Privacy compliance als concurrentievoordeel?

10/12/2024 – op 4 oktober 2024 heeft het Hof van Justitie van de Europese Unie (hierna: het Hof) wederom bevestigd dat het begrip bijzondere persoonsgegevens ruim geïnterpreteerd moet worden. Het Hof oordeelde in het Lindenapotheke arrest dat informatie die klanten invoeren bij het bestellen van apotheekgeneesmiddelen moet worden beschouwd als gezondheidsgegevens. Daarnaast oordeelde het Hof dat de Algemene Verordening Gegevensbescherming (AVG) geen nationale wetgeving in de weg staat die concurrenten de mogelijkheid biedt om AVG-schendingen aan te vechten als oneerlijke handelspraktijken. Kortom, een baanbrekende uitspraak die veel stof doet opwaaien. In deze blog leest u wat de gevolgen van dit arrest voor uw organisatie kunnen zijn.

Achtergrond van de zaak

De zaak komt voort uit een geschil tussen twee concurrerende apothekers in Duitsland.  ‘Lindenapotheke’ (hierna: LA) heeft een vergunning voor de online verkoop van apotheekgeneesmiddelen zonder recept op het online platform Amazon-Marketplace. Bij een dergelijke online aankoop moet een klant gegevens verstrekken, zoals naam, bezorgadres en informatie die de individualisering van de geneesmiddelen mogelijk maakt. Een concurrent van Lindenapotheke ‘Winthir Apotheke’ (hierna: WA) verzoekt LA het verkopen van apotheekgeneesmiddelen te staken, zolang klanten geen voorafgaande toestemming geven voor de gegevensverwerking. WA beroept zich hierbij op Duitse wetgeving tegen oneerlijke concurrentie en stelt dat de verkoop van apotheekgeneesmiddelen door LA oneerlijk is. De AVG wordt volgens WA geschonden door geen voorafgaande toestemming te vragen aan klanten voor het delen van gegevens over de gezondheid, zoals vereist is op grond van artikel 9 van de AVG. Nadat de lagere rechtbanken de vordering toewezen, stelde LA beroep in bij het Duitse Federale Hof van Justitie. Deze achtte het op haar beurt noodzakelijk twee prejudiciële vragen aan het Hof voor te leggen met betrekking tot, ten eerste, het systeem van rechtsmiddelen dat bij de AVG is vastgesteld en, ten tweede, de categorie van bijzondere persoonsgegevens.

Oordeel van het Hof in Lindenapotheke

Vraag 1: rechtsmiddelen AVG

Het Hof oordeelt dat het systeem van rechtsmiddelen van de AVG zich niet verzet tegen een nationale bepaling op grond waarvan een concurrent een vordering kan instellen tegen een vermeende inbreukmaker. Het Hof benadrukt dat een dergelijk verzoek geen afbreuk doet aan het stelsel van rechtsmiddelen waarin de AVG voorziet en evenmin aan de doelstelling van de AVG dat een consistent niveau van bescherming van persoonsgegevens in de EU nastreeft. Integendeel, deze mogelijkheid vormt een aanvulling op de rechtsmiddelen en versterkt de effectiviteit van de AVG én de bescherming van betrokkenen.

Vraag 2: interpretatie bijzondere persoonsgegevens

Het Hof stelt vast dat gegevens met betrekking tot een aankoop, wanneer deze kunnen worden gebruikt om conclusies te trekken over de gezondheidstoestand van een geïdentificeerde of identificeerbaar persoon, moeten worden aangemerkt als gezondheidsgegevens in de zin van artikel 4, lid 15, van de AVG. Daarbij benadrukt het Hof de ruime interpretatie van dit begrip, in lijn met de uitleg van de European Data Protection Board (EDPB). Dit betekent dat ook gegevens die indirect gevoelige informatie kunnen onthullen onder de definitie vallen. Het Hof achtte het bovendien niet relevant voor de beoordeling dat de bestelling door een websitebezoeker voor een ander wordt geplaatst.

Wat betekent deze uitspraak in de praktijk?

Op zich is het geen verrassing dat het begrip bijzondere persoonsgegevens ruim geïnterpreteerd dient te worden. Uit dit arrest volgt dat het zelfs kan gaan om gegevens die iets zeggen over de gezondheid van een derde. Gelet hierop is het essentieel om in kaart te brengen welke type gegevens er in uw organisatie worden verwerkt. Daarbij is het belangrijk om te beoordelen of deze gegevens – direct of indirect – informatie kunnen bevatten over gezondheid, ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, seksuele voorkeuren, of genetische of biometrische gegevens van een persoon of diens naaste. Het verwerken van bijzondere persoonsgegevens krijgt namelijk extra bescherming in de AVG. Het verwerken ervan is in principe verboden, tenzij u zich kunt beroepen op een uitzondering als genoemd in artikel 9, lid 2, AVG. Vaak is dat expliciete toestemming van de betrokkenen. Mogelijk zult u uw interne processen dus moeten aanpassen.  

Verder opent de uitspraak de deur voor concurrenten om elkaar aan te spreken op AVG-overtredingen, mits nationale wetgeving dit toestaat. In Nederland biedt de Wet oneerlijke handelspraktijken daartoe een mogelijk juridisch aanknopingspunt. De uitspraak sluit aan bij de zaak C-252/2. In die zaak oordeelde het Hof dat een mededingingsautoriteit, in het kader van onderzoek naar misbruik van een machtpositie door een onderneming op een bepaalde markt, ook onderzoek kan instellen naar andere regels dan het mededingingsrecht, zoals de AVG. Tezamen vormen de uitspraken de basis voor een nieuw en dynamisch speelveld voor AVG-handhaving, waarin toezichthouders (onderling) en organisaties gezamenlijk kunnen optreden voor daadkrachtigere naleving.

Al met al krijgen marktspelers een sterke stimulans om de AVG af te dwingen bij concurrenten. Zo kunnen zij via rechterlijke bevelen een einde maken aan gegevens gerelateerd concurrentieverstorend gedrag en actie ondernemen tegen concurrenten die een oneerlijk voordeel behalen door de privacyregels niet na te leven. Deze ontwikkelingen in het juridische speelveld benadrukken het belang van privacy compliance binnen uw organisatie om zo uw concurrentiepositie verder te beschermen.