• 17 okt

    2018

    Persoonsgegevens verkopen mag, als je het op de juiste manier doet!

    Veel organisaties willen persoonsgegevens delen met of verkopen aan andere partijen. Dat is niet vreemd. Want de verkoop van persoonsgegevens kan behoorlijk wat geld in het laatje brengen. Dat weten niet alleen Google en Facebook. Ook de tennisbond (KNLTB) kondigde begin dit jaar aan, dat zij voortaan persoonsgegevens van haar leden wilde ‘delen’ met haar partners. Het doel was om extra inkomsten te krijgen. En de tennissport daarmee betaalbaar te houden voor haar leden. Maar mag je persoonsgegevens van je leden (of klanten) zomaar verkopen? Het antwoord is ‘nee, dat mag niet zomaar’. Maar het mag wel als je het op de juiste manier doet.

    Grondslag

    Het verkopen van persoonsgegevens is een vorm van verwerken. Voor een rechtmatige verwerking is een grondslag nodig. De wet noemt zes grondslagen. Voor de verwerking ‘verkoop’, kunnen in principe twee van deze zes grondslagen in aanmerking komen:  ‘gerechtvaardigd belang’ of ‘toestemming’. Hierin moet een keuze worden gemaakt. En die keuze moet (juridisch) kloppen. Daarmee bedoel ik dat voldaan moet zijn aan de voorwaarden waaronder de grondslag kan worden ingeroepen. De KNLTB vond dat zij een gerechtvaardigd belang had bij de verkoop de persoonsgegevens van haar leden aan haar partners.

    voorwaarden voor het inroepen van Gerechtvaardigd belang als grondslag

    Om een beroep te kunnen doen op de grondslag ‘gerechtvaardigd belang’, moet de verwerking nodig zijn om de bedrijfsactiviteiten te verrichten (noodzakelijkheidsvoorwaarde). Verder moet -voorafgaand aan de verwerking- beoordeeld worden of:

    (i) het doel van de verwerking in verhouding staat tot de inbreuk op de privacy en

    (ii) het doel op een voor de betrokkenen minder nadelige manier kan worden bereikt.

    Tot slot moet er een afweging worden gemaakt tussen het privacybelang van klanten of leden en het bedrijfsbelang. Hier moet zorgvuldig en aantoonbaar over nagedacht worden. En de betrokkenen (je leden of klanten) moeten goed worden geïnformeerd.

    Kritiek

    Op het besluit van de KNLTB om persoonsgegevens te delen met partners kwam veel kritiek. Dit had o.a. te maken met de (schijnbaar) klakkeloze manier waarop de tennisbond meedeelde dat zij voortaan data met haar partners ging delen. Daarnaast meenden veel leden dat het gerechtvaardigd belang niet als grondslag voor de verkoop van hun gegevens kan dienen.

    het juiste doen

    Hoewel het niet onmogelijk lijkt om persoonsgegevens te verkopen op grond van een gerechtvaardigd belang, zal het m.i. ook niet eenvoudig zijn om aan te tonen dat de verkoop van de persoonsgegevens nodig is om de bedrijfsactiviteiten te verrichten. Als er andere, minder ingrijpende mogelijkheden zijn om hetzelfde doel te bereiken, moet de organisatie voor de minder ingrijpende oplossing kiezen. In ieder geval zal, voorafgaand aan de besluitvorming/verwerking, zorgvuldig getoetst en afgewogen moeten worden of aan de noodzakelijkheidsvoorwaarde en de overige voorwaarden voor een rechtmatige verwerking is voldaan. Zo had de KNLTB moeten onderzoeken of er andere, minder ingrijpende oplossingen zijn om de tennissport betaalbaar te houden voor haar leden.

    Het is heel goed mogelijk dat de KNLTB deze afwegingen wel heeft gemaakt. Alleen is de communicatie daarover niet (helemaal) helder geweest. En voor een rechtmatige verwerking is het ook nodig om transparant te zijn.

    Uit een nieuwsbericht van RTL blijkt overigens dat de tennisbond het delen van gegevens inmiddels -tijdelijk- heeft gestopt. De KNLTB neemt de tijd om het eerdere besluit te evalueren. Ik denk dat de bond daar goed aan doet.

    Verwerkt jouw organisatie persoonsgegevens en wil je weten of dit op de juiste manier gebeurt? Bel of mail ons, wij kijken graag samen met jou hoe je dit op de juiste manier kunt DOEN.

     

     

Klanten die Doen