. Het gaat niet alleen om belangen die hun basis in het recht vinden maar om allerhande feitelijke, economische en ideële belangen. Ook gaat het er niet om, om bij voorbaat al sommige belangen uit te sluiten (9).
Daaruit leidt de rechtbank af dat het niet in de eerste plaats gaat om belangen die hun basis in het recht vinden, maar dat het juist gaat om belangen die niet in strijd met het recht zijn. Het gaat om legitieme belangen. In mijn woorden zou ik zeggen: het moet gaan om een maatschappelijk aanvaardbaar of acceptabel belang. Dat legitiem belang een betere omschrijving zou zijn dan rechtvaardig belang concludeert de rechtbank ook uit een vergelijking van de Nederlandse vertaling met de Engelse, Franse en Duitse vertaling van de AVG. Tevens verwijst de rechtbank naar overweging 47 bij de AVG, waarbij als een gerechtvaardigd belang ook de ‘direct marketing’ genoemd wordt. Dat is ook niet meteen een belang dat zijn oorsprong vindt in het recht.
Naast dat het belang niet in strijd mag zijn met het recht, stelt de rechtbank dat de verantwoordelijke wel feitelijk ook moet handelen naar dat gerechtvaardigd belang en dat het moet passen binnen het statutaire doel van de verantwoordelijke.
De rechtbank komt derhalve tot de conclusie dat de toetsing van de AP in dit geval uitgaat van een verkeerde interpretatie van het begrip gerechtvaardigd belang en daarom in strijd is met artikel 6 AVG. Maar dat niet alleen. Blijkbaar heeft de AP uit de activiteiten van VoetbalTV geconcludeerd dat er sprake was van een louter commercieel belang. Dat is echter niet het belang dat VoetbalTV zei na te streven. VoetbalTV stelde namelijk dat haar gerechtvaardigd belang gelegen is in: a. de vergroting van de betrokkenheid en het spelplezier van spelers en voetballiefhebbers; b. het kunnen uitvoeren van technische analyses voor en door trainers en analisten; c. het bieden van de mogelijkheid aan derden om wedstrijden op afstand te kunnen bekijken en d. het tegengaan van het vertonen van wedstrijden via andere kanalen met minder hoog niveau van privacybescherming. Het is derhalve niet de duiding van het belang dat uitgangspunt moet zijn, maar de door VoetbalTV gestelde belangen.
Kortom: de rechtbank vernietigt het besluit van de AP.
Commentaar
Deze uitspraak kan nogal wat gevolgen hebben, los van de vraag of de AP niet in hoger beroep gaat tegen deze beslissing. VoetbalTV is inmiddels failliet. De vraag is in hoeverre het besluit van de AP, want VoetbalTV heeft vanaf augustus 2020 al haar activiteiten moeten staken, uiteindelijk mede het faillissement van VoetbalTV teweeg heeft gebracht. De curator en de advocaten van VoetbalTV zullen zich zeker over deze vraag buigen.
De rechtbank herformuleert de omschrijving van de AP van het begrip gerechtvaardigd belang. Het gaat niet om een belang op basis van het recht, maar om een belang dat niet in strijd is met het recht. De AP mag daarbij geen eigen interpretatie geven van de belangen van de verantwoordelijke, maar moet uitgaan van de belangen zoals de verantwoordelijke deze omschrijft. Het is aan de verantwoordelijke om daarbij een toelichting te geven op de mate waarin hij gegevens verzamelt en verwerkt, hoe hij één en ander juridisch heeft geregeld en hoe hij ervoor zorgt dat er een passende verhouding is tussen de inbreuk op de privacy van de betrokkene en het belang dat hij nastreeft (proportionaliteit en subsidiariteit). Vervolgens zal de verantwoordelijke de gestelde belangen moeten afwegen tegen de schending van privacy van betrokkenen. Het gaat er daarbij om dat de AP bekijkt wat de verantwoordelijke feitelijk doet, beziet of de doelen overeenkomen met haar statuten en ook werkelijk worden behartigd door de verwerking van de persoonsgegevens.
Een en ander betekent dat er nu geen vrijbrief is gegeven voor louter commerciële belangen. Er zal dus nog steeds een noodzakelijkheidstoets dienen plaats te vinden. In deze casus zal er zeker gekeken moeten worden naar de proportionaliteit en de subsidiariteit. Is het wel nodig dat er wedstrijden van kinderen getoond worden? Is er geen mogelijkheid dat de kinderen en de toeschouwers geblurd worden? Mocht de AP een nieuw besluit nemen, dan zou het nog best kunnen zijn dat om een andere reden alsnog VoetbalTV onrechtmatig handelde. VoetbalTV zou echter aan die proportionaliteit en subsidiariteit tegemoet kunnen komen.
Wat niet aan de orde is gekomen in de uitspraak, maar wat wel in de eerdere commentaren op het standpunt van de AP naar voren is gebracht, is dat er voor een louter commercieel belang wel degelijk een rechtsregel aan te wijzen is. Dat zou betekenen dat ook in de visie van de AP een louter commercieel belang tot de mogelijkheden zou behoren. Artikel 16 van het Handvest EU biedt immers de vrijheid van ondernemerschap. Dat artikel had als basis kunnen dienen voor de belangen van VoetbalTV. Dan had het niet tot een procedure hoeven te komen. Mogelijk ook niet tot een faillissement.
John Lousberg,
docent Juridische Hogeschool Avans& Fontys,
lid van het lectoraat Recht en Digitale Technologie
Voetnoten:
1.https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/normuitleg_gerechtvaardigd_belang.pdf
2. zie Normuitleg AP inzake het gerechtvaardigd belang, door Jan Berkvens, Privacyweb 6 januari 2020. Tevens zijn er tijdens de bijeenkomst van de VVP-A, Onder Privacy professoren te Leiden op 29 januari 2020 kritische vragen aan de AP hierover gesteld.
3. John de Mol heeft grootse plannen met zijn media-imperium, Trouw d.d. 10 april 2017, door Marco Visser; Talpa werkt op gespannen voet met de privacywet, Trouw d.d. 28 november 2018, redactioneel artikel; Aleid Wolfsen: gestolen data zijn veel erger dan een gestolen fiets; Trouw d.d. 10 november 2020, door Rufus Kain en Kristel van Teeffelen; Autoriteit Persoonsgegevens klaagt over “lachwekkende” toestanden, Privacyweb d.d. 11 november 2020.
4. Artikel 6 lid 1 onder f AVG.
5. Conform de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 valt overtreding van artikel 6 AVG onder categorie 3. Deze categorie kent als sanctie een boete van € 300.000,0 tot € 750.000,- al naar gelang de feiten en de omstandigheden. De basisboete in deze categorie is 525.000,-. De AP kiest hier voor een boete die € 50.000,- hoger ligt dan de basisboete. Dat is dus een stevige boete.
6. rechtbank Utrecht 23 november 2020, ECLI:NL:RBMNE:2020:5111.
7. Artikel 43 UAVG.
8. DPIA is een data protection impact assessment oftewel een gegevensbeschermingseffectbeoordeling. Zie artikel 35 en 36 AVG. Zie ook https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/data-protection-impact-assessment-dpia#voor-welke-soorten-verwerkingen-is-het-uitvoeren-van-een-dpia-verplicht-6667. Op haar site heeft de AP een lijst gepubliceerd van verwerking waarbij het maken van een DPIA in ieder geval verplicht is. Zie ook WP29, Guidelines on Data Protection Impact Assessment, 4 april 2017.
9. rechtsoverweging 15 bij rechtbank Utrecht. Zie noot 6.
No Comments