Tennisbond op de vingers getikt door AP

In het jaar 2018 ontving de AP diverse klachten van leden de KNLTB. De leden klaagden over de aankondiging van de KNLTB dat zij persoonsgegeven van de leden gaan verstrekken aan sponsors voor commerciële doeleinden. Ook ontving de AP klachten van leden die telefonisch benaderd waren voor promotionele acties. Dit heeft er onder andere voor gezorgd dat de AP een onderzoek is gestart naar het verstrekken van ledengegevens door de KNLTB aan sponsoren.

De privacy waakhond schrijft dat KNLTB op 11 juni 2018 aan een sponsor een bestand heeft verstrekt met adresgegevens van 50.000 leden. Op 29 juni 2018 heeft de KNLTB aan een andere sponsor een bestand met persoonsgegevens van meer dan 300.000 leden verstrekt. Dit bestand bevatte onder meer hun telefoonnummers, e-mailadressen, adresgegevens en geboortedatums.

Delen van persoonsgegevens

Om persoonsgegevens te mogen verwerken (delen met derde is een verwerking) moet een organisatie die ze verwerkt een beroep kunnen doen op één van de grondslagen uit artikel 6 AVG:

1. Toestemming betrokkene;
2. Noodzakelijk voor de uitvoering van een overeenkomst;
3. Wettelijke verplichting;
4. Vitaal belang van de betrokkene;
5. Uitvoeren van een publiekrechtelijke taak;
6. Gerechtvaardigd belang van de verantwoordelijke.

Geldige grondslag?

De AP heeft in dit onderzoek vastgesteld dat de leden geen toestemming hadden gegeven aan de KNLTB voor het doorgeven van de persoonsgegevens aan de sponsoren. De KNLTB vond dat hij een gerechtvaardigd belang had bij de verkoop van de gegevens. Het zou namelijk een 'meerwaarde creëren voor het lidmaatschap'. Ook zou het voor extra inkomsten zorgen voor de bond, die last had van dalende ledenaantallen. De AP stelt  dat bij zuivere commerciële belangen en winstmaximalisatie geen sprake is van een gerechtvaardigd belang. Dit is in lijn met de strenge ‘Normuitleg Gerechtvaardigd Belang’ die de AP op 1 november 2019 heeft gepubliceerd.

In de normuitleg benadrukt de AP dat een beroep op de verwerkingsgrondslag ‘gerechtvaardigd belang’ slechts mogelijk is als aan de volgende drie cumulatieve voorwaarden worden voldaan:

1. Het belang van de verwerkingsverantwoordelijke moet echt gerechtvaardigd zijn;
2. De verwerking moet noodzakelijk zijn om dat belang te behartigen;
3. Er moet een afweging plaatsvinden tussen het belang van de verwerkingsverantwoordelijke enerzijds en de betrokkene anderzijds.

Dit is de tweede AVG boete in Nederland. In 2019 heeft de AP het Haagse Haga Ziekenhuis een boete opgelegd van 460.000 euro voor onvoldoende beveiliging van interne patiëntendossiers.

Heeft u vragen over de verwerking van persoonsgegevens binnen uw organisatie? Neem dan contact op met onze specialisten.