Onsportieve boete KNLTB voor datahandel?

Onlangs werd de nieuwste boete onder de AVG bekend. De Autoriteit Persoonsgegevens (AP) legt de vereniging Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete op van € 525.000,00. De boete is op 20 december 2019 opgelegd voor het zonder rechtmatige grondslag verstrekken en gebruiken van ledengegevens (artikel 5 lid 1 aanhef en onder a jo. artikel 6 lid 1 AVG). De KNLTB heeft bezwaar aangetekend tegen het boetebesluit.

Aanleiding

De KNLTB heeft begin 2018 op haar site en in nieuwsbrieven het voornemen bekendgemaakt om persoonsgegevens van leden tegen betaling te verstrekken aan sponsoren. Daarmee konden de sponsoren leden benaderen met (al dan niet tennis gerelateerde) aanbiedingen. Al in 2007 heeft de KNLTB besloten deze bron van inkomsten te willen aanwenden. Diverse leden van de KNLTB hebben hierover klachten ingediend bij de AP. Ook in de media was aandacht voor deze ‘verkoop van ledengegevens’. De AP is daarom een onderzoek gestart, in lijn met haar beleid tot en met 2023 om in te zetten op ‘datahandel’.

Bevindingen

Uit het onderzoek van de AP is gebleken dat de KNLTB tweemaal een selectie van ledengegevens heeft verstrekt aan een sponsor. Daar zijn vervolgens promotieacties mee uitgevoerd. De KNLTB heeft zelf laten weten dat het gaat om:

• (tweemaal) een kortingsflyer per post van TennisDirect, waarvoor 50.000 adresgegevens zijn verstrekt.
• een belactie van de Nederlandse Loterij waarvoor ruim 300.000 contact- en adresgegevens zijn verstrekt. De belactie is vroegtijdig beëindigd, waardoor een kleine 40.000 gegevens daadwerkelijk is gebruikt voor de actie.

De AP heeft in het onderzoek ook gekeken naar de besluitvorming en informatievoorziening aan de leden over deze gegevensverwerkingen. In 2017 heeft de ledenraad van de KNLTB ingestemd met een bestuursvoorstel voor het uitbreiden van de directe communicatiemogelijkheden richting de leden. Op grond van deze besluitvorming kon de KNLTB naar eigen zeggen meerwaarde creëren voor haar leden via mooie aanbiedingen en extra inkomsten genereren.

De KNLTB informeert haar leden vrij uitvoering over de verwerking van hun gegevens. Bijvoorbeeld in een welkomstmail voor nieuwe leden. Maar ook via nieuwsbrieven, het privacy statement en haar websites. De informatie die in recente jaren daarin werd verstrekt, kwam in grote lijnen op hetzelfde neer. De KNLTB gaf aan dat zij op grond van haar ‘gerechtvaardigd belang’ ledengegevens kon verstrekken aan partners zodat deze rechtstreekse aanbiedingen konden doen. Daarnaast werden leden steeds gewezen op hun recht van bezwaar tegen dergelijke verstrekking. Wat wel opvalt, is dat de KNLTB wisselend aangeeft wat wordt gedaan met de telefoonnummers en e-mailadressen van haar leden. In sommige berichten wordt namelijk aangegeven dat het telefoonnummer na voorafgaande toestemming zal worden verstrekt, terwijl andere berichten aangeven dat enkel het e-mailadres na voorafgaande toestemming voor de promotieacties wordt verstrekt.

In het privacy statement van december 2018 geeft de KNLTB een toelichting op deze verwerking van persoonsgegevens. Daarin staat het volgende opgenomen (cursivering auteur): “Wanneer het gaat om het verstrekken van NAW-gegevens aan onze partners (het doen van een aanbieding speciaal voor onze leden), bent u uiteraard te allen tijde gerechtigd om uw bezwaar kenbaar te maken via het daarvoor bestemde formulier (recht van bezwaar bij direct marketing). Uw gegevens zullen dan niet meer worden verstrekt aan onze partners, zodat zij aan u als lid van de KNLTB een aanbieding kunnen doen. De wettelijke grondslag voor deze verstrekking is het gerechtvaardigd belang (en dus niet toestemming). Telefoonnummers worden alleen aan onze partners verstrekt als een lid daar vooraf expliciet toestemming voor heeft gegeven.”

Beoordeling AP

De AP geeft in het boetebesluit weer op welke manier zij tot het oordeel komt dat sprake is van verwerking in strijd met de AVG. Daarvoor zet zij een aantal stappen:

• De betrokken gegevens van de leden (NAW- en contactgegevens) zijn persoonsgegevens (artikel 4 onder 1 AVG). De leden kunnen via de gegevens direct worden geïdentificeerd.
• Het verstrekken van gegevens voor direct marketingactiviteiten kwalificeert als verwerken van persoonsgegevens (artikel 4 onder 2 AVG).
• De KNLTB kwalificeert als verwerkingsverantwoordelijke voor de betrokken verwerkingen (artikel 4 onder 7 AVG). De KNLTB stelt namelijk (mede) het doel en de middelen van de verwerking vast.
• De verwerking voor sponsoracties komt slechts gedeeltelijk en door de tijd heen variërend naar voren in de diverse doeleinden die de KNLTB heeft geformuleerd. Dat maakt dat niet voor elke periode sprake is van welbepaalde en uitdrukkelijk omschreven doelen waaruit de leden konden afleiden dat hun persoonsgegevens gebruikt zouden worden voor sponsoracties van derden. Daarmee is sprake van strijd met het beginsel van doelbinding (artikel 5 lid 1 sub b AVG).
• Voor het verzamelen van de ledengegevens door de KNLTB zelf bestaat een grondslag conform artikel 6 lid 1 sub b AVG, namelijk het lidmaatschap van de KNLTB.
• Het ‘nieuwe’ doel van de sponsoracties is niet verenigbaar met de reeds bestaande doelen, namelijk het verzamelen van gegevens voor het lidmaatschap (artikel 6 lid 4 AVG).
• De verdere verwerking van de oorspronkelijk verzamelde gegevens is rechtmatig als sprake is van 1) toestemming, 2) een wettelijke plicht of 3) het nieuwe doel verenigbaar is met het oorspronkelijke doel. Deze beoordeling acht de AP relevant voor leden die voor 2007 lid zijn geworden. Pas vanaf 2007 is namelijk sprake van een besluit om voor een nieuw doel gegevens te verzamelen, namelijk voor marketing met de ledengegevens door sponsors.
• Voor de ‘verdere verwerking’ van voor 2007 is geen rechtsgeldige toestemming verkregen. De toestemming van de ledenraad kwalificeert niet als toestemming in de zin van de AVG (overweging 32 AVG). Deze verdere verwerking volgt niet uit een wettelijke plicht. En de verdere verwerking is ook niet verenigbaar met het oorspronkelijke doel. De AP ziet geen enkel verband tussen de uitvoering van de lidmaatschapsovereenkomst en het genereren van extra inkomsten via sponsors.
• Voor de verwerking van na 2007 meent de AP dat een rechtmatige grondslag voor de verwerking ontbreekt. De KNLTB mag namelijk niet de grondslag ‘gerechtvaardigd belang’ gebruiken, maar daarvoor is toestemming nodig. De commerciële belangen die de KNLTB heeft kunnen namelijk nooit een gerechtvaardigd belang in de zin van artikel 6 lid 1 sub f AVG vormen.

De conclusie van de AP is dat de KNLTB de persoonsgegevens van de leden zonder grondslag en daarmee onrechtmatig heeft verwerkt. Door de verstrekking van de ledengegevens hebben de leden van de KNLTB de controle over hun persoonsgegevens verloren en daarmee is inbreuk gemaakt op hun persoonlijke levenssfeer. Het gaat namelijk om grote aantallen gegevens en veel potentiële betrokkenen (de KNLTB heeft ruim 570.000 leden). Daarnaast heeft de KNLTB voor de acties meer persoonsgegevens verstrekt dan noodzakelijk waren. Bijvoorbeeld e-mailadressen voor een belactie. Juist ook nu daarvan is aangegeven dat het e-mailadres niet zonder toestemming zou worden verstrekt. Ook de gevolgen spelen daarbij een rol. Het ontvangen van aanbiedingen per post of telefoon kan als hinderlijk worden ervaren. Daarnaast zijn de persoonsgegevens nu bij andere partijen terechtgekomen, waardoor het risico op een inbreuk met de persoonsgegevens is vergroot. De waarborgen vanuit de KNLTB (met name het recht van bezwaar) vindt de AP daarvoor onvoldoende compensatie bieden.

Boete

De AP komt om deze reden tot het opleggen van een bestuurlijke boete aan de KNLTB. Deze bedraagt € 525.000,00. Volgens de Boetebeleidsregels 2019 valt een overtreding van artikel 6 AVG in boetecategorie III van bijlage 2. De daarvoor geldende boetebandbreedte ligt tussen € 300.000,00 en € 750.000,00, waarbij de basisboete € 525.000,00 bedraagt. De AP ziet geen omstandigheden in bijvoorbeeld, aard, omvang of ernst van de overtreding om van deze basisboete af te wijken. Gelet op de jaaromzet van de KNLTB van ruim 6 miljoen euro meent de AP dat de KNLTB de boete financieel kan dragen.

Reactie KNLTB

Zoals in de inleiding al gezegd, is de KNLTB het volstrekt oneens met de boete. Het bezwaar daartegen is inmiddels in behandeling. Een vervolg hierop bij de rechter wordt zeker verwacht. Juridisch gezien is met name interessant of de uitleg van de AP over het ‘gerechtvaardigd belang’ stand zal houden bij een rechter. De AP sluit namelijk zuiver commerciële belangen uit als een mogelijk gerechtvaardigd belang. Dit is in lijn met de in november 2019 gepubliceerde nadere uitleg van de grondslag ‘gerechtvaardigd belang’. Deze publicatie heeft vakinhoudelijk het nodige stof doen opwaaien. Overweging 47 van de AVG lijkt namelijk meer ruimte te bieden voor het aanmerken van direct marketing als gerechtvaardigd belang. Dit heeft de KNLTB dan ook aangevoerd in haar zienswijze die aan het boetebesluit voorafging. De AP honoreert dat bezwaar echter niet. Een rechterlijke uitspraak op dit punt zou niet alleen de KNLTB, maar ook andere sportbonden en (Nederlandse) privacyjuristen wellicht meer uitsluitsel kunnen bieden.

De KNLTB betreurt het daarnaast ook dat de AP ervoor heeft gekozen over te gaan tot handhaving. In haar beleving had de AP ook kunnen kiezen voor een normoverdragend gesprek en voorlichting over de wijze waarop de KNLTB wel gegevens rechtmatig zou mogen verwerken. De AP heeft op zichzelf wel het recht direct te handhaven bij een overtreding. De indruk blijft wel hangen dat de KNLTB enigszins als voorbeeld en proefdossier wordt ingezet. Of dat zo sportief is, valt nog te bezien.

Naast de KNLTB wachten ook andere sportclubs en bonden de verdere ontwikkelingen met verhoogde interesse af. Datahandel in deze vorm komt in de sportwereld namelijk vaker voor. Als de sanctie in stand blijft, heeft dat mogelijk ook voor andere organisaties flinke gevolgen. Daarnaast is de sportwereld bang een bron van inkomsten te verliezen. Dat zou weer leiden tot hogere contributies voor de leden. De VVD heeft hierover inmiddels Kamervragen gesteld aan de minister. Verder zegt ook NOC*NSF verbaasd te zijn over het besluit. Het Handboek dat de KNLTB heeft gehanteerd voor haar privacybeleid is in opdracht van NOC*NSF ontwikkeld en wordt door een groot aantal sportclubs gehanteerd. Dat maakt de uitkomst ook voor hen relevant.

Gelet op de hoogte van de boete en de impact in de sportwereld mag verwacht worden dat over de boete (uitvoerig) geprocedeerd zal worden. Dat biedt niet alleen de sportwereld meer duidelijkheid, maar ook de ontwikkeling van het ‘gerechtvaardigd belang’ maakt de kwestie voor juristen nog interessanter. Wordt zeker vervolgd.

Dit artikel is geschreven door mr. Henk-Jan Ligtenberg en ook verschenen in SDU OpMaat Privacyrecht.