De AVG begint op stoom te komen. Vorige week viel er voor de tweede keer een hoge boete voor een overtreding van de privacywet. De tennisbond Knltb moet meer dan een half miljoen euro betalen wegens het verkopen van gegevens van tennissers. Oppervlakkig gezien is dat een logische zet; een bedrijf verkoopt gegevens en wordt daarvoor bestraft, maar de realiteit is ingewikkelder. De uitspraak kan volgens experts vergaande gevolgen hebben voor alle sportverenigingen, maar ook voor veel andere clubs en bedrijven.
Eerst even een recap. Op dinsdag 3 maart deelde de Autoriteit Persoonsgegevens haar tweede AVG-boete uit. Die was hoog; de Koninklijke Nederlandse Lawn Tennis Bond, of Knltb, kreeg maar liefst 525.000 euro boete opgelegd. De organisatie had namelijk gegevens van leden verkocht aan sponsoren. De voorwaarden waaronder dat was gebeurd, waren niet juist, concludeerde de AP. De boete kwam hard aan en niet alleen bij de tennisbond zelf. Ook sportkoepelorganisatie NOC*NSF sprak zich uit tegen de uitspraak, net als diverse andere sportorganisaties en zelfs de politiek.
Wat gebeurde er precies?
De zaak draaide specifiek om de datahandel van gegevens van de leden van de Knltb. De bond verkocht twee batches van gegevens. In één geval ging het om 50.000 leden van wie de postadressen werden verkocht. Bij een tweede batch ging het om geslacht, telefoonnummers en e-mailadressen van 314.846 leden, van wie 39.478 personen of zo'n dertien procent daadwerkelijk werd benaderd. De gegevens gingen naar 'sponsoren'. Wie dat precies waren, is weggelakt in het boetebesluit van de AP. Evenmin is duidelijk wat er is gebeurd met de gegevens, alleen dat de Knltb de sponsoren heeft gevraagd te stoppen met de marketing.
Er zijn twee verschillende overtredingen vastgesteld. De verkochte gegevens kwamen van leden die vóór 2007 lid waren geworden, en van leden van wie het lidmaatschap daarna is ingegaan. Voor die eerste groep is de overtreding dat de data voor een ander doel is gebruikt dan aanvankelijk de bedoeling was. In 2007 ging de ledenraad ermee akkoord dat bepaalde ledeninformatie werd doorverkocht voor marketingdoeleinden. Dat mocht onder bepaalde voorwaarden, waarvan de AP nu zegt dat ze niet terecht zijn. De Knltb merkte dat de ledenaantallen terugliepen en daarmee de inkomsten. Het doorverkopen van de gegevens was bedoeld om de contributie betaalbaar te houden en om 'meerwaarde te creëren voor leden van de Knltb'. Maar de reden waarom de Knltb dat deed, was niet voldoende, zegt de toezichthouder nu.
De reacties
De Knltb snapt de boete niet
De Knltb is natuurlijk niet blij met de boete. Om het even in perspectief te plaatsen: de club had eind 2018 een eigen vermogen van 6.356.139 euro. Dan is een half miljoen een flinke financiële klap, ook al heeft de AP bij de berekening gekeken naar de impact van de boete op de vereniging. De bond is vooral verbaasd en zegt dat de boete kwam als een verrassing.
en meent niets fout te hebben gedaan
De bond heeft een aantal bezwaren. Een belangrijk bezwaar is de onduidelijkheid van de AVG en de rol van de toezichthouder daarbij. De regels over wanneer dergelijke verkoop is toegestaan, zijn namelijk niet onmiddellijk helder. Er is geen wet waarin staat: "X is toegestaan, Y niet", maar de wettekst is aan interpretatie onderhevig en daar zit het probleem volgens de Knltb. Die vindt dat de Autoriteit Persoonsgegevens te weinig aan voorlichting heeft gedaan. De bond is niet de enige met die kritiek. Belangenverenigingen zoals VNO-NCW en MKB-Nederland beklaagden zich in aanloop naar de privacy ook al over de voorlichtende rol van de toezichthouder.
De Knltb voelt zich ook een 'proefkonijn van de nieuwe zienswijze van de AP'. "Wij kunnen ons niet aan de indruk onttrekken dat er met ons een voorbeeld gesteld moet worden voor de hele sportsector", zei directeur dienstverlening Robert Jan Schumacher tegen de NOS. Geen gekke gedachte: de Autoriteit Persoonsgegevens gaf namelijk in november al aan meer aandacht te geven aan onder andere onterechte datahandel. Een ander punt van kritiek is dat de AP niet, zoals in andere gevallen, eerst met een 'last onder dwangsom' kwam.
Naast de Knltb zijn ook andere sportorganisaties geschrokken. Het NOC*NSF hekelt het feit dat de AP geen voorlichting heeft gegeven over wat wel en niet mocht. Niet alleen belanghebbende organisaties schrokken van de boete. Ook experts staan ervan te kijken. Tweedekamerleden Rudmer Heerema en Tobias van Gent van de VVD stelden Kamervragen over de kwestie. Hoogleraar Sportrecht Marjan Olfers zei tegen de NOS de boete disproportioneel te vinden. Overigens staat op haar cv een functie vermeld bij het NOC*NSF, al is niet bekend wat de omvang van haar werkzaamheden daar was.
Gerechtvaardigd belang
De Knltb vond zelf dat het een goede reden had om de gegevens door te verkopen en dat de AP nu het tegendeel zegt, is een klap.
De discussie draait om het begrip 'gerechtvaardigd belang'
De Knltb beriep zich voor de verkoop gewoon op de AVG en dan specifiek op de regels waarin staat wanneer je wel en niet data mag doorverkopen. Dat doorverkopen mag onder de AVG namelijk wel, maar alleen als daar goede redenen voor zijn. Er zijn zes grondslagen onder de AVG waaronder data 'verwerkt' mag worden. Zo kan een bedrijf toestemming vragen aan leden of zij akkoord gaan met de verkoop. Ook als er een 'wettelijke verplichting' is of als het verzamelen nodig is voor de bedrijfsvoering, mag dat.
Het verzamelen van de ledengegevens is een verwerking waarvan de grondslag ook meteen logisch is. De vereniging moet een administratie bijhouden (bedrijfsvoering) en de financiële administratie aan de fiscus kunnen laten zien (wettelijk). Maar vervolgens is het doorverkopen van de gegevens een aparte 'verwerking' en daarvoor is een aparte grondslag nodig. Daarvoor is geen wettelijke noodzaak en voor de bedrijfsvoering is het ook niet essentieel, maar toch had de Knltb een reden om dit te doen. En dat is precies waar de schoen wringt.
De sportbond beriep zich specifiek op het 'gerechtvaardigd belang'. Juristen noemen dat soms de verzamelbak onder de grondslagen. Het betekent eigenlijk dat een bedrijf gegevens mag verwerken als het kan uitleggen waarom dat belangrijk is voor het bedrijf. En, opvallend, direct marketing valt daaronder. Dat staat namelijk letterlijk in een toelichting op de wettekst.
Direct marketing als belang
Overweging 47 van de AVG noemt direct marketing als een gerechtvaardigd belang. Dat maakt deze zaak zo lastig. De Knltb keek namelijk naar de wettekst en toelichting en zag mogelijkheden. De bond staat daarin niet alleen. Veel sportverenigingen interpreteren de privacywet zo dat het doorverkopen van gegevens voor promotiedoeleinden mag, omdat de AVG letterlijk stelt dat direct marketing een grondslag is.
De wettekst zegt overigens niet dat een bedrijf zich altijd voor alles zomaar mag beroepen op het gerechtvaardigd belang. Het is geen vrijbrief om alles maar lukraak te verkopen en te verzamelen. Je moet het kunnen motiveren. Dat maakt de huidige zaak zo lastig. Wat die motivatie kan, mag of moet zijn, dat staat weer niet in de wet en is aan interpretatie onderhevig. En uitgerekend dat is waar de AP nu hard over oordeelt.
De Knltb stelt dat het verkopen van de gegevens voor direct marketing bedoeld was om de inkomsten van de club te vergroten en om 'meerwaarde te creëren voor leden'. De AP vindt dat niet genoeg motivatie en dat is niet helemaal onverwacht. De toezichthouder schreef eerder al in een normuitleg waar een 'gerechtvaardigd belang' aan moet voldoen. Internetjuristen zoals Arnoud Engelfriet schreven naar aanleding daarvan dat de AP de wet wel heel streng interpreteert.
De autoriteit schreef in december:
Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.
Beperkte uitleg van de toezichthouder
Een organisatie die gegevens verkoopt voor marketing kan dus niet automatisch zeggen: "Dat staat zo in de AVG." Ze moeten eerst op een juiste manier de betrokken belangen afwegen. Bijvoorbeeld of het belang voor de club wel zwaarder weegt dan de privacyschending. Dat laatste deed de Knltb netjes; het ging alleen om contactgegevens, de leden werden goed geïnformeerd via de website en via nieuwsbrieven, en er was een duidelijke opt-out.
En nóg vond de toezichthouder de uitleg niet goed genoeg. Sterker nog, dat laatste speelde helemaal niet mee. "De waakhond zegt nu feitelijk dat de Knltb geen belang had omdat commerciële belangen niet als gerechtvaardigd belang kunnen dienen", zegt Nina Lodder van Solv Advocaten. Ze is één van de vele privacyjuristen die zich inmiddels verbaasd heeft uitgelaten over de uitspraak. "De AP legt niet helder uit waarom de vrijheid van ondernemerschap niet zou kwalificeren als een gerechtvaardigd belang. Ook wordt niet duidelijk hoe een sportvereniging dan wél direct marketing mag inzetten, of in welke gevallen direct marketing dan wél een gerechtvaardigd belang kan zijn." Ook jurist Arnoud Engelfriet noemt het 'een controversieel standpunt'. "Dit betekent natuurlijk de doodsteek voor datahandel", schrijft hij.
De AP zegt feitelijk dat data doorverkopen vrijwel nooit is toegestaan
Precies daarvan zijn ook andere sportclubs nu geschrokken. De Knltb deed immers niet zomaar wat; de bond had eerder goed naar de wet gekeken en die op dezelfde manier geïnterpreteerd als heel veel andere sportorganisaties in Nederland doen. Ze wegen af welke gegevens relevant zijn, informeren leden erover en bieden hen een opt-out… Dat is allemaal niet voldoende voor de toezichthouder, maar wat dan vervolgens wél voldoende is, wordt niet uitgelegd en blijft dus voor de Knltb en andere verenigingen onduidelijk. Overigens probeerde de bond nog aan te voeren dat de leden impliciet toestemming hebben gegeven. Dat gebeurde echter via de ledenraad en niet via individuele leden zelf, en ook dat was niet genoeg.

Met andere woorden: het was onder de AVG altijd al onduidelijk wanneer je nu precies gegevens mag doorverkopen voor direct marketing, maar met de huidige uitspraak lijken er vrijwel helemaal geen geldige redenen meer te zijn om dat te doen.
En nu?
Wat de uitspraak precies betekent, is nog lastig te zeggen. De boete kan een precedentwerking hebben. Ze is dan een goede indicatie voor wat kan volgen: hoge boetes voor heel veel andere verenigingen die dachten zich netjes aan de AVG te houden. AP-voorzitter Aleid Wolfsen zegt tegen de NOS dat de autoriteit verschillende andere onderzoeken heeft lopen, maar wil niet zeggen naar wie. 'Een onderzoek' hoeft nog niet zoveel te betekenen. De AP is verplicht alles te onderzoeken waar een klacht over komt. Dat kan al door simpelweg een informatieverzoek te sturen.
De boete is nog niet definitief. De Kntlb schreef al in beroep te gaan tegen de uitspraak. Dat betekent dat de AP eerst intern gaat bestuderen of de boete terecht is. Hoogstwaarschijnlijk komt daar hetzelfde resultaat uit. Daarna kan de bond nog naar de rechter stappen. Grote kans dat dat gaat gebeuren; er staat immers veel op het spel.