Autoriteit Persoonsgegevens en tennisbond stoppen rechtszaak na uitspraak EU-Hof

De Autoriteit Persoonsgegevens en de Nederlandse tennisbond Knltb hebben besloten de rechtszaak rondom een AVG-boete te stoppen. De tennisbond erkent 'dat hij anders had moeten handelen'. Het Europees Hof van Justitie oordeelde vorig jaar dat de boete wellicht onterecht was.

De Koninklijke Nederlandse Lawn Tennis Bond kreeg in 2019 een boete van de Autoriteit Persoonsgegevens, omdat de bond persoonsgegevens van honderdduizenden leden had gedeeld met een loterijorganisatie of een tennisspullenwinkel. Deze twee organisaties benaderden daarna Knltb-leden telefonisch en per post met reclame. Volgens de privacytoezichthouder was dit een overtreding van de toen nieuwe AVG-wetgeving en legde daarom een boete van 525.000 euro op. Overigens was het destijds de tweede boete onder de AVG.

De Knltb ging in beroep, waarna het dossier voorkwam bij het Europees Hof van Justitie. Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen. Overigens zei het Hof daarmee niet dat de Knltb in dit specifieke geval rechtmatig had gehandeld; het Hof weersprak alleen de zienswijze van de Autoriteit Persoonsgegevens dat het delen van persoonsgegevens voor direct marketing nooit een gerechtvaardigd belang kan zijn. De zaak zou daarmee weer terug kunnen naar een Nederlands gerechtshof voor een oordeel.

De AP en Knltb maken echter bekend dat dat niet zal gebeuren. "De Knltb erkent nu dat hij anders had moeten handelen en de verstrekking niet had mogen plaatsvinden op de wijze zoals gebeurd", schrijft de Autoriteit Persoonsgegevens. De tennisbond start een voorlichtingscampagne over privacy die gericht is op tennisclubs en andere sportbonden. De Autoriteit Persoonsgegevens werkt hieraan mee.

Daarnaast halveert de privacytoezichthouder de boete. "Vanwege het unieke karakter van de zaak verlaagt de AP de boete tot 250.000 euro, verminderd met de kosten die de bond maakt voor de voorlichtingscampagne en eventuele andere maatregelen." De toezichthouder zegt daarbij de 'maatregelen die de bond treft en de constructieve houding' te waarderen. Uiterlijk in juni 2026 stelt de Autoriteit Persoonsgegevens het definitieve boetebedrag vast.

Reacties (81)

[naaitsab]

Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen.

Dus als bedrijven geld kunnen verdienen aan jouw gegevens, dan is het ineens geen probleem? Op z'n minst opmerkelijk te noemen. Zo lang de leden niet duidelijk toestemming hebben gegeven voor het delen van hun informatie. Zeker voor puur commerciële doeleindes, lijkt het me juist onder bescherming van je gegevens te vallen. Gericht of ongericht is daarin ondergeschikt.

[TheMak]

Volgens wordt er bedoeld dat de AP hrt niet zo absoluut mag zeggen. Een postorder bedrijf kan met toestemming van de klant adres gegevens naar de drukker om aanbiedingen op te sturen. Dan is het een gerechtvaardigd belang. Als je het zo absoluut stelt als de AP, dan moet je als slachtoffer gaan uitleggen waarom je onschuldig bent.

[hans-martijn]

Nee, dat is geen rechtvaardig belang maar een verwerkersovereenkomst.

[supersnathan94]

Met toestemming van de klant

Dus geen rechtvaardig belang. Want dan heb je er namelijk geen toestemming voor nodig.

het Hof weersprak alleen de zienswijze van de Autoriteit Persoonsgegevens dat het delen van persoonsgegevens voor direct marketing nooit een gerechtvaardigd belang kan zijn.

Ik ben het hier dan ook echt niet mee eens

Als je het zo absoluut stelt als de AP, dan moet je als slachtoffer gaan uitleggen waarom je onschuldig bent.

Nee je had gewoon opt-in toestemming moeten vragen.

Ik was lid van de KNLTB en ik zat hier echt absoluut niet op te wachten. Ik zou hier zelf dan ook nooit toestemming voor hebben gegeven.

[kimborntobewild]

Opmerkelijk is niet de goede term. Ik denk eerder aan verachtelijk, schandalig, schokkend.

[arjankoole]

[...]

Dus als bedrijven geld kunnen verdienen aan jouw gegevens, dan is het ineens geen probleem? Op z'n minst opmerkelijk te noemen. Zo lang de leden niet duidelijk toestemming hebben gegeven voor het delen van hun informatie. Zeker voor puur commerciële doeleindes, lijkt het me juist onder bescherming van je gegevens te vallen. Gericht of ongericht is daarin ondergeschikt.

Nee, het Europese hof stelt dat het niet zo zwart-wit is. Dat geeft de bond ook toe, en er blijft ook nog sprake van een overtreding en een boete. Ze stoppen alleen met procederen en zijn tot een gezamenlijke oplossing gekomen om misverstanden in de toekomst te voorkomen.

Wat bottom-line iedereen een hoop pegels scheelt.

[Ryunoru]

Wederom een voorbeeld waarom dat "gerechtvaardigd belang" totaal niet gerechtvaardigd is. De big-data-industrie heeft toch een knap staaltje gelobbyd om dat in de wet te krijgen.

[The Zep Man]

Wederom een voorbeeld waarom dat "gerechtvaardigd belang" totaal niet gerechtvaardigd is. De big-data-industrie heeft toch een knap staaltje gelobbyd om dat in de wet te krijgen.

De Knltb ging in beroep, waarna het dossier voorkwam bij het Europees Hof van Justitie. Die oordeelde een jaar geleden dat direct marketing een gerechtvaardigd belang kan vormen om gegevens te delen met commerciële bedrijven, waarmee het onder de AVG toch wel zou mogen. Overigens zei het Hof daarmee niet dat de Knltb in dit specifieke geval rechtmatig had gehandeld; het Hof weersprak alleen de zienswijze van de Autoriteit Persoonsgegevens dat het delen van persoonsgegevens voor direct marketing nooit een gerechtvaardigd belang kan zijn.

Dit stuk is belangrijk. Al had AP beter diens oordeel onderbouwd, dan was er niets aan de hand.

Dus niet:
"Directe marketing is geen rechtvaardig belang."

Maar:
"Een tennisclub die persoonsgegevens deelt om reclame naar te versturen voor een commercieel doel dat niets met de tennisclub te maken heeft en waar leden nooit akkoord mee zijn gegaan, heeft geen rechtvaardig belang."

[Zyppora]

Wat ik me dan afvraag is wat dan wel een situatie is waarin het zonder consent of medeweten van je leden delen/verkopen van diens privégegevens aan een derde partij voor direct marketing doeleinden gerechtvaardigd is. Ik kan me geen enkel voorbeeld voorstellen waarin dat gewenst zou zijn. Direct marketing als gerechtvaardigd belang slaat voor zover ik de AVG begrijp (en toegegeven, i am not a lawyer) alleen op de partij die de gegevens al heeft; in dit geval dus de KNLTB zelf. Op geen enkel moment hadden zij die gegevens mogen delen met een derde partij voor dit doel.

[kimborntobewild]

Het hele woord 'legitimate interest' is bedacht door de reclameindustrie. Er bestaat helemaal geen legitimate interest als je de privacy wilt beschermen.

[FiberSam]

Zeker wel. Denk maar aan het verstrekken van jouw gegevens van jouw pensioenfonds (waar weinig mensen werken) aan de pensioenuitvoerder (waar vrijwel al het werk wordt gedaan). Het zou absurd zijn als je daarvoor toestemming moet geven.

[hans-martijn]

Dit gaat volgens een verwerkersovereenkomst en is iets anders dan het doorverkopen van naw-gegevens.

[SkiFan]

Dan nog blijft de gerechtvaardigd-belang toets, zeg maar de derde voorwaarde.

[MSalters]

Inderdaad absurd en Inderdaad onnodig. Instemming is 1 van de 6 gronden, maar noodzaak voor de dienstverlening is een ander. 1 grondslag is voldoende, sterker nog, voor de duidelijkheid wil je niet gaan mengen.

[supersnathan94]

Dat is geen “legitiem belang”, maar noodzakelijk.

bij gerechtvaardigd belang is het eigenlijk altijd iets wat optioneel is (en waar bijna altijd wel een opt out voor is), maar waarbij te rechtvaardigen valt dat de gegevens toch verwerkt moeten worden om een noodzakelijke taak beter uit te voeren.

Dus denk aan een google analytics. Het is niet per se noodzakelijk, maar het levert wel statistieken op die de werking van de site voor de gebruiker makkelijker kunnen maken.

[Cambionn]

bij gerechtvaardigd belang is het eigenlijk altijd iets wat optioneel is (en waar bijna altijd wel een opt out voor is), maar waarbij te rechtvaardigen valt dat de gegevens toch verwerkt moeten worden om een noodzakelijke taak beter uit te voeren.

Dus denk aan een google analytics. Het is niet per se noodzakelijk, maar het levert wel statistieken op die de werking van de site voor de gebruiker makkelijker kunnen maken.

Maar onder de ePrivacy Richtlijn (wat ondanks de term "richtlijn" toch verplicht is te volgen) dient ook daar toestemming voor te zijn alvorens je het doet (doormiddel van bijv. een heldere cookiebanner, die natuurlijk aan alle eisen voldoet zoals net zo makkelijk af te keuren zijn als te accepteren) tenzij geheel anoniem uitgevoerd (en dus ook niet pseudoniem) waardoor er geen persoonsgegevens aan te pas komen (en AVG & ePrivacy Richtlijn dus niet aan de pas komen). Ook daar mag je dus niet persoonsgegeven verzamelen of verkopen onder het kopje "gerechtvaardigd belang".

Dat websites dat masaal negeren en mensen doen alsof die ePrivacy Richtlijn enkel over cookies gaat (de nickname "cookiewet" helpt daar niet) is wat anders.

[Reactie gewijzigd door Cambionn op 19 oktober 2025 11:26]

[wiseger]

Natuurlijk bestaat dat wel. Ter voorbeeld: een bank kan zijn hele print straat uitbesteden. Brieven van je bank worden dan bij een ander bedrijf geprint en verstuurd bijvoorbeeld Canon in Amstelveen.

Je bank voorziet dan een derde partij van jou persoonsgegevens, immers anders kan jouw NAW niet op de envelop geprint worden en kan de brief niet verstuurd worden.

Dat is een rechtmatig belang waaronder jou NAW door je bank aan een derde partij verstrekt zijn met als doel een brief naar jou te versturen.

[Ilmar]

Behalve dat de data in zo'n geval normaal niet 'verstrekt' wordt, want de bank blijft gewoon de gegevensbeheerder (ie. eigenaar) en de printer opereert normaliter onder een geheimhoudingsovereenkomst die stelt dat ze niks met de data mogen doen zonder expliciete opdracht van de bank.

[wiseger]

Dat maakt voor de AVG niet uit. De NAW zijn verstrekt aan een derde, commerciële organisatie. Als dat niet onder legitiem belang zou vallen, dan had dat niet gemogen.

Dat is juist waar legitiem belang om draait, die situaties dat de NAW wel verstrekt mogen worden aan een derde partij.

[Ilmar]

Nee, ze zijn niet 'verstrekt' - want ze vallen niet onder de controle van die derde organisatie. De printer mag er zelfstandig niks mee doen.

In de bovenstaande casus daarentegen zijn de gegevens verkocht en mochten de sponsoren naar eigen believen marketing sturen.

[wiseger]

Ze vallen wel onder de controle van die derde organisatie. De gegevens zijn digitaal verstrekt en al dan niet tijdelijk opgeslagen in de systemen van de derde organisatie.

Ik heb het niet over de casus hierboven, ik reageerde op de stelling:

Het hele woord 'legitimate interest' is bedacht door de reclameindustrie.

Zie bijvoorbeeld ter toelichting Voorwaarde 1: gerechtvaardigd belang
https://www.autoriteitper...grondslagen-avg-uitgelegd

Let op: tekst gewijzigd (april 2025)
Bepaal of uw belang daadwerkelijk een gerechtvaardigd belang is. Veelgenoemde gerechtvaardigde belangen zijn bijvoorbeeld:

fraude, oplichting of ander onrechtmatig gedrag tegengaan;
de privésfeer beschermen;
zorgplichten nakomen voor werknemers en/of klanten.

[Reactie gewijzigd door wiseger op 18 oktober 2025 13:36]

[Karf]

Jullie halen allebei een aantal dingen door elkaar.

Het versturen van de gegevens naar de printdienst is een verwerking onder de AVG. Een verwerking kan van alles zijn, bijvoorbeeld het opslaan, versturen, printen, verwijderen of aanpassen van een persoonsgegeven.

De bank en de printdienst sluiten een verwerkingsovereenkomst. In die overeenkomst is opgenomen dat de bank verantwoordelijk blijft voor de verwerking van de gegevens en dat de printdienst de gegevens verwerkt volgens instructie van de bank en niet gebruikt voor eigen doeleinden. De bank is hier verwerkingsverantwoordelijke. De printdienst in dit voorbeeld zou een verwerker zijn.

Dat neemt niet weg dat voor de verwerking an sich een verwerkingsgrondslag moet hebben zoals expliciete toestemming, een overeenkomst, of een gerechtvaardigd belang.

Overigens zou dit voorbeeld waarschijnlijk worden gezien als een uitvoering van de overeenkomst tussen de bank en de klant.

[SkiFan]

Dat maakt voor de AVG niet uit. Het gaat er niet om of ze er iets mee mogen, het gaat erom of ze verstrekt zijn.

[FreezeXJ]

Dat is geen 'interest', dat is een deal tussen je bank en Canon, waar jij in principe niet eens toestemming voor hoeft te geven, en waarbij de bank nog steeds verantwoordelijk blijft voor het correct verwerken.

'Legitimate interest' is bedoeld voor de 5013 data-verzamelaars die een website zelf wil promoten om in theorie uit naam van die website rommel te versturen, en in praktijk gewoon data te hamsteren. Over het algemeen staat er ook geen reden bij waarom het 'legitimate' is, behalve dan dat ze het lief vragen.

[wiseger]

https://www.rijksoverheid...ens-aan-anderen-doorgeven

Gerechtvaardigd belang van de organisatie
Een organisatie kan een andere goede reden hebben om uw gegevens te delen. Bijvoorbeeld om fraude op te sporen. Een organisatie moet haar eigen belang dan afwegen tegen uw belang en uw rechten. En ze moet zich afvragen of het resultaat op een andere manier te bereiken is, of met minder gegevens. Ook moet de organisatie een privacytoets uitvoeren.

[fruitbakje]

Ik denk in de praktijk dat in dit geval het gewoon commerciële belangen zijn, waarover het Hof zelf zegt:

In dit verband heeft het Hof niet uitgesloten dat een commercieel belang van de verwerkingsverantwoordelijke, bestaande in de promotie en verkoop van advertentieruimte voor marketingdoeleinden, kan worden aangemerkt als een gerechtvaardigd belang in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG (zie naar analogie arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 73).

Dus wat betreft @FreezeXJ , inderdaad, ze willen gewoon geld verdienen, en het is nog steeds niet per se heel duidelijk of dat dan wel of niet écht een "legitimate interest" is.

[J_van_Ekris]

Mee eens, de AP is hier geeoon te kort door de bocht gegaan. De discussie over doelbinding had wat mij betreft daar echt in moeten voorkomen. De gegevens zijn verstrekt zodat de KNLTB als bond jou bondsinformatie (wedstrijden, etc.?) kan sturen, niet voor commerciele doeleinden. En men heeft bij mijn weten ook weinig keuze: als je wedstrijden wil spelen, dan moet je lid zijn, en moeten je gegevens bij de bond worden doorgegeven.

[kimborntobewild]

Ik ben het volstrekt oneens met het Europees hof van Justitie, en vind inderdaad dat marketing nooit gerechtvaardigd belang kan zijn. Die uitspraak van het hof is een gitzwarte dag voor de privacy en veiligheid.

[CivLord]

Zo. Overdrijven is ook een vak.

Geen enkele regel is zwart/ wit. Er zijn altijd uitzonderingen mogelijk, ook wanneer deze uitzonderingen uiterst zeldzaam en/ of moeilijk voor te stellen zijn.
De AP heeft gezegd dat direct marketing nooit een gerechtvaardigd belang kan hebben. Het Europese Hof heeft enkel gezegd dat het niet zo absoluut is. Dat betekent niet dat iedereen persoonsgegevens lukraak persoonsgegevens kan verkopen voor direct marketing (dat zou een zwarte dag zijn geweest voor de privacy), maar dat er nog steeds een DPIA moet zijn met een goede uitleg waarom het delen van de gegevens gerechtvaardigd is. Voor direct marketing zou dat extreem moeilijk zijn, maar niet op voorhand 100% onmogelijk.

Waarom heeft het Hof deze beslissing genomen?
Misschien vanwege het principe dat geen enkele wet absoluut is (tenzij in die wet zelf expliciet is opgenomen dat er geen uitzonderingen mogelijk zijn).
Misschien staat in de toelichting bij de GDPR/ AVG iets dat er op hint dat commercieel gebruik (zoals direct marketing) onder bepaalde omstandigheden mogelijk zou kunnen zijn. Of iets dat er op wijst dat enkel de uitkomst van een DPIA kan bepalen of iets wel of niet mogelijk is en dat er dus niets op voorhand totaal onmogelijk is. Of misschien is het bij de behandeling van de GDPR/ AVG door de betrokken Europese ministers, het Europarlement of het Nederlandse parlement ter sprake gekomen dat er op voorhand niets wordt uitgesloten zonder DPIA of misschien is zelfs het gebruik voor commerciële doeleinden bij de behandeling ter sprake gekomen.
Dat zijn allemaal zaken die het Hof bekijkt en meeneemt voordat het een beslissing neemt. Net als hoe er bij voorgaande privacywetten mee omgegaan werd (en of het de bedoeling was om dit onderdeel wel of niet te wijzigen) en daar voor andere wetten met vergelijkbare bepalingen mee wordt omgegaan.

[kimborntobewild]

Een lang verhaal, maar ik zie nog steeds geen gewenste uitzondering.

[CivLord]

Die kan ik ook niet zo even bedenken. Maar dat betekent niet dat die er niet is.
En wanneer iemand denkt dat die er wel is, moet er een heel goede argumentatie zijn om door de DPIA te komen.

[supersnathan94]

Ik hoor graag van de rechter 1 voorbeeld waarin direct marketing van een derde partij wel een rechtvaardig belang zou kunnen zijn. Ik kan mij er namelijk geen 1 bedenken.

En aangezien wij wel de target gaan zijn van die Direct Marketing, zie ik graag hoe de rechter dan ziet dat we ook in die gevallen gewoon aan kunnen geven het niet te willen.

want dit betekent dus dat vanaf nu iedere nieuwsbrief van iedere winkel weer onder “gerechtvaardigd belang” gewoon gestuurd kan gaan worden zonder opt-in.

[CivLord]

Het Europese Hof heeft niet gezegd dat direct marketing een gerechtvaardigd belang is en dat iedereen dus op grond daarvan persoonsgegevens kan verkopen/ gebruiken voor direct marketing.

Het Hof heeft gezegd dat het niet op voorhand uitgesloten is dat er een gerechtvaardigd belang zou kunnen zijn. Dat gerechtvaardigd belang zal dan nog steeds in een DPIA verklaard moeten worden. En ik ben met je eens dat ik daar niet zo snel een voorbeeld van kan verzinnen. (Maar dat betekent niet dat het nooit voor zou kunnen komen.)

Het is ook niet aan de rechter om voorbeelden te geven waarin iets wel of niet mag. De rechter moet een bestaande situatie toetsen aan de geldende wet- en regelgeving en vervolgens een oordeel geven.

[supersnathan94]

Het Hof heeft gezegd dat het niet op voorhand uitgesloten is dat er een gerechtvaardigd belang zou kunnen zijn.

Nou het hof verwijst in haar verklaring naar een arrest uit Spanje volgens mij. waar "het recht om vergeten te worden" ook voor het eerst benoemd werd en daarin wordt dan ook het voorbeeld van Google Search aangehaald als gerechtvaardigd belang

Commercieel belang ≠ automatisch ongerechtvaardigd:
Het Hof erkende dat commerciële belangen van bedrijven (zoals advertentieverkoop of het aanbieden van zoekdiensten) kunnen gelden als een “gerechtvaardigd belang” onder de privacywet, maar dat die belangen moeten worden afgewogen tegen de rechten en vrijheden van betrokkenen.

Volgens mij is dat ook waar het AP eerder al eens op hun vingers getikt is met die Voetbal app waar je live de wedstrijd mee kon kijken.

Ik vind het overigens wel een gevaarlijk precedent als we gaan stellen dat Google een gerechtvaardigd belang heeft bij advertentieverkoop. Dat is namelijk hun core business. Daarmee zouden ze achteraf dus alle gegevens alsnog kunnen koppelen zonder dat je daar iets aan kunt doen.

Dat gerechtvaardigd belang zal dan nog steeds in een DPIA verklaard moeten worden.

Tsja, dat is natuurlijk het simpelste deel van het verhaal. Er is een enorme trigger om dit simpelweg een bepaalde kant op te schrijven. Je laat de slager vooraf zijn eigen vleeskeuringsproces schrijven en het daarna uitvoeren.

[i-chat]

daar ben ik het mee eens,

een gerechtvaardigd belang zou in opinie eigenlijk altijd een belang moeten zijn dat:
1: Niet per definitie vooraf voorzien was.. als het onderdeel was van je 'bedrijfsplan' dan was het te voorzien en kon je dus om toestemming vragen.
2: ten nadele van mij maar ten groter voordeel van bijvoorbeeld mijn kind
(mijn medische privacy schenden om het leven van mijn kind te kunnen verbeteren: denk aan zonder toestemming controleren of ik bekend ben met erfelijke aandoeningen zelfs zonder mijn toestemming)
3: aanschrijven van leden van een vereniging voor het werven van fondsen omdat die vereniging op het punt van faillissement staat en dan nog zou dat bij een vereniging gewoon via de Algemene Leden Vergadering kunnen maar het idee van het voorkomen van zo'n ernstig lot zou misschien 'gerechtvaardigd kunnen zijn'

voor een 'extra loterij' zou nooit mogen kunnen

[MSalters]

een gerechtvaardigd belang zou in opinie eigenlijk altijd een belang moeten zijn dat:
1: Niet per definitie vooraf voorzien was.. als het onderdeel was van je 'bedrijfsplan' dan was het te voorzien en kon je dus om toestemming vragen.

Dat is gevaarlijk fout.

Instemming is niet vereist, en dan moet je alsnog je dienst leveren. Een gerechtvaardigd belang is zo belangrijk-per definitie- dat het wel vereist is.

Denk bijvoorbeeld aan een dating dienst die uit veiligheid vraagt om persoonsgegevens.

[Killjoy]

Het gerechtvaardigd belang is een lang bestaande grondslag en komt al voor in de richtlijn 95/46/EG. In Nederland beter bekend als de Wet bescherming persoonsgegevens. Het bestaan ervan heeft dus niet direct iets met de big tech lobby te maken.

Het probleem is eerder dat van verwerkings verantwoordelijken wordt verwacht dat zij zorgvuldige afwegingen maken: zelfregulatie. Dit terwijl big tech juist bewust de grenzen opzoekt. Als in: het mag tot we worden teruggefloten.

Deze zaak is/was daarom bijzonder interessant.

[emeralda]

Ik zie dit ook bij aan de deur verkopen. Letterlijk 90% van de consumenten is er niet van gediend dat de Delta hesjes door de wijk lopen maar het kan niet verbonden worden.

Delta zegt dat ze belangrijk werk doen om de consument te informeren over energie

[Raymond Deen]

Alhoewel hieronder een goed verhaal met argumenten onderbouwd staat, ben ik ook met jou eens: gerechtvaardigd belang is een term die ongelooflijk smerig is en met genoeg middelen door grote partijen succesvol gebruikt kan worden in rechtszaken.

Jouw gegevens zijn van jou en zouden nooit zonder jouw expliciete toestemming gedeeld mogen worden; dat had er in de wet moeten staan om privacy goed te beschermen.

[SkiFan]

Alhoewel hieronder een goed verhaal met argumenten onderbouwd staat, ben ik ook met jou eens: gerechtvaardigd belang is een term die ongelooflijk smerig is en met genoeg middelen door grote partijen succesvol gebruikt kan worden in rechtszaken.

Jouw gegevens zijn van jou en zouden nooit zonder jouw expliciete toestemming gedeeld mogen worden; dat had er in de wet moeten staan om privacy goed te beschermen.

Dat is een fraai ideaal, maar niet reëel. Ik verleen support voor een organisatie die geprivilegieerde persoonsgegevens verwerkt. Die kennis hebben ze zelf niet in huis. Daartoe moet ik in principe bij user-gegevens kunnen. Niet dat ik er wat mee doe, maar het zou kunnen. Door een verwerkers-overeenkomst kan ik gewoon de support leveren voor hun. En moet iedere klant dan toestemming geven? Als die het niet zou doen zou ik voor niemand het werk kunnen doen want ik heb in principe toegang tot alles.

[Raymond Deen]

Dat is een heel ander voorbeeld en dat weet je best.

[SkiFan]

Nee, dat is het niet. Het valt allemaal onder het delen van gegevens. Als je dat té resoluut afsluit krijg je dus dit soort problemen. Voor jouw situatie hebben we al de redelijk belang toets. Zonder toestemming mogen ze maar weinig delen.

[Raymond Deen]

Jij verwerkt die gegevens niet onder gerechtvaardigd belang, maar als verkozen verwerker door jouw opdrachtgever. Dat zijn twee heel verschillende dingen.

Jij hebt vervolgens geen enkel gerechtvaardigd belang om met die gegevens wat anders te doen dan in jouw verwerkers-overeenkomst staat.

Ik ken dat soort overeenkomsten maar al te goed. Heb tig van dat soort overeenkomsten getekend toen ik nog veel voor banken en verzekeraars werkte.

[Reactie gewijzigd door Raymond Deen op 19 oktober 2025 19:22]

[SkiFan]

Maar voor dit soort zaken moet de klant dan ook toestemming gaan geven. Gerechtvaardigd belang wordt overigens ook niet snel aangenomen.

[arjankoole]

Wederom een voorbeeld waarom dat "gerechtvaardigd belang" totaal niet gerechtvaardigd is. De big-data-industrie heeft toch een knap staaltje gelobbyd om dat in de wet te krijgen.

Iets als gerechtvaardigdbelang bestaat gewoon. Echter, de tech industrie neemt daar natuurlijk een enorm loopje mee met al die cookiewalls. Gelukkig zijn de meeste inmiddels wel zover aangepast dat ze 'weiger alles' hebben. Ik zie de shadowpatterns ook een beetje afnemen.

[yevgeny]

Weer een blunder van AP, keer op keer worden ze door rechtbanken gecorrigeerd.

[jurjen_g]

Hoezo is dit een bunder? Op basis van een nieuwe wet poogden ze een boete op te leggen met een redenering. Europees Hof stelt dat die redenering niet altijd geldt. Expliciet betekent dit niet dat er geen overtreding was, maar dat de argumentatie anders moet. Normaal is er dan dus weer opnieuw een rechtzaak, maarKNLTB en AP gaan om tafel en bedenken een compromis, waardoor we met z'n allen niet nog een keer onnodig geld over de balk smijten aan die rechtzaak, maar het doel van de AP, namelijk bewustzijn van privacy schendingen en daarop handhaven, behaald is en er ook nog eens extra aandacht vanuit de tennisbond voor privacy komt. Ik vind dit een voorbeeld van hoe "recht" correct en eerlijk en ook nog eens pragmatisch tot uiting is gekomen. Disclaimer ik ben geen tennisser, jurist,.noch enige banden met AP etc.

[supersnathan94]

Nouja pragmatisch. Ze zijn al 5 jaar een semantische discussie aan het voeren en de conclusie is nog eens een probleem ook.

ben hier niet zo blij mee.

[kimborntobewild]

In dit geval een blunder van het Europees hof van Justitie.

[fruitbakje]

Ik denk dat je van goede huize moet komen om een onderbouwing van het Hof onderuit te halen . Ik zie graag je analyse tegemoet.

Ik denk zelf dat het simpelweg het uitvoeren is van de wet (zowel AVG/GDPR als allerlei gerelateerde [grond]wetten). Als die niet zeggen dat iets niet mag, waarom zou een rechter dan zelf iets bedenken...? Een rechter voert gewoon de wet uit:

Rechters horen niet bij de wetgevende macht

https://prodemos.nl/kennis/informatie-over-politiek/wat-is-een-rechtsstaat/de-scheiding-der-machten/

Wil je dat het verboden wordt? Dan moet je die wetgevende macht dat laten regelen.

[kimborntobewild]

Volledig objectieve rechters bestaan niet.

[CivLord]

En dat is jouw rechtvaardiging om te kunnen denken dat elke rechter die iets beslist waar jij het persoonlijk niet mee eens bent beïnvloed of corrupt is?

[kimborntobewild]

Ik weet goed wat goed of slecht is. Rechters hebben zich te houden aan subjectieve gedachten en wetten die niet deugen.

[downtime]

Blunder? Misschien zou de wetgeving gewoon wat duidelijker moeten zijn. We zien dit wel vaker dat de wetgever met vage omschrijvingen komt en de toezichthouders en rechtbanken maar moeten uitvechten wat dat nou in de praktijk moet betekenen.

[CivLord]

Wetgeving die te specifiek is kan omzeilt worden door nét even naast die specificatie te gaan zitten. Dan moet zo'n wet constant 'gerepareerd' worden en krijg een wet met een vrijwel onontwarbare kluwen met bepalingen, uitzonderingen en uitzonderingen op uitzonderingen. Veel belastingwetgeving is daar een goed voorbeeld van.

Vage omschrijvingen in de wet, samen met een toelichting en het voortraject van de behandeling van een wet in het parlement, is veel flexibeler en op veel meer zaken toe te passen. De hoofdregel is altijd wel duidelijk en voor afwijkingen daarop moet je naar de rechter (wanneer twee partijen een andere interpretatie hebben) die de zaak samen met alle beschikbare informatie beoordeelt en interpreteert.

[arjankoole]

Weer een blunder van AP, keer op keer worden ze door rechtbanken gecorrigeerd.

De rechtbank zegt alleen maar dat het niet helemaal zo zwart-wit is als ze doen voorkomen in dit specifieke geval.

De bond steekt ook hand in eigen boezem. Ze komen tot een gezamelijke oplossing. stoppen met procederen. Er blijft ook nog steeds een overtreding staan en een boete. (alleen minder hoog, want de bond is constructief en trekt samen met de autoriteit op in deze zaak).

eigelijk een best goede oplossing zo.

[AnonymousGerbil]

De Koninklijke Nederlandse Lawn Tennis Bond kreeg in 2019 een boete van de Autoriteit Persoonsgegevens, omdat de bond persoonsgegevens van honderdduizenden leden had gedeeld met een loterijorganisatie of een tennisspullenwinkel.

Losstaande van of dit wettelijk mag of niet vindt ik het wel bizar dat ze daar dachten dat dit een goed idee was. Ga gewoon met respect om met het vertrouwen dat leden je geven. Zo moeilijk is dat toch niet?

[Reactie gewijzigd door AnonymousGerbil op 18 oktober 2025 05:54]

[wildhagen]

Mee eens. Ik vraag me ook af waarom de KNLTB dit destijds gedaan heeft. Was dit om als vereniging extra geld binnen te krijgen voor de verenigingskas of zaten er andere motieven achter?

Want die tennisspullenwinkel heeft dan op zijn minst nog enige connectie met de vereniging (hoewel ik het dan nog onwenselijk vind), maar waarom ze dit ook aan een loterij-organisatie in 's hemelsnaam verkocht hebben is me niet helemaal helder...

En aan wie hebben die loterij en die winkel de gegevens eventueel nog verder verkocht, en wat gebeurt daar vervolgens weer mee?

Ik vind het daarom persoonlijk toch wel jammer dat ze er weer met een forse reductie van de boete vanaf komen. Imho geeft dat een beetje een verkeerd signaal af.

[BertNL]

Hier iets meer achtergrondinformatie over deze zaak: review: Juristen verbaasd over AVG-boete voor tennisbond

De loterijorganisatie en winkel zijn niet bekend gemaakt door de Autoriteit Persoonsgegevens (AP) maar uiteraard bekend bij de tienduizenden leden die zijn benaderd. Onderaan dit RTL bericht worden ze trouwens dan wel weer genoemd: https://www.rtl.nl/nieuws/economie/artikel/5474470/knltb-wint-europese-zaak-van-ap

Dat de boete is gehalveerd zal zijn omdat in een juridisch vervolgtraject het nog twee kanten kon opgaan. Zo’n traject kost de tennisbond ook geld, zeker wanneer ze zich laten bijstaan door een advocatenkantoor met uurtarieven van 400 euro of meer. Alhoewel de tennisbond de boete best kan dragen is ook de gehalveerde boete een flinke hap uit het vermogen (5% ongeveer).

[BertNL]

En er was ook een alternatief geweest: de Tennisbond had papieren folders e.d. van de loterij en tennisspullenwinkel zelf kunnen verzenden. De loterij en de winkel hadden dan de verzendkosten voor hun rekening genomen en overdracht van persoonsgegevens was überhaupt niet nodig geweest. In een begeleidend briefje had de Tennisbond nog expliciet kunnen melden dat zij de reclame versturen (en waarom: inkomsten genereren) en er geen persoonsgegevens zijn gedeeld.

[downtime]

Maar dan is het geen makkelijk verdiend geld meer.

[wiseger]

Een tennisbond heeft geen winstoogmerk. De enige inkomsten zijn de contributie van de leden en betalingen van sponsoren. Hier gaat het om de samenwerking met sponsoren die de NAW gegevens van de tennisbond mochten gebruiken om aanbiedingen aan de leden te doen.

De term 'makkelijk verdiend geld' is dan niet van toepassing. Het enige alternatief op dalende sponsorinkomsten is stijging van de contributie gelden. Dit is iets waar heel veel stichtingen mee worstelen.

[downtime]

Een tennisbond heeft geen winstoogmerk.

Wat heeft dat ermee te maken? Een vereniging of stichting mag geen rendement uitkeren maar er mag best geld verdiend worden. Dat gaat dan naar het financieren van de activiteiten of, als de vereniging er financieel goed voor staat, naar het opbouwen van een financiele reserve.

De enige inkomsten zijn de contributie van de leden en betalingen van sponsoren. Hier gaat het om de samenwerking met sponsoren die de NAW gegevens van de tennisbond mochten gebruiken om aanbiedingen aan de leden te doen.

De term 'makkelijk verdiend geld' is dan niet van toepassing. Het enige alternatief op dalende sponsorinkomsten is stijging van de contributie gelden. Dit is iets waar heel veel stichtingen mee worstelen.

Natuurlijk is dat makkelijk verdiend geld. In de meest letterlijke zin. Die ledenlijst hebben ze al, die zet je even op de mail en presto, sponsor tevreden, geld binnen, een paar minuten werk. Dat is veel makkelijker dan het plan van @BertNL waarvoor de leden aan het werk moeten.

[supersnathan94]

De KNLTB heeft meermaals van dit soort idioterie gehad. Heb jaren getennist en voor 2010 hadden ze ook al van dit soort rare dingen. Zoals dus verplicht delen van je gegevens met sponsoren bij toernooien kan ik me iets van herinneren. Maar goed. Is nu ook al weer 15 jaar terug ofzo.

[arjankoole]

De KNLTB heeft meermaals van dit soort idioterie gehad. Heb jaren getennist en voor 2010 hadden ze ook al van dit soort rare dingen. Zoals dus verplicht delen van je gegevens met sponsoren bij toernooien kan ik me iets van herinneren. Maar goed. Is nu ook al weer 15 jaar terug ofzo.

En dat was voor de AVG in werking trad. Je kan stellen dat de AVG er is gekomen, mede doordat dat soort fratsen steeds meer toenamen en dus de rechten van burgers in gevaar bracht. (er waren nog veel schrijnendere gevallen).

[supersnathan94]

Fair. Het was toen allemaal net ff anders. vooral omdat ik toen ook nog minderjarig was, was het behoorlijk vervelend dat ze daar helemaal geen rekening mee hielden. Kun je wel toestemming geven voor dat soort dingen? klinkt redelijk als "contract". En ze weten uiteraard ook je leeftijd.

[arjankoole]

Leeftijd is zo'n ding wat helemaal niet doorgegeven mag worden, dat is een bijzonder persoonsgegeven, als ik me goed kan herinneren.

En je kan tot op zekere hoogte toestemming geven, maar dat is altijd expliciet, via opt-in. Niet impliciet (kleine lettertjes, voorgeselecteerd vinkje, etc)

[supersnathan94]

ja naar derden mag dat inderdaad niet nee, maar gaat me eer meer om dat de KNLTB minderjarigen dit soort dingen laat "ondertekenen" . dat houd natuurlijk nooit stand.

maar dat is altijd expliciet

ja volgens de wet vaak zat dat nieuwsbrieven bijvoorbeeld nog steeds opt-out zijn hoor.

[arjankoole]

Minderjargen moet een ouder / verzorger altijd mede ondertekenen, omdat minderjarigen geen rechtsgeldig contract kunnen aangaan, inderdaad.

Meestal is een vriendelijk mailtje voldoende om 'opt-out' aan te laten passen voldoende. Als ze vinden dat ik niet moet zeuren meld ik 't bij de AP. ( die gaan er echt achteraan heb ik gemerkt )

[supersnathan94]

Minderjargen moet een ouder / verzorger altijd mede ondertekenen, omdat minderjarigen geen rechtsgeldig contract kunnen aangaan, inderdaad.

Ja bij inschrijven op toernooien kan ik mij dat dus niet herinneren. Dus dat is wel een dingetje.

[kodak]

We leven in een democratische rechtsstaat. Of iets respectvol is gaat juist ook om je naar de wet gedragen. Anderd kunnen we net zo goed stellen dat criminelen respectvol slachtoffers maken. Dus over welke respectvolle omgang heb je het hier dan?

[Noitisnt]

Bijzonder dat zo'n commerciële actie (gegevens van derden verkopen) wel een gerechtvaardigd belang kan zijn. Je zou toch verwachten dat dat niet is toegestaan zonder betrokkenen van tevoren duidelijk te informeren dat hun persoonlijke data aan jan en alleman verkocht kan worden.

[kodak]

Als er geen expliciet verbod is kan er ook niet zomaar een expliciet verbod toegepast worden. Dat is al van voor de AVG een vrijheid die de wetgever belangrijker vond dan handel in andermans persoonlijke gegevens beperken. Of dat nu commerciele handel is of voor andere doelen waar meningen van nut en noodzaak over kunnen verschillen.

Het bijzondere is eerder dat de toezichthouder de wet anders interpreteerde en er ook geen belang in zag dat behoorlijk te onderbouwen. Juist terwijl er al vanaf het ontwerp van de AVG zorgen zijn dat een rechtvaardig belang erg veel vrijheid geeft als de toezichthouder dat niet vooraf toetst of achteraf heel duidelijk maakt waarom het er niet is.

[supersnathan94]

Als er geen expliciet verbod is kan er ook niet zomaar een expliciet verbod toegepast worden

Hoezo? Dat verbod is er toch al in de vorm van AVG? Toestemming tenzij…

En die tenzij is meestal een wettelijke uitzondering.

Legitiem belang is veelal een onvoorziene uitzondering (post bij overlijden van een huisarts, fondswerving om faillissement van een vereniging te voorkomen, of online google analytics).

Of dat nu commerciele handel is of voor andere doelen

Commerciële handel kan praktisch nooit een legitiem belang zijn. De rechter geeft san het niet uit te sluiten, maar ik zie graag een voorbeeld van zo’n case tegemoet waaruit blijkt dat het echt kan. Want in de praktijk kunnen bedrijven niet met die zelfregulering omgaan om dit goed te beoordelen.

[fruitbakje]

In dit verband heeft het Hof niet uitgesloten dat een commercieel belang van de verwerkingsverantwoordelijke, bestaande in de promotie en verkoop van advertentieruimte voor marketingdoeleinden, kan worden aangemerkt als een gerechtvaardigd belang in de zin van artikel 6, lid 1, eerste alinea, onder f), AVG (zie naar analogie arrest van 13 mei 2014, Google Spain en Google, C‑131/12, EU:C:2014:317, punt 73).

Dit is eigenlijk simpelweg de wet (die de rechter van het Hof in andere woorden opleest).

[kodak]

De tennisbond start een voorlichtingscampagne over privacy die gericht is op tennisclubs en andere sportbonden. De Autoriteit Persoonsgegevens werkt hieraan mee.

Als dit onderdeel is van een compromis dan vraag ik me sterk af of hier nog strenge voorwaarden aan verbonden zijn met expliciet erkennen wat de sportbond anders had moeten handelen. Anders klinkt het vooral als een voorstel waarbij de sportbond met naam en logo wel mag pronken hoe goed ze bezig zijn en na te laten welke onacceptabele handelingen men zelf gedaan geeft. Een toezichthouder die mee werkt aan commerciële belangen van overtreders (sportbonden bestaan duidelijk niet slechts om de sport) lijkt me niet de bedoeling.

[TheMak]

Bij sportbonden vind ik vooral verantwoording aan de leden moet worden afgelegd

[bousix]

Van WIE was die tennisspullenwinkel en WIE vanuit de bond zocht dat contact? Op die manier kom je erachter wat het belang was.

[arjankoole]

je hoeft er geen samenzwerintheorien bij te gaan halen.

alles heeft er van weg dat het een doodnormale sponsordeal was, die misgegaan is. (mogelijk ook omdat de AVG toen vers uit het ei was, en veel organisaties ermee liepen te worstelen - ik heb destijds bij het bedrijf waar ik werkte ook op de rem getrapt omdat sales/marketing bijna iets heel doms deed)

[rgcreator]

Wat ik ook heb begrepen door AI. Ookal is het rechtvaardig belang. Dan heb je alsnog een verklaring nodig waarin staat wat je doet met de persoonsgegevens. Algemeen belang is als het echt nodig is voor bijvoorbeeld beveiliging en echt weinig schade toe kan richten. Bijvoorbeeld gebruikers koppelen aan een sessie id om zo fraude van analytics op te sporen is bijvoorbeeld rechtvaardig belang. Maar dan heb ik alsnog een verklaring nodig dat ik dat verzamel en wat ik ermee doe. Alleen kunnen gebruikers dan niet weigeren. Dat is het verschil tussen toestemming en rechtvaardig belang volgens ai. Als het geen rechtvaardig belang is moet de gebruiker ook kunnen zeggen. Verwijder de data of ik ga niet akkoord. Maar bij bijde moet het gemeld worden. Heeft de tennisvereniging dit wel gemeld.

[mutley69]

Als je betaald heb je een contract en daar hangen vertrouwelijke zaken aan vast. Dat je die data niet door geeft aan derden zonder toelating vb. en dat die toelating ingetrokken kan worden. De tennisbond is dus wellicht zwaar de fout in gegaan en die GDPR-boete is dan terecht. Het EU-gerechtshof dient onze belangen absoluut niet - dat is ook gebleken in de intel-zaak. En er zullen er ongetwijfeld nog zijn en volgen.