Dat organisaties gegevens kunnen verwerken op basis van één van de zes grondslagen uit art. 6 lid AVG, te weten met toestemming van de betrokkene (a) of om een overeenkomst uit te voeren (b) is vaak nog wel te verantwoorden, al zitten er meer haken en ogen aan de grondslag ‘toestemming’ dan men vaak denkt, maar dat terzijde.
Op het moment dat de verwerking gebaseerd wordt op de grondslag ‘gerechtvaardigd belang’ (f) wordt het al snel minder duidelijk. Zo bleek onlangs uit de zaak Voetbal TV die de boete opgelegd door de Autoriteit Persoonsgegevens betwistte en waarvan de rechter van oordeel was dat deze niet betaald hoefde te worden. De Autoriteit Persoonsgegevens (hierna: AP) moest haar huiswerk over de toepassing van de grondslag ‘gerechtvaardigd belang’ overdoen. Nog verwarrender wordt het als we de normuitleg van de AP over het gerechtvaardigd belang er bij pakken. De normuitleg lijkt namelijk punten te bevatten die meer passen bij één van de uitzonderingen op het verbod uit art. 9 AVG om bijzondere persoonsgegevens te kunnen verwerken, namelijk het ‘zwaarwegend algemeen belang’.
Dan hebben we nog de grondslagen ‘wettelijke verplichting’ (art. 6 lid 1 onder c AVG) en ‘algemeen belang of taken in het kader van openbaar gezag’ (art. 6 lid 1 onder e AVG). Deze twee grondslagen worden in één en dezelfde overweging (45) van de AVG uitgewerkt. Een belangrijk aspect van de grondslagen ‘wettelijke verplichting’ en ‘algemeen belang of openbaar gezag’, maar ook de uitzondering om gegevens te verwerken op basis van ‘zwaarwegend algemeen belang’, is hoofdzakelijk gelegen in een wettelijke basis. Daarnaast moet uiteraard altijd nog de noodzaak aangetoond worden. Bij het beoordelen van die noodzaak staan de volgende vragen centraal:
1. Staat de verwerking en de eventuele gevolgen in verhouding met het beoogde doel (proportionaliteit)?
2. Zijn er geen minder ingrijpende middelen voorhanden (subsidiariteit)? Een dergelijke evenredigheidstoets is nodig om te kunnen beoordelen of de inbreuk op de betrokkene gerechtvaardigd is ten opzichte van de belangen van de verantwoordelijke.
Het is niet altijd even duidelijk wat als een ‘zwaarwegend algemeen belang’ beschouwd mag worden, er is immers nog onvoldoende over geschreven. Uit overweging 52 van de AVG komt nog wel een aantal voorbeelden naar voren. De Nederlandse wetgever beschouwt bepaalde belangen in ieder geval als een zwaarwegend algemeen belang daar hij in de artikelen 23 en 25 t/m 30 UAVG uitzonderingen heeft gecreëerd op het verbod in art. 9 AVG.
Wat is het verschil tussen de uitzonderingsgrond zwaarwegend algemeen belang en de grondslag algemeen belang?
Het belangrijkste verschil tussen deze twee begrippen is de functie en plaats die ze in de AVG innemen. Daar waar het zwaarwegende algemeen belang wordt gebruikt als uitzondering op het verbod van het verwerken van bijzondere categorieën, wordt de “taak van algemeen belang” gebruikt als een grondslag voor de verwerking van persoonsgegevens. Daarnaast is het evident dat de Europese wetgever een lagere drempel heeft willen opwerpen voor het verwerken van “reguliere” categorieën van persoonsgegevens dan voor het verwerken van bijzondere categorieën van persoonsgegevens. Zoals al eerder aangegeven wordt niet exact duidelijk wat “zwaarwegend” inhoudt maar wel dat dit wijst naar een aanwijzing voor de wetgever om een goed gemotiveerde beslissing te nemen alvorens een uitzondering te creëren.
In overweging 45 van de AVG wordt uitgelegd dat niet elke verwerking in het kader van het algemeen belang expliciet hoeft te zijn uitgewerkt in het lidstatelijke recht. Het zwaartepunt ligt immers op de beschrijving van het algemeen belang in het recht. Het is dan uiteindelijk aan de verwerkingsverantwoordelijke om te beargumenteren waarom de verwerking noodzakelijk is ten dienste van dat algemene belang.
Hoe verschilt het zwaarwegend algemeen belang van het gerechtvaardigde belang?
In de normuitleg ‘gerechtvaardigd belang’ beschrijft de AP de grondslag ‘gerechtvaardigd belang’. Zo wordt bijvoorbeeld een “zuiver commercieel belang” expliciet niet onder een gerechtvaardigd belang geschaard.1 Dit is opmerkelijk, aangezien in overweging 47 van de AVG dit belang expliciet wel wordt genoemd. De AP schrijft verder dat een belang uitsluitend als gerechtvaardigd mag worden gezien indien “(…) die belangen in (algemene) wetgeving of elders in het recht zijn enoemd als een rechtsbelang.”2 In de daaropvolgende alinea schrijft de AP dat het gerechtvaardigde belang een soort uitbreiding vormt op de grondslagen wettelijke plicht en taak van algemeen belang, waar de toepasselijke rechtsregel “(…) voor de betrokkene niet (voldoende) duidelijk en nauwkeurig over de verwerking van persoonsgegevens” is.3
Deze lezing van de AP lijkt haaks te staan op overweging 47 van de AVG waarin staat dat “(…) ‘direct marketing’ kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.” ‘Direct marketing’ wordt immers in de meeste gevallen vanuit een louter commercieel oogpunt ingezet. De beschrijving die de AP over het gerechtvaardigde belang geeft lijkt dan ook meer op een beschrijving die men bij een normuitleg over de uitzondering ‘zwaarwegend algemeen belang’ zou verwachten.
In de zaak tussen Voetbal TV en de AP werd dit standpunt nog eens bevestigd. De Rechtbank Midden-Nederland oordeelde dat het enkele feit dat een belang “louter commercieel” karakter heeft dit niet per definitie betekent dat een belang niet gerechtvaardigd is.4 Dat een gerechtvaardigd belang uitsluitend uit de wet moet volgen, was volgens de Rechtbank eveneens geen sprake. Daarbij volgt de rechtbank de conclusie van de Advocaat-Generaal van het Hof van Justitie van de Europese Unie in de zaak Rīgas satiksme.5 De A-G vat het begrip ‘gerechtvaardigd belang’ ruim op aangezien het ook in de richtlijn, en nu in de AVG, niet gedefinieerd is.
Een belangenafweging is een belangrijk onderdeel van de toets of de verwerking voor een specifiek doel rechtmatig kan zijn. Maar wanneer wordt welke grondslag nu ingezet en waar moet de belangenafweging aan voldoen? Deze blog heeft aangetoond dat daarover nog geen eenduidigheid bestaat. We werken momenteel aan een artikel die door de bomen het bos weer gaat zien en houden jullie daarover graag op de hoogte. Wordt vervolgd dus… !
De grondslagen worden in één van de modules van de opleiding tot ‘Certified Privacy Professional Europe (CIPP/E)’ behandeld. Wil je gegronde kennis opdoen over deze grondslagen, hun verschillen en nog veel meer essentiële informatie over privacy in Europa? Kijk dan hier voor meer informatie of schrijf je direct in!
1 Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, maart 2020, p.4.
2 Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, maart 2020, p.2.
3 Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, maart 2020, p.2.
4 Rb. Midden-Nederland, 23 november 2020, ECLI:NL:RBMNE:2020:511, r.o. 15 en 21. 5 Conclusie A-G HvJEU, 27 januari 2017, nr. C-13/16, ECLI:EU:C:2017:43. r.o. 63-65.