De Autoriteit Persoonsgegevens (“AP”) heeft de KNLTB, de Koninklijke Nederlandse Lawn Tennisbond (“KNLTB”), een boete van EUR 525.000 opgelegd voor het verkopen van data van zijn leden. De persoonsgegevens werden verkocht aan twee sponsoren, waarna de leden benaderd werden voor promotionele acties per post of telefoon. De KNLTB verstrekte de sponsoren persoonsgegevens zoals naam, geslacht en adres en deelde persoonsgegevens van ongeveer 50.000 en 315.000 leden.
Onderzoek en aanleiding
De KNLTB is het overkoepelend orgaan van de tennissport en de tennisverenigingen in Nederland. Volgens de website van de KNLTB zijn er bijna 570.000 tennissers aangesloten bij de bond en is ongeveer 97% van de tennisverenigingen aangesloten. Begin 2018 kondigde de KNLTB aan persoonsgegevens van leden te verstrekken aan sponsoren zodat deze de leden konden gaan benaderen met tennisgerelateerde en andere aanbiedingen. Deze aankondigingen werden gedaan in nieuwsbrieven en op de website van de KNLTB. Naar aanleiding van deze aankondigingen en het telefonisch benaderen van leden met een promotionele actie van de sponsoren, heeft de AP diverse klachten ontvangen en is de kwestie in de media aan de orde geweest. Deze klachten en de media-aandacht van de kwestie waren aanleiding voor de AP om in oktober 2018 een onderzoek te starten naar de handelswijze van de KNLTB.
De KNLTB verwerkt persoonsgegevens voor meerdere doelen, zoals voor het uitvoeren van de lidmaatschapsovereenkomst met de leden en de ontwikkeling van de tennissport in Nederland. Deze doelen zijn in 2005 in de statuten van de KNLTB opgenomen, maar in de loop van de tijd veranderd. Zo is in 2007 een nieuw verzameldoel vastgesteld, namelijk het genereren van inkomsten door het verstrekken van ledendata aan sponsoren voor direct marketingactiviteiten van de sponsoren. Deze verstrekking was bedoeld voor briefpostacties. In 2017 is daaraan toegevoegd dat leden voor het direct marketingdoeleinde ook per telefoon benaderd mogen worden door de sponsoren.
In het onderzoek maakt de AP een onderscheid tussen twee situaties, leden die vóór 2007 en vanaf 2007 lid zijn geworden. Leden die vóór 2007 lid zijn geworden zijn volgens de AP niet op de hoogte van de verstrekking van de ledengegevens aan sponsoren. Nieuwe leden vanaf 2007 zijn door de KNLTB bij hun inschrijving op de hoogte gebracht van het nieuwe verzameldoel.
Leden van vóór 2007
Voor deze leden geldt dat het verstrekken van hun gegevens aan de sponsoren kwalificeert als verdere verwerking, namelijk voor een ander doel dan waarvoor de gegevens oorspronkelijk verzameld zijn. Deze verdere verwerking zou op basis van de Algemene Verordening Gegevensbescherming (“AVG”) rechtmatig zijn als de verdere verwerking verenigbaar is met het oorspronkelijke doel.
De KNLTB heeft persoonsgegevens oorspronkelijk verzameld voor de uitvoering van de lidmaatschapsovereenkomst en niet voor het doel om (extra) inkomsten te genereren door verstrekking aan sponsors. De AP oordeelt dat er geen sprake is van een verenigbaar doel. Aan deze conclusie ligt onder meer ten grondslag dat de verstrekkingen aan de sponsoren niet in de lijn van de redelijke verwachtingen van de leden liggen.
Aspirant-leden die zich aansluiten bij een tennisclub die lid is van de KNLTB worden automatisch lid van de KNLTB. Deze leden zijn in zoverre verplicht om hun persoonsgegevens te verstrekken aan de KNLTB in verband met de uitvoering van hun lidmaatschapsovereenkomst. Gelet op het verplichte lidmaatschap hadden de leden volgens de AP mogen verwachten dat hun persoonsgegevens alleen zouden worden gebruikt voor het verzameldoel, de uitvoering van de lidmaatschapsovereenkomst. Hierbij neemt de AP in aanmerking dat de KNLTB een non-profitorganisatie is en de leden ook daarom niet konden verwachten dat hun persoonsgegevens zouden worden verstrekt aan sponsors met commerciële motieven. Ook relevant acht de AP dat één van de sponsoren in het geheel geen tennisgerelateerde aanbiedingen deed.
Dat de KNLTB zijn leden voorafgaand aan de verstrekkingen op diverse manieren heeft geïnformeerd over de verdere verwerking van hun persoonsgegevens en de mogelijkheid heeft geboden om bezwaar te maken, maakt de verstrekking niet rechtmatig. Immers, het informeren van de leden heeft pas plaatsgevonden na de verzameling hun persoonsgegevens.
Leden vanaf 2007
Voor deze leden geldt dat de verstrekking bekend was als doeleinde. De AP onderzoekt daarom niet de rechtmatigheid van de verdere verwerking, maar focust zich op de aanwezigheid van een wettelijke grondslag. De KNLTB beroept zich op de grondslag gerechtvaardigd belang.
Volgens de KNLTB is de verwerking van persoonsgegevens voor het genereren van extra inkomsten noodzakelijk voor de behartiging van zijn gerechtvaardigde belang, nu zijn ledenaantal – en daarmee de inkomsten van de KNLTB – de afgelopen tien jaar sterk is gedaald. Het belang van de bond is gerechtvaardigd omdat de verwerking van de ledengegevens wordt ingezet voor direct marketing doeleinden. Dit belang is in overweging 47 van de AVG specifiek genoemd: “De verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.” Ook beroept de KNLTB zich op de vrijheid van ondernemerschap uit het Handvest van de grondrechten van de Europese Unie.
De AP is van oordeel dat het belang van de KNLTB bij de verstrekking aan sponsoren niet gerechtvaardigd is. Voor een geslaagd beroep op de grondslag gerechtvaardigd belang moet aan drie cumulatieve voorwaarden zijn voldaan: i) het belang van de KNLTB moet gerechtvaardigd zijn, ii) de verwerking van de persoonsgegevens moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang, en iii) het gerechtvaardigde belang van de KNLTB moet prevaleren boven de fundamentele rechten en vrijheden van de leden. Daarbij dient eerst de drempel van gerechtvaardigdheid van het belang te worden gehaald (voorwaarde i)), waarbij vereist is dat het belang in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang en dat het belang voldoende concreet is. Daarna komt men pas toe aan de afweging van noodzaak (ii) en belangen (iii).
De KNLTB haalt deze drempel van gerechtvaardigdheid niet. Zuiver commerciële belangen, zoals het belang van het geven van meerwaarde voor het lidmaatschap en het belang van het terugdringen van de verminderde inkomsten door dalende ledenaantallen, missen volgens de AP een min of meer dringend karakter dat uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel voortvloeit. Hetzelfde zou gelden voor de vrijheid van ondernemerschap. Het belang van deze vrijheid is onvoldoende concreet en rechtstreeks om te kunnen kwalificeren als gerechtvaardigd belang. Nu de KNLTB zich niet op de grondslag gerechtvaardigd belang en ook niet op een andere wettelijke grondslag kan beroepen, hebben de verstrekkingen onrechtmatig plaatsgevonden.
Boete
Voor de overtredingen van de AVG door de KNLTB geldt een boetebandbreedte tussen EUR 300.000 en EUR 750.000 en is een basisboete van EUR 525.000 vastgesteld. De AP hanteert de basisboete als neutraal uitgangspunt, maar het bedrag van de basisboete kan worden verhoogd of verlaagd. Relevante factoren voor het bepalen van de boetehoogte zijn onder meer de aard, ernst en duur van de inbreuk, de mate van verwijtbaarheid en de genomen maatregelen om te schade te beperken. De AP ziet echter geen aanleiding om de hoogte van de boete aan te passen en overweegt daarbij als volgt:
- Er is sprake van een groot aantal betrokkenen en een grote hoeveelheid persoonsgegevens;
- Anderzijds is er geen sprake van bijzondere persoonsgegevens en niet van gegevens van minderjarigen;
- De KNLTB heeft verwijtbaar gehandeld omdat zij de persoonsgegevens bewust heeft verstrekt. Hier doet niet aan af dat de KNLTB een advocatenkantoor heeft ingeschakeld voor advies over het beleid van het delen van persoonsgegevens met sponsoren en ook niet dat er in dit verband een handboek Sport & Privacy is opgesteld;
- Anderzijds heeft de KNLTB maatregelen genomen om de schade te beperken, zoals instemming van de ledenraad, informatieverstrekking aan de leden over de voorgenomen verstrekkingen, een geheimhoudingsclausule in de overeenkomst met de sponsoren en het vroegtijdig beëindigen van de telemarketing campagne op verzoek van de AP.
- De KNLTB beschikt over een gezonde financiële positie en moet de boete van EUR 525.000 daarmee kunnen dragen.
Buiten de sportwereld heeft de AP eerder al flinke boetes opgelegd vanwege het schenden van de bescherming van persoonsgegevens. Zo kreeg het HagaZiekenhuis in juli 2018 een boete van EUR 460.000 opgelegd vanwege de onzorgvuldige omgang met patiëntgegevens.
Klacht KNLTB tegen AP
Tijdens het onderzoek naar de KNLTB diende de tennisbond een klacht in tegen de AP. De klacht ging over het optreden van AP-voorzitter Aleid Wolfsen in Nieuwsuur in december 2018, waarin Wolfsen aangaf dat de AP een sportbond onderzocht. Volgens de KNLTB wekte de AP met deze uitlatingen de schijn van vooringenomenheid. De AP heeft de klacht van de KNLTB gegrond verklaard en in reactie op deze klacht erkend dat haar uitlatingen zijdens de uitzending genuanceerder en zorgvuldiger had moeten zijn. Deze uitlatingen waren volgens de AP echter niet zodanig dat zij geen handhavingsprocedure had mogen starten, en verder zou de besluitvormingsprocedure die daarop volgde in lijn met de wettelijke vereisten hebben plaatsgevonden.
Slot
De KNLTB heeft bezwaar gemaakt tegen het besluit. Daarnaast heeft sportkoepelorganisatie NOC*NSF aan de AP gevraagd het besluit te heroverwegen.
Voor veel sportbonden is de samenwerking met partners en sponsoren een cruciale bron van inkomsten en worden gegevens verstrekt aan derden voor direct marketingdoeleinden. In het kader van protest door de KNLTB over het gelijkheidsbeginsel heeft de AP verklaard dat zij ook onderzoek kan instellen naar andere sportbonden en de verstrekking van gegevens aan derden wanneer daar klachten over komen.
Voor vragen over het gebruik van persoonsgegevens voor direct marketingdoeleinden en andere privacyvragen kunt u contact opnemen met Thomas van Essen en/of Nina Lodder.
Lees het volledige boetebesluit hier.
