Naar het oordeel van de Autoriteit Persoonsgegevens (AP) heeft de KNLTB verkeerd gehandeld in het verwerken van persoonsgegevens. Het gevolg: een boete van 525.000 euro voor de bond. Welke motivaties voert de AP aan voor dit besluit?
De Autoriteit Persoonsgegevens (AP) legt een bestuurlijke boete van 525.000 euro op aan de vereniging Koninklijke Nederlandse Lawn Tennisbond (KNLTB) voor het onrechtmatig verkopen van honderdduizend persoonsgegevens.
In 2018 heeft de KNLTB onrechtmatig honderdduizend persoonsgegevens verkocht aan twee sponsoren. De AP werd hiervan op de hoogte gesteld door een tip van enkele leden van de KNLTB. De KNLTB had in 2018 via haar website en met een nieuwsbrief bekendgemaakt de persoonsgegevens van haar leden te gaan verstrekken aan sponsoren. Via deze weg werd het mogelijk gemaakt voor de twee sponsoren om leden te benaderen voor “tennis gerelateerde en andere aanbiedingen”.
Voor de verwerking van persoonsgegevens moet er conform de algemene verordening gegevensbescherming (AVG) altijd een grondslag aanwezig zijn. Eén van die mogelijke grondslagen is toestemming. De toestemming dient gegeven te worden door middel van een “duidelijk actieve handeling waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van persoonsgegevens instemt”. Deze toestemming is uitsluitend gegeven door de huidige leden van de tennisbond ten tijde van het aanvragen van het lidmaatschap en voor de benodigde verwerking van de gegevens in het ledenbestand. Voor verdere verwerking van persoonsgegevens, bijvoorbeeld de doorgifte aan derde partijen, ontbreekt een dergelijke grondslag. De KNLTB beroept zich in casu echter op een andere grondslag. Zij stelt dat zij een gerechtvaardigd belang hadden bij de verkoop van de persoonsgegevens.
De aanwezigheid van een gerechtvaardigd belang is, naast toestemming, één van de andere 5 mogelijke grondslagen voor de verwerking van persoonsgegevens. De KNLTB stelt een gerechtvaardigd belang te hebben op basis van twee redenen:
De AP stelt echter dat het enkele financiële motief van de KNLTB niet gekwalificeerd kan worden als een gerechtvaardigd belang. Zuiver commerciële belangen en winstmaximalisatie vallen niet onder de grondslag gerechtvaardigd belang en zijn daarmee geen geldige grondslag voor de verwerking van persoonsgegevens, zo oordeelt de AP. Nu de KNLTB zonder (geldige) grondslag voor verwerking deze persoonsgegevens toch heeft verkocht aan derde partijen, handelt zij in strijd met de AVG. Daarnaast oordeelt de AP dat de KNLTB onnodig veel gegevens heeft verstrekt door niet eerst zelf een selectie te maken. Van de 314.846 verkochte persoonsgegevens zijn er namelijk maar 39.478 benaderd voor commerciële doeleinden. Deze selectie had in grotendeels door de KNLTB zelf kunnen plaatsvinden, aldus de AP.
Nu er zonder grondslag voor de verkoop van de persoonsgegevens onnodig veel gegevens zijn gedeeld, levert dit strijd op met artikel 5 lid 1 sub a AVG en artikel 6 lid 1 AVG. Wel stelt de AP daarbij dat de KNLTB, door te bedingen dat de sponsoren de gegevens geheim moesten houden, wel enige maatregelen heeft genomen om de geleden schade te beperken. De AP ziet dan ook geen reden om de basisboete te verhogen en komt uit op een bedrag van 525.000 euro. Dat het hier gaat om een vereniging, waarbij de kosten van de boete op de leden zelf verhaald zullen moeten worden, zorgt niet voor een matiging van het bedrag door de AP. De KNLTB heeft bezwaar gemaakt tegen dit boetebesluit. Dit bezwaar ligt ter beoordeling bij de AP. Dus wordt vervolgd.