Op 1 november 2019 liet de Autoriteit Persoonsgegevens (AP) in een nadere toelichting op haar website weten dat louter commerciële belangen niet onder de verwerkingsgrondslag gerechtvaardigd belang[1] konden vallen. Onomstreden was deze uitleg niet.[2] Onlangs heeft de rechtbank te Utrecht zich over de vraag gebogen of een commercieel belang toch een gerechtvaardigd belang zou kunnen zijn.
Waar gaat het om
De AP legde videoplatform VoetbalTV (een samenwerking tussen Talpa, ook een groot data-verzamelaar, en de KNVB) een boete op van € 575.000,-.[3] VoetbalTV zond beelden uit van jeugd- en amateurvoetbalwedstrijden. In totaal deden 153 verenigingen mee. Maandelijks werden er tussen de 2500 en 3000 wedstrijden uitgezonden. Er was ook een app waarvan 520.000 mensen gebruik maakten. Naast de voetballers kwamen ook toeschouwers in beeld waaronder ook kinderen vanaf de leeftijd van 13 jaar, want ook hun wedstrijden werden uitgezonden. Als grondslag voor de geautomatiseerde verwerking van de persoonsgegevens door het platform voerde VoetbalTV de grondslag van het gerechtvaardigd belang aan.[4] De AP achtte deze grondslag niet rechtmatig en legde een boete op van € 575.000,-.[5] Tegen dit besluit stelde VoetbalTV beroep in bij de rechtbank.[6]
Het standpunt van de AP
De AP herhaalt in de procedure haar standpunt zoals verwoord in haar toelichting op het begrip gerechtvaardigd belang. De eerste voorwaarde waaraan moet worden voldaan wanneer de grondslag ex artikel 6 lid 1 onder f AVG wordt gebruikt is dat de belangen van de verwerkingsverantwoordelijke te kwalificeren zijn als gerechtvaardigd. Gerechtvaardigd wil volgens de AP zeggen dat de verwerkingsverantwoordelijke het belang moet kunnen baseren op een geschreven of ongeschreven rechtsregel of rechtsbeginsel. Het belang moet ergens in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. De AP noemt enkele voorbeelden van belangen die een grondslag hebben in het recht: een veilig en gezond leven, bescherming van eigendommen of zorgplichten tegenover werknemers of klanten. De AP noemt ook wat zij daar uitdrukkelijk niet onder verstaat: het enkel dienen van zuivere commerciële belangen en winstmaximalisatie.
De tweede voorwaarde waaraan de verwerkingsverantwoordelijke moet voldoen is dat de verwerking van persoonsgegevens noodzakelijk is om dat belang te behartigen. Daarbij dient deze ook te voldoen aan de eisen van proportionaliteit (overdrijf je niet met het middel om het belang te behartigen? Kan het ook “een onsje” minder?) en subsidiariteit (kan het belang niet behartigd worden door een minder vergaande inbreuk op de privacy? Zijn er alternatieven die minder nadelig zijn voor de betrokkene?).
Als derde voorwaarde stelt de AP dat de verwerkingsverantwoordelijke moet laten zien dat het belang is afgewogen tegenover de belangen van de betrokkene. Slechts als het belang van de verantwoordelijke zwaarder blijkt te wegen dan de belangen van de betrokkene is het belang van de verantwoordelijke rechtmatig. Zo’n belangenafweging kan blijken uit een door de verantwoordelijke uitgevoerde DPIA.[7]
In de procedure bij de rechtbank komt slechts de eerste voorwaarde aan de orde. Nu de AP bij de beoordeling van die voorwaarde al tot de conclusie kwam dat de verwerking onrechtmatig was, werd er in het besluit van de AP niets gezegd over de twee andere voorwaarden. Weliswaar heeft de AP in haar boetebesluit ook nog subsidiair iets gezegd over de noodzakelijkheid en de belangenafweging, maar de rechtbank beperkt zich tot het primaire gedeelte van het besluit van de AP.
De AP heeft aan VoetbalTV een boete opgelegd, omdat zij van mening is dat de kern van de activiteiten van VoetbalTV erin bestaat dat VoetbalTV geld verdient met de verwerking van persoonsgegevens. Dat is een zuiver economisch en commercieel belang. Zo’n belang mist een dringend karakter dat uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel voortvloeit. Volgens de AP kan zo’n belang nooit een gerechtvaardigd belang opleveren waardoor de gegevensverwerking van VoetbalTV op basis daarvan onrechtmatig is.
De procedure bij de rechtbank[8]
De rechtbank onderzoekt de Europese jurisprudentie, de conclusies van de advocaat-generaal en de mening van de WP29-groep en komt tot de conclusie dat er geen definitie of opsomming is van wat het begrip gerechtvaardigd belang precies inhoudt. Wel concludeert de rechtbank dat de omschrijvingen van de belangen ruimer zijn dan door de AP gehanteerd wordt. Het gaat om werkelijke en aanwezige belangen. Het gaat niet alleen om belangen die hun basis in het recht vinden maar om allerhande feitelijke, economische en ideële belangen. Ook volgt uit Europese jurisprudentie dat het bij voorbaat al sommige belangen uitsluiten, verboden is.[9]
Daaruit leidt de rechtbank af dat het niet in de eerste plaats gaat om belangen die hun basis in het recht vinden, maar dat het juist gaat om belangen die niet in strijd met het recht zijn. Het gaat om legitieme belangen. In mijn woorden zou ik zeggen: het moet gaan om een maatschappelijk aanvaardbaar of acceptabel belang. Dat legitiem belang een betere omschrijving zou zijn dan gerechtvaardigd belang concludeert de rechtbank ook uit een vergelijking van de Nederlandse vertaling met de Engelse, Franse en Duitse vertaling van de AVG. Tevens verwijst de rechtbank naar overweging 47 bij de AVG, waarbij als een gerechtvaardigd belang ook de ‘direct marketing’ genoemd wordt. Dat is ook niet meteen een belang dat zijn oorsprong vindt in het recht.
Naast dat het belang niet in strijd mag zijn met het recht, stelt de rechtbank dat de verantwoordelijke wel feitelijk moet handelen naar dat gerechtvaardigd belang en dat het moet passen binnen het statutaire doel van de verantwoordelijke.
De rechtbank komt derhalve tot de conclusie dat de toetsing van de AP in dit geval uitgaat van een verkeerde interpretatie van het begrip gerechtvaardigd belang. Maar dat niet alleen. Blijkbaar heeft de AP uit de activiteiten van VoetbalTV geconcludeerd dat er sprake was van een louter commercieel belang. Dat is echter niet het belang dat VoetbalTV zei na te streven. VoetbalTV stelde namelijk dat haar gerechtvaardigd belang gelegen is in: a. de vergroting van de betrokkenheid en het spelplezier van spelers en voetballiefhebbers; b. het kunnen uitvoeren van technische analyses voor en door trainers en analisten; c. het bieden van de mogelijkheid aan derden om wedstrijden op afstand te kunnen bekijken en d. het tegengaan van het vertonen van wedstrijden via andere kanalen met minder hoog niveau van privacybescherming. Het is derhalve niet de duiding van het belang dat uitgangspunt moet zijn, maar de door VoetbalTV gestelde belangen.
Kortom: de rechtbank vernietigt het besluit van de AP.
Commentaar
Deze uitspraak kan nogal wat gevolgen hebben, indien deze uitspraak kracht van gewijsde krijgt of wordt bevestigd nadat hoger beroep is ingesteld. VoetbalTV is inmiddels failliet. In hoeverre heeft het onrechtmatige besluit van de AP mede het faillissement van VoetbalTV teweeggebracht? Is de AP schadeplichtig? De curator en de advocaten van VoetbalTV zullen zich zeker over dit soort vragen buigen.
De rechtbank herformuleert de omschrijving van de AP van het begrip gerechtvaardigd belang. Het gaat niet om een belang op basis van een geschreven of ongeschreven rechtsbeginsel, maar om een belang dat niet in strijd is met het recht. De AP mag daarbij geen eigen interpretatie geven van de belangen van de verantwoordelijke, maar moet uitgaan van de belangen zoals de verantwoordelijke deze aandraagt. Het is aan de verantwoordelijke om daarbij een toelichting te geven op de mate waarin hij persoonsgegevens verzamelt en verwerkt, hoe hij één en ander juridisch heeft geregeld en hoe hij ervoor zorgt dat er een passende verhouding is tussen de inbreuk op de privacy van de betrokkene en het belang dat hij nastreeft (proportionaliteit en subsidiariteit). Vervolgens zal de verantwoordelijke de gestelde belangen moeten afwegen tegen de schending van privacy van betrokkenen. Het gaat er daarbij om dat de AP bekijkt wat de verantwoordelijke feitelijk doet, beziet of de doelen overeenkomen met haar statuten en ook werkelijk worden behartigd door de verwerking van de persoonsgegevens.
Eén en ander betekent dat er nu geen vrijbrief is gegeven voor louter commerciële belangen. Er zal dus nog steeds een noodzakelijkheidstoets dienen plaats te vinden. Daarbij zal er zeker gekeken moeten worden naar de proportionaliteit en de subsidiariteit. Is het wel nodig dat er wedstrijden van kinderen getoond worden? Is er geen mogelijkheid dat de kinderen en de toeschouwers geblurd worden? Mocht de AP een nieuw besluit nemen, dan zou het nog best kunnen zijn dat om een andere reden alsnog VoetbalTV onrechtmatig handelde. VoetbalTV zou immers voldoende moeten motiveren om aan die proportionaliteit- en subsidiariteitstoets te voldoen.
Wat niet aan de orde is gekomen in de uitspraak, maar wat wel in de eerdere commentaren op het standpunt van de AP naar voren is gebracht, is dat er voor een louter commercieel belang wel degelijk een rechtsregel aan te wijzen is. Dit zou betekenen dat ook in de visie van de AP een louter commercieel belang tot de mogelijkheden zou behoren. Artikel 16 van het Handvest EU biedt immers de vrijheid van ondernemerschap. Dat artikel had als basis kunnen dienen voor de commerciële belangen van VoetbalTV. Het had dan niet tot een procedure hoeven te komen. Mogelijk ook niet tot een faillissement.
Opvallend is ook dat de AP ondanks de kritiek op haar visie, de uitspraak met daarin toch deugdelijke juridische argumenten en mogelijk overleg met andere toezichthouders, die visie niet heeft genuanceerd. Dat deed de AP bijvoorbeeld wel over het standpunt van temperatuur meten in coronatijd door werkgever van werknemers.[10] Daaruit zouden we mogen concluderen dat de AP bij haar standpunt over het gerechtvaardigd belang blijft. De toekomst zal uitwijzen of dat standpunt wel juist is.
Eindnoten
[2] Zie Normuitleg AP inzake het gerechtvaardigd belang, Jan Berkvens, Privacyweb, 6 januari 2020. Tevens zijn er tijdens de bijeenkomst van de VVP-A, Onder Privacy professoren te Leiden op 29 januari 2020 kritische vragen aan de AP hierover gesteld.
[3] John de Mol heeft grootse plannen met zijn media-imperium, Trouw 10 april 2017, door Marco Visser; Talpa werkt op gespannen voet met de privacywet, Trouw 28 november 2018, redactioneel artikel; Aleid Wolfsen: gestolen data zijn veel erger dan een gestolen fiets; Trouw 10 november 2020, door Rufus Kain en Kristel van Teeffelen; Autoriteit Persoonsgegevens klaagt over “lachwekkende” toestanden, Privacyweb 11 november 2020.
[4] Artikel 6 lid 1 onder f AVG.
[5] Conform de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 valt overtreding van artikel 6 AVG onder categorie 3. Deze categorie kent als sanctie een boete van € 300.000,0 tot € 750.000,- al naar gelang de feiten en de omstandigheden. De basisboete in deze categorie is € 525.000,-. De AP kiest hier voor een boete die € 50.000,- hoger ligt dan de basisboete. Dat is dus een stevige boete.
[8] In de procedure verweerde VoetbalTV zich eerst met een beroep op de journalistieke vrijheid. Zie artikel 43 UAVG. Bij het uitzenden van de wedstrijden gaat het om het informeren en het bekend maken van meningen of ideeën aan het publiek, aldus VoetbalTV. De rechtbank volgt VoetbalTV hierin niet. Als bekendmaking van informatie, meningen of ideeën hebben de beelden van de wedstrijden te weinig nieuwswaarde. Het zijn amateurwedstrijden en de beelden geven geen informatie over bekende personen en ze dragen al helemaal niet bij aan enig maatschappelijk debat. Voor het geheel van de verwerking geldt niet dat zij uitsluitsel een journalistieke doeleinde hebben.
[9] Rechtsoverweging 15 en 18 bij uitspraak van 23 november 2020 rechtbank Midden Nederland. Zie noot 6.