De Artikel 29-werkgroep heeft onlangs een opinie aangenomen over de voorwaarden voor een beroep op een gerechtvaardigd belang als grondslag voor het verwerken van persoonsgegevens.
De verwerking van persoonsgegevens wordt in Nederland gereguleerd door de Wet bescherming persoonsgegevens (“Wbp”). In artikel 8 van de Wbp worden een zestal grondslagen genoemd voor de verwerking van persoonsgegevens. Het verwerken van persoonsgegevens is alleen toegestaan als die gebaseerd is op één van de grondslagen, het is een limitatieve opsomming. Eén van de opgesomde grondslagen is het gerechtvaardigd belang.
De Wbp formuleert deze grondslag als volgt:
“De gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.”
De toets om te kijken of een gegevensverwerking gestoeld kan worden op deze grondslag bestaat dus uit twee stappen:
1. Heeft de verantwoordelijke (of een derde) een gerechtvaardigd belang?
2. Weegt het belang van de betrokkene bij bescherming van zijn privacy zwaarder?
De toets komt dus in essentie neer op een belangenafweging, welke – aldus de Artikel 29-werkgroep – geen straightforward belangenafweging is, maar een complexe analyse met verschillende factoren.
Als eerste onderdeel van deze analyse moet gekeken worden of er sprake is van een gerechtvaardigd belang van de verantwoordelijke. Hiervoor geeft de Artikel 29-werkgroep een aantal criteria:
· Het belang moet rechtmatig zijn;
· Het belang moet voldoende zeker en specifiek zijn;
· Het mag gaan om een algemeen belang of een specifiek commercieel belang.
Wanneer er inderdaad sprake is van een gerechtvaardigd belang aan de zijde van de verantwoordelijke, moet naar de kant van de betrokkene gekeken worden. De criteria die aan deze kant meespelen:
· de impact en risico’s op basis van de beslissingen die op basis van de data worden genomen en de emotionele impact daarvan, zoals irritatie, angst en chilling effect;
· de aard van de data;
· de manier en schaal van verwerking;
· de redelijke verwachtingen van de betrokkene;
· de status/aard van de betrokkene en de verantwoordelijke.
Ten slotte spelen de waarborgen die de verantwoordelijke neemt voor het verwerken van persoonsgegevens een belangrijke rol in de belangenafweging. De Artikel 29-werkgroep geeft aan dat het nemen van voldoende aanvullende waarborgen zelfs de balans van de belangenafweging van de betrokkene naar de verantwoordelijke kunnen doen omslaan.
De waarborgen die Artikel 29-werkgroep in deze naar voren brengt zijn:
· het bieden van een opt-out (te onderscheiden van het recht op verzet van de betrokkene)
· informatieverstrekking en transparantie
· het minimaliseren van de data die wordt verwerkt, onder andere ten aanzien van:
o de schaal van de verwerking
o de bewaartermijn
o de aard van de data
· het aggregeren en pseudonimiseren van de persoonsgegevens
· het toepassen van Privacy Enhancing Techniques (PET) en encryptie
· het beiden van dataportabiliteit en inzage
Ten slotte doet de Artikel 29-werkgroep een aantal aanbevelingen. Hierbij wordt erg de nadruk gelegd op de waarborgen die de Artikel 29-werkgroep graag als richtlijn geïntroduceerd zou willen zien in de privacyverordening, waarbij veelal de mogelijkheid van opt-out wordt herhaald. Verder stelt de Artikel 29-werkgroep een verplicht stappenplan voor de verantwoordelijke voor. Hiermee is de verantwoordelijke dan in staat om de bovengenoemde analyse uit te voeren. Bij voorkeur zou deze verplichting dan ook de plicht omvatten om de uitkomst van die analyse te documenteren en publiceren.
