Boete voor de KNLTB van € 525.000 wegens schending privacy

De Koninklijke Nederlandse Lawn Tennisbond (KNLTB) heeft van de Autoriteit Persoonsgegevens (AP) een boete gekregen van € 525.000. Het betreft de eerste boete van de AP uit 2020 en is na de boete voor Uber de hoogste boete die zij heeft gegeven.

De AP start eind 2018 een onderzoek naar de KNLTB. De aanleiding was de aankondiging van de bond om persoonsgegevens van zijn leden te verstrekken aan sponsors, zodat deze sponsors de leden konden benaderen voor aanbiedingen. Dit leidde tot tips en klachten van een aantal leden aan de AP. Door deze klachten en het feit dat deze aankondiging in het nieuws kwam, is de AP het onderzoek gestart.

De KNLTB als organisatie

De KNLTB is het overkoepelend orgaan van de tennissport en tennisverenigingen in Nederland. Meer dan 1600 tennisverenigingen in Nederland zijn lid van de bond en zij heeft meer dan een half miljoen leden. Daarmee is de KNLTB de tweede sportbond van Nederland, na de voetbalbond.

Als sportbond organiseert de KNLTB competities, toernooien, opleidingen voor tennisleraren en scheidsrechters. De bond is uiteraard ook verantwoordelijk voor de ledenadministratie. Dit betekent dat de KNLTB verwerkingsverantwoordelijke is in de zin van de Algemene Verordening Gegevensbescherming (AVG).

Instemming door de ledenraad en toestemming van de leden

In het onderzoek kwam naar boven dat de ledenraad al in 2007 heeft ingestemd met het gebruik van persoonsgegevens van leden voor briefpostacties door sponsors van de KNLTB. De opbrengsten van de bond worden o.a. geïnvesteerd in Toptennis. In 2017 komt een uitbreiding op deze briefpostacties voor het gebruik van de gegevens voor bijvoorbeeld telemarketing, ook hier geeft de ledenraad toestemming voor.

Begin 2018 gaat de KNLTB nog uit van een ‘opt-in’ systeem: de leden moeten toestemming geven voordat de bond persoonsgegevens aan de sponsors verstrekt. Leden ontvangen meerdere malen e-mails, de privacy statement en een nieuwsbericht op de website informeren over deze opt-in.

Van opt-in naar opt-out

Eind 2018 verandert de KNLTB haar privacy statement. Een lid hoeft niet langer toestemming te geven, maar kan bezwaar maken tegen de verstrekking van de gegevens. De bond verstrekt de persoonsgegevens van haar leden niet meer op basis van toestemming, maar op basis van de grondslag gerechtvaardigd belang. Voor de verstrekking van het telefoonnummer is een uitzondering, daarvoor geven leden nog toestemming.

Voldoet het gerechtvaardigd belang?

Is het gerechtvaardigd belang hier voldoende? De AP stelt drie voorwaarden aan de toepassing van het gerechtvaardigd belang:

1. Behartiging van een gerechtvaardigd belang van de verantwoordelijke of een derde;

2. Noodzaak van de verwerking van de persoonsgegevens voor dat gerechtvaardigde belang; en

3. De fundamentele rechten en vrijheden van de betrokken persoon prevaleren niet.

Volgens de toezichthouder gaat het bij de eerste stap al mis. De AP overweegt – kort gezegd – dat een zuiver commercieel belang niet voldoende is om als gerechtvaardigd belang te dienen. Volgens de AP moeten belangen voldoende specifiek en dringend zijn en uit een rechtsregel of rechtsbeginsel voortvloeien.

Het beroep op de vrijheid van ondernemerschap is volgens de AP daarin niet voldoende. De vrijheid van ondernemerschap beschermt niet een recht op geld verdienen. Andersom botst ‘minder winst maken’ niet met de grondrechten op het gebied van privacy.

De KNLTB had dus volgens de AP toestemming moeten vragen aan haar leden voor de verkoop van haar persoonsgegevens.

Bezwaren van de KNLTB

Op allerlei mogelijke manieren heeft de bond bezwaar gemaakt tegen het voornemen van de AP om te handhaven.

Volgens de KNLTB zou de functionaris gegevensbescherming (FG) niet voldoende betrokken zijn bij het onderzoek. Een van de taken van de FG is de samenwerking met de toezichthoudende autoriteit. De AP merkt op dat de FG, als zelfstandig en onafhankelijk orgaan, niet altijd over de juiste informatie beschikt en dat de AP niet gehouden is de ‘route’ naar de FG altijd te bewandelen.

Verder stelt de KNLTB dat het optreden van de AP in strijd zou zijn met het beleid van de AP, gelet op het geringe aantal klachten, en had de AP het kunnen afdoen met bijvoorbeeld een brief. De AP verwijst nogmaals op de eigen berichtgeving van de bond en de media-aandacht, maar geeft ook aan dat het grote aantal leden van de KNLTB meespeelt. Overtreding van de AVG heeft dan mogelijk gevolgen voor deze 570.000 leden.

De KNLTB probeert verder nog te stellen dat de AP in strijd handelt met het gelijkheidsbeginsel. Volgens de KNLTB heeft de AP aan de bankensector ook een informatieve brief verstuurd. Ook bij andere sportbonden of verenigingen was het optreden van de AP milder. De AP verweert zich door aan te geven dat het bij de banken om een voornemen ging en er in andere gevallen geen persoonsgegevens zijn verstrekt door de aangeschreven instanties. Dit is in de onderhavige kwestie echter fundamenteel anders. Volgens de toezichthouder was er dus geen sprake van gelijke gevallen.

De KNLTB heeft ook een klacht ingediend tegen de AP, nu de voorzitter al in een vroeg stadium uitlatingen had gedaan over de gegevensverstrekking aan de sponsoren. Deze klacht is door de AP ook gegrond verklaard. De sportbond trekt daarbij de conclusie dat de AP vooringenomen was tijdens het onderzoek. De AP geeft aan dat de uitlatingen van de voorzitter niet betekenen dat het onderzoek zelf onzorgvuldig was.

Met name bij dit laatste punt lijkt de bond een punt te hebben. De klacht is gegrond verklaard, maar vooringenomenheid zou niet blijken.

KNLTB gaat in bezwaar

De sportbond heeft al aangegeven dat zij bezwaar maakt tegen de boete. NOC*NSF steunt het bezwaar van de sportbond. Beide partijen vinden dat enerzijds de AP niet over had moeten gaan tot het opleggen van een boete en anderzijds vinden zij ook dat de boete te hoog is voor een sportbond.

Wij zijn erg benieuwd wat de rechter vindt van het besluit van de AP, wanneer dit mogelijk later aan de rechter wordt voorgelegd. Het standpunt van de AP met betrekking tot het gerechtvaardigd belang is niet onomstreden, ook niet bij andere toezichthouders in de Europese Unie. Mag direct marketing nu alleen met toestemming van de betrokkene, zoals de AP stelt, of is dit ook toegestaan op basis van het gerechtvaardigde belang?

Wij houden de zaak voor u in de gaten. Heeft u vragen over het gebruik van persoonsgegevens voor (direct) marketing? Twijfelt u of u toestemming moet vragen voor een bepaalde verwerking van persoonsgegevens? Neemt u dan contact op met een van onze advocaten privacy.