Betreft
Ondanks herhaald verzoek blijft een VZW haar promomateriaal herhaaldelijk overmaken aan een persoon.
Context
Herhaalde publiciteit door Vzw
Rechtsgrond
Artikel 6.1 GDPR: De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
Artikel 17.1.c) en d) GDPR: “De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;”
Artikel 21.2. – 4. GDPR: “2. Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.
3. Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.
4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.”
Feiten
Een persoon ontvangt gedurende een bepaalde periode herhaaldelijk promotiemateriaal per post van de VZW en dit terwijl deze persoon reeds meermaals had verzocht dergelijk promotiemateriaal niet langer toe te sturen én zijn persoonsgegevens te wissen. De VZW gaf geen gevolg aan dit verzoek en in het kader van de procedure voor de Geschillenkamer stelde zij de vraag van deze persoon om de correspondentie stop te zetten, over het hoofd gezien te hebben.
De gegevens van de persoon waren sinds 2012 in de databank van de VZW opgenomen doordat deze persoon destijds een gift deed ten voordele van de VZW. Volgens de privacy-clausule van de VZW worden de gegevens van donateurs nog 10 jaar bijgehouden na hun laatste gift. De reden voor het toesturen van promotiemateriaal zou erin bestaan voormalige donateurs aan te zetten opnieuw financiële hulp te leveren aan VZW.
Voor deze fondsenwervende activiteiten beroept de VZW zich op het gerechtvaardigd belang uit artikel 6.1.f) GDPR als wettelijke grondslag voor de verwerking van persoonsgegevens, en niet op de expliciete toestemming van de klager. De VZW zou immers enkel zijn doelstellingen realiseren mits hij daarvoor de nodige middelen krijgt. Vandaar dat VZW tracht om een zo groot mogelijk doelpubliek aan te spreken.
Het ongevraagd per post toe sturen van promotiemateriaal van de VZW enerzijds, en het werven van fondsen anderzijds, brengt de Geschillenkamer ertoe te oordelen dat die praktijk kwalificeert als “direct marketing” in de zin van artikel 21 GDPR.
Via mail van 10 oktober 2019 verklaarde de VZW aan de Geschillenkamer dat de betrokkene van haar geen post meer zou ontvangen, maar op 26 november 2019 ontving deze persoon nog steeds een brief met de vraag om een kerstgift te doen, ondanks zijn aandringen om niet langer promotiemateriaal te versturen.
In het kader van direct marketing dient het recht van bezwaar nog strenger te worden opgevat. In deze context dient een dergelijk bezwaar bijgevolg onmiddellijk en zonder bijkomend onderzoek aanleiding te geven tot de regelrechte stopzetting van elke verwerking van gegevens van betrokkene ten behoeve van die direct marketing. De betrokkene heeft m.a.w. te allen tijde het recht om bezwaar te maken.
Gelet op het feit dat VZW geen gevolg heeft gegeven aan het bezwaar van de betrokkene, schendt de VZW de artikelen 21.2 en 21.3 GDPR.
Bovendien verzocht de betrokkene eveneens om zijn gegevens te schrappen overeenkomstig artikel 17 GDPR. Dit artikel bepaalt dat de betrokkene ten aanzien van de verwerkingsverantwoordelijke beschikt over het recht om zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer hij bezwaar maakt tegen de verwerking overeenkomstig artikel 21, lid 2 GDPR. Ook hier geeft de VZW geen gunstig gevolg aan het verzoek tot gegevenswissing en schendt artikel 17.1.c) GDPR.
Teneinde de VZW zich zou kunnen beroepen op de rechtmatigheidsgrond van het “gerechtvaardigd belang”, overeenkomstig artikel 6.1.f) GDPR, dient deze aan drie cumulatieve voorwaarden te voldoen, namelijk:
(1) de belangen die deze met de verwerking nastreeft, als gerechtvaardigd kunnen worden erkend (de “doeltoets”);
De geschillenkamer oordeelde dat deze voorwaarde voldaan was.
(2) de beoogde verwerking noodzakelijk is voor de verwezenlijking van deze belangen (de “noodzakelijkheidstoets”);
De geschillenkamer oordeelde dat tevens de noodzakelijkheidvoorwaarde voldaan was. De verwerking was noodzakelijk om de nagestreefde doeleinden – het richten van de brieven aan de donateurs teneinde fondsen te werven- te bereiken, hetzelfde resultaat zou niet bereikt kunnen worden zonder deze verwerking van persoonsgegevens. De verwerking van de naam en het adres was hiervoor noodzakelijk.
(3) de afweging van deze belangen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van betrokkenen doorweegt in het voordeel van de verwerkingsverantwoordelijke (de “afwegingstoets”).
Er wordt echter wél gestruikeld over de derde voorwaarde door de Geschillenkamer. De VZW zorgde niet voor de noodzakelijke garanties met betrekking tot het algemene en onvoorwaardelijke recht op bezwaar dat geldt bij de verwerking van persoonsgegevens voor direct marketing.
Aangezien het drie cumulatieve voorwaarden betreft werd geoordeeld dat de VZW de verwerking op grond van artikel 6.1.f) GDPR niet rechtsgeldig kon verderzetten. De VZW schendt aldus artikel 6.1 en artikel 21.4 GDPR
Uitspraak
De Gegevensbeschermingsautoriteit heeft bevolen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen (verzoek tot gegevenswissing).
Daarnaast werd er ook een een administratieve geldboete van € 1.000 opgelegd.
Onze mening
Bij direct marketing speelt het recht van bezwaar een grote rol. Een dergelijk bezwaar dient onmiddellijk en zonder bijkomend onderzoek aanleiding te geven tot de onmiddellijke stopzetting van elke verwerking van gegevens van betrokkene ten behoeve van die direct marketing. Het is mits voldaan aan de drie voorwaarden toegestaan om direct marketing te voeren maar de betrokkene heeft te allen tijde het recht om hiertegen bezwaar te maken. In dit kader had de VZW de nodige waarborgen moeten voorzien om de uitoefening van het recht op bezwaar te faciliteren (o.a. duidelijk hierop wijzen) zodat de ongewenste gevolgen voor de betrokkene kunnen worden beperkt én zou dit enkel mogelijk zijn indien de betrokkene redelijkerwijze kon verwachten dat zijn gegevens in dergelijke zin verwerkt zouden worden.
Dat de Gegevensbeschermingsautoriteit in deze zaak bevolen heeft dat de gegevens gewist moeten worden, gaat volgens ons wel een brug te ver. Om fiscale redenen, kan het namelijk verplicht zijn voor de VZW dat zij de gegevens van de personen die haar financieel steunen een wettelijk opgelegde tijd bewaren. Zo kunnen er bij een eventuele belastingcontrole de nodige verificaties verricht worden. Ons komt het dus voor dat de Gegevensbeschermingsautoriteit had moeten bevelen dat de gegevens niet meer mochten gebruikt worden voor direct marketing-doeleinden, maar dat deze wel nog bewaard mochten blijven om haar wettelijke verplichtingen, zoals bijvoorbeeld fiscale verplichtingen, na te komen.
Definitief?
Ja
Integrale beslissing