TL;DR voor de FG
Gerechtvaardigd belang is de grondslag die verwerkingsverantwoordelijken kiezen als ze geen toestemming hebben en niets beters zien. Het is tegelijk de enige die vraagt om een redenering op te schrijven vóórdat je haar gebruikt. Bestaat die redenering niet op papier, dan is er tegenover een toezichthouder eenvoudigweg geen grondslag.
Wat het Hof heeft beslist
In zaak C-621/22, beslist op 4 oktober 2024, had de Nederlandse tennisbond de gegevens van zijn leden voor marketingdoeleinden aan twee sponsors verstrekt. De vraag aan het Hof was kort: kan een zuiver commercieel belang worden aangemerkt als een gerechtvaardigd belang in de zin van artikel 6, lid 1, onder f)? Het antwoord was bevestigend, mits het belang niet in strijd is met het recht. Dat is het deel van het arrest dat de congreszalen rondging.
Het deel dat bijna niemand las
Erkennen dat het belang gerechtvaardigd is, betekent dat de eerste van drie voorwaarden is genomen. Twee blijven over, en daar wordt alles beslist: de verwerking moet noodzakelijk zijn voor dat belang - er mag dus geen minder ingrijpend middel bestaan om hetzelfde resultaat te bereiken - en het belang van de verwerkingsverantwoordelijke mag niet zwaarder wegen dan de belangen of de grondrechten en fundamentele vrijheden van de betrokkene. De afweging liet het Hof aan de nationale rechter, maar het wees duidelijk op het criterium dat het zwaarst weegt: de redelijke verwachtingen van degene die de gegevens heeft gegeven.
Het criterium waarop de meeste zaken sneuvelen
Wie lid wordt van een sportbond verwacht dat zijn gegevens dienen om het lidmaatschap te voeren. Hij verwacht geen commerciële aanbiedingen van een bedrijf waarmee hij geen enkele band heeft. Zodra de verwerking buiten valt wat de betrokkene op het moment van verzamelen redelijkerwijs kon verwachten, slaat de weegschaal door - en geen hoeveelheid commercieel belang zet haar weer recht.
Waarom dit uw klanten raakt, ook als ze geen bestanden verkopen
Gerechtvaardigd belang draagt verwerkingen die niemand omstreden vindt: cameratoezicht op de werkvloer, fraudepreventie, informatiebeveiliging, incasso, berichten aan bestaande klanten. In al die gevallen is de grondslag waarschijnlijk juist gekozen, en in bijna al die gevallen ontbreekt het document dat dat aantoont. Het verschil tussen die twee situaties wordt pas zichtbaar wanneer er een inzageverzoek of een klacht binnenkomt.
Wat de beoordeling moet bevatten
Er is geen lang document nodig: er is een document nodig dat drie vragen beantwoordt en een datum draagt. De EDPB-richtsnoeren 1/2024 over gerechtvaardigd belang volgen dezelfde structuur in drie stappen en vormen de maatstaf waarlangs een toezichthouder uw werk zal leggen.
- Welk belang de verwerkingsverantwoordelijke nastreeft, concreet beschreven en niet als formule: niet 'commerciële doeleinden' maar 'klanten die in de afgelopen vierentwintig maanden hebben gekocht opnieuw benaderen voor een verlenging'.
- Waarom de verwerking noodzakelijk is voor dat belang, en welk minder ingrijpend alternatief is overwogen en verworpen: dat is de stap die bijna niemand vastlegt, en juist die laat zien dat er een keuze is gemaakt.
- Wat de betrokkene op het moment van verzamelen redelijkerwijs kon verwachten, en welke waarborgen de impact op hem beperken: een heldere verklaring, korte bewaartermijnen, een bezwaar dat eenvoudig uit te oefenen is.
Twee verplichtingen die op de keuze volgen, en die worden vergeten
De eerste is artikel 13, lid 1, onder d): is de grondslag het gerechtvaardigd belang, dan moet de privacyverklaring vermelden WELK belang. 'Het gerechtvaardigd belang van de verwerkingsverantwoordelijke' opschrijven en daar stoppen voldoet niet aan de verplichting, en het is een bevinding die met alleen de website al te doen is. De tweede is artikel 21: gerechtvaardigd belang is de enige grondslag die samengaat met een recht van bezwaar, en bij direct marketing is dat bezwaar absoluut - zonder afweging en zonder uitzondering.
De echte toets
Vraag de klant om voor één verwerking op basis van gerechtvaardigd belang het document te tonen waarin de drie voorwaarden zijn beoordeeld. Bestaat het niet, dan is dat geen formaliteit voor als er tijd is: het is het enige dat bij een klacht een doordachte keuze onderscheidt van een grondslag die bij uitsluiting is gekozen.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
