Scheidsrechter Autoriteit Persoonsgegevens teruggefloten in kwestie VoetbalTV

Op 27 juli 2022 heeft de Afdeling Bestuursrechtspraak van de Raad van State de uitspraak inzake VoetbalTV bekrachtigd. De boete die de Autoriteit Persoonsgegevens (AP) had opgelegd is daarmee van tafel. De Afdeling staat niet expliciet stil bij de gewraakte normuitleg van de AP. Of wellicht tussen de regels door toch wel?

De kwestie

Over de kwestie heb ik al eerder uitgebreid geblogd. Graag verwijs ik naar die blog voor meer details. Laat ik voor nu volstaan met de kern: VoetbalTV maakte opnamen van voetbalwedstrijden van amateurs, de Autoriteit Persoonsgegevens vond dit een schending van de privacywetgeving en legde een boete van 575.5000 op.

Onderliggend vraagstuk: normuitleg en interpretatie gerechtvaardigd belang

De kwestie VoetbalTV is zo interessant vanwege het volgende. In dezelfde periode dat de AP het onderzoeksrapport naar VoetbalTV uitgebracht, werd ook de normuitleg inzake het gerechtvaardigd belang gepubliceerd.

In die normuitleg geeft de AP een hele strikt uitleg aan het begrip gerechtvaardigd belang. Het effect van die strikte uitleg is dat allerlei verwerkingen van persoonsgegevens wat de AP betreft, behoudens toestemming van betrokkene, verboden zijn.

Ik ken geen kenner van het privacyrecht die het met de normuitleg van de AP eens is. Recent bleek uit berichtgeving van NRC zelfs dat de Europese Commissie het nodig vond de AP terecht te wijzen. Zelf schreef ik er al eens eerder een kritisch blogje over en ook in mijn artikel in Computerrecht over de boete die aan de tennisbond is opgelegd heb ik uiteengezet dat de normuitleg niet houdbaar is.

Boete succesvol aangevochten bij de rechtbank

VoetbalTV heeft de boete aangevochten bij de rechtbank. En met succes; de boete werd door de rechtbank vernietigd. De rechtbank concludeerde dat de Autoriteit Persoonsgegevens in de kern twee zaken verkeerd deed: (1) een verkeerde uitleg geven aan het begrip gerechtvaardigd belang en (2) het besluit onvoldoende goed motiveren (door niet alle drie stappen van de toets te doorlopen met het door VoetbalTV gestelde belang). Voor details en verdere beschouwing verwijs ik graag terug naar mijn eerdere blog en mijn annotatie.

ABRvS bekrachtigt beslissing rechtbank

De Autoriteit Persoonsgegevens ging in hoger beroep. Dat mocht echter niet baten, de Afdeling bekrachtigde de uitspraak van de rechtbank.

De Afdeling stelt allereerst vast dat uit o.a. de uitspraak FashionID volgt dat er voor een geslaagd beroep op het gerechtvaardigd belang aan drie voorwaarden moet worden voldaan: een gerechtvaardigd belang, noodzakelijkheid en een belangenafweging (r/o 7.1).

De Afdeling onderschrijft het oordeel van de rechtbank dat het aan de verwerkingsverantwoordelijke is het belang te onderbouwen en daar naar te handelen. Het is vervolgens aan de AP om dat gestelde belang te toetsen (r/o 8). Ook wordt geoordeeld dat de belangen in kwestie niet louter commercieel van aard zijn. De vraag of een louter commercieel belang gerechtvaardigd is, hoeft dus niet te worden getoetst. Wel oordeelt de Afdeling dat de AP ten onrechte niet de door VoetbalTV gestelde belangen heeft meegewogen.

Vervolgens onderschrijft de Afdeling het oordeel van de rechtbank dat de AP de driestappentoets ten onrechte niet volledig heeft verricht en dat het besluit dus onvoldoende gemotiveerd is. De rechtbank heeft bovendien terecht geen kans geboden de boete alsnog beter te motiveren (r/o 10).

De Afdeling bevestigt dus de aangevallen uitspraak; de boete blijft van tafel.

Kort commentaar

Veel privacyjuristen hadden gehoopt dat de uitspraak van de Afdeling een principieel oordeel zou bevatten over de normuitleg. Dat is strikt genomen niet zo; de Afdeling stelt immers expliciet dat de vraag of een zuiver commercieel belang gerechtvaardigd kan zijn (een van de gewraakte passages uit de normuitleg) niet beantwoord hoeft te worden.

En toch…

De normuitleg van de AP gaat er vanuit dat bepaalde belangen op voorhand (a priori) niet gerechtvaardigd zijn. Een belang zou volgens de normuitleg alleen gerechtvaardigd zijn indien dit rechtens afdwingbaar is. De rechtbank oordeelde eerder echter expliciet dat een gerechtvaardigd belang “(…) komt erop neer dat de verwerker geen belang mag nastreven dat in strijd is met de wet”. Dat is dus een negatieve toets en geen positieve toets, zoals de normuitleg vergt (de normuitleg lijkt hier horizontale en verticale werking van grondrechten door elkaar te halen, maar dat terzijde).

De vraag is volgens de rechtbank veeleer of de verwerkingsverantwoordelijke feitelijk naar het door haar gestelde belang handelt. Mede omdat de AP uitging van een andere lezing, komt de rechtbank tot de conclusie dat de AP uitgaat van een verkeerde lezing van de wet. En juist dat oordeel wordt nu thans door de Afdeling onderschreven.

De normuitleg van de AP lijkt me dus niet langer houdbaar, want stap 1 uit die normuitleg is door alle relevante rechters al als onjuist aangemerkt.

Of zuiver commerciële belangen dan gerechtvaardigd kunnen zijn is inderdaad niet beantwoord. Toch lijkt ook die vraag bevestigend te kunnen worden beantwoord. De rechtbank haalt o.a. een eerdere kwestie aan over het zo goed mogelijk reclame kunnen maken en lijkt die te omarmen. Ook wijst de rechtbank op direct marketing als een gerechtvaardigd belang. De Afdeling wijdt hier weliswaar geen woorden aan, maar bekrachtigt tegelijkertijd de uitspraak met die overwegingen ten volle.

En juist als de toets naar gerechtvaardigd belang moet worden gezien als een negatieve toets (“is het niet verboden?”), ligt de conclusie al snel voor de hand dat een zuiver commercieel belang een gerechtvaardigd belang kan zijn. Zeker in een vrije markteconomie als de onze. Zeker ook nu diezelfde vrije markteconomie aan specifieke verwerkingen van persoonsgegevens met een commerciele achtergrond wel beperkingen stelt (bel-me-niet, spamverbod). Die regels zouden overbodig zijn als een commercieel belang geen gerechtvaardigd belang zou zijn.

In de tussentijd worden alle privacyjuristen van Nederland bij vragen over commerciële verwerkingen van persoonsgegevens min of meer gedwongen een soort gekke disclaimer aan adviezen toe te voegen van de strekking: "strikt genomen is er nog steeds beleid van de AP van kracht waarvan iedereen weet dat het niet houdbaar is en dat feitelijk al onderuit gegaan is in de rechtszaal, maar dat nog wel de basis zou kunnen vormen voor nieuwe boetes.". Ik vind dat persoonlijk bizar.

De huidige kwestie doet het gezag van de AP dan ook bepaald geen goed. Een boete die onderuitgaat wegens gebrekkige motivering en verkeerde uitleg van de wet is al pijnlijk genoeg. Het is ook vrij breed bekend (het zogenaamde 'publiek geheim') dat deze kwestie binnen de AP zelf ook voor de nodige onrust heeft gezorgd. De AP zou er m.i. dan ook goed aan doen de normuitleg zo snel mogelijk in te trekken en de kwestie met de KNLTB – die over hetzelfde rechtsvraag gaat - te schikken.