TL;DR voor de FG
Vier nuttige punten. 1) Aansprakelijkheid van de rechtspersoon vereist niet dat de leiding het wist: de schuld van de verwerkingsverantwoordelijke is genoeg. 2) Een juridisch advies, intern of extern, beschermt niet als het standpunt onverdedigbaar is, en het geld hebben om goed geadviseerd te worden wordt een argument tegen u. 3) Een statistische waarschijnlijkheidsscore die aan een identificeerbare persoon wordt gekoppeld is een persoonsgegeven, ook als het een schatting is. 4) De verwijten over de DPIA en het register zijn vernietigd omdat ze in de hoofdinbreuk zijn opgegaan, maar die documenten waren toch onjuist.
Waar de zaak over gaat
De procedure loopt sinds 2019 en had het hoogste bestuursrechtscollege al twee keer bereikt. Een onderneming - de uitspraak houdt haar anoniem en spreekt van een onderneemster - verzamelde en beheerde persoonsgegevens van advertentieontvangers en stelde die tegen betaling ter beschikking aan klanten die adverteerden, ook voor verkiezingen. Tussen mei 2018 en februari 2019 berekende en bewaarde zij voor ongeveer 2,2 miljoen personen de zogeheten partijaffiniteiten: statistische waarschijnlijkheidswaarden die aangaven in welke mate iemand geïnteresseerd zou kunnen zijn in advertenties van bepaalde partijen, deels aan derden verkocht. Daarnaast verwerkte zij, voor marketingdoeleinden en zonder toestemming, gegevens over pakketfrequentie uit het bezorggebied.
De Oostenrijkse toezichthouder had 18 miljoen euro opgelegd plus 1,8 miljoen euro als bijdrage aan de kosten van de strafprocedure. Het federale bestuursgerecht verlaagde dat naar 16 miljoen euro en 1,6 miljoen euro kosten, staakte het deel over de 'verhuisaffiniteiten' en beperkte de ten laste gelegde periode voor de pakketfrequenties, maar bevestigde de onrechtmatige verwerking van partijaffiniteiten als bijzondere categorie van persoonsgegevens, samen met de verwijten over de gebrekkige effectbeoordeling en het register van verwerkingsactiviteiten.
Het verweer: wij hadden een compliance-programma
In beroep voerde de onderneming aan niet verwijtbaar te hebben gehandeld: zij had een omvattend compliance-systeem opgezet, de juridische situatie zowel intern als door deskundigen laten toetsen, en meende toen dat statistisch berekende waarschijnlijkheidswaarden geen persoonsgegevens waren.
Waarom het college dat verwierp
Voor het bestraffen van een rechtspersoon is geen handelen of wetenschap van de bestuursorganen nodig: het is genoeg dat de verwerkingsverantwoordelijke opzettelijk of nalatig heeft gehandeld. En de maatstaf voor schuld is of de verantwoordelijke zich duidelijk kon zijn over de onrechtmatigheid van zijn gedrag - besef van de inbreuk is geen voorwaarde. Partijaffiniteiten als niet-persoonsgebonden kwalificeren was een onverdedigbaar standpunt: al vóór 2018 had de beslissingspraktijk van de toezichthouders duidelijk gemaakt dat informatie die aan een identificeerbare persoon wordt toegerekend een persoonsgegeven is, ook wanneer die op schattingen berust. En omdat de onderneming aanzienlijke middelen voor juridische toetsing had en de bestaande praktijk toch verkeerd uitlegde, wordt de grove nalatigheid bevestigd.
Een omkering om te onthouden wanneer een cliënt zegt "wij hebben er advies over gevraagd". Het advies is geen schild: lag het standpunt buiten de bekende praktijk, dan wordt het vermogen goede adviseurs in te schakelen juist de reden dat er geen excuus is. De rechter in eerste aanleg was nog directer: het interne controlesysteem had elementaire juridische misinterpretaties niet voorkomen.
DPIA en register: vallen weg, maar niet omdat ze juist waren
In de effectbeoordeling en in het register van verwerkingsactiviteiten had de onderneming ontkend bijzondere categorieën gegevens te verwerken. Het college ziet hier absorptie: dat die gegevens niet in de documenten waren opgenomen, was het gevolg van de onjuiste beoordeling dat het geen persoonsgegevens waren en dus ook geen bijzondere categorieën. Het onrecht van het schenden van documentatieplichten wordt al volledig gedekt door het bestraffen van de onrechtmatige verwerking zelf, en een aanvullende straf is niet toelaatbaar. Op die punten is de procedure gestaakt.
Hoe u dit praktisch leest
Verwacht geen zelfstandige boete op grond van de artikelen 30 en 35 wanneer het gebrek in de documenten het gevolg is van één kwalificatiefout. Maar let op het omgekeerde: het register en de DPIA waren toch onjuist, en één verkeerde kwalificatie werkt door in elk document dat daarvan afhangt. Bij het nakijken van een register is de nuttige vraag niet "zijn de velden ingevuld" maar "op welke kwalificatie rusten ze".
Proceskosten als verkapte straf
Als verzachtende omstandigheden liet het college de maatregelen ter voorkoming van een inbreuk meewegen, de onthoudingsverklaringen aan talrijke betrokkenen, en de buitengewoon lange duur van de procedure, ongeveer 66 maanden. Het achtte het niet nodig het ontbreken van eerdere inbreuken als extra verzachtende omstandigheid te tellen, omdat de rechter dat al had behandeld als het ontbreken van een verzwarende omstandigheid.
Het nieuwste punt komt aan het eind: het vaststellen van de bijdrage aan de proceskosten op 1,3 miljoen euro is in strijd met het Unierecht, omdat het leidt tot een aanvullende straf die inhoudelijk niet te rechtvaardigen is. Het college stelde die bijdrage vast op 100.000 euro.
Wat nu te doen, in de praktijk
1) Ga bij uw cliënten op zoek naar scores: propensity, affiniteit, interessescoring, berekende segmenten. Zijn ze gekoppeld aan een identificeerbare persoon, dan zijn het persoonsgegevens, ook als het schattingen zijn, en schatten ze politieke opvattingen, gezondheid, religie of seksuele gerichtheid, dan zijn het gegevens uit artikel 9. 2) Berg een juridisch advies niet op als was het een garantie: leg ook de geraadpleegde toezichthouderspraktijk en de datum vast, want de maatstaf is of u het had kunnen inzien. 3) Doe de registercontrole omgekeerd: begin bij de kwalificaties (persoonsgegeven ja of nee, bijzondere categorie ja of nee) en kijk welke velden en welke DPIA's daarvan afhangen. Eén fout bovenaan levert tien fouten onderaan op. 4) Krijgt een cliënt een boete met een kostenbijdrage die proportioneel is aan het bedrag, dan is deze uitspraak een argument om die aan te vechten. 5) Bedenk dat de traagheid van de toezichthouder in het voordeel van de beboete partij werkt: 66 maanden gold als verzachtend.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
