Tennisbond (KNLTB) fors beboet: Wat moet u weten?

03/03/2020 – Deze week heeft de Autoriteit Persoonsgegevens een forse boete op grond van de Algemene Verordening Gegevensbescherming (AVG) uitgedeeld aan de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB). Aanleiding voor deze boete was het verstrekken van persoonsgegevens van leden aan sponsoren. In deze blog wordt nader ingegaan op het procesverloop, het boetebesluit en de lessen die daaruit zijn te trekken.

Aanleiding en procesverloop

Naar aanleiding van de aankondiging van de KNLTB om persoonsgegevens van zijn leden te verstrekken aan sponsoren om leden te benaderen met ‘tennis gerelateerde en andere aanbiedingen’, ontving de AP in de zomer 2018 tips en klachten van enkele leden. Voorts zocht een lid van de KNLTB de media op met de vraag of deze handelswijze van de KNLTB wel in lijn was met de AVG. Deze berichtgeving was reden voor de AP om de KNLTB uit te nodigen voor een gesprek. Naar aanleiding van dit gesprek, de ontvangen klachten en tips alsmede de berichtgeving in de media, is de AP in oktober 2018 een onderzoek gestart naar de verstrekkingen door de KNLTB van persoonsgegevens aan sponsors.

Boete

Uit het onderzoek van de AP is gebleken dat de KNLTB in juni en juli 2018 persoonsgegevens van haar leden heeft verstrekt aan twee sponsoren die deze leden vervolgens konden benaderen met aanbiedingen. Het doel was inkomsten te genereren voor de vereniging en meer toegevoegde waarde te bieden van het lidmaatschap. De KNLTB verklaarde tegenover de AP dat met instemming van de Algemene Leden Vergadering in 2007 besloten is om de gegevens voor sponsordoeleinden ter beschikking te stellen. Aldus is de verwerking verenigbaar met de oorspronkelijke verzameldoelen, dan wel is er sprake van een gerechtvaardigd belang.   

De toezichthouder is het daarmee niet eens en stelt dat de KNLTB geen grondslag had om de data aan de sponsoren te geven. Voor de leden die voor 2007 lid zijn geworden stelt de AP dat de KNLTB het doelbindingsbeginsel heeft doorbroken en de verwerking niet verenigbaar is met de oorspronkelijke doelen van de verzameling (het voeren van de ledenadministratie) [artikel 5, eerste lid, aanhef en onder b, AVG]. Voor de gegevens van de leden die na 2007 lid zijn geworden stelt de AP dat er sprake is van een nieuw verzameldoel waarvoor een rechtmatige grondslag ontbreekt [artikel 5, eerste lid, aanhef en onder a jo. Artikel 6, eerste lid, AVG]. De AP is van oordeel dat dit een ernstige overtreding betreft, waarvoor de ‘standaardboete’ op grond van de boetebeleidsregels  €525.000 is. Dat het om een hoge boete gaat voor een sportvereniging acht de AP geen probleem gezien de financiële positie van de bond.

Wat valt op?

Gerechtvaardigd belang

Opvallend aan het boetebesluit is de behandeling van het begrip ‘gerechtvaardigd belang’. De AP zet in het besluit uiteen wat moet worden verstaan onder het ‘gerechtvaardigd belang’. De AP stelt een hoge eis aan het gerechtvaardigd belang:

“Dat houdt in dat die belangen in wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Het moet gaan om een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden. De verwerkingsverantwoordelijke moet zich dus op een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel kunnen beroepen.

De AP concludeert vervolgens dat belang om geld te verdienen met de verstrekking van persoonsgegevens nóóit als een gerechtvaardigd belang kwalificeert. Het wegen van het belang van de KNLTB tegen dat van de betrokkenen komt daarmee dus helemaal niet in beeld in het boetebesluit, omdat het belang van de KNLTB überhaupt niet gerechtvaardigd is aldus de AP. Dit is een controversiële uitleg, nu in overweging 47 van de AVG wordt gesteld dat de verwerking van persoonsgegevens voor direct marketing in dienst kan staan van een gerechtvaardigd belang. Over de normuitleg van de AP over gerechtvaardigd belang schreven wij eerder deze blog Hoe het ook zij, de AP onderstreept hiermee nogmaals wat ze ook al in haar normuitleg gerechtvaardigd belang heeft betoogd: geld verdienen met persoonsgegevens is geen gerechtvaardigd belang. 

Vertrouw niet op oude afspraken…

Een tweede opvallend punt dat van grote praktische impact is voor elke privacy professional is dat de AP stelt dat haar oude adviezen geen gelding meer hebben, als deze niet meer op de eigen website staan.

De KNLTB voerde aan dat de AP het vertrouwensbeginsel had geschonden nu zij de KNLTB beboete voor iets waar zij in een eerder stadium van heeft gezegd dat het legitiem is. De tennisbond verwijst daarbij naar het informatieblad ‘verstrekken gegevens uit de ledenadministratie’ van het College bescherming persoonsgegevens (de rechtsvoorganger van de AP). Hierin staat dat verstrekken van persoonsgegevens buiten de vereniging zonder expliciete toestemming mag, mits het gaat om activiteiten die gebruikelijk zijn of zijn goedgekeurd door de ledenvergadering. Met andere woorden: vroeger vond de AP dat wat de KNLTB deed wél legitiem was. 

De AP laat echter weten dat het informatieblad al in 2014 van de website is verwijderd en dus vanaf dat moment niet meer relevant is. De KNLTB had dus niet meer op deze afspraken kunnen vertrouwen, aldus de AP. De KNLTB heeft aangegeven bezwaar te gaan maken tegen het boetebesluit.

Wilt u weten aan welke regels uw organisatie moet voldoen en welke maatregelen u kunt treffen voor rechtmatige en doelgebonden verwerkingen van persoonsgegevens? Neem dan contact met ons op!

 

 

Door Bart Schermer en Wietze Plantinga 

Bart Schermer Chief Knowledge Officer