Boete KNLTB

Game, set, match, boete!

Gisteren heeft de Autoriteit Persoonsgegevens (‘AP’) een boete opgelegd aan de Koninklijke Nederlandse Lawn Tennisbond (‘KNLTB’) van maar liefst € 525.000,-. De KNLTB kreeg de boete, omdat zij in de zomer van 2018 zonder toestemming de persoonsgegevens van in totaal 350.000 van haar leden aan twee sponsoren heeft verkocht. De sponsoren hebben de gegevens gebruikt om de leden via de post en per telefoon te benaderen met tennis gerelateerde aanbiedingen. Terecht? Lees snel verder.

Aanleiding voor de boete

De hoofdregel uit de Algemene Verordening Gegevensbescherming (‘AVG’) is dat organisaties jouw persoonsgegevens alleen mogen verwerken als daarvoor een rechtmatige grondslag bestaat. Het verwerken van persoonsgegevens zonder grondslag is verboden. Vóór 2007 heeft de KNLTB de gegevens van haar leden verzameld met als doel het uitvoeren van de lidmaatschapsovereenkomst. Vanaf 2007 is de KNLTB, met instemming van de ledenraad, de gegevens van haar leden ook gaan verzamelen met als doel om die gegevens te kunnen verkopen aan partners om zodoende meer inkomsten te kunnen genereren en meerwaarde te geven aan het lidmaatschap.

De situatie van vóór 2007

Vóór 2007 heeft de KNLTB de gegevens van haar leden verzameld met als doel het uitvoeren van de lidmaatschapsovereenkomst. Dit is een rechtmatige grondslag en so far so good. Door de gegevens van ook die leden te verstrekken aan de betreffende partners, is de KNLTB de gegevens van die leden gaan gebruiken voor een ander doel, namelijk het genereren van extra inkomsten en het creëren van meerwaarde aan het lidmaatschap. Een dergelijke verwerking voor een ander doel wordt ook wel een ‘verdere verwerking’ genoemd. Een dergelijke verdere verwerking is alleen toegestaan als (i) het doel van de verdere verwerking verenigbaar is met het doel waarvoor de gegevens aanvankelijk zijn verzameld of (ii) als de betrokkene toestemming heeft gegeven voor de verdere verwerking.

Vaststaat dat de KNLTB géén toestemming heeft gekregen van de leden om de gegevens te mogen verstrekken aan de partners. Gekeken moet dus worden of het doel van de gegevensverstrekking – het genereren van extra inkomsten en het creëren van meerwaarde – in het verlengde ligt van het doel waarvoor de gegevens aanvankelijk werden verzameld, het uitvoeren van de lidmaatschapsovereenkomst dus. Volgens de AP is dat niet het geval, omdat de beide doeleinden te ver uit elkaar liggen, de KNLTB het risico op spam en phishing onnodig heeft vergroot en het op de weg van de KNLTB lag om hiervoor toestemming te vragen. Dat de KNLTB haar leden via de website en de nieuwsbrief vooraf heeft geïnformeerd over de gegevensverstrekking en heeft aangegeven dat de leden hiertegen bezwaar konden maken, vindt de AP onvoldoende.

De situatie na 2007

Vanaf 2007 is de KNLTB de gegevens van haar leden ook gaan verzamelen met als doel om deze gegevens te kunnen verkopen en zodoende meer inkomsten te genereren en meerwaarde te geven aan het lidmaatschap. Volgens de AP vormt dit geen rechtmatige grondslag, omdat “het enkele belang persoonsgegevens te gelde te kunnen maken c.q. daar winst mee te kunnen maken kwalificeert op zichzelf echter niet als een gerechtvaardigd belang”.

De conclusie van de AP is dus dat de gegevensverstrekkingen onrechtmatig hebben plaatsgevonden. De AP is van oordeel dat dit een ernstige overtreding betreft en dus een hoge boete rechtvaardigt.

Het optreden van de  AP

De KNLTB verwijt de AP dat zij niet eerst telefonisch contact met haar heeft opgenomen, de Functionaris voor de Gegevensbescherming (‘FG’) niet bij het onderzoek heeft betrokken en andere sportverenigingen die vergelijkbaar handelen niet ook heeft beboet. Verder stelt de KNLTB dat de AP vooringenomen heeft gehandeld. Dit blijkt volgens de KNLTB uit het optreden van de voorzitter van de AP in een uitzending van Nieuwsuur van december 2018. De AP heeft het laatste bezwaar van de KNLTB gegrond verklaard, maar dat was volgens haar onvoldoende reden om de hoogte van de boete te matigen.

De KNLTB heeft bezwaar gemaakt tegen het boetebesluit.

Conclusie

Dit boetebesluit bevestigt nogmaals dat organisaties zich niet altijd kunnen beroepen op de grondslag ‘gerechtvaardigd belang’ en dat het vragen van toestemming voor marketingactiviteiten in veel gevallen noodzakelijk is. Voor vragen kunt u contact opnemen met privacyspecialisten Kim de Bonth en Anne Coenders of sportrechtspecialist Jaimy Vanenburg.