Met het arrest van 4 oktober 2024 heeft het Europees Hof van Justitie (het Hof) eindelijk duidelijkheid gegeven over de vraag of een commercieel belang ook een gerechtvaardigd belang kan zijn en voor eens en voor altijd een streep gehaald door de opvatting van de Autoriteit Persoonsgegevens (AP) dat een zuiver commercieel belang nóóit een gerechtvaardigd belang kan zijn. Betekent dit dat bedrijven massaal persoonsgegevens mogen verwerken omdat ze er geld mee kunnen verdienen? Kort gezegd: nee. In deze blog leg ik de beslissing van het Hof uit en zet ik uiteen wanneer je wél persoonsgegevens mag verwerken op basis van een commercieel belang.

De feiten

Op 20 december 2019 heeft de AP de Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete opgelegd van € 525.000 omdat de KNLTB tegen betaling, zonder rechtmatige grondslag, persoonsgegevens van haar leden heeft doorgegeven aan derden. De leden van de KNLTB hebben geen toestemming gegeven voor deze verwerking. Verder stelt de AP dat de KNLTB hier geen andere rechtvaardige grondslag had en hiermee artikel 5 lid 1 sub a AVG heeft geschonden. Tegen dit besluit is de KNLTB bij de rechtbank Amsterdam in beroep gegaan, aangezien de KNLTB van mening is dat zij wel degelijk een gerechtvaardigd belang, in de zin van artikel 6 lid 1 sub f AVG, hebben bij deze verwerking. Namelijk een commercieel belang. In een eerdere zaak tegen VoetbalTV heeft de AP ontkent dat een zuiver commercieel belang een gerechtvaardigd belang kan zijn. Echter, toen deze zaak bij de Afdeling bestuursrechtspraak van de Raad van State (AbRvS) kwam, heeft de AbRvS het standpunt van de AP verworpen.[1] Toch heeft de AP zich, tot op heden, vast gehouden aan dit standpunt. Tijdens de zaak tussen de AP en de KNLTB heeft de AP wederom gesteld dat het commercieel belang nooit een gerechtvaardigd belang kan zijn. Daarom heeft de rechtbank in Amsterdam de vraag of een zuiver commercieel belang een gerechtvaardigd belang kan zijn, via de zogeheten prejudiciële procedure, voorgelegd aan het Hof.

Beantwoording van het Hof

Bij de beantwoording van de prejudiciële vragen herhaalt het Hof eerst de drie cumulatieve voorwaarden waar altijd aan voldaan moet worden wanneer de grondslag van een verwerking het gerechtvaardigd belang is, namelijk; het moet gaan om de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde, de verwerking moet noodzakelijk zijn voor de behartiging van dat belang en de belangen of fundamentele rechten en vrijheden van de betrokkenen wegen niet zwaarder dan het belang van de verwerkingsverantwoordelijke of derde.

Aan de eerste voorwaarde kan snel worden voldaan aangezien uit eerdere jurisprudentie van het Hof blijkt dat veel verschillende belangen als gerechtvaardigd beschouwd kunnen worden.[2] Wel is het vereist dat het gerechtvaardigd belang ‘rechtmatig’ is. Dat wil echter niet zeggen dat het belang in de wet moet staan. Wat betreft de tweede voorwaarde overweegt het Hof dat bij de beoordeling van de noodzaak van de verwerking nagegaan moet worden of het nagestreefde belang niet op andere, minder ingrijpende, manieren behartigd kan worden. Ten slotte dient er voor de laatste voorwaarde een belangenafweging plaats te vinden op basis van de concrete omstandigheden van het geval.[3] Waarbij de mate waarin de betrokkene de verwerking redelijkerwijs kan verwachten in bijzondere mate van belang is.[4]

Het Hof overweegt vervolgens dat een commercieel belang een gerechtvaardigd belang kan zijn zolang er geen strijd is met de wet. Wel dient de verwerkingsverantwoordelijke zich aan alle plichten vanuit de AVG houden. Verder is het in dit geval aan de rechtbank Amsterdam om te beoordelen of de KNLTB aan de drie voorwaarden voldoet.

De gevolgen

Het is in ieder geval voorgoed duidelijk, wat veel privacy professionals al dachten, dat een zuiver commercieel belang prima een gerechtvaardigd belang kan zijn. Maar dat het (zuiver) commercieel belang in theorie een gerechtvaardigd belang kan zijn, betekent nog niet dat het in praktijk altijd een gerechtvaardigd belang zal zijn. Zoals eerder besproken moet er voor een succesvol beroep op het gerechtvaardigd belang aan drie cumulatieve voorwaarden worden voldaan. In veel gevallen zal daar geen sprake van zijn. 

Ten eerste moet het belang dat nagestreefd wordt rechtmatig zijn en dient de ververwerkingsverantwoordelijke dit belang ook mee te delen aan betrokkene. Hiervoor is vereist dat het een belang is dat de verwerkingsverantwoordelijke op dat moment al heeft en dat het belang duidelijk en specifiek is. Dit zal in de in praktijk geen groot obstakel vormen. Maar het zal lastiger zijn om aan de tweede voorwaarde te voldoen. Wanneer het belang dat de verwerking nastreeft ook behaald kan worden op een minder ingrijpende, net zo effectieve, manier dan is er geen sprake van een noodzaak.[5] In het geval van een commercieel belang zal het vaak mogelijk zijn om een minder ingrijpende manier te bedenken om dit belang na te streven. Maar zelfs in situaties waarbij het verwerken van persoonsgegevens voor een commercieel belang noodzakelijk geacht kan worden, is het nog niet zonder meer toegestaan deze gegevens te verwerken. Aangezien er nog aan de laatste voorwaarde voldaan moet worden, de belangenafweging. Hierbij moeten de fundamentele vrijheden en grondrechten van de betrokkene en diens belangen afgewogen worden tegenover het commerciële belang van de verwerkingsverantwoordelijke. Dit zorgt ervoor dat het belang dat de verwerkingsverantwoordelijke nastreeft erg zwaar moet wegen om een succesvol beroep te kunnen doen op het gerechtvaardigd belang. Wanneer dit belang een louter commercieel belang is schat ik de kans klein dat dit belang zwaarder zal wegen dan de belangen, grondrechten en fundamentele vrijheden van de betrokkene.

Conclusie

Dankzij de uitspraak van het Hof is het nu duidelijk dat een commercieel belang prima een gerechtvaardigd belang kan zijn. Hierbij ligt de nadruk op het woord kan. Want, een dergelijk belang mag pas ten grondslag liggen aan een verwerking als deze voldoet aan de drie cumulatieve eisen van, rechtmatigheid, noodzakelijkheid en de belangenafweging. In de meeste gevallen zal een zuiver commercieel belang niet aan deze drie eisen voldoen. We hoeven dus niet bang te zijn voor een stortvloed aan bedrijven die ineens rechtmatig onze persoonsgegevens mogen verwerken vanwege hun commerciële belang.

Benieuwd of jouw organisatie een gerechtvaardigd belang heeft bij een bepaalde verwerking? Neem dan contact met ons op via hallo@privacy1.nl.

Geschreven door: Joshua Grünsfeld – Juridisch Adviseur

[1] Afdeling Bestuursrechtspraak van de Raad van State 27 juli 2022, ECLI:NL:RVS:2022:2173.

[2] HvJ EU 7 december 2023, C‑26/22 en C‑64/22, EU:C:2023:958, punt 76.

[3] HvJ EU 4 juli 2023, C‑252/21, EU:C:2023:537, punt 110.

[4] HvJ EU 4 juli 2023, C‑252/21, EU:C:2023:537, punt 112.

[5] EDPB Guidelines on processing of personal data base on Article 6(1)(f) GDPR, 8 October 2024.