NRC: Europa waarschuwt privacytoezichthouder AVG te streng te interpreteren

De Europese Commissie waarschuwt de Autoriteit Persoonsgegevens dat die de AVG mogelijk te streng interpreteert. Die klacht draait vooral om het controversiële 'gerechtvaardigd belang'. De AP krijgt die kritiek vaker, maar ontkende eerder tegen Tweakers te streng te zijn.

De Europese Commissie heeft een brief geschreven aan de Nederlandse privacytoezichthouder. In die brief van begin 2020, die NRC in handen heeft, waarschuwt de EC de AP voor een te strenge interpretatie van de privacywet. Daarmee zou 'het goede functioneren van de interne markt in de EU in het gedrang komen', staat in de brief. Het gaat dan specifiek om de houding die de AP aanneemt rond het 'gerechtvaardigd belang'. Onder de AVG moeten bedrijven een reden hebben om data van gebruikers te verwerken. Er zijn specifiek zes van zulke grondslagen. Toestemming is er een van, maar ook als het wettelijk verplicht is of als een bedrijf 'vitale belangen moet beschermen' mogen ze gegevens verzamelen. Een van de grondslagen is het gerechtvaardigd belang: als een bedrijf aannemelijk kan maken dat er een belangrijke reden is om data te verzamelen, mag het dat doen. Het probleem met de AVG is dat die term nooit duidelijk is gespecificeerd. Bedrijven worstelen met de vraag wat wel en niet gerechtvaardigd is. De Autoriteit Persoonsgegevens heeft nooit een eenduidige definitie gegeven, maar heeft de afgelopen jaren meerdere keren met boetes laten zien wat niet is toegestaan.

Een van die boetes kwam in 2020 voor rekening van de Koninklijke Nederlandse Lawn Tennis Bond. Die kreeg 525.000 euro boete wegens het verkopen van gegevens van leden aan sponsors voor direct marketing. De vereniging beriep zich daarbij op het gerechtvaardigd belang; het zou voor de economische positie van de bond nodig zijn de gegevens te verkopen. De AP was het daar niet mee eens en concludeerde dat direct marketing nooit een gerechtvaardigd belang kan zijn voor dataverwerking. Juristen waren toen verbaasd over de strenge interpretatie van de AP.

Later speelde een soortgelijke zaak bij VoetbalTV. Dat ging failliet omdat het te lang moest wachten op een besluit van de AP. Ook VoetbalTV beriep zich op het gerechtvaardigd belang voor het filmen van spelers, maar de AP stelde dat alleen een commercieel doel geen gerechtvaardigd belang was. De rechter was het daar toen niet mee eens. Die schaarde zich achter VoetbalTV: "De Autoriteit Persoonsgegevens heeft het gerechtvaardigd belang niet op een open en flexibele manier uitgelegd, zoals wel zou moeten", schreef de rechtbank. De AP wil met dergelijke uitspraken aangeven dat commerciële belangen nooit gerechtvaardigd kunnen zijn voor het verzamelen van data, maar daar hebben zowel juristen als rechters kritiek op.

Nu heeft dus ook de Europese Commissie kritiek op de strenge interpretatie van de AP van het gerechtvaardigd belang. Volgens de Commissie zou de AP met die strikte interpretatie 'het vrije ondernemerschap belemmeren'. De AVG is jaren geleden niet alleen in het leven geroepen om dataverzameling te beteugelen, maar ook om bedrijven op een verantwoorde manier te laten blijven werken met data. In de brief haalt de Commissie ook het voorbeeld aan van Google. Dat mag wel gegevens van Europese gebruikers blijven gebruiken vanwege commerciële overwegingen.

Tweakers vroeg AP-voorzitter Aleid Wolfsen vorig jaar en in 2020 naar de strenge interpretatie van de AP van meerdere begrippen. Wolfsen herkende zich nooit in die kritiek. Hij zei toen dat de AP weliswaar streng strafte, maar dat de AP daarmee vooropliep. Als voorbeeld haalde hij bijvoorbeeld interpretaties over de cookiewall aan. "Als het gaat om onze interpretatie van de cookiewall, zie je dat inmiddels alle andere toezichthouders nu zeggen wat wij eerder al zeiden", zei hij toen.

Opvallend is dat het uitgerekend Wolfsen was die dat strenge standpunt doordrukte, schrijft NRC op basis van ex-medewerkers bij de privacytoezichthouder. Interne juristen zouden ervoor waarschuwen dat rechters het niet eens zouden zijn met de interpretatie. Wolfsen zou 'consumenten willen beschermen tegen de datahonger van bedrijven' en daarom zijn visie door hebben gedrukt.

Reacties (185)

[xavierk]

"In de brief haalt de Commissie ook het voorbeeld aan van Google. Dat mag wel gegevens van Europese gebruikers blijven gebruiken vanwege commerciële overwegingen."

Dat is toch iets te kort door de bocht. In het NRC artikel staat: "De Commissie wijst er onder meer op dat Google door Europese rechters eerder is toegestaan om, onder voorwaarden, vanuit commerciële overwegingen persoonsgegevens van internetgebruikers te verzamelen."

Waarschijnlijk bedoelt de EC daarmee de uitspraak 13 mei 2014 in Google Spain SL / González, maar die uitspraak was van vóór inwerkingtreding van de AVG, die sterk aangescherpt is t.o.v. zijn voorganger. Ik denk dat het woord 'eerder' hier toch wel een belangrijke nuance geeft.

Bovendien ging deze zaak over het recht om vergeten te worden, wanneer verwerkingen (sowieso) niet langer 'noodzakelijk' zijn. Om daar het omgekeerde uit af te leiden, nl. dat buiten deze gevallen verwerking 'dus' toegestaan zou zijn uit commerciële overwegingen, is niet helemaal logisch.
Noodzakelijkheid is slechts één element van de 'gerechtvaardigd belang' grond.
Het HvJ wees in die uitspraak bovendien er op dat via internetzoekmachines en zoekresultaten die persoonsgegevens bevatten een gedetailleerd profiel van een natuurlijke persoon kan worden opgesteld. Dit soort profiling is onder de AVG nou net aan aanvullende eisen gebonden.

Dat is nog daargelaten dat Google de gegevens in de Verenigde Staten verwerkt en dat sinds Schrems II uitspraak op glad ijs bevindt (https://autoriteitpersoon...s-na-schrems-ii-uitspraak).

Hier waarschuwde laatst de eigen privacytoezichthouder van de EU nog voor https://edps.europa.eu/pr...ions-following-schrems_en EU , dat EU-organen "increasingly rely on cloud-based software and cloud infrastructure or platform services from large ICT providers, of which some are based in the US and are therefore subject to legislation that, according to the “Schrems II” Judgement, allows disproportionate surveillance activities by the US authorities. "

In 2013 heeft de AP trouwens geoordeeld dat Google de wet overtrad door gegevens van verschillende diensten aan elkaar te koppelen zonder duidelijke toestemming te verkrijgen https://autoriteitpersoon...-google-strijd-met-de-wet

[Reactie gewijzigd door xavierk op 22 juli 2024 13:45]

[Jheroun]

Als ongevraagd gebruik van gebruikersdata mag omdat 'gerechtvaardigde belang' geldt voor commerciële activiteiten wordt de hele AVG/GDPR snel een wassen neus.

Voor een bedrijf waar je betalend klant van bent (die tennisvereniging) lijkt me evident dat dit niet gerechtvaardigd is. Doorverkoop van je gegevens heeft immers geen relatie met de gevraagde dienstverlening. Als je dan als bedrijf, of als juridisch adviseur daarvan, verbaast bent snap je het echt niet. Biedt dan een goedkoper abonnement waarbij je toestemming voor dit soort dingen moet geven ofzo.

Mijn vuistregel is dat je al niet goed bezig bent als je überhaupt toestemming moet vragen voor het gebruik van die data, kennelijk is het dan niet nodig voor het leveren van de gevraagde dienst, anders hoefde je het niet te vragen.

Die case van dat filmen heb ik niet onderzocht maar ik kan me voorstellen dat het voor een videobedrijf een rechtvaardig belang is om mensen te filmen. Maar als de daarmee vergaarde data voor andere doeleinden gebruikt wordt dan het doel was wordt het weer minder scherp.

Ik klik cookie/analytics popups altijd open. Het laatste jaar zie ik daarin steeds vaker dat ik, als eindgebruiker, zelf ook een hele zwik knoppen heb om 'gerechtvaardigd belang' uit te zetten. Dus kennelijk heeft er hier iemand gevonden dat er een maas in deze wet zit. Wat een larie. Als je aan mij voor moet leggen dat je vindt dat je gerechtvaardigd belang hebt is het dat per definitie niet, vraag dan gewoon toestemming.

[Reactie gewijzigd door Jheroun op 22 juli 2024 13:45]

[Arnoud Engelfriet]

Het juridisch punt ligt iets subtieler. Je moet bij gerechtvaardigd belang eerst vaststellen wat jouw belang is, en daarna een afweging doen tegen de persoonlijke levenssfeer van de betrokken personen. Wat de AP zegt, is "commerciële belangen tellen niet als belang". Dan kom je dus niet eens bij die afweging, je bent gewoon direct af.

De EC zegt nu, dat kan niet. Vrijheid van ondernemen is een grondrecht, dus het moet mogelijk zijn om te zeggen "ik heb hier belang bij als ondernemer". Vervolgens krijg je dus die afweging. De kans is klein dat Voetbal TV of de lawntennisbond* het haalt met die afweging. Maar je mag dat niet afschieten met "ho ho, geld verdienen is geen argument".

* Ik geef zelf deze bond meer kans, vooral omdat het gaat om gegevens van een vereniging, waarbij de ALV inspraak had en de financiële kant meer was "de vereniging moet blijven draaien" dan "we willen een bak geld binnenslepen".

[supersnathan94]

Ik vind eigenlijk van niet. Ik ben een tijd lid geweest bij de KNLTB omdat dit MOET om te kunnen tennissen. Je kunt geen baan reserveren bij een tennisclub zonder lidmaatschap. Ook niet als je cash het dubbele betaald. Ze doen het gewoon niet.

De dienstverlening die KNLTB dan ook voorziet is hoofdzakelijk het recht om te kunnen tennissen en daar betaal je veel voor. Extra zaken als competities komen daar nog weer bovenop.

Punt is. Je MOET en abonnement hebben bij de KNLTB om überhaupt te kunnen tennissen op een verenigingsbaan en je hebt GEEN keuze over of jouw data verkocht mag worden voor reclame doeleinden. Dat laatste kan natuurlijk niet en is ook absoluut geen gerechtvaardigd belang. Er is namelijk nog een tweede optie mogelijk en dat is dat je simpelweg per maand meer betaald als lid alleen die optie bieden ze niet.


Ik zie eerder dat die voetbal partij gewoon gelijk krijgt. Daar is het filmen van de spelers immers het hele punt van de dienst. Beetje hetzelfde als F1TV pro of NOS sportwedstrijden. Het is een uitzending van amateurvoetbal. Mensen betalen om dat te kunnen zien. Dat is de hele kern van de dienst.

Bij de KNLTB is de verkoop secundair en derhalve kan men de vraag stellen of het dan gerechtvaardigd is. Ik vind zelf van niet en het feit dat de KVK nu ook aan het terugkrabbelen is (met opt-out helaas) geeft ook wel aan dat zelfs partijen waar de registratie een wettelijke taak is, natte voeten voelen.

[rjvdboon]

Ik zie eerder dat die voetbal partij gewoon gelijk krijgt. Daar is het filmen van de spelers immers het hele punt van de dienst

Je gaat ervanuit dat de klanten van de dienst ook degenen zijn die worden gefilmd. Dit was echter niet het geval. VoetbalTV had een contract met de club, niet met de spelers. Zodra je als speler het terrein / veld betrad werd je dus gefilmd en je gegevens (dus) verkocht. Ook als speler van een bezoekende club. Er werden wel bordjes neergezet, maar dat was niet voldoende volgens de AP, je had namelijk geen manier om te voetballen en niet gefilmd te worden.
Als ik het me goed herinner gaf de AP wel voorwaarden waarop het wel kon (bv. alleen filmen als iedereen instemde) maar met de administratie en onzekerheid die dat meebrengt is het economisch niet haalbaar.

[supersnathan94]

Je gaat ervanuit dat de klanten van de dienst ook degenen zijn die worden gefilmd.

Nee dat doe ik niet.

en je gegevens (dus) verkocht.

Ook dat is niet juist. Uitdeindelijk heeft het verbod van het AP geen stand kunnen houden en heeft een rechter ook anders besloten, maar deze twee zaken zijn iig niet vergelijkbaar.

[Dexcuracy]

en je hebt GEEN keuze over of jouw data verkocht mag worden voor reclame doeleinden.

Dit is niet correct. Art. 21 van de GDPR: "Right to object" bevat het recht voor een persoon om, op elk moment, bezwaar te maken tegen het verwerken van data op grond van Art. 6(1)(e) "necessary for the public interest" of (f) "legitimate interest".

Dit mag dus voor alle verwerking van data die een partij doet op grond van die twee leden. Art. 21(2) benoemt nog specifiek dat een persoon bezwaar mag maken voor "direct marketing", inclusief "profiling [...] related to such direct marketing". Art. 21(3) benoemt ook nog specifiek dat zodra er bezwaar is gemaakt m.b.t. direct marketing "the personal data shall no longer be processed for such purposes"

Dat gezegd hebbende hoop ik zeer dat de GDPR niet de laatste stap is naar het vaststellen van digitale rechten. In het bijzonder hoop ik dat het later in wet wordt vastgesteld dat een persoon te allen tijde eigenaar is van alle data die van of over hen is verzameld, en dat dit soort rechten voor doorverkoop van data nog dichter worden getimmerd op die manier.

[Reactie gewijzigd door Dexcuracy op 22 juli 2024 13:45]

[supersnathan94]

Ja wettelijk gezien heb je altijd die keuze, maar (!).

De KNLTB geeft je die keuze niet en gaat daarmee recht in tegen wetgeving die stelt dat dit wel het geval moet zijn.

Dat is wat ik bedoel met je hebt geen keuze. Leuk dat je die keuze wettelijk wel hebt, maar gelijk hebben en gelijk krijgen zijn ook hier weer twee verschillende dingen helaas.

[CivLord]

Ik vind eigenlijk van niet. Ik ben een tijd lid geweest bij de KNLTB omdat dit MOET om te kunnen tennissen. Je kunt geen baan reserveren bij een tennisclub zonder lidmaatschap. Ook niet als je cash het dubbele betaald. Ze doen het gewoon niet.

Dat is veemd. Kennissen van mij hebben jarenlang elk jaar een familietoernooi georganiseerd, waarvoor een paar banen gehuurd werden bij een tennisclub, zonder dat ze lid waren van een vereniging.

[supersnathan94]

Mja als je een hele berg afneemt kun je misschien een dealtje maken met de club zelf, maar als enkeling kun je het eigenlijk wel vergeten. Alle baan reserveringen lopen namelijk via het KNLTB systeem.

Wat een vereniging in het geval van een grote groep doet is de boel dichtgooien en geen reserveringen accepteren, maar dat kun je niet doen voor een enkel persoon of duo.

[Verwijderd]

Vrijheid van ondernemen is een grondrecht, dus het moet mogelijk zijn om te zeggen "ik heb hier belang bij als ondernemer". Vervolgens krijg je dus die afweging.

Die afweging is dan of ondernemer O geld mag verdienen met de verkoop van lucratieve gegevens van groep X aan een derde partij P.

Oftewel hoe nadelig is het voor X als O waardevolle gegevens van X verkoopt aan P. Waarschijnlijk niet wetende wat P daarmee gaat doen, wellicht die gegevens verder doorverkoopt aan Q en/of slecht beschermt.

Waardoor de potentiële nadelen voor X extreem lastig in te schatten zijn; als gegevens in handen van phishers vallen en mensen worden kaalgeplukt zegt het Kifid bij herhaling dat ouderen "grof nalatig" zijn.

Succes oudjes, met de lobbyisten van de big money makers over jullie rug.

Onbegrijpelijk hierbij (voor verreweg de meeste niet-juristen) is dat persoonsgegevens en zelfs medische gegevens voor grof geld aan misbruikers en IB-verzakers worden verkocht, dus waarde hebben, terwijl ze volgens een stokoude wet geen "zaak" zijn.

Dát ze geen "zaak" zijn (want niet tastbaar) kan ik inkomen, maar ze verdienen wel een speciale eenduidige behandeling die nu ontbreekt - want deze (eindeloos verliesvrij kopieerbare) gegevens zijn aantoonbaar allesbehalve waardeloos voor kopers terwijl de handel nauwelijks en/of zelden in het belang is van de "eigenaars" X van deze gegevens.

[CivLord]

Het gaat er om dat je de afweging of ondernemersbelang in een specifiek geval boven privacybelang gaat daadwerkelijk moet maken en in een besluit moet vastleggen. Dat die overweging in het overgrote deel van de gevallen in het nadeel van het ondernemersbelang zal uitvallen, is geen reden om bij commerciële belangen te weigeren om überhaupt een afweging te maken.

[Verwijderd]

Je mag geen kopiën van auteursrechtelijk beschermd materiaal verkopen als jij niet het auteursrecht hebt. Daarbij gaan we ook geen afweging maken of een arme marktkoopman illegaal gekopieerde DVD's of computerspellen mag verkopen.

Het verkopen van persoonsgegevens (die niet van de verkoper zijn!) is hier maar voor een deel mee te vergelijken, want in dit geval is de schade voor de betrokkenen onvoorspelbaar. Ook door een objectieve rechter.

Het gaat hierbij nauwelijks om een ongevraagde brief met een donatieverzoek voor een goed doel, maar om ernstige cybercrime en manipulatie van mensen (o.a. bij verkezingen). Denk o.a. aan Cambridge Analytica.

Er kan geen rechtvaardiging bestaan om te handelen in gegevens die niet van jou zijn, alleen al omdat jij verplicht bent die gegevens goed te beschermen en niet zeker weet wat ermee gebeurt als jij ze verkoopt aan een derde.

Wat al veel te lang ontbreekt is bij-de-tijdse eenduidige wetgeving die de handel in persoonsgegevens verbiedt.

[Jheroun]

Afkeuren omdat er ergens 'commercie' staat is inderdaad wat te kort door de bocht. De AVG is er echter primair om gegevens te beschermen. Of dat dan wel of niet belangrijker is dan vrijheid van ondernemen ligt juridisch vast heel subtiel maar het moet natuurlijk niet een kant op schieten waarin 'zo verdien ik mijn geld' per definitie een 'rechtvaardig belang' is. Maar dat is gelukkig ook helemaal niet het geval.

Dit leidt in ieder geval tot onduidelijkheid, dat kan met jurisprudentie opgelost worden maar wellicht is een stukje verheldering van de AVG dan handiger. Als een tennisclub goedkoper diensten kan leveren als de ledeninformatie wordt verkocht moet dat wel vooraf helder zijn. Het lijkt mij niet wenselijk dat je daarvoor als aspirant lid eerst een EULA moet doorgronden, maar wellicht is dat juridisch wel acceptabel. Ik zou ook daarbij een opt-in verwachten, het slaat namelijk niet op de primaire dienstverlening die ik wil maar op iets secundairs waardoor de dienstverlener beter denkt te kunnen concurreren. Dat vind ik daarmee zeker een belang, maar niet gerechtvaardigd binnen het kader van de AVG.

Dit krijgt vast nog wel een paar staartjes

[WillySis]

Als je wedstrijden wilt tennissen (ik blijf het voorbeeld maar even volgen) MOET je lid worden van de tennisbond. Het lijkt mij vreemd dat je door lid te worden ook gelijk akkoord moet gaan met het verkopen van jouw gegevens.
De vrijheid van ondernemen is prima, maar iedereen heeft ook het recht op privacy. Het verkopen van privacy gevoelige gegevens (alleen je email adres is daar één van) mag daarom nooit als een voorwaarde worden gesteld. Als men gewoon de keuze biedt waarmee men aan kan geven dat men het eens is met het verkopen van email-adressen (of nog meer) aan derden (met een goed beleid daarachter) dan is dat prima, maar de keuze moet toch bij de persoon zelf liggen. Dat is ook de redenatie die de AP heeft gevolgd.
Dat een vereniging (of bedrijf) de inkomsten nodig heeft mag geen rede zijn om mensen te dwingen om hun email adres commercieel te laten gebruiken. Een contributie verhoging is een goed alternatief.

Als de tennisbond op verzoek van een adverteerder zelf advertenties doorstuurt naar leden, dan zit je in een grijs gebied. Gegevens worden niet verkocht, maar wel voor commerciële doeleinden beschikbaar gesteld.

[CivLord]

Correctie: wanneer je wedstrijden wilt tennissen die door of namens de bond worden georganiseerd moet je lid worden van de tennisbond.
Het staat je vrij om als niet lid een paar tennisbanen te huren voor een eigen tournooi.

[Relaxations]

Ik besef mij dat deze reactie niet op gedetailleerde inhoudelijke materie- en dossierkennis gestoeld is, maar door het de facto feit dat je als persoon die lid wordt van een willekeurige (iedere...?) tennisvereniging in Nederland 'automatisch' lid wordt (moet worden) van de KNLTB, zelfs als je geen competitie speelt, doet mij vermoeden dat hier iets flink niet in de haak is.

Ik kan mij als (volledig passief, want enkel benodigd als onderdeel van lidmaatschap bij en geregeld door de lokale tennisvereniging) KNLTB-lid sinds 2016 geen enkel moment voor de geest halen dat ik zelf/actief ergens mee heb moeten instemmen. Laat staan dat ik de optie had om ergens een vinkje bij 'Legitiem belang' te kunnen uitvinken, waar ik normaal altijd erg kien op ben.

[WillySis]

Bij de meeste sportverenigingen heb je de keuze of je alleen trainend lid, donateur of spelend lid (competitie) wilt worden. Alleen voor de laatste is dan een lidmaatschap van de bond nodig. De trainende leden kunnen binnen de vereniging natuurlijk wel meedoen aan wedstrijden binnen de vereniging.

Het ontbreken van "nadrukkelijke instemming" was voor de AP ook de aanleiding om de KNLTB een boete op te leggen.

[Relaxations]

Bedoel je met 'bij de meeste sportverenigingen' ook 'bij de meeste tennisverenigingen'?
Ik heb namelijk nog bij geen enkele tennisvereniging waar ik lid ben/was, of waar bekenden van mij lid zijn/waren, gehoord dat er een mogelijkheid is om alleen trainend lid te worden.
De 'automatische' (verplichte, door de tennisvereniging geregelde) inschrijving bij de KNLTB lijkt er zodoende bij (alle?) tennisverenigingen aan vast te zitten, zelfs als je enkel traint of recreatief/intern speelt.

Als jij andere ervaringen hebt bij/met tennisverenigingen hoor ik die uiteraard graag.

[WillySis]

Ik weet niet of het bij veel tennisverenigingen mogelijk is om lid te worden zonder gelijk ook lid van de tennisbond te moeten worden.
Bij een grote vereniging waar ik een tijdje lid van geweest ben was het wel mogelijk. Bijna een kwart van de leden was daar alleen lid om zo nu en dan een baan te kunnen gebruiken (vaak vaste clubjes) en zo nu en dan met een toernooitje of de clubcompetitie mee te doen.

[Relaxations]

Helder, dank voor je antwoord!

[J_van_Ekris]

Ik geef zelf deze bond meer kans, vooral omdat het gaat om gegevens van een vereniging, waarbij de ALV inspraak had en de financiële kant meer was "de vereniging moet blijven draaien" dan "we willen een bak geld binnenslepen".

Lastig. Deze zou volgens mij al afgeschoten moeten zijn onder het kopje doelbinding: de KNLTB heeft deze informatie blijkbaar nodig voor het uitoefenen van haar rol als nationale sportbond (inhoudelijk: waarom eigenlijk?), en besluit met doorverkoop daarmee het voor een totaal ander doeleinde aan te wenden.

Volgens mij is de KNLTB federatief opgebouwd, de leden zijn verenigingen, niet de betrokkenen. Dus het argument tegen een tennisende jurist die de zaak aanhankelijk maakt van "U had uw kans om tegen te stemmen op de ALV" gaat zowieso niet op.

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 13:45]

[brammetje1994]

Ik ben het eens met het feit dat "commerciële belangen tellen niet als gerechtvaardigd belang. Anders kan ieder bedrijf met een winstoogmerk en een verplichting aan bijvoorbeeld aandeelhouders zich beroepen dat dit noodzakelijk is voor zijn belang.

Het verschil tussen "de vereniging moet blijven draaien" dan "we willen een bak geld binnenslepen" is natuurlijk erg grijs. Als ik een verliesmakende onderneming/organisatie opzet en mijn hoofd niet boven water kan houden, ben ik dan gerechtvaardigd om mijn klanten/ledenbestand te verkopen om mijn voortbestaan te kunnen garanderen?

Stel je hebt een partij die telefoons verkoopt. Je verzamelt een hoop persoonsgegevens welke je mag verwerken om de order uit te leveren op afbetaling. Vanuit gerechtvaardigd belang zou je bijvoorbeeld kunnen behartigen dat je gegevens verzamelt voor het uitsluiten van fraudeleuze aanvragen. Daarbij kan je zeggen dat je een gerechtvaardigd belang hebt bij het voorkomen van oplichting en het niet worden van een slachtoffer. Je zou geen gerechtvaardigd belang hebben als je deze gegevens gebruikt om bijvoorbeeld deze personen te targeten middels deze gegevens voor andere producten op afbetaling of het te delen met een bedrijf wat telefoonhoesjes verkoopt.

Je kan gerust persoonsgegevens verzamelen voor andere doeleindes, maar dan heb je je als organisatie simpelweg te beroepen op andere grondslagen zoals toestemming. In de door jou genoemde casus zie ik niet in waarom de bond niet toestemming had kunnen vragen aan haar leden?

[CivLord]

Het punt is dat een vereniging de belangen van haar leden behartigd en dat een belang van de vereniging vaak ook een belang voor de leden is.
Een commerciëel bedrijf behartigt niet de balengen van haar klanten, maar van haar aandeelhouders.

[reablom]

Voor mij zou het vrij simpel zijn: geef de leden de keus. Hogere contributie of je gegevens verkopen. Probleem opgelost.

[R4gnax]

Voor mij zou het vrij simpel zijn: geef de leden de keus. Hogere contributie of je gegevens verkopen. Probleem opgelost.

Dat mag niet. Dat gaat in tegen het principe van vrijelijk gegeven toestemming.

[reablom]

Dus ik mag het wel gratis weggeven, maar niet verkopen? Rare wereld leven we in...

[R4gnax]

Dus ik mag het wel gratis weggeven, maar niet verkopen? Rare wereld leven we in...

Nee; je ziet het verkeerd om.
Er mogen geen negatieve consequenties verbonden zijn aan het weigeren je gegevens weg te geven. Dan zou er namelijk sprake (kunnen) zijn van pressie of dwang.

[reablom]

Dan is het in ieder geval duidelijk dat ze héél graag je gegevens willen hebben.

Nu ben je ze kwijt zonder het te weten. En als je wil tennissen heb je geen keus in het geval dat de rechter vindt dat er wél een gerechtvaardigd belang is.

Ik vind eigenlijk dat ik zelf moet kunnen bepalen of zo'n bedrijf een gerechtvaardigd belang heeft. Het zijn namelijk mijn gegevens (Wettelijke verplichtingen daargelaten).

[R4gnax]

En als je wil tennissen heb je geen keus in het geval dat de rechter vindt dat er wél een gerechtvaardigd belang is.

Dat heb je wel. Je hebt een recht van bezwaar. Bij gebruik van gegevens voor direct marketing moet daar onherroepelijk gehoor aan worden gegeven en vindt er geen nieuwe afweging plaats van het gerechtvaardigd belang vs jouw privacy-belang.

De verwerkingsverantwoordelijks is verplicht om jou te informeren over het bestaan van dat recht alsmede over de te volgen procedure om dat recht uit te oefenen.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[Cio]

De AP zegt niet dat commerciële belangen niet geldig zijn, maar dat puur c.q. alleen commerciële belangen niet geldig zijn.

Zie de brief van de AP aan EC: https://www.pastefile.com/ppfss7

Leuk om te lezen met een politiek oog, maar punt vii vat het simpel samen: gelegitimeerd belang mag best 'geld' zijn, maar bied op zichzelf nog geen grond voor verzameling.

[Brahiewahiewa]

...
Voor een bedrijf waar je betalend klant van bent (die tennisvereniging) ...

Wat dat betreft ligt het juridisch wat ingewikkelder. Je bent namelijk niet betalend klant van de vereniging; je bent (betalend) lid van die vereniging. En je hebt dus stemrecht in die vereniging. Wat dat betreft is het vreemd dat deze zaak überhaupt bij de AP terecht is gekomen: als de meerderheid van de leden tegen de verkoop van hun gegevens is, had het bestuur sowieso al teruggefloten moeten worden.

[Verwijderd]

En je hebt dus stemrecht in die vereniging.

Ben je daar zeker van? Misschien dat het in Nederland anders is, maar in Belgie is dat niet het geval. Daar is een duidelijk onderscheid tussen de leden van Algemene Vergadering en niet-werkende leden (= leden die enkel aangesloten zijn). Deze laatste groep heeft geen stemrecht op de Algemene Vergadering, maar mag wel aanwezig zijn.

De rechten van de niet-werkende leden wordt meestal geregeld via de statuten van de club. Die van de werkend leden is meestal geregeld door de VZW-wetgeving die in het land van toepassing is.

[Ilmar]

Nederlandse verenigingen kennen geen gradaties in leden. Iemand is lid en heeft stemrecht, of niet. Wel kan bepaald worden wie lid kan worden.

[supersnathan94]

Jawel hoor. Kan gewoon via de statuten opgesteld worden:

Soms maakt een vereniging onderscheid tussen leden. Dit staat dan in de statuten. Zo komt het voor dat potentiële leden aspirant-lid kunnen worden. Zij mogen bij sommige verenigingen niet aanwezig zijn bij de algemene ledenvergadering en zij hebben dus nog geen stemrecht.

Bron: Notaris.nl.

[Groningerkoek]

Elk volwaardig lid heeft minimaal 1 stem, maar je kunt prima sommige leden een groter stemrecht toekennen. Daarnaast kun je nog met een ongekozen ledenraad/bondsraad werken en daarmee het stemrecht van normale leden buitenspel zetten.

[William_H]

En jij denkt dat op een vergadering of vrijwillige leden van een clubbestuur de wet en implicaties precies begrijpen bij een stemming?
En wie zegt dat er een stemming over is geweest?
Allemaal aannames over een proces waarvan wij naïef uitgaan dat het allemaalvolgens het boekje is gegaan, en dat iedereen snapte waarvoor men stemde.
Papieren werkelijkheden, daar zijn we goed in in Nederland...

[Verwijderd]

Daarbij: een eventuele meerderheid van een orgaan als een clubbestuur hoort exact niets te zeggen te hebben over de verkoop van mijn persoonsgegevens.

Of de persoonsgegevens van iemand anders - met potentieel veel grotere risico's of concrete nadelen als gevolg voor die persoon (nadelen die zo'n bestuur helemaal niet hoeft te kennen).

Die persoonsgegevens zijn namelijk helemaal niet van die club; zij hebben daar een kopie van uitsluitend om hun leden een dienst te kunnen leveren.

Min of meer vergelijkbaar: als jij betaalt voor het recht om minimaal n uur per maand te kunnen tenissen, is het toch absurd als een clubbestuur besluit dat recht aan een ander door te verkopen (notabene stilzwijgend) en daarmee jou dat recht te ontnemen?

[Reactie gewijzigd door Verwijderd op 22 juli 2024 13:45]

[William_H]

Beter zou ik het niet kunnen aanvullen.

[J_van_Ekris]

Je kunt niet rechtstreeks in de ALV van de KNLTB zitting nemen, de club waarvan je lid bent kan mogelijk een van de 29 stemgerechtigde leden leveren: https://www.knltb.nl/alle...ver-de-knltb/organisatie/

[dyrc]

Wolfsen zou 'consumenten willen beschermen tegen de datahonger van bedrijven' en daarom zijn visie door hebben gedrukt.
dankjewel namens iedereen die er zo ook over denkt.
(jammer dat de notitie negatief overkomt door het gebruik van 'doorgedrukt', de inhoud is dit namelijk niet. Wat mij betreft is dit de juiste koers en komen privacy belangen van burgers altijd boven commerciele belangen van bedrijven).

[Reactie gewijzigd door dyrc op 22 juli 2024 13:45]

[MSalters]

Het probleem is dus dat de AP dingen doordrukt die geen wettelijke basis hebben. De rechter heeft ze ook al op de vingens getikt. Aleid Wolfsen had moeten beseffen dat "visie" een taak voor hem was, toen hij nog politicus was. Nu hij in de uitvoering zit, moet hij gewoon de wet uitvoeren en niet eigenwijs zijn.

Je zier hier het gangbare probleem van Zelfstandig Bestuurs Organen terugkomen. We hebben de AP op afstand van de politiek gezet, om te zorgen dat ministers zich niet inhoudelijk met zaken bemoeien, maar het gevolg blijkt te zijn dat de minister de AP niet op hun vingers kan tikken als ze hun bevoegdheden overschrijden. Tijd op deze AP op te heffen en een verse start te maken, en in de sollicitatie-ronde een bestuurder te zoeken die wél de wet wil uitvoeren.

[dyrc]

Kan me vinden in "doe wat je moet doen" (even kort samengevat).
Maar als het beste, na tien jaar vergaderen op europees niveau, een stapeltje vuistregels van 't detailniveau "gerechtvaardigd belang" is, dan ben ik blij dat het controlerende orgaan zich positioneert in het voordeel van de burger die zichzelf moeilijk kan verdedigen t.o.v. de 'grote bedrijven met groot geld'. Liever een keer teruggefloten en duiding op de spelregels, dan lekker makkelijk meewaaien. Dat doen er al genoeg.

[pepsiblik]

Termen als "gerechtvaardigd belang", "goed koopmansschap" en nog zo een paar, zijn er al eeuwen. Deze woorden klinken voor de leek wellicht vaag, maar binnen de rechtspraak zijn dit zeer duidelijk omschreven termen.

[latka]

Blijkbaar niet als juristen van mening verschillen over de betekenis.

[pepsiblik]

Ze verschillen niet van mening over de definities, maar of het ene belang zwaarder moet wegen dan een ander belang.

[CivLord]

Wat ik uit het artikel begrijp is dat de juristen een aardig beeld hebben van de betekens, maar dat vooral Aleid Wolfsen een andere invulling daarvan doordrukt.

[latka]

Aleid Wolfsen is zelf ook jurist, vandaar.

[PomPomPom]

AP dingen doordrukt die geen wettelijke basis hebben.

Dat klopt niet helemaal. AVG is met opzet zo geschreven dat wat 'redelijk en billijk' is per geval, in de specifieke context bekeken moet worden. Dat is ook wat het AP hier gedaan heeft en ze hebben geoordeeld dan binnen deze context het gedwongen doorverkopen van persoonsdata van tennissende medemensen niet correct is.

[koelpasta]

en in de sollicitatie-ronde een bestuurder te zoeken die wél de wet wil uitvoeren.

Dit is helemaal niet wat er aan de hand is. Er is onenigheid over de interpretatie van de wet en niet over of die uitgevoerd wordt. Het gaat dus om hoe die wet wordt uitgevoerd.

[divvid]

Als in de wet niet staat wat "gerechtvaardigd belang" is, en de AP vindt dat puur commercieel gebruik geen "gerechtvaardigd belang" is, dan handelen ze dus volkomen naar de letter en geest van de wet. Had de wetgever maar duidelijk moeten zijn. De bond in deze kwestie had haar leden ook om toestemming kunnen vragen, dan was er geen vuiltje aan de lucht geweest.

Wat de EC vindt doet er overigens eigenlijk niet toe, die waren er bij toen de wet zo opgesteld werd. Jammer dan.

Volgens de Commissie zou de AP met die strikte interpretatie 'het vrije ondernemerschap belemmeren'

Volgens de AP zou een interpretatie die het vrije ondernemerschap niet belemmert, de consument onevenredig belemmeren. M.a.w. de AP kan het hier nooit goed doen, ergo, de wet is verkeerd opgesteld.

[CivLord]

Je wilt juist niet dat termen als 'gerechtvaardigd belang' juridisch volledig dichtgetimmerd in de wet worden verankerd. Dat geeft te veel problemen met uitzonderlijke situaties waar bij het bedenken van die definities niet over nagedacht is. Beter is het om het in de wet ee beetje vaag te houden, maar bij de behandeling en de toelichting van de wet wel een richting aan te geven. Het is dan aan de rechter om dat in specifieke gevallen in te vullen en jurisprudentie te maken.
Om die jurisprudentie te creëren, om de exacte grensen in specifieke gevallen vast te stellen zijn dus rechtzaken nodig (of beleidsbesluiten van de minister). Met de activistische opstelling van Aleid Wolfsen komen er ook veel rechtzaken. Maar wanneer die rechtzaken in meerderheid nadelig boor de AP uitvallen worden de rechters geneigd om het nadeel van de twijfel altijd bij de AP te leggen. Op de lange duur is dat in het nadeel van de slagkracht van de AP en dus in het nadeel van de privacy in het algemeen.

De EC heeft als opsteller van de richtlijn waar de AVG op gebaseerd is veel te zeggen over de interpretatie van de AVG. Ze kunnen Nederland zelfs straffen wanneer de uitviering van de AVG niet strookt met hun interpretatie van de richtlijn.

[R4gnax]

Het probleem is dus dat de AP dingen doordrukt die geen wettelijke basis hebben.

Ze drukken helemaal niets door en de zaken waarop ze acteren hebben wel degelijk een wettelijke basis.
Wat ze beslissen komt niet uit de lucht vallen en is niet gestoeld op uit de lucht gegrepen verzinsels. Ze interpreteren de wet zoals deze er ligt alleen op een aantal punten anders dan een aantal rechters zou doen of heeft gedaan, waardoor ze tot een scherpere uiting van de geest van de wet komen.

[Guynio]

Is "de bond verkocht gegevens door voor direct marketing" niet letterlijk de hele reden dat er een AVG/AP bestaat? Als je bedrijf niet kan bestaan zonder gegevens door te verkopen heeft je bedrijf geen bestaansrecht, lijkt me. Waarom worden de commerciële belangen van private partijen zelfs door juristen bovengesteld aan de privacy van mensen? Dat bedrijf is er mogelijk volgend jaar niet meer, die beelden of gedeelde gegevens blijven voor eeuwig een kwetsbaarheid. Ik ben blij dat de AP zo keihard de strijd aan gaat, enige partij in NL die dat nog doet lijkt het.

[Frame164]

Voor de KNLTB is het natuurlijk heel makkelijk: als data niet meer met partner mag worden gedeeld gaan gewoon de contributies van de leden omhoog. Eens kijken hoe er dan gereageerd wordt.

[blb4]

Maar dat is toch prima? Laat de leden maar expliciet kiezen ipv geen keuze te hebben als je wil tennissen. Wat mij betreft stokken we geheel met alle reclame en marketing, daar worden producten alleen maar voordeliger van.

[R4gnax]

Maar dat is toch prima? Laat de leden maar expliciet kiezen ipv geen keuze te hebben als je wil tennissen.

Toestemming tot verwerken van persoonsgegevens die verkregen is omdat anders er een meerprijs voor dezelfde dienst gerekend wordt, telt als niet vrijelijk gegeven en is waardeloos.

Dus een opzet waar je een meerprijs rekent voor mensen die hun data niet willen delen; of een korting voor mensen die dat wel willen, gaat niet werken.

[jeroen79]

Waarom niet?
Ik mag toch mijn gegevens verkopen?

[R4gnax]

Waarom niet?

Omdat de definitie van het begrip "toestemming" zoals gehanteerd door de AVG/GDPR vereist dat deze vrijelijk gegeven moet zijn. Dat houdt onder andere in dat er, bij het toestemming verlenen voor verwerking welke niet noodzakelijk is voor de uitvoering van het contract, geen sprake mag zijn van enige vorm van negatief gevolg als een betrokkene kiest om toestemming niet te verlenen.

De EDPB heeft in een officieel richtsnoer wat beschrijft hoe de wetstekst geinterpreteerd dient te worden, reeds verduidelijkt dat een meerprijs vragen voor dezelfde dienst wanneer een betrokkene kiest om gegevens niet te delen - neerkomt op een negatief gevolg en derhalve deze toestemming niet rechtsgeldig is.

Verder dient opgemerkt te worden dat noodzakelijkheid in bovenstaande geinterpreteerd moet worden als strikte noodzakelijkheid. Te weten: het is absoluut op geen enkele wijze mogelijk om het contract uit te voeren indien de besbetreffende verwerking niet plaats vindt. Commerciële rendabiliteit telt niet mee bij de afweging voor strikte noodzaak. Het gaat daar om puur functionele noodzaak.

Jij kunt dus geen geldige toestemming verlenen in zo'n geval, zelfs als je het wel zou willen.
Omdat er vanwege het bestaan van het negatieve gevolg wat daar aan kleeft, nooit zonder twijfel gesteld kan worden of er al dan niet sprake is geweest van pressie of dwang.

Om dezelfde reden wordt toestemming verkregen binnen een relatie met een scheve machtsverhouding ook per definitie gezien als niet vrijelijk gegeven. daar niet met zekerheid gesteld kan zijn dat toestemming in alle gevallen ook daadwerkelijk vrijelijk verleend zou zijn maar misbruik van de machtsrelatie al dan niet bewust plaats kan hebben gevonden. (Bijv. liever maar gewoon toestemming geven aan je werkgever, want anders sta je meteen weer te boek als 'probleemmaker' en 'past niet binnen het team.')

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[Relaxations]

Interessant!

Maar weet je wellicht ook hoe dit zich verhoudt tot bv. game platforms (denk aan GOG) die een gratis game weggeven mits je toestemming geeft dat je dan in hun mailinglijst komt? (en wellicht dat je gegevens ook nog aan derden worden verkocht/verstrekt)

Vallen die niet onder AVG/GDPR ofzo...?
Zo ja, waarom niet? (buiten EU gevestigd o.i.d.)

Ben benieuwd of iemand hier meer van weet.

[R4gnax]

Die zouden hier ook onder moeten vallen, ja. Mits ze het bestaan van toestemming als verwerkingsgrondslag gebruiken.

[Relaxations]

Dank voor je antwoord.

Om het helemaal te begrijpen nog wat checks/vervolgvragen.
Want, ter controle, ze zijn sowieso (gegevens)verwerker toch? Dus hebben dan toch sowieso een verwerkingsgrondslag nodig?
Als dat klopt, welke mogelijke verwerkingsgrondslagen zouden er dan nog meer van toepassing kunnen zijn? (naast bestaan van toestemming)

[R4gnax]

Dan kan ik eigenlijk alleen denken aan noodzaak voor uitvoering van contract - waar de term "noodzaak" ook als strikte noodzaak geinterpreteerd moet worden; of good-old gerechtvaardigd belang, waar de huidige heisa over gaat.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[Relaxations]

Oké, helder, dank voor je antwoord!

[Brahiewahiewa]

Waarom niet?
Ik mag toch mijn gegevens verkopen?

Mag je ook je nier verkopen? Nee hè?
De AP stelt zich op het standpunt dat Nederlanders te makkelijk hun gegevens verkopen. Want de gevolgen van het verkopen van je data zijn heel erg onoverzichtelijk. Daarom richt de AP zich in eerste instantie tegen de datahonger van bedrijven

[jeroen79]

Mijn gegevens zijn geen orgaan uit mijn lichaam.
En door ze te verkopen raak ik ze ook niet kwijt, de koper krijgt er een kopie van.

En een van de grondslagen in de AVG is ook toestemming, daar kan de AP toch niet tegen zijn?

[Brahiewahiewa]

Het argument: "kopiëren is geen eigendomsoverdracht" hoort thuis in de discussie over (il)legaal downloaden ;o)

Maar waar de AP bezwaar tegen heeft is dat bedrijven nogal de neiging hebben om mensen te misleiden bij het vergaren van persoonsgegevens.
Vergelijk het met een oud omaatje wat opgelicht wordt; die heeft in principe ook toestemming gegeven aan de oplichter. Daar moet ze ook tegen beschermd worden

[brammetje1994]

Dat is wel een helescheve vergelijking. Wat is er mis met het krijgen van de 2 opties?

1. Volledige contributie a €15,- per maand.
U draagt uw volledige aandeel contributie af door deze te betalen.

2. Persoonsgegevens contributie a €10,- per maand.
U krijgt 5 euro per maand korting op uw contributie en geeft ons toestemming om [GEGEVENS X] te verkopen aan [PARTIJ Y] voor [DOELEINDE Z]. Lees de volledige voorwaarden hier.

Wat de vereniging doet ik zonder toestemming en wellicht zonder informeren de gegevens van klanten verkopen. Dat is anders dan geen toestemming vragen voordat ik een strafbaar feit uitvoer. Het idee achter de AP is dat wij als personen recht hebben op privacy in het beginsel. Dat jij kiest om je gegevens te verkopen of verspreiden is anders dan dat dit impliciet gebeurd zonder jouw kennis. Zo is het nooit duidelijk wat de echte kosten zijn, omdat dit niet te achterhalen is.

[Brahiewahiewa]

Wat er mis mee is, is dat het niet geldig is als toestemming. Dat is hierboven ook al eens aangehaald. Kiezen tussen het vuurpeloton of de galg is in principe ook een vrije keuze, maar geen positieve keuze voor één van beiden

[brammetje1994]

Waarom is dit niet geldig als toestemming? Toestemming moet volgens AP voldoen aan:

Eisen aan toestemming:
Vrijelijk gegeven
Ondubbelzinnig
Geïnformeerd
Specifiek

Je kan beargumenteren dat het niet vrijelijk gegeven wordt. Hier de tekst van AP:
U mag iemand niet onder druk zetten om toestemming te geven. Bijvoorbeeld door iemand te benadelen als hij of zij geen toestemming geeft. Let daarbij op machtsverhoudingen: een werknemer kan een vraag van zijn werkgever bijvoorbeeld moeilijk weigeren.

Mijn interpretatie hiervan is dat er geen druk of machtsmisbruik mag plaats vinden. Je kan dus niet toegang tot leden weigeren op basis van het niet verstrekken van toestemming. In dit voorbeeld doe je dat niet, want je geeft mensen een optie. Vrij van keuze betekend niet vrij van consequentie.

Jouw voorbeeld is irrelevant, omdat beide opties alle twee niet wenselijk zijn en (vermoedelijk) je worden opgelegd en beide een negatieve uitkomst is. Er is hier sprake van een transactie en de eigenaar (persoon in dit geval) mag toch zelf beschikken en beslissen over zijn/haar persoonsgegevens? Indien in mijn geval optie 2 niet kan/mag dan is iedereen genoodzaakt voor optie 1 te kiezen.

Even een edit: Wellicht is er wel een uitspraak, maar ik heb al zo vaak hiernaar gezocht en deze nog steeds niet kunnen vinden. Dus als deze er wel is, hoor ik het graag.

[Reactie gewijzigd door brammetje1994 op 22 juli 2024 13:45]

[HuisRocker]

Waarom is dit niet geldig als toestemming?

@R4gnax schreef het hier eerder al:
"Omdat de definitie van het begrip "toestemming" zoals gehanteerd door de AVG/GDPR vereist dat deze vrijelijk gegeven moet zijn. Dat houdt onder andere in dat er, bij het toestemming verlenen voor verwerking welke niet noodzakelijk is voor de uitvoering van het contract, geen sprake mag zijn van enige vorm van negatief gevolg als een betrokkene kiest om toestemming niet te verlenen."

Dat is je waarom. Leuker kunnen we het niet maken, ook niet duidelijker.

[HuisRocker]

Inderdaad, dit is simpelweg niet rechtsgeldig.

Dat voor leden (in dit voorbeeld) een keuze op deze manier mogelijk zou moeten zijn is daarom een misvatting; het mag niet aangeboden worden en dan kun je er dus ook nooit voor kiezen.

[joker1977]

Nee, nieren mag je niet verkopen. Maar dat heeft niets met de discussie van doen. Nieren mag je niet verkopen door het expliciete verbod op orgaan-handel.

[Guynio]

Dit is stiekem best logisch, thanks voor deze aanvulling. Zijn er nog steeds 1000 betere manieren dan wat er nu gedaan is, maar deze specifieke oplossing zou het inderdaad niet helemaal zijn.

[blb4]

Dat is ook precies hoe 't moet. Ze mogen dus alleen informatie delen van leden die geen bezwaar hebben en alle leden moeten verder gewoon op dezelfde manier behandeld worden (o.a. zelfde afdracht aan de bond). Als dat te weinig oplevert zal de bond iets anders moeten.

[Gubbel]

Het is toch ook gewoon achterlijk dat je niet gewoon lokaal een potje mag tennissen zonder verplicht lid te moeten worden van een landelijke organisatie waar jij niets aan hebt, die vervolgens ook nog eens je gegevens doorverkoopt .

[Vuurvleugelhart]

Zelfde geldt voor 'atletiek'. De vereniging geeft mijn gegevens door aan de Atletiekunie (wat ik niet wist). De Atletiekunie gaat vervolgens per e-mail en per post (mijn gegevens werden hiermee dus aan derden verstrekt, zonder toestemming) mij spam toe sturen. De reactie was nogal verbolgen van de Atletiekunie dat ik dit totaal niet prijs stelde.
Mijn vraag aan de Atletiekunie waar ik hiervoor ergens toestemming heb gegeven is nu ruim 3 jaar later nog steeds niet beantwoord. En mijn klacht hierover bij de AP is zoals gewoonlijk nooit iets meegedaan.
Snap wel dat de Atletiekunie het gewoon probeert, als er toch geen instantie is in Nederland die daar tegen optreedt.

[sdk1985]

Wat mij betreft stokken we geheel met alle reclame en marketing, daar worden producten alleen maar voordeliger van.

De meeste producten in onze economie net zo duur als de klant bereid is te betalen. Er is geen vaste relatie tussen kosten en opbrengsten. Hoe meer de klant bereid is te betalen, des te hoger de winst. Denk aan die HDMI kabel die bij de mediamarkt 39 euro kost en bij de Action 3,99. Wanneer de mediamarkt geen reclame zou maken dan zouden die niet ineens die HDMI kabel voor 10 euro minder gaan verkopen.

[Tintel]

Tja - als die prijs onacceptabel wordt dan zijn de kosten dus misschien te hoog. Maar om dat maar te zeggen "we verkopen ook uw gegevens maar even" - nope...

Is ook een beetje de tijdgeest. Dankzij de enorm agressieve marketing van tegenwoordig en het toenemend besef (en de daaruit vloeiende irritatie bij ongewenste reclame), zal men minder snel geneigd zijn om te zggen "alles voor de club".

Even vanuit mezelf beredeneerd: ik wordt geen lid van een club om daarna bestookt te worden met reclame. En ik wordt geen lid van een willekeurige club die diensten levert maar ondertussen alles wat die club kan achterhalen aan persoonlijke gegevens, aan weer een derde partij doorgeeft.
En als je dan ook nog eens moet betalen voor het lidmaatschap dan hebben is het helemaal uit den boze.

[Grrrrrene]

Vroegah had de tennisvereniging toch gewoon reclame van lokale bedrijven rondom de tennisbanen staan. Het is niet alsof je kunt tennissen zonder op hun tennisbaan te staan, dus leden zien die reclame sowieso. Daar helpt geen bannerblocker tegen. In het "clubhuis" kun je dan nog wat reclame hangen voor kleding, drankjes, sportsupplementen (eiwit meuk, energy drinks, etc)... En wat je dan tekort komt qua geld, vraag je via contributie van je leden.

Wat is er veranderd dat er ineens spam en doorverkopen van persoonsgegevens nodig is?

[fapkonijntje]

Het doorverkopen van persoonsgegevens is ook altijd wel een dingetje dat een verkeerde naam heeft. In het geval van dit tennisclubje waren ze wat mij betreft bijzonder smerig bezig en zou ik dat gerust veel stafbaarder willen zien, maar een Google, Microsoft of Apple verkopen geen gegevens van klanten door, maar die bieden een platform waarop bedrijven kunnen adverteren richting klantgroepen. De derde partijen krijgen dus helemaal niet jouw gegevens in handen, Google forward advertenties naar klanten van die derde partijen. Jammergenoeg hangen veel te veel mensen de het 'verkopen van persoonsgegevens' aan zaken waarbij dat niet echt van toepassing is. Beetje een stukje nepnieuws, hebben we gelukkig verder nooit last van.

Als de AP zaken verbiedt als letterlijk doorverkopen van gegevens, dan zijn ze wat mij betreft helemaal correct bezig. Andersom is het een grijs gebied.

De tennisbond deed 't volgende;

De Koninklijke Nederlandse Lawn Tennisbond (KNLTB) verstrekte de sponsoren persoonsgegevens zoals naam, geslacht en adres, zodat zij een selectie van KNLTB-leden konden benaderen met tennisgerelateerde en andere aanbiedingen. De ene sponsor ontving persoonsgegevens van 50.000, de andere van meer dan 300.000 leden. Die sponsors benaderden een deel van die KNLTB-leden per post of telefoon.

Dat zou niet alleen een boete van het AP op mogen leveren, maar wat mij betreft nog veel zwaarder gestraft worden.

Wat Google, Apple, Microsoft, Facebook en veel andere partijen doen vind ik dan weer een veel lastiger te beoordelen dingetje. Mijn gegevens lekken daar namelijk niet echt uit, dus het is niet zo dat een adverteerder op facebook ineens aan de telefoon hangt, brieven of mailtjes stuurt.

[Reactie gewijzigd door fapkonijntje op 22 juli 2024 13:45]

[Tintel]

Google, Microsoft of Apple verkopen geen gegevens van klanten door,

Natuurlijk wel! Uiteindelijk zit daar een stapje tussen maar ze doen eht wel degelijk. Nu zeggen ze tegen de adverteerder als je kiest voor "allenstaande moeder met 1 kind" dan heb je X hits.
Het filteren wat anders aan de adverteerders kant zou gebeuren wordt nu door Google, MS of Apple gedaan. Maar het zijn nog steeds persoonlijke (en prive) gegevens die ze indirect doorverkopen. Het boeit de tennisclub adverteerder ook niet perse hoe iemand heet - als de reclame maar aankomt bij de doelgroep.

Het is niets meer dan het filter en de daaruit volgende 'mailing-list' aan de kant van het advertentie platform leggen. Blijkbaar ideaal - want nu verkopen ze formeel geen gegevens door en hebben ze nog meer macht.

Maar de bottom line is precies hetzelfde: gegevens waarvan ik niet heb gezegd: "gij mag dit gebruiken zodanig dat ik dan advertenties krijg" en voor heel veel afgeleide gegevens (uit bijv. surf-gedrag) gaat nog een stap verder. Die gegevens heb ik niet eens direct aangeboden en worden op basis van aannames samengesteld (wellicht de juiste aannames maar het blijven aannames).

Als de tennisbond dus had gezegd: "Geef me uw reclame drukwerk maar dan zorgen wij wel dat het bezorgd wordt bij onze leden" dan hadden ze er dus mee weggekomen?

Wat mij betreft wordt heel dit circus van persoon gegevens gebruiken (en afgeleide gegevens hierboven op) voor marketing doeleinden, aan banden gelegd. Dan maar betalen voor bepaalde diensten.

[Guynio]

Als die keuze op papier aan de leden gegeven wordt lijkt dat me heel prima en compleet naar verwachting. Liever dan ineens gebeld worden door een bedrijf waar ik nog nooit mee gedeald heb, of post ontvangen van zulks.

Edit, aanvulling: Als ik betaal voor een dienst vind ik dat ik er vanuit mag gaan dat mijn betaling voorziet om die dienst te ontvangen. Als dat niet zo is wil ik dat graag van tevoren weten, zodat ik een geïnformeerde keuze kan maken.

[Reactie gewijzigd door Guynio op 22 juli 2024 13:45]

[Moosjes]

Of je verzend als KNLTB die reclame naar je leden ipv dat je de gegevens van je leden aan een externe partij verkoopt.

[koelpasta]

Dan hebben ze gewoon de optie om de leden een keuze te geven met duidelijk de consequenties erbij vermeld. Of een hogere contributie, of met je persoonsgegevens betalen.
Dat dit niet gebeurt geeft aan hoe onethisch het bedrijfsleven is.

[Verwijderd]

Ja en,
wat hebben wij daar mee te maken, als ze geld nodig zoeken maar legale manieren om aan hun geld te komen, of ze trekken een kleiner broek aan.

Ik vind het beleid van AP goed, van mij mag het nog strenger.

[CAPSLOCK2000]

Waarom worden de commerciële belangen van private partijen zelfs door juristen bovengesteld aan de privacy van mensen?

De meeste juristen zijn niet bezig met de vraag of iets "goed" of "fout" is maar met de vraag of het mag van de wet. Als er maar het minste gaatje is dan zal iemand daar in duiken.

Daar komt bij dat die private partijen goed betalen en zelf de beste juristen inhuren en eindeloos doorprocederen terwijl de AP een zeer beperkt budget heeft en een hoop zaken moet balanceren.

Ik lees die verbazing van de juristen dus niet als een moreel oordeel over de vraag of het wenselijk is wat die tennisvereniging deed, maar meer een cynische professionele verwachting dat commerciele belangen het uiteindelijk meestal winnen. Waarom doet iemand daar moeite voor?

Persoonlijk sta ik achter de strenge uitleg van de AVG. Als "marketing" een legitiem doel is dan kan de hele AVG wel overboord want je kan vrijwel iedere commerciele activiteit wel uitleggen als marketing.

[Guynio]

Ik zie wat je zegt, juristen doen geen waardeoordeel, ze kijken alleen naar de wet en jurisprudentie. Blijf ik het raar vinden dat zo veel juristen dan, als ik wat jij uitlegt goed begrijp, de conclusie trekken dat de wettekst "gerechtvaardigd belang" in dit geval niet zo streng geïnterpreteerd moet worden, of dat ze verwachten dat bedrijven met genoeg poen en juristen onder de eigen vleugel dat gelijk toch wel gaan krijgen. Juristen, of in ieder geval rechters, zetten eind van de dag zélf die jurisprudentie met deze uitspraken. Het is aan hem on de wet te interpreteren en met uitspraken geven ze sturing aan andere juristen en toekomstige rechtszaken.

Dus als zij zich verbazen over de strengheid van de AP dan zien zij het "gerechtvaardigd belang" dus als verdedigbaar, wat ik lees als dat zij het commercieel belang hier gerechtvaardigd vinden om iemands privacy te ontnemen, binnen de marges van de wet. En dat staat me tegen, want zolang die wettekst zo vaag is zijn het die juristen die er, via rechtszaken, betekenis aan geven. En dan vind ik het verontrustend dat zij zich verbazen dat de AP ingrijpt tegen een partij die mensen hun persoonlijke NAW-gegevens doorverkopen voor marketingdoeleinden, want dan lezen de personen die de wet gaan vormgeven deze weet heel anders dan ik 'm lees.

Warrige reply, sorry als hij moeilijk leesbaar is, ik hoop dat het onderliggende punt duidelijker is dan ik het laat klinken.

Edit: ik heb in een andere reply gelezen dat het misschien gaat om de breedte van de uitspraak "commerciaal belang is nooit gegrond belang" en dat dat daadwerkelijk issues kan opleveren in bijvoorbeeld het contact houden met leveranciers van goede producten als zij bij hun werkgever weggaan en voor zichzelf starten. Misschien snap ik het dan wat beter, maar dat lijkt me juist situaties waarin toestemming heel makkelijk te verkrijgen is, dus ik snap de verbazing nog steeds niet helemaal.

[Reactie gewijzigd door Guynio op 22 juli 2024 13:45]

[n4m3l355]

In het artikel geeft men het volgende aan:

Een van de grondslagen is het gerechtvaardigd belang: als een bedrijf aannemelijk kan maken dat er een belangrijke reden is om data te verzamelen, mag het dat doen. Het probleem met de AVG is dat die term nooit duidelijk is gespecificeerd.

Het probleem is dat het AVG bedrijven bestraft en soms erg lang hierover doet zonder dat er een duidelijke grondslag voor die straf zelf ligt. Immers wat is nou een "belangrijke reden". Het AVG zou zichzelf dan ook goed doen om na jaren straffen uitdelen specifiek juist die belangrijke reden te definieren. En dat is eigenlijk juist het kromme, het is niet te definieren, immers voor de een mag het verzamelen van persoonlijke gegevens essentieel zijn zoals de tennisbond (daar gelaten hoe absurd het is dat hun bestaansrecht daar afhankelijk van is) terwijl een ander deze data misschien zonder gegronde reden verzameld.

Het AVG had deze regel opzichzelf nooit moeten stellen, zeker gelet ze zelf niet eens deze duidelijk weten te definieren, maw zag al op voorhand dat dit een pijnpunt kon zijn. En voor bedrijven heb je nu een moeilijke positie omdat je nooit zeker weet of je al dan niet voldoet aan de geldende regelgeving.

Ik ben helemaal voor een AVG die hard optreed tegen minkukels zoals de tennisbond. Tegelijkertijd zie ik wel in dat hoe de AVG nu optreed erg willekeurig lijkt te zijn.

[Sando]

Is "de bond verkocht gegevens door voor direct marketing" niet letterlijk de hele reden dat er een AVG/AP bestaat?

Ja precies. Wat zegt de EC nu eigenlijk? Dat het niet de bedoeling is om werkelijk conclusies te trekken? Dat de wet bedoeld was als wassen neus die op papier iets regelt maar in de werkelijkheid niet, zoals het Programma Aanpak Stikstof (PAS)?

Woorden als "aannemelijk", "redelijkerwijs", "rechtvaardig belang" waar juristen van te voren al over klagen dat ze te vaag zijn en zullen leiden tot willekeur, die zouden echt verboden moeten worden in wetteksten, tenzij ze een nader genoemde lijst met concrete verboden of toestemmingen samenvatten.

[Reactie gewijzigd door Sando op 22 juli 2024 13:45]

[berzerker]

Woorden als "aannemelijk", "redelijkerwijs", "rechtvaardig belang" waar juristen van te voren al over klagen dat ze te vaag zijn en zullen leiden tot willekeur, die zouden echt verboden moeten worden in wetteksten, tenzij ze een nader genoemde lijst met concrete verboden of toestemmingen samenvatten.

Dit is de oude tegenstrijd tussen rechtszekerheid en rechtvaardigheid. Maak je duidelijke regels zonder vage normen, dan dient dat de rechtszekerheid (in de gebruikelijke betekenis van het woord: was juridisch geldt is voorspelbaar - niet in de betekenis van 'zekerheid dat recht kan worden gedaan'): iedereen weet waar hij aan toe is (even los van het feit dat taal inherent vatbaar voor interpretatie is). Het grote nadeel daarvan is dat je dan veel gevallen krijgt die niet waren voorzien in de wet (de maatschappij verandert continue, en je kan sowieso niet alles wat kan gebeuren voorzien), dat er dan gevallen zij niet door worden gevangen, en dan krijg je onrecht, waaronder schrijnende gevallen.

De oplossing: vage normen in de wet, die de rechter de mogelijkheid te geven om in bijna elk geval een rechtvaardige oplossing te vinden. Dat gaat dan natuurlijk ten koste van de rechtszekerheid.

Het Burgerlijk Wetboek met name staat vol met vage normen zoals redelijkheidstoetsen, omdat dat in beginsel heel algemene wetgeving is. Zelfs in specifieke wetten als de AVG zijn vage normen eigenlijk gewoon onvermijdelijk.

[Verwijderd]

Net als bij, bijvoorbeeld de sigaretten handel, is de lobby voor direct marketing en advertising goed georganiseerd. En zie hier het resultaat, heel triest dat de EC zo ver mee gaat met de lobby en niet de AP als een voorbeeld ziet voor andere landen.

[J_van_Ekris]

Is "de bond verkocht gegevens door voor direct marketing" niet letterlijk de hele reden dat er een AVG/AP bestaat?

Die casus was onder de WBP (voorganger van AVG) letterlijk het schoolvoorbeeld waarmee doelbinding werd uitgelegd: "Stel je hebt een sportclub die een ledenadminstratie heeft, mag je die voor direct marketing gebruiken?". Antwoord, 20 jaar geleden van mijn docent (nu rechter) gespecialiseerd in privacyrecht: "Nee, want je kunt niet redelijkerwijs verwachten dat na inschrijving bij een sportclub ineens de Perry Sport jou begint te spammen". Het doel van inzamelen (runnen van de vereniging) ligt immers niet in het verlengde van het gebruik (commerciele mailing).

Snap al jaren niet waarom de KNLTB uitspraak zo wereldschokkend is.

[Reactie gewijzigd door J_van_Ekris op 22 juli 2024 13:45]

[martin_v_z]

Precies. Een database met e-mailadressen verkopen is volgens mij vrijwel altijd niet gewenst. Je eigen database gebruiken om marketing te doen vind ik weer een ander punt. Zolang er een duidelijke opt in is. Van mij mag daar dan ook nog wel een onderscheid gemaakt worden tussen marketing van je eigen producten en van derde.

Dit uitbesteden aan een derde partij vind ik ook nog redelijk. Maar dan zou die derde partij dus de gegevens af moeten schermen van de rest van zijn klanten en niet verwijderen wanneer de eigenaar van de database besluit dat hij iets anders met de data wil doen.

[CivLord]

Een sportbond is geen commercieel bedrijf dat uit is op winst voor de aandeelhouders, maar een vereniging die de belangen van haar leden behartigt. Wanneer het die belangen beter kan behartigen door haar leden reclame voor tennisrackets te laten ontvangen is dat ook een gerechtvaardig belang voor die leden.

[ari2asem]

ik ben het met AP eens. mijn mening: commerciële belangen zijn niet gerechtvaardigd. want AVG moet de persoon beschermen, niet het bedrijf

[Frame164]

Bij de case van de KNLTP ligt het wat complexer. De leden kunnen uiteindelijk ook weer belang hebben van wat er is gedaan.

[Vice Dellos]

sure, maar ze kunnen de leden dus ook gewoon om toestemming vragen, toch?

artikel zegt er zijn 6 gronden om informatie te verzamelen:
1. toestemming
2. gegrond belang
3..6 de rest

lijkt mij een hele logische interpretatie dat commercieel belang onvoldoende is, dan is toestemming van de eigenaar nodig.
Jij mag toch niet zo maar geld verdienen met mijn eigendommen zonder mijn toestemming lijkt me?

[CoenRan]

Bij mijn opleiding CIPP/E werd zelfs aangegeven dat als de 6 gronden een snelweg waren, dat toestemming en gegrond belang de vluchtstrook waren.. voor als je het anders niet redt.

[J_van_Ekris]

Dat beeld hebben best veel juristen: het is een zwaktebod omdat je blijkbaar geen goede reden hebt om de data te verwerken.

[mrmrmr]

Het is gerechtvaardigd belang. Of het gegrond is blijkt later wel.

[Empheria]

Juist, dit is dus exact waar het om draait. Het is de persoon die gevaar loopt benadeeld te worden als partijen deze informatie te pas en te onpas mogen gebruiken voor eigen doeleinden.

"Ja maar geld" is dan te kort door de bocht. Je moet kunnen aantonen dat je er zorg voor draagt dat je de negatieve gevolgen zo veel mogelijk afdekt. Dat is heel goed toetsbaar aan de hand van een aantal criteria:

• Doe je aan screening van de partijen waaraan je data verkoopt?
• Heb je een ethische analyse gemaakt voordat je begon met verzamelen van data?
• Heb je keuzes gemaakt om bepaalde informatie niet te verzamelen op grond van ethische bezwaren?
• Staan er in je verkoopvoorwaarden van de data clausules die de persoon beschermen?

En zo kun je er nog wel veel meer verzinnen.

[Wolfos]

De sponsors gebruikten die gegevens om de leden per post of telefoon te benaderen

Ik weet niet waarom de tennisbond hier genoemd word maar dit was totaal niet okee. Dat van voetbalTV is een ander verhaal.

[Oyxl]

Juist. Overduidelijk terecht ingegrepen door de AP

[ustinov]

Het geval van de tennisbond wordt ook niet aangehaald in het NRC artikel. Blijkbaar heeft Tweakers dit zelf toegevoegd, maar het vertroebeld de discussie nu nogal.

[Martijn033]

Het geval van de tennisbond wordt zijdelings genoemd in het artikel. De aanwijzing vanuit Europa gaat echter alleen over Voetbal TV. NRC heeft de tennisbond erbij gesleept. Ten onrechte want die aanwijzing van de AP was zeer terecht, mijns inziens.

[ustinov]

Dank! Ik zie het nu ook. Er staan verschillende versies op de NRC website, waarbij de verkorte versie heel verwarrend ‘volledig nieuwsbericht’ wordt genoemd.

De EC noemt in haar brief de Voetbal TV zaak niet, zag ik na lezen van de brief. Uit het NRC artikel kreeg ik die indruk.
Het is van beide voorbeelden, VoetbalTV en de tennisbond, dus nog de vraag of de uitleg van de EC zou leiden tot een andere uitkomst.
Volgens NRC heeft AP ook bij de tennisbond gebruik gemaakt van de gewraakte uitleg en dus de argumenten niet gewogen, maar direct afgewezen omdat het om commerciële belangen ging.

[Seditiar]

Die tennisbond... hoe zijn juristen daarover verbaast. Lijkt me op het niveau van Facebook om gegevens van je klanten te verkopen voor marketingdoeleinden. Eigenlijk nog significant erger want bij Facebook betaal je geen geld en weet je dus dat het gebeurt.

[Leshy]

De verbazing zal niet zozeer over deze specifieke uitspraak geweest zijn, maar meer over het standpunt dat een commercieel doel nooit toegestaan zou zijn voor wat betreft de grond 'gerechtvaardigd belang'.

Als jij hele goede bureaustoelen maakt, behoort het onder de AVG geen enkel probleem te zijn als jij de professionele contactgegevens van facilitaire medewerkers van relevante bedrijven verzamelt en gebruikt om jouw producten aan te bieden. De uitspraak dat een commercieel doel nooit een gerechtvaardigd belang op kan leveren, zou dit eigenlijk onmogelijk maken.

Natuurlijk is het wel zo dat een commercieel doel ook niet automatisch een gerechtvaardigd belang oplevert: als jij de privé-adressen van die facilitaire medewerkers op zou zoeken om ze op hun thuisadres catalogussen toe te sturen, zal de AVG allicht wat anders te zeggen hebben over de gemaakte privacy-afweging.

[Sando]

De verbazing zal niet zozeer over deze specifieke uitspraak geweest zijn, maar meer over het standpunt dat een commercieel doel nooit toegestaan zou zijn voor wat betreft de grond 'gerechtvaardigd belang'.

Maar de AVG regelt toch dat mensen expliciet toestemming moeten kunnen geven? Je mag best mensen korting geven in ruil voor iets anders (dataverkoop), maar je mag ze die keuze niet ontnemen. Dat rechtvaardig belang gaat over het wegnemen van de keuzemogelijkheid. Zo interpreteerden ik en de AP het, en het was m.i. één van de weinige goede aspecten van deze wet. Nu wordt de AP gesommeerd het toch iets meer als een wassen neus te interpreteren.

[Leshy]

Nee, de AVG regelt niet dat mensen toestemming moeten kunnen geven. De AVG regelt dat je enkel relevante persoonsgegevens mag verwerken als je daar een goede reden voor hebt. Heb je die goede reden, dan is toestemming niet nodig.

Meestal is dit logisch: bestel je iets bij mij, moet ik je gegevens verwerken voor levering en facturatie. Werk je voor mij, dan zegt de wet dat ik bepaalde gegevens van jou moet bijhouden. Word jij door een ambulance meegenomen, mag het ziekenhuis jouw gegevens verwerken om jouw leven te redden. Daar hoef jij allemaal geen toestemming voor te geven.

Maar het komt ook voor dat je gegevens wilt kunnen verwerken zonder dat dat je een dergelijke strikt noodzakelijke reden hebt, en toestemming vragen geen optie is. Misschien log je (tijdelijk) IP-adressen op je website om misbruik te voorkomen, misschien wil je contact leggen met potentiële klanten, misschien heb je ergens een bewakingscamera staan waar wel eens mensen voorbij kunnen lopen.

Voor dat soort redenen is er een 'gerechtvaardigd belang'. Je maakt een privacy-afweging tussen jouw belang om die gegevens te verwerken en het privacy-belang van de eigenaar van die data. Concludeer jij dat jouw belang zwaarder weegt, dan mag je die gegevens gewoon verwerken. Wel kan de eigenaar bezwaar maken tegen die verwerking, en de Autoriteit Persoonsgegevens of de rechter kunnen jou een flinke boete opleggen als jij die afweging niet juist hebt gemaakt.

[Sando]

Maar die nuance leg ik in het tweede deel van mijn reactie. Ik denk dat wel duidelijk is dat bijna iedereen verwachtte dat het stilzwijgend verkopen van persoonsgegevens om de contributiekosten van een tennisclub te verlagen niet strict noodzakelijk is omdat niemand is gevraagd of ze niet liever meer contributie betalen. Echter lijkt de EC nu te zeggen dat het wel door de beugel kon, en dat de wet dus een wassen neus is, want als dit strict noodzakelijk is, dan betekenen de woorden strict en noodzakelijk weinig meer.

Of verschilt de wettekst van de AVG soms aanzienlijk met die van de GDPR?

[Leshy]

De Europese Commissie heeft niet gezegd dat de handelswijze van de tennisclub in deze zaak wel door de beugel kon, of dat het strikt noodzakelijk zou zijn. Het is denk ik voor iedereen vrij duidelijk dat de club niet zomaar haar ledengegevens mocht doorverkopen en dat de boete terecht is opgelegd.

Wat de Commissie zegt, is dat het standpunt van de AP hanteert – dat een commercieel belang nooit een gerechtvaardigd belang kan zijn – onjuist is. Een commercieel belang kan best een legitieme grond zijn om persoonsgegevens te mogen verwerken, mits dat verder netjes binnen de kaders van de GDPR gebeurt. Daarmee zegt de Commissie verder niets over deze specifieke zaak of uitspraak rond de tennisclub.

[Martijn033]

Exact. De Europese commissie heeft het niet over de tennisbond-zaak, maar alleen over Voetbal TV. NRC haalt de KNLTB aan als voorbeeld. Dat schept verwarring.

[Marcel Br]

"Als jij hele goede bureaustoelen maakt, behoort het onder de AVG geen enkel probleem te zijn als jij de professionele contactgegevens van facilitaire medewerkers van relevante bedrijven verzamelt en gebruikt om jouw producten aan te bieden. De uitspraak dat een commercieel doel nooit een gerechtvaardigd belang op kan leveren, zou dit eigenlijk onmogelijk maken."

Onzin, die facilitaire medewerkers kunnen zelf informatie opvragen of naar een beurs gaan ofzo. Geen enkele reden om hun adressen aan een stoelsjacheraar te geven.

[Seditiar]

Heb je gelijk in, het zal er vooral aan liggen wat ze verzamelden en aan wie ze het verkochten. Het voorbeeld dat je aankaart is wel een goede, want bij dat soort tokos hoor je in ieder geval nog makkelijk uit te kunnen schrijven van allerlei rommel. Maar daar is data verzameling in ieder geval wel relevant inderdaad.

[CivLord]

Het ging daarbij niet om verkopen van gegevens aan de hoogste bieder voor willekeurige reclame.
Het ging om het verkopen van de gegevens aan bedrijven die al sponsor van een tennisclub waren. Je kon dus een aanbieding voor nieuwe tennisrackets op de mat vinden van het bedrijf dat al de netten op je locake tennisclub verzorgde en in ruil voor die gegevens werden de netten vernieuwd of werd er betaald, waardoor de contributie niet verhoogd hoefde te worden.
Hier werd geen gerechtvaardigd belang van een commercieel bedrijf gediend, maar indirect van deleden van sportverenigingen omdat hun club gesteund werd.

[Simon Weel]

Ok, dus ik begin een bedrijf dat als 'core business' het verzamelen en verkopen van alle mogelijke persoonlijke data heeft. En als de AP dan begint te mekkeren dat dat niet mag, dan zeg ik: Ja, maar het verzamelen van al die data is een gerechtvaardigd belang, want zonder die data gaat mijn bedrijf failliet.

[Frame164]

Zolang je dat doet binnen de kaders van GDPR dan moet dat ook gewoon kunnen. Je kunt nog steeds data verzamelen zolang je het op de juiste manier doet.

[Blokker_1999]

Maar ik heb nu een gerechtvaardigd belang. Want als ik het niet doe, gaat mijn bedrijf failliet. En dat is volgens de EC, juristen en rechters voldoende om te zeggen dat het mag.

[R4gnax]

Maar ik heb nu een gerechtvaardigd belang. Want als ik het niet doe, gaat mijn bedrijf failliet. En dat is volgens de EC, juristen en rechters voldoende om te zeggen dat het mag.

Nee; dat is niet voldoende om te zeggen dat het mag. Er kan weliswaar een gerechtvaardigd belang zijn; maar dat belang moet alsnog getoetst worden aan proportionaliteit tov het belang van de betrokkenen op behoud van hun privacy.

Dat is dan ook waarom de AP de tennisbond terugfloot. Er was daar sprake van een gerechtvaardigd belang dat zich uitte als direct marketing. Echter bevat de AVG/GDPR clausules onder bijv. het recht van bezwaar, waar bij aantekening van bezwaar vanuit de betrokkene normaal gesproken opnieuw een afweging tussen het belang van verwerkingsverantwoordelijke en betrokkene gemaakt moet worden - behalve wanneer er sprake is van verwerking voor direct marketing of profilering. Dan vindt er geen herafweging waard en wordt per definitie aangenomen dat het belang van de verantwoordelijke ondergeschikt is aan dat van de betrokkene.

De AP trekt die lijn in hun uitleg verder door: ook bij de initiële afweging die de verantwoordelijke zelf dient te maken of hun gerechtvaardigd belang sterker weegt dan het privacy-belang van de betrokkene, zou het belang van de betrokkene altijd moeten prevaleren. Zo niet, dan is er gewoon sprake van een (al dan niet bewust) foute afweging.

En dus kan dan volgens de AP het gerechtvaardigd belang nooit gebruikt worden als verwerkingsgrondslag voor direct marketing doeleinden, omdat het praktisch gezien nooit door die vereiste toets heen kan komen.

[phjk]

En de EC fluit de AP nu dus terug op dat standpunt

[R4gnax]

En de EC fluit de AP nu dus terug op dat standpunt

De EC kan helemaal niemand terugfluiten. De wetstekst van de verordening stelt dat de bevoegde autoriteit om de aangestelde beschermingsautoriteiten van de individuele lidstaten aan te spreken op enige misinterpretatie, de EDPB is.

Dit is gewoon een knap staaltje intimidatie. En het zou me he-le-maal niets verbazen als, wanneer we dit stukje communicatie terug gaan volgen naar de bron, blijkt dat het zijn oorsprong vindt in een stevige lobby van een paar grote data-handelaren die niet zo blij zijn met Nederland - omdat naar hun mening hun lucratieve (en louche, maar ja - dat zeggen we er natuurlijk niet bij) handeltje hier toch iets te sterk aan banden gelegd wordt.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[phjk]

En toch is dit wat de EC nu doet, lees het artikel

[R4gnax]

En toch is dat niet wat de EC doet, lees het originele artikel van het NRC die de brief van de EC in handen hebben.

Het is een open brief die waarschuwt dat het standpunt van de AP tornt aan de vrije marktwerking (Onzinverhaal, denk ik dan persoonlijk. Maar okee.) En deze brief eindigt met de "uitnodiging" om hun "standpunt te herzien."

Intimidatie, dus. Want opleggen kunnen ze niet, daar gaat de EDPB over.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[ustinov]

De EC informeert de AP gewoon dat de standaard uitleg volgens de EC niet overeenkomt met de bedoeling en bestaande jurisprudentie van het Europese hof.

Er volgen geen dreigementen, dus ik begrijp niet waarom intimidatie zou zijn.

Gewoon een beleefde uitwisseling van standpunten zoals veel mensen gelukkig nog doen.

[Thomas M]

Je hoeft niet letterlijk te zeggen "Ik intimideer je", om iemand te intimideren.

Het is bekend dat de beste plaats om te lobbyen in de structuur van de EU is,
dus het zou heel goed kunnen dat wat lobbyisten een paar stevige gesprekken
met de EC hebben gehad, waarna de EC volledig toevallig dit standpunt uit.

Dus de authoriteit van de EC kan zijn gebruikt door lobbyisten.

Maar dit is speculatie, zeker weten we het niet. Maar het is wel plausibel,
gezien de lobbyistendichtheid (aantal lobbyisten/per ambtenaar) rondom de EU.

[latka]

Via een open brief? Dan is het gewoon chantage: iedereen die nu mot heeft met het AP pakt die brief erbij en mag de AP weer uit gaan leggen dat die brief nul betekenis heeft.

[pepsiblik]

Maar vervolgens fluit de rechtbank de AP terug inzake VoetbalTV. Dus uiteindelijk heeft de AP geen gelijk.

[ustinov]

De rechtbank en de AP verschillen van mening. Het is nu wachten op het hoger beroep. Wie er ‘gelijk’ heeft moet dus nog blijken.

[R4gnax]

Maar vervolgens fluit de rechtbank de AP terug inzake VoetbalTV. Dus uiteindelijk heeft de AP geen gelijk.

De AP heeft alsnog de mogelijkheid tegen zo'n uitspraak in beroep te gaan, natuurlijk.
En dat kunnen ze heel hoog uitvechten - als het moet.

Wie daar gelijk heeft, dat blijkt pas aan het einde van de rit.
Zo zijn er wel meer opmerkelijke zaken uit de koker gekomen door bij het hooggerechtshof van de EU een verzoek tot verduidelijking in te dienen. Bijv. het recht op de tweede-hands doorverkoop van software-licenties.

[Reactie gewijzigd door R4gnax op 22 juli 2024 13:45]

[pepsiblik]

Het recht op doorverkoop van de licentie op de software bedoel je

[R4gnax]

Software-licenties, inderdaad ja. (even verduidelijkt.)

[Arnoud Engelfriet]

Nee, dat is niet wat de EC zegt. Die zegt dat als jij anders failliet gaat, je een kans moet krijgen om aan te tonen dat je belangen opwegen tegen de privacy van de mensen. De AP zegt "ik wil niets horen over jouw bedrijfsvoering of je inkomsten, dat is nooit een argument".

[J_van_Ekris]

Nee, dat is niet wat de EC zegt. Die zegt dat als jij anders failliet gaat, je een kans moet krijgen om aan te tonen dat je belangen opwegen tegen de privacy van de mensen. De AP zegt "ik wil niets horen over jouw bedrijfsvoering of je inkomsten, dat is nooit een argument".

Wil je daarmee zeggen dat bij een dreigend failliesement je als ondernemer een vrijbrief krijgt om het klantenbestand te verkopen?

[DeComponeur]

Vroeger zei ik in de discotheek ook wel eens tegen een mooie dame: 'Ik moet nu met je trouwen anders verander ik in een pompoen'
Probleem met dit AVG gevalletje is dat het gaat om het interpreteren van.
Dit is uiteraard 'een soort van in de geest van de wet'. Meestal kun je daar meerdere kanten mee op. Vandaar dat juristen en rechters daar een legale draai aan kunnen geven, simpelweg omdat het niet goed is dichtgetimmerd. Maar direct marketing faciliteren omdat dit moet vanwege je economische positie, zou bijna elk bedrijf hebben kunnen ge/misbruiken in de tijd toen Corona nogal heerste. Alle theaters zouden dit argument nu nog steeds kunnen aangrijpen om iedereen lastig te vallen... wordt vervolgd denk ik

[phoenix2149]

Je hebt GDPR en je hebt AVG.

AVG is is GDPR met lokale landelijke aanvullingen. Maar GDPR is minimum. Dus kan alleen strenger en niet losser.

Althans zo begrijp ik het.

Ben het er we mee eens dat je aannemelijk belang, als dat een criteria is, goed moet beschrijven. Want het is best een breed begrip en GDPR/AVG is juist om deze brede (niet privacy vriendelijke) begrippen van de grote boze bedrijven in te perken en handhaven.

[Reactie gewijzigd door phoenix2149 op 22 juli 2024 13:45]

[Takezo]

AVG en GDPR zijn hetzelfde. AVG is de Nederlandstalige afkorting van de Europese verordening, GDPR is de Engelstalige afkorting (AVG = Algemene verordening gegevensbescherming, in het Engels: GDPR = General Data Protection Regulation)

https://nl.m.wikipedia.or...ening_gegevensbescherming

[Reactie gewijzigd door Takezo op 22 juli 2024 13:45]

[WhatsappHack]

Klopt, maar de Nederlandse implementatie ervan wijkt wel af van de basis gesteld in GDPR. En dat is omdat daar doelbewust ruimte voor is gelaten. Zie bijvoorbeeld https://blog.iusmentis.co...-ook-bij-forumdiscussies/ hoe dit per land kan verschillen.

[Takezo]

Goed punt, dat is de uitvoeringswet.

[CivLord]

De AVG geeft dan ook heen hoop voorwaarden en regels waar je je aan moet houden met die verzamelde gegevens.

[timberleek]

Ja zo lees ik het ook een beetje.

Dan heb je straks dus hele dure wetgeving gemaakt die exact niks veranderd. Elk bedrijf verkoopt dus alles wat ze kunnen scrapen door onder de noemer van "commercieel belang".

[CopyCatz]

Het typische is dat ik dit ook binnen mijn werkomgeving zie. De nieuwe uit de grond gestampte privacy afdeling neemt haar taak te serieus, is onbereikbaar voor advies en heeft te weinig mankracht. Met als resultaat dat er alleen directieve "mag niet" orders worden uitgeschreven omdat er sowieso geen resources zijn om in gesprek te gaan met IT collega's over de menselijke maat en werkbaarheid van maatregelen.

[Cergorach]

Voor dergelijke privacy zaken schakel ik over algemeen de juridische afdeling in en laat de conclusies vastleggen in tickets. En dan refereren in de documentatie. Belangrijk is dat je duidelijk communiceert waar je een uitspraak over wil, de usecase en de technische implementatie die begrijpbaar is voor iemand die niet diep in de materie zit, zonder dat dit een enorm boekwerk wordt (zodat ze snel de informatie kunnen verwerken).

"Mag niet" komt regelmatig voor en ik ben het er niet altijd mee eens (en soms ook niet met de conclusie mag wel), maar ik ben geen juridisch expert en dat zijn de meeste ITers niet. Je moet je gewoon neerleggen bij wat de experts binnen je organisatie beslissen, want zij worden er ook op aangesproken als ze verkeerd blijken te beslissen (vandaar dat je het ook goed moet vastleggen).

Als ze gewoon een 'rubberstamp' gebruiken met 'mag niet', dan doen ze hun werk niet (goed). Als je het vermoeden hebt dat dit vaker voorkomt, dan zou ik dat intern escaleren. Wat ik wel zie is "Mag niet, totdat ik de tijd/ruimte heb gehad om dit te onderzoeken.", wat natuurlijk logisch is, maar kan soms maanden duren (soms wel 12+)... Sucks, maar so be it.

[SirBlade]

Ik zie hier de privacy officer voornamelijk gebruikt worden om projecten te treineren. Ben je het niet met een project eens? Stuur een mailtje met een beetje leidende vraag naar de privacy officer en het project gaat meteen op holt totdat hij zijn zegje heeft gedaan. Komt er een uitspraak waar je het niet mee eens bent? Laat een collega dan een nieuwe vraag stellen over hetzelfde project en het hele spelletje begint weer van voor af aan. Tenzij er druk vanuit de directie wordt uitgeoefend kan dit jaren doorgaan.

[Cergorach]

En mensen vragen zich af waarom er geen resources beschikbaar zijn om vragen te beantwoorden, als dergelijke afdeling worden bedolven onder nutteloze vragen. Aan dergelijke politieke spelletjes moeten gewoon keihard consequenties worden gesteld. Net als dat je een dergelijk persoon/afdeling verantwoordelijk houd voor de genomen adviezen/keuzes, mag men zeker ook de vragers verantwoordelijk houden dat ze enigszins in goede trouw verzoeken indienen. Als bepaalde personen/onderwerpen constant terugkomen met gelijkwaardige relatief onzinnige vragen, ook dat intern escaleren.

[SirBlade]

'Maar ik maak me zorgen om de privacy van onze klanten en de reputatie van onze organisatie. Ik kan dat soort zaken toch niet zomaar negeren?'

En als je ze vervolgens opdraagt het wel te negeren gaan ze "per ongeluk" te veel negeren.

[bzzzt]

Ik zie hier de privacy officer voornamelijk gebruikt worden om projecten te treineren.

Wat je bedoelt is dat je in een bedrijf werkt met een verziekte bestuurscultuur. Als er geen AVG of privacy officer was geweest waren er wel andere regels gebruikt om twijfel te zaaien.

[SirBlade]

Maar die andere regels waren voornamelijk interne regels. De AVG is extern en brengt het risico op boetes met zich me, dat maakt het dwarsliggen velen malen effectiever.

[bzzzt]

Ligt er natuurlijk aan in welke bedrijfstak je werkt, maar regels op vlakken als milieu, ruimtelijke ordening, bouwbesluit, veiligheid, certificeringen etc zijn natuurlijk net zo makkelijk te misbruiken voor interne politiek.

[sjongenelen]

Gemak voor werknemers kan toch geen goede reden zijn? Werknemers op operationeel niveau moeten "gewoon' implementeren, want dat zijn geen specialisten ohgv wet en regelgeving.

Edit: Hierboven wordt het beter toegelicht

[Reactie gewijzigd door sjongenelen op 22 juli 2024 13:45]

[mjtdevries]

Als ze te weinig mankracht hebben dan is dat waarschijnlijk ook de reden waarom ze moeilijk bereikbaar zijn voor advies.
Maar de principes van de AVG/GDPR zijn echt geen rocket science. Lees ze gewoon eens goed door en zorg er zelf al voor dat je IT dienst/oplossing daar netjes aan voldoet en je krijgt wel akkoord. En aangezien de privacy afdeling dan ziet dat jij het wel begrijpt zullen ze ook sneller naar jouw verzoeken kijken.

Ook met de strenge interpretatie van de AP kun je alle noodzakelijke IT zaken prima werkbaar maken onder de voorwaarden van de GDPR.

[mrmrmr]

Ik zie dat er snel wordt gedacht dat het wel mag, want: "ik heb hier een audit van mijn bedrijf".

Enorme aantallen bedrijven in Nederland nemen het niet te nauw met de privacy van gegevens in email bijvoorbeeld. Host bij elk Amerikaans bedrijf (Office 365) en je bent af. Toch doet meer dan de helft van de mkb bedrijven dat. Ik begrijp weinig van banken die dat ook doen, die zouden beter moeten weten.

[Sjapmeister]

Er is duidelijk flink gelobbyd in Europa om de AP op de vingers te tikken.

Ik stel me op het standpunt dat enkel een commercieel belang per definitie geen gerechtvaardigd belang kan zijn. Voor elk commercieel belang zou per definitie toestemming van de gebruiker moeten zijn.

[Wakoz]

Wilde net zeggen, dit is duidelijk lobby werk. In ieder geval niet in het belang van de consument/burger.