1.1.Eiseres is een sportbond in de (rechts)vorm van een vereniging. Haar ledenbestand bestaat uit de bij haar aangesloten [vereniging] en hun verenigingsleden. Wanneer iemand lid wordt bij een bij eiseres aangesloten [vereniging] , wordt die persoon zowel lid van die [vereniging] als van eiseres. Eiseres werkt samen met sponsoren om naar eigen zeggen meer betekenis te kunnen geven aan de [sport] , haar visie en het lidmaatschap van haar leden. Twee van deze sponsoren zijn de [bedrijf 1] ( [bedrijf 1] ) en [bedrijf 2] ( [bedrijf 2] ).

1.2.Aan deze sponsoren heeft eiseres in 2018 op drie momenten gegevens van een deel van haar verenigingsleden verstrekt voor promotionele acties, te weten op [datum 1] en [datum 1] aan [bedrijf 2] en op [datum 1] aan [bedrijf 1] . Aan [bedrijf 2] heeft eiseres NAW-gegevens verstrekt. Aan [bedrijf 1] heeft eiseres naast NAW-gegevens ook gegevens betreffende geboortedatum, telefoonnummer, mobiele nummer, e-mailadres en naam van de vereniging verstrekt.

1.3.Ten tijde van de verstrekking op [datum 1] gold de Wet bescherming persoonsgegevens (Wbp) en tijdens de verstrekkingen in [datum 2] de AVG.n

De AVG is met ingang van 25 mei 2018 in werking getreden. De Wbp is op die datum ingetrokken.

De ledengegevens die eiseres aan [bedrijf 2] heeft verstrekt, waren bedoeld voor postmailing in de vorm van de toezending van een kortingsflyer. Deze ledengegevens heeft [bedrijf 2] voor het drukken van de flyer vervolgens doorgezonden aan PostNL. De ledengegevens die eiseres aan [bedrijf 1] heeft verstrekt waren bedoeld voor een belactie. [bedrijf 1] heeft deze ledengegevens doorgegeven aan door hen ingehuurde callcenters. Voor de verstrekte ledengegevens heeft eiseres een vergoeding gekregen van de betreffende sponsoren.

1.4.In 2018 heeft verweerder meerdere meldingen ontvangen van diverse leden dat eiseres persoonsgegevens van haar leden met deze twee sponsoren had gedeeld zonder dat de leden daarvoor expliciete toestemming hadden gegeven. Naar aanleiding hiervan heeft verweerder een onderzoek ingesteld naar de naleving van de AVG door eiseres bij het verzamelen en verstrekken van persoonsgegevens aan [bedrijf 1] en [bedrijf 2] ten behoeve van hun promotionele acties in de periode [datum 3] tot en met [datum 4] .

1.5.Uit dat onderzoek is onder meer gebleken dat eiseres in 2007 en 2017 toestemming heeft gekregen van haar ledenraad om de contactgegevens van haar leden te delen met de genoemde sponsoren. In 2007 is toestemming gegeven voor de verstrekking van de gegevens ten behoeve van postmailing en in 2017 is toestemming gegeven voor de verstrekking van gegevens ten behoeve van telemarketing. Eiseres heeft in de zomer van 2018 haar beleid via nieuwsbrieven en berichten op onder andere haar website gecommuniceerd aan haar leden. Eiseres informeerde nieuwe leden in de eerste maanden van 2018 over het nieuwe beleid via het digitale welkomstbericht dat elk nieuw lid van eiseres ontving. Op een door eiseres aangemaakte webpagina ‘Fanmarketing en data’ werden leden gewezen op hun recht om bezwaar aan te tekenen tegen het verstrekken van hun persoonsgegevens aan sponsoren. Eiseres heeft hierbij dus gekozen om af te wijken van de tot dan toe geldende ‘opt-in’ en over te stappen naar de zogenoemde ‘opt-out’ methode, waarbij de toestemming wordt verondersteld te zijn gegeven, tenzij het lid daartegen bezwaar maakt.

1.6.De uitkomst van het onderzoek was aanleiding voor verweerder om met het primaire besluit aan eiseres een boete op te leggen van € 525.000,-. Volgens verweerder heeft eiseres gegevens van haar leden aan de twee genoemde sponsoren verstrekt zonder dat de leden daarvoor toestemming hadden gegeven en zonder dat zij een rechtmatige grondslag had om die te verstrekken. Het gaat daarbij om de twee verstrekkingen uit [datum 2] . Daarmee ziet deze procedure dus enkel op de bepalingen uit de AVG. Volgens verweerder heeft eiseres door deze twee verstrekkingen in strijd gehandeld met:

2.1.Op grond van de AVG mogen persoonsgegevens uitsluitend worden verwerkt als er een grondslag voor die verwerking is. De grondslagen zijn limitatief opgesomd in artikel 6, eerste lid, van de AVG. Tussen partijen is niet in geschil dat eiseres geen toestemming had van haar individuele leden om hun gegevens aan de sponsoren te verstrekken en dat de verwerkingsgrondslag ‘toestemming’n

Artikel 6, eerste lid, aanhef en onder a, van de AVG.

dus niet van toepassing is. Eiseres betoogt dat zij een gerechtvaardigd belang heeft om de ledengegevens aan de twee sponsoren te verstrekken, zoals bedoeld in artikel 6, eerste lid, aanhef en onder f, van de AVG. Volgens verweerder is dat niet het geval.

2.2.Volgens vaste rechtspraak van het Hof van Justitie van de Europese Unie (het HvJ)n

Zie onder andere de uitspraak van het HvJ van 29 juli 2019, nr. C-40/17, ECLI:EU:C:2019:629 ( [bedrijf 3] ).

zijn er drie cumulatieve voorwaarden waaraan moeten worden voldaan wil men persoonsgegevens op basis van deze grondslag kunnen verwerken:

1. er moet sprake zijn van de behartiging van een gerechtvaardigd belang van de verwerkingsverantwoordelijke;

2. de verwerking moet voor dat gerechtvaardigde belang noodzakelijk zijn, en

3. het gerechtvaardigd belang van de verwerkingsverantwoordelijke moet zwaarder wegen dan de belangen of de grondrechten en de fundamentele vrijheden van diegene wiens persoonsgegevens worden verwerkt.

2.3.Verweerder stelt zich primair op het standpunt dat eiseres geen gerechtvaardigd belang heeft om de persoonsgegevens aan de twee sponsoren te verstrekken. In zoverre eindigt de toets volgens verweerder bij stap 1. Subsidiair meent verweerder dat de verwerking ook niet noodzakelijk is (stap 2) dan wel dat de belangen van de leden van eiseres dat hun persoonsgegevens niet worden verwerkt, dienen te prevaleren (stap 3). Er is volgens verweerder dan ook een overtreding van artikel 5, eerste lid, aanhef en onder a, AVG, gelezen in combinatie met artikel 6, eerste lid, van de AVG. Eiseres is van mening dat zij wel degelijk een gerechtvaardigd belang heeft bij de gegevensverwerking en dat zij ook voldoet aan de overige twee vereisten.

3.1.Partijen zijn in het bijzonder verdeeld over de uitleg en reikwijdte van het begrip ‘gerechtvaardigd belang’ in de zin van artikel 6, eerste lid onder f van de AVG. Volgens verweerder volgt uit de grammaticale uitleg van dit begrip dat sprake moet zijn van een legitiem en daarmee concreet ‘tot de wet behorend, wet zijnd, in een wet vastgelegd’ belang. Een positieve toets dus. Volgens verweerder strookt de opvatting van eiseres dat elk belang gerechtvaardigd is, tenzij dat bij wet is verboden, niet met de essentie van de bepaling. Als dat inderdaad de bedoeling zou zijn geweest, dan was het naar de mening van verweerder logischer geweest om de bepaling juist tegenovergesteld te redigeren. Dus bijvoorbeeld in plaats van te spreken over een ‘gerechtvaardigd belang’, te spreken van ‘een belang, tenzij dit bij wet verboden is’.

3.2.Verweerder verwijst in dat kader naar een passage uit overweging 47 van de AVG: “een dergelijk gerechtvaardigd belang kan bijvoorbeeld aanwezig zijn wanneer sprake is van een relevante en passende verhouding tussen de betrokkene en de verwerkingsverantwoordelijke”. Verweerder leest dit zo dat wordt bedoeld dat het verwerken van persoonsgegevens van personen die dat niet redelijkerwijs zouden hoeven te verwachten, niet gebaseerd kan zijn op een gerechtvaardigd belang. Het moet gaan om een vooraf kenbaar belang van de verwerkingsverantwoordelijke waar de betrokkene rekening mee kan houden. Een belang dat niet een gerechtvaardigd belang is en dus niet een ‘tot de wet behorend, wet zijnd, in de wet vastgelegd’ belang, is niet voldoende kenbaar op voorhand. Verweerder meent steun voor deze uitleg te vinden in het standpunt van de Europese Raad (de Raad) bij de eerste lezing van de AVG. Daarin overweegt de Raad dat: “het bestaan van een gerechtvaardigd belang moet worden aangetoond, waarbij onder meer moet worden nagegaan of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs kan verwachten dat verwerking ter behartiging van dat belang kan plaatsvinden. De verwerking van persoonsgegevens ten behoeve van direct marketingn

In Nederland heeft dit een wettelijke basis gekregen in artikel 11.7 van de Telecommunicatiewet.

kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang. De verwerking van persoonsgegevens door overheidsinstanties in het kader van de uitvoering van hun taken is niet gebaseerd op de rechtsgrond van het gerechtvaardigd belang, omdat het de nationale wetgever is die de rechtsgrondslag voor de verwerking van persoonsgegevens door overheidsinstanties vaststelt.”.n

Motivering van de Raad: Standpunt (EU) nr. 6/2016 van de Raad in eerste lezing met het oog op de vaststelling van een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, en tot intrekking van Richtlijn 951461EG (algemene verordening gegevensbescherming), (2016/C 159/02), p. 86-87.

3.3.Volgens verweerder is zijn uitleg ook de uitleg die het beste past in het systeem van de AVG en de Europese fundamentele rechten. Hij verwijst daartoe naar artikel 8 van het Handvest van de Europese Unie (het Handvest), waarin het recht op bescherming van persoonsgegevens is opgenomen. Beperkingen op dit recht moeten op grond van artikel 52 van het Handvest bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Met de AVG wordt volgens verweerder in feite uitvoering gegeven aan artikel 52 van het Handvest en dit volgt uit considerans 4 van de AVG. Daarin is overwogen dat: “de verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, woning en communicatie, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie, de vrijheid van ondernemerschap, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, en het recht op culturele, godsdienstige en taalkundige verscheidenheid (…).”. Het belang van de bescherming van persoonsgegevens kan op gespannen voet komen te staan met andere door het recht erkende algemene beginselen en/of rechten van anderen. In dat geval moet er volgens verweerder een afweging plaatsvinden, waarbij het Handvest en de AVG een concreet afwegingsmechanisme bieden in de vorm van artikel 6, eerste lid aanhef en onder f van de AVG, gelezen in combinatie met artikel 52 van het Handvest. Een belang in de zin van artikel 6, eerste lid aanhef en onder f van de AVG moet (vanwege de beperking die het oplevert met het grondrecht op de bescherming van persoonsgegevens) gelet op het Handvest op zijn minst doelstellingen van algemeen belang raken die worden erkend door de Unie of nodig zijn om rechten en vrijheden van anderen te beschermen. Doelstellingen van algemeen belang zijn ‘tot de wet behorende, wet zijnd, in een wet vastgelegde’ belangen, en rechten en vrijheden van anderen zijn dat ook. Het moet gaan om belangen die door de Unie of nationale wetgever als beschermingswaardig worden aangemerkt. Zij hebben een maatschappelijk gewicht en van eenieder mag worden verwacht dat zij in het maatschappelijk verkeer rekening houdt met deze belangen.

3.4.Het verzamelen en verwerken van gegevens van een persoon om deze door te verkopen zonder toestemming van de betrokkene vormt volgens verweerder een inbreuk op artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM). De uitleg van eiseres van artikel 6, eerste lid aanhef en onder f van de AVG (die een invulling van artikel 52 van het Handvest is) doet volgens verweerder dan ook afbreuk aan artikel 8 van het EVRM. Dat zou betekenen dat de AVG een teruggang is in bescherming ten opzichte van de situatie voor de inwerkingtreding van het Handvest. Onder het Handvest en de AVG zou dan feitelijk een lager beschermingsniveau gelden dan daarvoor, toen enkel het EVRM gold. Immers, als eiseres een gerechtvaardigd belang heeft (en dus eventueel de gegevens zou mogen verwerken), dan is in de beperking van artikel 8 van het EVRM bij wet voorzien (namelijk: de AVG). Dan zou de AVG in feite de voorheen volgens verweerder bestaande strijdigheid met artikel van het 8 EVRM opheffen. Voor de invoering van de AVG was deze beperking van de grondrechten van de leden volgens verweerder niet bij wet voorzien, onder de AVG wel. Dat is in strijd met artikel 53 van het Handvest.

4.1.Eiseres is van mening dat een gerechtvaardigd belang niet hoeft te worden teruggevoerd op een grondrecht of rechtsbeginsel, zoals verweerder stelt. Uit de wettekst van de AVG volgt immers dat andersoortige belangen (niet zijnde grondrechten en/of rechtsbeginselen) kunnen kwalificeren als een gerechtvaardigd belang. Zij verwijst in dat kader naar considerans 47 van de AVG, waarin ‘direct marketing’ als gerechtvaardigd belang wordt aangemerkt. Het bestreden besluit berust volgens eiseres daarom op een onjuiste interpretatie van artikel 6, eerste lid, aanhef en onder f, van de AVG. Volgens eiseres is er in beginsel vrij snel sprake van een gerechtvaardigd belang, tenzij dat belang in strijd is met de wet. Een negatieve toets dus. Zij verwijst in dit kader onder andere naar Kamara & De Hert, die betogen dat "a legitimate interest (…), might not be specifically foreseen in a legal instrument, but in any case has to be in accordance with the law, in the sense that it does not violate the law”n

I. Kamara & P. de Hert, 'Understanding the balancing act behind the legitimate interest of the controller ground: a pragmatic approach', Brussels Privacy Hub 2018, vol. 4, nr. 12, p. 12.

en naar de conclusie van advocaat-generaal [naam 1] bij het arrest van het HvJ inzake [bedrijf 3]n

Conclusie A-G HvJ, 19 december 2018, nr.C-40/17, ECLI:EU:C:2018:1039, r.o. 122.

. Daarin overweegt hij dat, mits op zichzelf wettig, er geen type van belang bestaat dat per se uitgesloten is.” Ook verwijst eiseres naar rechtspraak van het HvJ waarin sprake is van een gerechtvaardigd belang, maar geen sprake is van/niet wordt verwezen naar een fundamenteel recht of rechtsbeginselenn

Onder andere HvJ 13 mei 2014, CA 31112, ECLI EU:C:2014:317 (Google Spain).

. Daarnaast verwijst zij naar de uitspraak van de rechtbank Midden-Nederland van [datum 5] , waarin wordt aangenomen dat bij vaststelling van een gerechtvaardigd belang sprake is van een negatieve toetsn

ECLI:NL:RBMNE:2020:5111.

. Verweerder heeft volgens eiseres ten onrechte geconcludeerd dat geen sprake is van een gerechtvaardigd belang, omdat het belang dat eiseres met de verwerking nastreeft niet kan worden teruggevoerd op een grondrecht of een rechtsbeginsel. De strenge normuitleg van verweerder gaat volgens eiseres in tegen de strekking van de verordening, het coherentiemechanisme en de marktwerking die met de AVG is beoogd.

5.1.Op grond van artikel 6, eerste lid, aanhef en onder f, van de AVG is de verwerking alleen rechtmatig indien en voor zover de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

5.2.De vraag of eiseres een gerechtvaardigd belang heeft bij de verwerking van de persoonsgegevens van haar leden is niet zonder redelijke twijfel te beantwoorden. Er is ten aanzien van deze vraag niet gebleken van een acte éclairé, aangezien het antwoord op deze vraag kan niet worden gevonden aan de hand van vaste rechtspraak van het HvJ in vergelijkbare gevallen. Daarnaast is ten aanzien van deze vraag evenmin gebleken van een acte clair, nu artikel 6, eerste lid, aanhef en onder f van de AVG geen uitsluitsel geeft over de definitie en reikwijdte van het begrip ‘gerechtvaardigd belang’. De bepaling is bovendien niet dusdanig helder geformuleerd dat gezegd kan worden dat redelijkerwijs geen twijfel over de uitleg of het toepassingsbereik hiervan kan bestaan.

5.3.De rechtbank Midden-Nederland heeft zich in de hiervoor genoemde uitspraakn

De uitspraak van [datum 5] , ECLI:NL:RBMNE:2020:5111.

als eerste Nederlandse rechtbank uitgelaten over het begrip ‘gerechtvaardigd belang’ en verwijst in haar uitspraak naar de conclusie van advocaat-generaal M. [naam 1] bij het arrest van het HvJ in de zaak [bedrijf 3] .n

Conclusie A-G HvJ, 19 december 2018, nr.C-40/17, ECLI:EU:C:2018:1039.

Daarin zet hij uiteen dat ook Richtlijn 95/46 geen definitie of opsomming bevat van wat het begrip ‘gerechtvaardigd belang’ precies inhoudt. De rechtbank Midden-Nederland overweegt: “Volgens [naam 1] is dit begrip tamelijk flexibel en open van aard en hij verwijst daarvoor naar zijn eigen conclusie in het arrest van het HvJ inzake [naam 2] ,n

Conclusie A-G HvJ, 27 januari 2017, nr. C-13/16, ECLI:EU:C:2017:43.

waarin hij de arresten van het HvJ inzake [naam 3] en [naam 4] ,n

Arrest van het HvJ, 9 november 2010, nrs. C-92/09 en C-93/09, ECLI:EU:C:2010:662, punt 77.

en [naam 5]n

Arrest van het HvJ, 11 december 2014, nr. C-2012/13, ECLI:EU:C:2014:2428, punt 34.

noemt(…). Mits op zichzelf wettig, bestaat er volgens [naam 1] geen type belang dat per se uitgesloten is. [naam 1] baseert deze conclusie onder andere op de opinie van de Werkgroep artikel 29 (WP29, de voorloper van de European Data Protection Board (EDPB)). In haar opinie uit 2014,n

Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC, Article 29 Data Protection Working Party, 9 april 2-14, p. 24.

heeft de WP29 geschreven dat het gerechtvaardigd belang moet worden geïnterpreteerd als een begrip waar een scala aan verschillende belangen onder kan vallen, of het nu gaat om triviale of dwingende belangen, en of deze nu evident of meer controversieel zijn, mits het een werkelijk en aanwezig (en dus niet speculatief) belang is. Niet alleen juridische, maar ook allerhande feitelijke, economische en ideële belangen kunnen dus als gerechtvaardigd belang kwalificeren.”n

Zie r.o. 15 van de uitspraak van Midden-Nederland.

Dit lijkt het standpunt van eiseres te ondersteunen dat elk belang, dus ook een zuiver commercieel belang, een gerechtvaardigd belang kan zijn.

5.4.Aan de andere kant lijkt het volgens de rechtbank niet te rijmen met de hoge mate van bescherming die de AVG beoogt te bieden wanneer de wens om zonder toestemming van betrokkene geld te verdienen met andermans persoonsgegevens wordt aangemerkt als een gerechtvaardigd belang. Bij een fundamenteel recht als het recht op bescherming van persoonsgegevens acht de rechtbank de uitleg van verweerder aanvaardbaar. Overigens merkt de rechtbank op dat ook vóór de inwerkingtreding van de AVG al werd voldaan aan de eis van artikel 8 van het EVRM dat een inbeuk op de bescherming van persoonsgegevens voorzien moet zijn in een wet. De verwerkingsgrondslag ‘gerechtvaardigd belang’ was namelijk opgenomen in artikel 8, aanhef en onder f, van de Wbp.

5.5.Ten slotte merkt de rechtbank op dat de AVG duidelijk voorschrijft wanneer een verwerking zijn rechtsgrondslag in een lidstatelijke of Unierechtelijke bepaling moet vinden. Zo wordt bijvoorbeeld in artikel 9, eerste lid, van de AVG duidelijk voorgeschreven welke persoonsgegevens verboden zijn om te verwerken: persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. In het tweede lid, aanhef en onder a van dat artikel is bepaald dat het eerste lid buiten toepassing blijft indien de betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven. Het eerste lid is op grond van het tweede lid, aanhef en onder g, ook niet van toepassing wanneer de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene. Nu de AVG duidelijk voorschrijft wanneer een verwerking zijn rechtsgrondslag in een wettelijke bepaling moet vinden, acht de rechtbank de uitleg die eiseres betoogt ook aanvaardbaar.

6. De rechtbank vindt zich daarom genoodzaakt om de volgende prejudiciële vragen aan het Hof van Justitie te stellen:

1. Hoe dient de rechtbank de term ‘gerechtvaardigd belang’ uit te leggen?

2. Dient die term te worden uitgelegd zoals verweerder dat uitlegt? Zijn dat uitsluitend tot de wet behorende, wet zijnd, in een wet vastgestelde belangen? Of;

3. Kan elk belang een gerechtvaardigd belang zijn, mits dat belang niet in strijd is met de wet? Meer specifiek gesteld: is een zuiver commercieel belang en het belang zoals hier aan orde, het verstrekken van persoonsgegevens tegen betaling zonder toestemming van de betreffende persoon, onder omstandigheden aan te merken als een gerechtvaardigd belang? Zo ja, welke omstandigheden bepalen of een zuiver commercieel belang een gerechtvaardigd belang is?