Autoriteit Persoonsgegevens (te?) streng over gerechtvaardigd belang en marketing?

Voor iedere verwerking van persoonsgegevens is een verwerkingsgrondslag nodig. De Algemene verordening gegevensbescherming (AVG) kent zes van zulke grondslagen. Een van de grondslagen is dat de verwerking van persoonsgegevens noodzakelijk is om het ‘gerechtvaardigd belang’ van een organisatie te behartigen. De Nederlandse toezichthouder op dit gebied, de Autoriteit Persoonsgegevens (AP), heeft over de verwerkingsgrondslag ‘gerechtvaardigd belang’ onlangs een normuitleg gepubliceerd. Met name vanuit de marketingindustrie is kritisch gereageerd op de normuitleg. De AP lijkt belangen die uitsluitend commercieel zijn namelijk geen ‘gerechtvaardigd’ belang te vinden. En dat betekent dat bijvoorbeeld gepersonaliseerde reclame op het internet – volgens de AP – eigenlijk alleen na toestemming van de betrokkene is toegestaan.

Drietrapsraket

In de normuitleg benadrukt de AP dat een beroep op de verwerkingsgrondslag ‘gerechtvaardigd belang’ slechts mogelijk is als de verwerkingsverantwoordelijke aan drie voorwaarden voldoet:

1. het belang van de verwerkingsverantwoordelijke moet echt gerechtvaardigd zijn;
2. de verwerking moet noodzakelijk zijn om dat belang te behartigen;
3. er moet een afweging (een balancing test) plaatsvinden tussen het belang van de verwerkingsverantwoordelijke enerzijds en de betrokkene anderzijds.

Welk belang is gerechtvaardigd, en welk belang niet?

De kritiek uit de industrie op de normuitleg ziet met name op het standpunt van de AP dat de volgende belangen niet als gerechtvaardigde belangen kwalificeren: “het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten.”

En dat is voor marketeers natuurlijk een schop tegen het zere been: vrijheid van ondernemerschap is in de Europese Unie net als het recht op de bescherming van persoonsgegevens een grondrecht. Ook de AVG benoemt expliciet dat direct marketing een gerechtvaardigd belang kan zijn. Opvallend is verder dat andere toezichthouders in de Europese Unie commerciële belangen wel als een ‘gerechtvaardigd belang’ zien. De privacytoezichthouder in het Verenigd Koninkrijk zegt hier bijvoorbeeld over: “legitimate interests can be your own interests or the interests of third parties. They can include commercial interests […].” (onderstreping door Ploum).

Gevolgen voor de industrie en betrokkenen

Door de strenge normuitleg van de AP kan het gevaar ontstaan dat organisaties vaker uitwijken naar een andere verwerkingsgrondslag, zoals toestemming. Maar toestemming is voor organisaties vaak geen stabiele basis voor gegevensverwerking. Betrokkenen mogen gegeven toestemming altijd intrekken. Ook is het nog maar de vraag of consumenten door de streng ingestoken normuitleg beter af zijn. De praktijk is namelijk dat consumenten toestemmingsverzoeken door overvraging vaak ongelezen wegklikken. Hiermee schiet de AP haar nobele doel, het stimuleren en bewaken van privacyvriendelijke verwerkingen van persoonsgegevens, mogelijk voorbij.