Op vrijdag 4 oktober 2024 kwam het Europese Hof van Justitie (EHvJ) met de lang verwachte uitspraak (C-621/22) inzake vragen van de Amsterdamse rechtbank over een zaak tussen tennisbond KNLTB en toezichthouder AP. Het is nu aan de rechtbank Amsterdam om een definitief oordeel te vellen in lijn met de Europese uitspraak.

De KNLTB komt gunstig uit deze zaak, maar dat betekent nog niet dat het beroep op gerechtvaardigd belang juist is. De AP en de rechtbank kunnen andere argumenten aanvoeren om de leden van de KNLTB die klaagden in het gelijk te stellen.

De KNLTB kreeg in 2020 van de AP een boete van 525.000 euro omdat ze gegevens van 350.000 leden tegen betaling had gedeeld met twee commerciële sponsors, webwinkel TennisDirect en de Nederlandse Loterij. De bedrijven mochten die leden dan aanbiedingen doen om spullen te kopen en te gokken.

Individuele instemming van de leden was niet gevraagd, maar de tennisbond beriep zich op een “gerechtvaardigd belang”, een van de zes gronden in de AVG waarop een organisatie persoonsgegevens van individuen mag verwerken. Je hoeft dan geen toestemming aan die leden te vragen.

Zonder meer fout, oordeelde de AP, op principiële gronden: een dergelijk belang kan louter voortvloeien uit een wettelijke grondslag, en commerciële belangen vallen niet onder die noemer. Dus een commercieel belang is nooit en te nimmer gerechtvaardigd om persoonsgegevens te delen. Wat niet bij voorbaat mag, is verboden. Het Hof zegt het omgekeerde: commercieel belang is niet tegen de wet. Wat niet verboden is, mag in principe.

Al drie keer eerder terechtgewezen

Met dezelfde onjuiste motivatie legde de AP het door Talpa en de voetbalbond KNVB opgezette videoplatform VoetbalTV in 2019 een boete van 575.000 euro op. Dat laatste werd al verworpen door de rechtbank Midden-Nederland (Utrecht) en de bestuursrechter van de Raad van State in 2022. De AP had ten onrechte geoordeeld dat VoetbalTV slechts een commercieel belang heeft, wat dus sowieso ongerechtvaardigd was om online wedstrijdbeelden uit te zenden zonder toestemming van spelers en toeschouwers. Het platform, waar tot die tijd ruim 150 clubs gebruik van maakten, ging daarop failliet. Netkwesties zocht de zaak uit.

Ten derde kreeg de AP een tik op de vingers van de Europese Commissie in een brief van maart 2020 die Netkwesties boven tafel haalde.  Volgens de Europese Commissie legde de AP de AVG verkeerd uit: “De strikte interpretatie door de Nederlandse toezichthouder vormt een ernstige belemmering voor ondernemingen om vanuit een commercieel belang persoonsgegevens te verwerken, omdat ze van iedere betrokkene toestemming zouden moeten krijgen.”

Volgens Brussel maakte de AP een onjuiste afweging tussen het recht op databescherming van individuen versus de wettelijke vrijheid van onderneming aan de andere kant. De Commissie eindigde de brief met een “uitnodiging” aan de AP om haar standpunt te wijzigen.

In een reactie op deze brief (pas eind augustus 2020) weigerde AP-voorzitter Aleid Wolfsen zijn mening te herzien. Puur commerciële belangen mogen nooit reden vormen om ongevraagd persoonsgegevens te verwerken. Deze eigenwijze houding van Wolfsen leidde bij de toezichthouder intern tot felle debatten en verstoorde verhoudingen, maar de zelfoverschatting verminderde niet.

Leidse hoogleraar Gerrit-Jan Zwenne van de Universiteit Leiden noemde de briefwisseling “een prachtig inkijkje in een belangwekkend dispuut in privacyland”. Zwenne was tegenstander van de totale verwerping van commercieel belang door de AP, en vele datajuristen volgden hem op dit punt.

De eigenwijsheid van Wolfsen openbaarde zich in de gepubliceerde normuitleg van gerechtvaardigd belang die de AP stug volhield, ook na genoemde veroordelingen, en nu nog na de uitspraak van het Europese hof:

(Hoezeer de AP in de war is, toont de taalkundige enormiteit van de laatste cirkelredenering: zonder gerechtvaardigd belang is er geen gerechtvaardigd belang.) Na publicatie van dit artikel heeft de AP op 8 oktober de normuitleg aangepast:

Genoeg gronden voor weigering

De onverzettelijkheid van Wolfsen en de AP met dit juridisch handje drukken is des te opmerkelijker omdat er genoeg mogelijkheden resteren om commercieel gebruik van gegevens te verbieden. Het Europese Hof noemt nog eens de drie belangrijkste voorwaarden om gerechtvaardigd belang te kunnen aanspreken:

• Rechtmatig belang: het belang mag niet in strijd zijn met de wet, een open deur
• Noodzakelijk: je kunt het (al dan niet commerciële) belang louter op deze manier bereiken;
• Belangenafweging: de belangen en grondrechten van de betrokkenen zijn ondergeschikt aan het gerechtvaardigde belang van de organisatie die de persoonsgegevens bewerkt.

In het concrete geval van de KNLTB kun je dat als volgt uitleggen:

• beoogde reclame gericht aan de leden voor het gokken en verkoop van tennisspullen zijn wettelijk toegestaan;
• wat is dat belang van de dataverkoop voor de tennisbond en de 350.000 leden? Als dit belang maximale winst is, is wellicht het afstaan van 350.000 mailadressen de enige mogelijkheid; anders niet.
• de afweging is nog meer een twistpunt: weegt de databescherming van de leden zwaarder dan de extra inkomsten voor de bond? Het is vrij eenvoudig om te stellen dat leden hun data ter beschikking stellen om te kunnen tennissen. Ook leuk; stel dat 349.900 leden de inkomsten uit reclame welkom vinden en 100 de databescherming zwaarder laten wegen?

Desgevraagd stelt de woordvoerster van de KNLTB: “We zijn blij met de uitspraak maar tegelijkertijd zijn we niet verrast, omdat het Hof van Justitie van de Europese Unie een breder door privacy Nederland ingenomen standpunt bevestigt. We hebben ons altijd aan de regels gehouden en transparant en zorgvuldig gehandeld. Voor de volledigheid, de acties zijn in 2018 al beëindigd, in afwachting van een definitief oordeel.”

Andere voorbeelden datahandel leden

Naar aanleiding van de uitspraak van het Europese Hof haalt Jeroen Terstegge wat gelijkluidende gevallen aan, overigens nog onder een voorganger van de AVG, de Wet persoonsregistraties (Wpr).

Ingenieursvereniging Niria had niet zonder toestemming van de leden haar bestand mogen delen met creditcardmaatschappij Visa, want de Niria-leden waren niet bekend noch hadden ze ingestemd met deze exploitatie.

Idem dito voor de ANWB die persoonsgegevens van haar leden verstrekte aan een creditcardmaatschappij, ofschoon dit ook ging om afrekening van een parkeerdienst van de ANWB. De leden hadden bezwaar moeten kunnen maken.

Nog een fraaie: de gemeente Amsterdam verschafte adressen van alle ambtenaren aan Ohra voor een aanbieding voor verzekeringen. Dat kon natuurlijk niet en de rechter kende een schadevergoeding van 150 gulden per medewerker toe.

Hof stelt voorwaarden

Dus de context is sterk bepalend voor toepassing van het gerechtvaardigd belang. Verstrekking van adressen aan de Nationale Loterij door de KNLTB lijkt dan zondermeer niet toegestaan. En wat kopen de leden voor exclusief aanbod door TennisDirect? De bond beweerde dat De KNLTB zegt dat de extra inkomsten uit dataverkoop “meerwaarde creëert” voor de leden. Ze krijgen diensten aangeboden en de inkomsten ervan zijn gunstig voor de kostendoorrekening aan de leden.

Het Hof stelt hierover: “Wanneer een sportbond als de KNLTB tegen betaling persoonsgegevens van zijn leden wil verstrekken aan derden, het voor die bond in het bijzonder mogelijk is om zijn leden daarvan vooraf in kennis te stellen en hun te vragen of zij wensen dat hun persoonsgegevens aan derden worden doorgegeven met het oog op reclame of marketing.”

Een toezichthouder of rechter moet de vertrouwelijkheid van de persoonsgegevens van de tennisleden beschermen en rekening houden met “redelijke verwachtingen” van de tennisleden, ook gezien de omvang van de verwerking en gevolgen ervan voor hen.

Maar sterker nog: De KNLTB moet kijken naar “de vraag of die leden op het moment waarop hun persoonsgegevens werden verzameld omdat zij lid wilden worden van een tennisvereniging, redelijkerwijs konden verwachten dat die gegevens tegen betaling aan derden zouden worden verstrekt, in casu aan sponsors van de KNLTB, met het oog op reclame en marketing.”

Het antwoord op die laatste vraag is negatief. Als je een ledenformulier bij een tennisclub invult, weet je dat niet. Of je moet goed geïnformeerd zijn over dataverkoop, dus dat moet met koeienletters op het (digitale) formulier staan. Dan nog moet je ook lid van een tennisclub kunnen worden en niet akkoord gaan met commercieel gebruik van je gegevens.

Hieruit volgt dat de KNLTB dit soort commerciële activiteiten in elk geval kenbaar moet maken aan de leden en hun de mogelijkheid van bezwaar moet bieden (opt-out) of zelfs expliciet instemming moet verwerven (opt-in).

De bond zegt leden vooraf via nieuwsbrieven en zijn website geattendeerd te hebben op de voorgenomen dataverkoop en daartoe goedkeuring te hebben verkregen van de algemene ledenvergadering. Echter, geen instemming van individuele leden.

Streng of tolerant?

Eerder gaf Terstegge al commentaar op de uitspraak van het Hof, waarin hij een detailfout zag: een bedrijf of bond zou niet moeten aantonen dat verwerking van persoonsgegevens rechtmatig is, maar moeten bewijzen dat het “niet onrechtmatig” is.

Terstegge staat wat meer aan de kant van het bedrijfsleven, en weet niet zeker wat de uitkomst van de zaak voor de Amsterdamse rechtbank zal zijn. Mireille Hildebrandt staat bekend staat als principieel pleitbezorger van databescherming en privacy. In haar commentaar stelt ze:

“We weten allemaal dat zodra die gegevens zijn verkocht, we de controle verliezen, welke beloftes er ook worden gedaan. Zoals het HvJ terecht benadrukt, druist dit in tegen gegevensminimalisatie. Benieuwd wat de Nederlandse rechter gaat beslissen; dit is een overwinning voor de rechtsstaat, niet voor de tennisbond of voor de AP.”

Alsnog VoetbalTV?

Stelt de rechter de tennisbond alsnog in het gelijk, dan kan die een procedure voor schadevergoeding beginnen vanwege het jarenlange verlies van inkomsten uit de gestopte overeenkomsten met de webwinkel en gokbedrijf.

Maar hoe zit dat met VoetbalTV. Talpa en KNVB lieten de joint-venture failliet gaan, al was dat financieel gezien niet onontkoombaar. (En is later hersteld.) Interessant is de vraag: zou VoetbalTV kans van slagen hebben gehad bij het inhoudelijk beoordelen van het beroep op gerechtvaardigd belang door de AP, in plaats van dat mordicus af te wijzen?

Dit vereist weer antwoord op de vragen of VoetbalTV louter op deze manier haar doelen kon bereiken. Wat waren die doelen dan precies? Was het uitzenden van amateurwedstrijden online vooral bedoeld om familieleden en kennissen van de voetbalteams en de spelers zelf te laten (na)genieten) van de beelden? Of ging het vooral, of ook, om geld verdienen met sponsors en reclame?

En in hoeverre zou het opnemen van wedstrijden met camera’s langs de amateurvelden de belangen van spelers en toeschouwers langs het veld kunnen schaden? In het eerdergenoemde grote onderzoekartikel keren de afwegingen terug. Aan de ene kant staat het argumnet ‘ontzettend leuk’ dat iedereen van de wedstrijdbeelden kan genieten en dat de beelden voor trainingen gebruikt kunnen worden; anderzijds dat jongeren en oudere amateurs hun sport niet meer rustig kunnen beoefenen zonder lastiggevallen te worden met beelden achteraf.

Van iedere voetballer en scheidsrechters en leiders (‘vlaggers’) vooraf toestemming vragen was ondoenlijk volgens de chefs van VoetbalTV. Immers, mensen kunnen wettelijk ieder moment hun toestemming intrekken, dan moet de camera uitblijven. Toeschouwers zou je er wellicht op kunnen attenderen buiten beeld te blijven, of hun gezichten kunnen blurren, maar dat is een mijl op zeven. Theaters en festivals vragen vaak vooraf of bezoekers bezwaar hebben tegen eventuele opnames.

Overigens zijn er wereldwijd momenteel veel diensten om amateursport online uit te zenden, gelijk aan VoetbalTV. Dat gebeurt zonder enige aandacht voor privacy; met verklaringen van toestemming; of op grond van gerechtvaardigd belang.

(In 2022 schreef ik daarover voor Trouw. Als ik tijd heb, zoek ik het nog een keer uit…)

*) Foto: Renith R on Unsplash