30 januari 2020

Behoud van gerechtvaardigd belang, een blik op de normuitleg

HELPDESK AVG, HELPDESK JURIDISCH, INNOVATIE, VERTROUWEN

Of een organisatie persoonsgegevens mag verwerken, hangt af van de onderliggende grondslag. In haar recente uitleg van de grondslag ‘gerechtvaardigd belang’, geeft de Nederlandse autoriteit aan dat deze grondslag niet gebruikt kan worden in het geval van een zuiver commercieel belang. NLdigital is van mening dat dit niet alleen ingaat tegen de heersende uitleg, maar ook een remmende werking zal hebben op innovatie en groei.

Wij maken ons daarom zowel in Nederland als in Europa hard voor een uitleg die niet alleen voldoende waarborgen biedt onder de Avg, maar die ook praktisch uitvoerbaar is.

 

Normuitleg van de toezichthouder

In Nederland wordt toezicht gehouden op de naleving van de Avg door de Autoriteit Persoonsgegevens (AP). De AP heeft als toezichthouder onlangs een normuitleg gepubliceerd over de laatste grondslag: het gerechtvaardigd belang. In dit document geeft de AP aan hoe naar haar mening deze grondslag gebruikt moet worden, en vooral ook wat niet meer toegestaan zou zijn. Dit document geeft het beleid van de toezichthouder weer. Over deze uitleg van de toezichthouder is veel ophef ontstaan.

Zo werd er onder meer aandacht besteed aan de normuitleg van de toezichthouder over gerechtvaardigd belang in de media in een opiniestuk van Rob van Eijk en Prof. Gerrit-Jan Zwenne van eLaw, Centrum voor Recht en Digitale Technologie van de Universiteit LeidenPrivacytoezichthouder neemt heel opmerkelijk afstand van marktwerking en een artikel van Jeroen Piersma en Martijn Pols  ‘Toezichthouder gaat te ver met uitleg Privacywet, kritiek Juristen op Autoriteit Persoonsgegevens’, beiden verschenen in het Financieel Dagblad en een opinie van Jan Berkvens ‘Normuitleg AP inzake het gerechtvaardigd belang’ verschenen op Privacyweb.

 

Normuitleg heeft remmend effect op innovatie

De normuitleg van de toezichthouder is niet in lijn met de heersende uitleg van gerechtvaardigd belang. De normuitleg gaat voorbij aan de consensus die in Europa bereikt is tijdens de totstandkoming van de Avg over de scope van gerechtvaardigd belang, gaat voorbij aan uitspraken van de Europese rechter (die het laatste woord heeft als het gaat om hoe de Avg geïnterpreteerd moet worden) en gaat voorbij aan de uitleg zoals opgenomen in de huidige Europese guideline over gerechtvaardigd belang.

De normuitleg van de toezichthouder zal een remmend effect hebben op innovatie, onder meer op het terrein van kunstmatige intelligentie (AI). Ook past de uitleg niet in de risico gebaseerde aanpak van de Avg. Door bepaalde toepassingen categorisch uit te sluiten, haalt de toezichthouder de benodigde flexibiliteit onderuit die nodig is om de Avg techniek onafhankelijk en bestendig voor toekomstige (technologische) ontwikkelingen te laten zijn.

We zijn dan ook, net als de eerder genoemde vooraanstaande wetenschappers, van mening dat de normuitleg van de toezichthouder onjuist en te beperkend is. De normuitleg behoeft dan ook aanpassing. We betreuren het dat de toezichthouder heeft nagelaten om de markt vooraf te consulteren over haar normuitleg dan waren immers de punten van kritiek in een eerder stadium naar voren gebracht, hetgeen de rechtszekerheid ten goede was gekomen.

 

Pijnpunten van de normuitleg

In de normuitleg is opgenomen dat het verwerken van persoonsgegevens nooit gebaseerd mag worden op de grondslag gerechtvaardigd belang, indien alleen zuiver commerciële belangen of winstmaximalisatie worden gediend. Winst maken is echter geen vies concept in onze liberale samenleving. Het zorgt er onder meer voor dat er geïnvesteerd kan worden in nieuwe ontwikkelingen en dat de BV Nederland voorop blijft lopen qua technologische ontwikkelingen.

Daarnaast is opgenomen dat gerechtvaardigde belangen altijd gebaseerd moeten zijn op een (on)geschreven rechtsregel. Waar halen ze dit vandaan? De gerechtvaardigde belangen mogen niet in strijd zijn met de wet, maar dat is iets anders dan dat er een (on)geschreven rechtsregel moet zijn waarop de gerechtvaardigde belangen gebaseerd moeten worden. Door deze extra eis te stellen, wordt de scope van de grondslag door de toezichthouder verder ingeperkt dan hetgeen de wetgever voor ogen had.

 

Drie-stappen-toets is al voldoende waarborg

De drie-stappen-toets die doorlopen moet worden om te bepalen of een verwerking gebaseerd mag worden op de gerechtvaardigd belangen van de verwerkingsverantwoordelijke of een derde zorgt, mijns inziens, voor een voldoende waarborg.

De drie-stappen-toets bestaat uit de volgende stappen:

  • Stap 1: behartiging van gerechtvaardigde belangen;
  • Stap 2: noodzakelijkheidstoets;
  • Stap 3: belangenafweging tussen enerzijds de belangen van de verwerkingsverantwoordelijke of een derde en de belangen van de betrokkene.

Het volledig verbieden van bepaalde belangen zonder dat aan de tweede en derde stap van de drie-stappen-toets wordt toegekomen, is een ondemocratische manier om bepaalde vormen van verwerkingen die de toezichthouder kennelijk een doorn in het oog zijn, onder alle mogelijke omstandigheden de pas af te snijden. Daarmee wordt de flexibiliteit en techniek-onafhankelijkheid van de grondslag teniet gedaan, zonder dat de toezichthouder oog heeft voor de gevolgen die dit heeft voor de samenleving.

Neem bijvoorbeeld het gebied van kunstmatige intelligentie. De grondslag toestemming (de grondslag die overblijft in de gevallen dat een beroep op gerechtvaardigde belangen niet mogelijk is) past in veel gevallen niet. Nog los van de vraag of de grondslag toestemming überhaupt als zaligmakend gezien moet worden. Dat denk ik namelijk van niet. Zelfbeschikkingsrecht is een groot goed, dat geef ik de toezichthouder mee. Maar dat hoeft niet te betekenen dat toestemming in alle gevallen de beste waarborg biedt voor een betrokkene. De click-moeheid (onder meer veroorzaakt door de cookie-wetgeving) is een feit. Wordt de betrokkene dan beter beschermd door hem blind toestemming te laten geven dan dat bedrijven in lijn met de Avg een gewogen belangenafweging moeten maken waarbij de belangen van de betrokkene een zeer grote rol spelen?

Het is, denk ik, goed om te beseffen dat iets dat aanvankelijk wordt aangevangen om winst te genereren voor een onderneming heel goed kan uitmonden in diverse toepassingen die levens redden of andere prachtige ideële/charitatieve belangen dienen. De retorische vraag die de toezichthouder zich zou moeten stellen, is of het in het belang van onze samenleving is om deze toepassingen onmogelijk te maken door het ontwikkelen van de technologie al in een vroeg stadium de pas af te snijden?

 

Oplossing

De oplossing lijkt relatief simpel.[1] Er is een manier om vast te houden aan de flexibiliteit van de grondslag gerechtvaardigd belang en tegelijkertijd een signaal af te geven aan de markt dat naar de mening van de toezichthouder de belangen van de betrokkene vaak zwaarder zullen wegen als de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde erin gelegen is dat uitsluitend zuiver winstmaximalisatie wordt nagestreefd. Waarbij het uiteraard van belang blijft om alle omstandigheden van het geval mee te kunnen wegen (zoals de aard van de persoonsgegevens en de getroffen beschermingsmaatregelen). Wat hiervoor nodig is, is dat de normuitleg wordt ontdaan van de teksten:

I. Dat de belangen van de verwerkingsverantwoordelijke of derde op een (on)geschreven rechtsregel gebaseerd moeten worden om als gerechtvaardigde belangen te worden aangemerkt; Immers de gerechtvaardigde belangen moeten legaal zijn (je mag geen criminele belangen dienen) maar dat betekent niet dat de grondslag gebaseerd moet zijn op een (on)geschreven rechtsregel. Door deze extra eis te stellen die niet in de Avg is opgenomen, wordt de scope van de grondslag – in weerwil van hetgeen de wetgever bedoeld heeft – door de toezichthouder te vergaand ingeperkt;

II. Dat het enkel dienen van zuiver commerciële belangen, winstmaximalisatie bij voorbaat al niet als gerechtvaardigd belang mag worden beschouwd (zonder dat alle relevante factoren van het geval worden meegewogen, dus zonder dat aan stap 2 en 3 van de drie-stappen-toets wordt toegekomen;

III. Dat de Avg als uitgangspunt heeft dat een verwerking onrechtmatig is. Dit is immers niet het uitgangspunt van de Avg. Het uitgangspunt is dat verwerkingen zijn toegestaan MITS aan de vereisten van de Avg wordt voldaan. Met uitzondering van de verwerking van bijzondere gegevens en strafrechtelijke gegevens waarbij inderdaad een verbod tot verwerken geldt tenzij een van de uitzonderingen genoemd in de Avg van toepassing is.

 

Wat zou de toezichthouder wel kunnen opnemen? De toezichthouder zou als signaal kunnen meegeven dat als je een zuiver commercieel belang, winstmaximalisatie nastreeft, dat de kans groot is dat de belangen van de betrokkene in dergelijke gevallen zwaarder zullen wegen. Dit geeft een signaal af maar laat de benodigde flexibiliteit van de grondslag gerechtvaardigd belang intact.

 

[1] Met dank aan Lokke Moerel

NLdigital respecteert jouw privacy. Daarom geven we je de controle over de manier waarop wij met je data omgaan.

In onze privacyverklaring lees je hoe we dat doen. Hieronder lees je over de cookies die we gebruiken.

Privacystatement
Instellingen

NLdigital respecteert jouw privacy

Daarom geven we je de controle over de manier waarop wij met je data omgaan. In onze privacyverklaring lees je hoe we dat doen. Hieronder lees je over de cookies die we gebruiken.

Deze cookies zijn noodzakelijk voor het tonen van de website en de bijbehorende functionaliteit, en voor het uitvoeren van de gevraagde dienstverlening.

Lees meer

We optimaliseren continu onze website. Daarvoor analyseren we websitebezoek via Google Analytics. Dit hebben we op de privacyvriendelijke wijze, volgens de handleiding van de Autoriteit Persoonsgegevens, ingericht.

Lees meer

Met Linkedincampagnes introduceren we ons collectief en onze diensten in de digitale sector. We slaan gegevens over websitebezoek op om de effectiviteit van onze advertenties te meten, om advertenties te leveren die relevant zijn en om het aantal keren dat je een advertentie ziet te beperken.

Lees meer
Vergeet alles Jouw voorkeuren zijn verwijderd