Ondernemende advocaten voor de ondernemer

Boete van de Autoriteit Persoonsgegevens voor tennisbond na schenden privacy van haar leden

De Autoriteit Persoonsgegevens (AP) heeft de tennisbond KNLTB een boete opgelegd van € 525.000,00 wegens het handelen in strijd met de Algemene Verordening Gegevensbescherming (AVG).

Wat was er aan de hand?

Volgens de AP had de KNLTB persoonsgegevens van haar leden verstrekt aan een tweetal sponsoren. Een van die sponsoren ontving gegevens van 50.000 leden, de andere sponsor kreeg persoonsgegevens van 300.000 leden. De sponsoren hebben deze persoonsgegevens (naam, geslacht en adres) gebruikt om de leden te kunnen benaderen met commerciële (tennisgerelateerde) aanbiedingen.

De KNLTB beoogde met de verstrekking van deze persoonsgegevens onder meer extra inkomsten te genereren. De ledenraad had daarmee ingestemd. Volgens de AP was deze gegevensverstrekking echter onrechtmatig, omdat daarvoor een grondslag ontbrak.

Gerechtvaardigd belang / toestemming

De KNLTB gaf aan dat zij een gerechtvaardigd belang had bij de verkoop van de persoonsgegevens. De AP oordeelde daarentegen dat een gerechtvaardigd belang in dit geval van geen grondslag kan bieden voor deze verwerking. Voor verkoop van persoonsgegevens is toestemming nodig van de betrokkenen en die was in dit geval niet verkregen, aldus de AP.

De KNLTB heeft inmiddels bezwaar gemaakt tegen het boetebesluit van de AP. Er zal dus nogmaals een beoordeling van de AP volgen.

Grondslagen voor rechtmatige verwerking van persoonsgegevens

Voor elke verwerking van persoonsgegevens moet de betreffende organisatie die de gegevens verwerkt zich kunnen beroepen op één van de zes in de AVG genoemde grondslagen. Als er geen grondslag kan worden gevonden, is de verwerking van persoonsgegevens niet toegestaan.

Hierbij nogmaals de zes grondslagen op een rijtje voor de verwerking van persoonsgegevens:

  1. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is;
  2. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting van de organisatie;
  3. de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
  4. de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag;
  5. de verwerking is noodzakelijk voor de behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde indien deze belangen zwaarder wegen dan de belangen van de betrokkene;
  6. de betrokkene heeft toestemming gegeven voor de verwerking van de persoonsgegevens.

De verwerking van bijzondere persoonsgegevens, zoals omtrent ras, politieke voorkeur, religieuze overtuiging, lidmaatschap vakbond, biometrische gegevens of medische gegevens, is volgens de AVG verboden, tenzij aan bepaalde eisen wordt voldaan. Het voldoen aan een van de hiervoor omschreven grondslagen is ten aanzien van bijzondere persoonsgegevens dus niet voldoende.

Meer weten?
Wilt u meer weten over de grondslagen voor de verwerking van persoonsgegevens? Neem dan contact op met Maaike van Santvoort.

Read also

Corona en privacy op de werkvloer: hoe zit dit?
Sabine van Loon, 19-03-2020
Arbeidsrecht, IE/ICT/Privacy
Impact van het coronavirus op de werkvloer
Annemieke Siebrand, 12-03-2020
Arbeidsrecht, Geen onderdeel van een categorie, IE/ICT/Privacy, Ondernemingsrecht
Deal or no-deal, is doorgifte van persoonsgegevens na de Brexit nog mogelijk?
Maaike van Santvoort, 04-10-2019
IE/ICT/Privacy, Ondernemingsrecht
Privacyaspecten bij softwaregebruik en softwareontwikkeling
Maaike van Santvoort, 28-01-2019
Geen onderdeel van een categorie, IE/ICT/Privacy