Gerrit Vandendriessche (ALTIUS / BAM Legal Hub): “De GDPR gaat niet alleen over privacy maar ook over het vrij verkeer van persoonsgegevens”

Uw lezing heeft als titel ‘Legitimate debate on legitimate interest’. Waarover zal u het hebben?

Ik zal dieper ingaan op het begrip ‘legitimate interest’ (gerechtvaardigd belang) binnen de GDPR. Dat is vaak de rechtsgrond die marketeers kiezen voor de verwerking van persoonsgegevens, aangezien aan andere rechtsgronden binnen GDPR zoals toestemming meer voorwaarden zijn verbonden. Momenteel is er een debat bezig over de vraag of je dat gerechtvaardigd belang überhaupt wel kan gebruiken als rechtsgrondslag voor marketingdoeleinden. Er is ook een zaak hangende bij het Hof van Justitie van de Europese Unie. Er zijn een aantal gegevensbeschermingsautoriteiten die beweren dat je gerechtvaardigd belang nooit of te nimmer kan gebruiken als rechtsgrond voor marketingdoeleinden, want, zo zeggen ze, gerechtvaardigd belang laat niet toe dat je data gebruikt voor commerciële doeleinden. Het betreft een existentieel debat voor de marketingsector. Stel dat je gerechtvaardigd belang niet kan gebruiken als rechtsgrond, dan wordt het wel zeer moeilijk voor bedrijven.

Daarnaast wil ik een paar andere discussies binnen de GDPR aanhalen zoals de neiging van een aantal autoriteiten om zeer eenvoudige data zoals de geboorteplaats van iemand te gaan beschouwen als gevoelige gegevens, want zo is de redenering, op basis van de geboorteplaats kan je iemands ras afleiden en dat is gevoelige informatie. Als we die richting uitgaan, wordt de naleving van de GDPR zeer moeilijk. Ik zou vooral willen oproepen om de GDPR op een juridisch correcte doch pragmatische en redelijke manier te interpreteren.

Veel marketeers riskeren dus om weldra niet meer binnen een wetgevend kaderen te kunnen opereren?

Zo ver zijn we nog echt niet! Ik vind dat gerechtvaardigd belang principieel wel degelijk kan gebruikt worden voor het verwerken van persoonsgegevens voor marketingdoeleinden. De neiging om gerechtvaardigd belang uit te sluiten als rechtsgrond voor marketingverwerkingen, is juridisch niet helemaal juist en volgens mij ook nefast. Dat is een veel te restrictieve lezing. Een aantal gegevensbeschermingsautoriteiten leest de GDPR alleen maar door de bril van het zogenaamde datasubject, met name de betrokkene wiens gegevens worden verwerkt. Zodra er twijfel of een grijze zone is, neigt men steeds naar een interpretatie in het voordeel van het datasubject. Dat komt volgens mij niet helemaal overeen met de doelstelling van de GDPR. De GDPR gaat niet alleen over de bescherming van persoonsgegevens, maar ook over het bevorderen van het vrij verkeer van persoonsgegevens. De GDPR stelt ook niet dat privacy boven alles moet primeren, maar – integendeel – privacyoverwegingen moeten worden afgewogen tegen andere belangrijke principes, zoals de vrijheid van pers, vrijheid van ondernemen, etc. Kortom, de autoriteiten vergeten dat de GDPR ook rekening houdt met andere fundamentele principes, ze is er dus niet enkel en alleen om persoonsgegevens te beschermen.

Wat zegt de rechtspraak over de kwestie?

De vraag of je gerechtvaardigd belang kan gebruiken als rechtsgrond voor commerciële doeleinden, ligt nu bij het hof van justitie. Er zijn ook uitspraken van het Marktenhof, dat is de instantie die de beslissingen van de Belgische Gegevensbeschermingsautoriteit (GBA) onder de loep neemt, die de beslissingen van de GBA niet steeds volgen. Tot slot is er een recent advies van een advocaat-generaal in een zaak voor het Hof van Justitie over een andere GDPR-zaak. Die vroeg zich af of we in elke situatie de GDPR op een dermate ruime wijze moeten interpreteren dat de facto de naleving ervan onmogelijk wordt voor de bedrijven. De GDPR heeft inderdaad reeds een zeer ruim toepassingsgebied. Als we die tekst dan ook nog eens steeds restrictief in het voordeel van het datasubject gaan interpreteren, wordt de GDPR naleven wel een hele uitdaging. Het leuke aan heel de discussie is dat het woord privacy, waar zo vaak mee wordt geschermd, zelfs niet in de GDPR staat. De GDPR gaat dus niet over privacy, maar over persoonsgegevens. Dat is een belangrijk verschil. De GDPR bevat regels over de bescherming van persoonsgegevens maar tegelijkertijd ook over het vrij verkeer van die gegevens.

De GDPR is sinds 2016 gestemd en in werking getreden in 2018. En toch lijkt er nog altijd onduidelijkheid te bestaan over de regelgeving?

We krijgen er inderdaad nog altijd heel veel vragen over van marketeers. Dat is niet de fout van de bedrijven, maar wel van de tekst zelf die vrij breed en algemeen geformuleerd is en heel veel nuance en interpretatie toelaat. Het ligt ook aan een gebrek aan voldoende duidelijke en werkbare duiding door de autoriteiten, waaronder ook de GBA. Die laatste is helaas wel ondergefinancierd, en ik erken dat ze ook niet alle onduidelijkheden in de GDPR kan uitklaren. Het Hof van Justitie is daar het best geschikt voor. Ondertussen worden de bedrijven wel met een probleem opgezadeld.

Wat moet er gebeuren?

De GBA moet meer middelen krijgen, want de organisatie is structureel onderbemand. Aldus kunnen ze meer aandacht geven aan het begeleiden van bedrijven die de GDPR moeten toepassen. Verder hoop ik ook dat men vroeg of laat de GDPR zal herzien, met name bekijken of er een aantal zaken kunnen verduidelijkt of verbeterd worden. Er is echt wel ruimte om een aantal principes of verplichtingen uit te klaren, te vereenvoudigen, te verwijderen of aan te passen. Ik kijk alvast uit naar wat het Hof van Justitie beslist over het gerechtvaardigd belang bij marketingtoepassingen. Die zaak zal weldra haar beslag krijgen. Die uitkomst zal de toekomst van de verwerking van persoonsgegevens in reclame sturen.