Autoriteit Persoonsgegevens en tennisbond stoppen rechtszaak na uitspraak EU-Hof

De Autoriteit Persoonsgegevens en de Nederlandse tennisbond Knltb hebben besloten de rechtszaak rondom een AVG-boete te stoppen. De tennisbond erkent 'dat het anders had moeten handelen'. Het Europees Hof van Justitie oordeelde vorig jaar dat de boete wellicht onterecht was.

De Koninklijke Nederlandse Lawn Tennis Bond kreeg in 2019 een boete van de Autoriteit Persoonsgegevens, omdat de bond persoonsgegevens van honderdduizenden leden had gedeeld met een loterijorganisatie of een tennisspullenwinkel. Deze twee organisaties benaderden daarna Knltb-leden telefonisch en per post met reclame. Volgens de privacytoezichthouder was dit een overtreding van de toen nieuwe AVG-wetgeving en legde daarom een boete van 525.000 euro op. Overigens was het destijds de tweede boete onder de AVG.

De Knltb ging in beroep, waarna het dossier voorkwam bij het Europees Hof van Justitie. Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen. Overigens zei het Hof daarmee niet dat de Knltb in dit specifieke geval rechtmatig had gehandeld; het Hof weersprak alleen de zienswijze van de Autoriteit Persoonsgegevens dat het delen van persoonsgegevens voor direct marketing nooit een gerechtvaardigd belang kan zijn. De zaak zou daarmee weer terug kunnen naar een Nederlands gerechtshof voor een oordeel.

De AP en Knltb maken echter bekend dat dat niet zal gebeuren. "De Knltb erkent nu dat het anders had moeten handelen en de verstrekking niet had mogen plaatsvinden op de wijze zoals gebeurd", schrijft de Autoriteit Persoonsgegevens. De tennisbond start een voorlichtingscampagne over privacy die gericht is op tennisclubs en andere sportbonden. De Autoriteit Persoonsgegevens werkt hieraan mee.

Daarnaast halveert de privacytoezichthouder de boete. "Vanwege het unieke karakter van de zaak verlaagt de AP de boete tot 250.000 euro, verminderd met de kosten die de bond maakt voor de voorlichtingscampagne en eventuele andere maatregelen." De toezichthouder zegt daarbij de 'maatregelen die de bond treft en de constructieve houding' te waarderen. Uiterlijk in juni 2026 stelt de Autoriteit Persoonsgegevens het definitieve boetebedrag vast.

Reacties (40)

[Ryunoru]

Wederom een voorbeeld waarom dat "gerechtvaardigd belang" totaal niet gerechtvaardigd is. De big-data-industrie heeft toch een knap staaltje gelobbyd om dat in de wet te krijgen.

[The Zep Man]

Wederom een voorbeeld waarom dat "gerechtvaardigd belang" totaal niet gerechtvaardigd is. De big-data-industrie heeft toch een knap staaltje gelobbyd om dat in de wet te krijgen.

De Knltb ging in beroep, waarna het dossier voorkwam bij het Europees Hof van Justitie. Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen. Overigens zei het Hof daarmee niet dat de Knltb in dit specifieke geval rechtmatig had gehandeld; het Hof weersprak alleen de zienswijze van de Autoriteit Persoonsgegevens dat het delen van persoonsgegevens voor direct marketing nooit een gerechtvaardigd belang kan zijn.

Dit stuk is belangrijk. Al had AP beter diens oordeel onderbouwd, dan was er niets aan de hand.

Dus niet:
"Directe marketing is geen rechtvaardig belang."

Maar:
"Een tennisclub die persoonsgegevens deelt om reclame naar te versturen voor een commercieel doel dat niets met de tennisclub te maken heeft en waar leden nooit akkoord mee zijn gegaan, heeft geen rechtvaardig belang."

[Zyppora]

Wat ik me dan afvraag is wat dan wel een situatie is waarin het zonder consent of medeweten van je leden delen/verkopen van diens privégegevens aan een derde partij voor direct marketing doeleinden gerechtvaardigd is. Ik kan me geen enkel voorbeeld voorstellen waarin dat gewenst zou zijn. Direct marketing als gerechtvaardigd belang slaat voor zover ik de AVG begrijp (en toegegeven, i am not a lawyer) alleen op de partij die de gegevens al heeft; in dit geval dus de KNLTB zelf. Op geen enkel moment hadden zij die gegevens mogen delen met een derde partij voor dit doel.

[kimborntobewild]

Het hele woord 'legitimate interest' is bedacht door de reclameindustrie. Er bestaat helemaal geen legitimate interest als je de privacy wilt beschermen.

[wiseger]

Natuurlijk bestaat dat wel. Ter voorbeeld: een bank kan zijn hele print straat uitbesteden. Brieven van je bank worden dan bij een ander bedrijf geprint en verstuurd bijvoorbeeld Canon in Amstelveen.

Je bank voorziet dan een derde partij van jou persoonsgegevens, immers anders kan jouw NAW niet op de envelop geprint worden en kan de brief niet verstuurd worden.

Dat is een rechtmatig belang waaronder jou NAW door je bank aan een derde partij verstrekt zijn met als doel een brief naar jou te versturen.

[FreezeXJ]

Dat is geen 'interest', dat is een deal tussen je bank en Canon, waar jij in principe niet eens toestemming voor hoeft te geven, en waarbij de bank nog steeds verantwoordelijk blijft voor het correct verwerken.

'Legitimate interest' is bedoeld voor de 5013 data-verzamelaars die een website zelf wil promoten om in theorie uit naam van die website rommel te versturen, en in praktijk gewoon data te hamsteren. Over het algemeen staat er ook geen reden bij waarom het 'legitimate' is, behalve dan dat ze het lief vragen.

[wiseger]

https://www.rijksoverheid...ens-aan-anderen-doorgeven

Gerechtvaardigd belang van de organisatie
Een organisatie kan een andere goede reden hebben om uw gegevens te delen. Bijvoorbeeld om fraude op te sporen. Een organisatie moet haar eigen belang dan afwegen tegen uw belang en uw rechten. En ze moet zich afvragen of het resultaat op een andere manier te bereiken is, of met minder gegevens. Ook moet de organisatie een privacytoets uitvoeren.

[Ilmar]

Behalve dat de data in zo'n geval normaal niet 'verstrekt' wordt, want de bank blijft gewoon de gegevensbeheerder (ie. eigenaar) en de printer opereert normaliter onder een geheimhoudingsovereenkomst die stelt dat ze niks met de data mogen doen zonder expliciete opdracht van de bank.

[wiseger]

Dat maakt voor de AVG niet uit. De NAW zijn verstrekt aan een derde, commerciële organisatie. Als dat niet onder legitiem belang zou vallen, dan had dat niet gemogen.

Dat is juist waar legitiem belang om draait, die situaties dat de NAW wel verstrekt mogen worden aan een derde partij.

[Ilmar]

Nee, ze zijn niet 'verstrekt' - want ze vallen niet onder de controle van die derde organisatie. De printer mag er zelfstandig niks mee doen.

In de bovenstaande casus daarentegen zijn de gegevens verkocht en mochten de sponsoren naar eigen believen marketing sturen.

[wiseger]

Ze vallen wel onder de controle van die derde organisatie. De gegevens zijn digitaal verstrekt en al dan niet tijdelijk opgeslagen in de systemen van de derde organisatie.

Ik heb het niet over de casus hierboven, ik reageerde op de stelling:

Het hele woord 'legitimate interest' is bedacht door de reclameindustrie.

Zie bijvoorbeeld ter toelichting Voorwaarde 1: gerechtvaardigd belang
https://www.autoriteitper...grondslagen-avg-uitgelegd

Let op: tekst gewijzigd (april 2025)
Bepaal of uw belang daadwerkelijk een gerechtvaardigd belang is. Veelgenoemde gerechtvaardigde belangen zijn bijvoorbeeld:

fraude, oplichting of ander onrechtmatig gedrag tegengaan;
de privésfeer beschermen;
zorgplichten nakomen voor werknemers en/of klanten.

[Reactie gewijzigd door wiseger op 18 oktober 2025 13:36]

[Karf]

Jullie halen allebei een aantal dingen door elkaar.

Het versturen van de gegevens naar de printdienst is een verwerking onder de AVG. Een verwerking kan van alles zijn, bijvoorbeeld het opslaan, versturen, printen, verwijderen of aanpassen van een persoonsgegeven.

De bank en de printdienst sluiten een verwerkingsovereenkomst. In die overeenkomst is opgenomen dat de bank verantwoordelijk blijft voor de verwerking van de gegevens en dat de printdienst de gegevens verwerkt volgens instructie van de bank en niet gebruikt voor eigen doeleinden. De bank is hier verwerkingsverantwoordelijke. De printdienst in dit voorbeeld zou een verwerker zijn.

Dat neemt niet weg dat voor de verwerking an sich een verwerkingsgrondslag moet hebben zoals expliciete toestemming, een overeenkomst, of een gerechtvaardigd belang.

Overigens zou dit voorbeeld waarschijnlijk worden gezien als een uitvoering van de overeenkomst tussen de bank en de klant.

[FiberSam]

Zeker wel. Denk maar aan het verstrekken van jouw gegevens van jouw pensioenfonds (waar weinig mensen werken) aan de pensioenuitvoerder (waar vrijwel al het werk wordt gedaan). Het zou absurd zijn als je daarvoor toestemming moet geven.

[J_van_Ekris]

Mee eens, de AP is hier geeoon te kort door de bocht gegaan. De discussie over doelbinding had wat mij betreft daar echt in moeten voorkomen. De gegevens zijn verstrekt zodat de KNLTB als bond jou bondsinformatie (wedstrijden, etc.?) kan sturen, niet voor commerciele doeleinden. En men heeft bij mijn weten ook weinig keuze: als je wedstrijden wil spelen, dan moet je lid zijn, en moeten je gegevens bij de bond worden doorgegeven.

[kimborntobewild]

Ik ben het volstrekt oneens met het Europees hof van Justitie, en vind inderdaad dat marketing nooit gerechtvaardigd belang kan zijn. Die uitspraak van het hof is een gitzwarte dag voor de privacy en veiligheid.

[i-chat]

daar ben ik het mee eens,

een gerechtvaardigd belang zou in opinie eigenlijk altijd een belang moeten zijn dat:
1: Niet per definitie vooraf voorzien was.. als het onderdeel was van je 'bedrijfsplan' dan was het te voorzien en kon je dus om toestemming vragen.
2: ten nadele van mij maar ten groter voordeel van bijvoorbeeld mijn kind
(mijn medische privacy schenden om het leven van mijn kind te kunnen verbeteren: denk aan zonder toestemming controleren of ik bekend ben met erfelijke aandoeningen zelfs zonder mijn toestemming)
3: aanschrijven van leden van een vereniging voor het werven van fondsen omdat die vereniging op het punt van faillissement staat en dan nog zou dat bij een vereniging gewoon via de Algemene Leden Vergadering kunnen maar het idee van het voorkomen van zo'n ernstig lot zou misschien 'gerechtvaardigd kunnen zijn'

voor een 'extra loterij' zou nooit mogen kunnen

[Killjoy]

Het gerechtvaardigd belang is een lang bestaande grondslag en komt al voor in de richtlijn 95/46/EG. In Nederland beter bekend als de Wet bescherming persoonsgegevens. Het bestaan ervan heeft dus niet direct iets met de big tech lobby te maken.

Het probleem is eerder dat van verwerkings verantwoordelijken wordt verwacht dat zij zorgvuldige afwegingen maken: zelfregulatie. Dit terwijl big tech juist bewust de grenzen opzoekt. Als in: het mag tot we worden teruggefloten.

Deze zaak is/was daarom bijzonder interessant.

[emeralda]

Ik zie dit ook bij aan de deur verkopen. Letterlijk 90% van de consumenten is er niet van gediend dat de Delta hesjes door de wijk lopen maar het kan niet verbonden worden.

Delta zegt dat ze belangrijk werk doen om de consument te informeren over energie

[AnonymousGerbil]

De Koninklijke Nederlandse Lawn Tennis Bond kreeg in 2019 een boete van de Autoriteit Persoonsgegevens, omdat de bond persoonsgegevens van honderdduizenden leden had gedeeld met een loterijorganisatie of een tennisspullenwinkel.

Losstaande van of dit wettelijk mag of niet vindt ik het wel bizar dat ze daar dachten dat dit een goed idee was. Ga gewoon met respect om met het vertrouwen dat leden je geven. Zo moeilijk is dat toch niet?

[Reactie gewijzigd door AnonymousGerbil op 18 oktober 2025 05:54]

[wildhagen]

Mee eens. Ik vraag me ook af waarom de KNLTB dit destijds gedaan heeft. Was dit om als vereniging extra geld binnen te krijgen voor de verenigingskas of zaten er andere motieven achter?

Want die tennisspullenwinkel heeft dan op zijn minst nog enige connectie met de vereniging (hoewel ik het dan nog onwenselijk vind), maar waarom ze dit ook aan een loterij-organisatie in 's hemelsnaam verkocht hebben is me niet helemaal helder...

En aan wie hebben die loterij en die winkel de gegevens eventueel nog verder verkocht, en wat gebeurt daar vervolgens weer mee?

Ik vind het daarom persoonlijk toch wel jammer dat ze er weer met een forse reductie van de boete vanaf komen. Imho geeft dat een beetje een verkeerd signaal af.

[BertNL]

Hier iets meer achtergrondinformatie over deze zaak: review: Juristen verbaasd over AVG-boete voor tennisbond

De loterijorganisatie en winkel zijn niet bekend gemaakt door de Autoriteit Persoonsgegevens (AP) maar uiteraard bekend bij de tienduizenden leden die zijn benaderd. Onderaan dit RTL bericht worden ze trouwens dan wel weer genoemd: https://www.rtl.nl/nieuws/economie/artikel/5474470/knltb-wint-europese-zaak-van-ap

Dat de boete is gehalveerd zal zijn omdat in een juridisch vervolgtraject het nog twee kanten kon opgaan. Zo’n traject kost de tennisbond ook geld, zeker wanneer ze zich laten bijstaan door een advocatenkantoor met uurtarieven van 400 euro of meer. Alhoewel de tennisbond de boete best kan dragen is ook de gehalveerde boete een flinke hap uit het vermogen (5% ongeveer).

[BertNL]

En er was ook een alternatief geweest: de Tennisbond had papieren folders e.d. van de loterij en tennisspullenwinkel zelf kunnen verzenden. De loterij en de winkel hadden dan de verzendkosten voor hun rekening genomen en overdracht van persoonsgegevens was überhaupt niet nodig geweest. In een begeleidend briefje had de Tennisbond nog expliciet kunnen melden dat zij de reclame versturen (en waarom: inkomsten genereren) en er geen persoonsgegevens zijn gedeeld.

[downtime]

Maar dan is het geen makkelijk verdiend geld meer.

[wiseger]

Een tennisbond heeft geen winstoogmerk. De enige inkomsten zijn de contributie van de leden en betalingen van sponsoren. Hier gaat het om de samenwerking met sponsoren die de NAW gegevens van de tennisbond mochten gebruiken om aanbiedingen aan de leden te doen.

De term 'makkelijk verdiend geld' is dan niet van toepassing. Het enige alternatief op dalende sponsorinkomsten is stijging van de contributie gelden. Dit is iets waar heel veel stichtingen mee worstelen.

[downtime]

Een tennisbond heeft geen winstoogmerk.

Wat heeft dat ermee te maken? Een vereniging of stichting mag geen rendement uitkeren maar er mag best geld verdiend worden. Dat gaat dan naar het financieren van de activiteiten of, als de vereniging er financieel goed voor staat, naar het opbouwen van een financiele reserve.

De enige inkomsten zijn de contributie van de leden en betalingen van sponsoren. Hier gaat het om de samenwerking met sponsoren die de NAW gegevens van de tennisbond mochten gebruiken om aanbiedingen aan de leden te doen.

De term 'makkelijk verdiend geld' is dan niet van toepassing. Het enige alternatief op dalende sponsorinkomsten is stijging van de contributie gelden. Dit is iets waar heel veel stichtingen mee worstelen.

Natuurlijk is dat makkelijk verdiend geld. In de meest letterlijke zin. Die ledenlijst hebben ze al, die zet je even op de mail en presto, sponsor tevreden, geld binnen, een paar minuten werk. Dat is veel makkelijker dan het plan van @BertNL waarvoor de leden aan het werk moeten.

[kodak]

We leven in een democratische rechtsstaat. Of iets respectvol is gaat juist ook om je naar de wet gedragen. Anderd kunnen we net zo goed stellen dat criminelen respectvol slachtoffers maken. Dus over welke respectvolle omgang heb je het hier dan?

[naaitsab]

Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen.

Dus als bedrijven geld kunnen verdienen aan jouw gegevens, dan is het ineens geen probleem? Op z'n minst opmerkelijk te noemen. Zo lang de leden niet duidelijk toestemming hebben gegeven voor het delen van hun informatie. Zeker voor puur commerciële doeleindes, lijkt het me juist onder bescherming van je gegevens te vallen. Gericht of ongericht is daarin ondergeschikt.

[TheMak]

Volgens wordt er bedoeld dat de AP hrt niet zo absoluut mag zeggen. Een postorder bedrijf kan met toestemming van de klant adres gegevens naar de drukker om aanbiedingen op te sturen. Dan is het een gerechtvaardigd belang. Als je het zo absoluut stelt als de AP, dan moet je als slachtoffer gaan uitleggen waarom je onschuldig bent.

[kimborntobewild]

Opmerkelijk is niet de goede term. Ik denk eerder aan verachtelijk, schandalig, schokkend.

[bousix]

Van WIE was die tennisspullenwinkel en WIE vanuit de bond zocht dat contact? Op die manier kom je erachter wat het belang was.

[Noitisnt]

Bijzonder dat zo'n commerciële actie (gegevens van derden verkopen) wel een gerechtvaardigd belang kan zijn. Je zou toch verwachten dat dat niet is toegestaan zonder betrokkenen van tevoren duidelijk te informeren dat hun persoonlijke data aan jan en alleman verkocht kan worden.

[kodak]

Als er geen expliciet verbod is kan er ook niet zomaar een expliciet verbod toegepast worden. Dat is al van voor de AVG een vrijheid die de wetgever belangrijker vond dan handel in andermans persoonlijke gegevens beperken. Of dat nu commerciele handel is of voor andere doelen waar meningen van nut en noodzaak over kunnen verschillen.

Het bijzondere is eerder dat de toezichthouder de wet anders interpreteerde en er ook geen belang in zag dat behoorlijk te onderbouwen. Juist terwijl er al vanaf het ontwerp van de AVG zorgen zijn dat een rechtvaardig belang erg veel vrijheid geeft als de toezichthouder dat niet vooraf toetst of achteraf heel duidelijk maakt waarom het er niet is.

[yevgeny]

Weer een blunder van AP, keer op keer worden ze door rechtbanken gecorrigeerd.

[kimborntobewild]

In dit geval een blunder van het Europees hof van Justitie.

[jurjen_g]

Hoezo is dit een bunder? Op basis van een nieuwe wet poogden ze een boete op te leggen met een redenering. Europees Hof stelt dat die redenering niet altijd geldt. Expliciet betekent dit niet dat er geen overtreding was, maar dat de argumentatie anders moet. Normaal is er dan dus weer opnieuw een rechtzaak, maarKNLTB en AP gaan om tafel en bedenken een compromis, waardoor we met z'n allen niet nog een keer onnodig geld over de balk smijten aan die rechtzaak, maar het doel van de AP, namelijk bewustzijn van privacy schendingen en daarop handhaven, behaald is en er ook nog eens extra aandacht vanuit de tennisbond voor privacy komt. Ik vind dit een voorbeeld van hoe "recht" correct en eerlijk en ook nog eens pragmatisch tot uiting is gekomen. Disclaimer ik ben geen tennisser, jurist,.noch enige banden met AP etc.

[downtime]

Blunder? Misschien zou de wetgeving gewoon wat duidelijker moeten zijn. We zien dit wel vaker dat de wetgever met vage omschrijvingen komt en de toezichthouders en rechtbanken maar moeten uitvechten wat dat nou in de praktijk moet betekenen.

[rgcreator]

Wat ik ook heb begrepen door AI. Ookal is het rechtvaardig belang. Dan heb je alsnog een verklaring nodig waarin staat wat je doet met de persoonsgegevens. Algemeen belang is als het echt nodig is voor bijvoorbeeld beveiliging en echt weinig schade toe kan richten. Bijvoorbeeld gebruikers koppelen aan een sessie id om zo fraude van analytics op te sporen is bijvoorbeeld rechtvaardig belang. Maar dan heb ik alsnog een verklaring nodig dat ik dat verzamel en wat ik ermee doe. Alleen kunnen gebruikers dan niet weigeren. Dat is het verschil tussen toestemming en rechtvaardig belang volgens ai. Als het geen rechtvaardig belang is moet de gebruiker ook kunnen zeggen. Verwijder de data of ik ga niet akkoord. Maar bij bijde moet het gemeld worden. Heeft de tennisvereniging dit wel gemeld.

[kodak]

De tennisbond start een voorlichtingscampagne over privacy die gericht is op tennisclubs en andere sportbonden. De Autoriteit Persoonsgegevens werkt hieraan mee.

Als dit onderdeel is van een compromis dan vraag ik me sterk af of hier nog strenge voorwaarden aan verbonden zijn met expliciet erkennen wat de sportbond anders had moeten handelen. Anders klinkt het vooral als een voorstel waarbij de sportbond met naam en logo wel mag pronken hoe goed ze bezig zijn en na te laten welke onacceptabele handelingen men zelf gedaan geeft. Een toezichthouder die mee werkt aan commerciële belangen van overtreders (sportbonden bestaan duidelijk niet slechts om de sport) lijkt me niet de bedoeling.

[TheMak]

Bij sportbonden vind ik vooral verantwoording aan de leden moet worden afgelegd

[mutley69]

Als je betaald heb je een contract en daar hangen vertrouwelijke zaken aan vast. Dat je die data niet door geeft aan derden zonder toelating vb. en dat die toelating ingetrokken kan worden. De tennisbond is dus wellicht zwaar de fout in gegaan en die GDPR-boete is dan terecht. Het EU-gerechtshof dient onze belangen absoluut niet - dat is ook gebleken in de intel-zaak. En er zullen er ongetwijfeld nog zijn en volgen.