In een langverwachte uitspraak op 4 oktober 2024 heeft het Court of Justice of the European Union (CJEU) bevestigd dat legitieme belangen ook louter commerciële belangen kunnen omvatten onder de Algemene Verordening Gegevensbescherming (GDPR).
Zaak geschiedenis
In 2019 legde de Autoriteit Persoonsgegevens (AP) de Koninklijke Lawn Tennis Bond (KNLT) een boete op van €525.000 voor het onrechtmatig beroep op Legitieme Belangen als rechtsgrondslag voor het delen van de gegevens van haar leden met sponsors voor promotioneel gebruik. AP voerde aan dat het commerciële belang van KNLT niet voldoet aan de GDPR. KNLT ging in beroep en de rechtbank Amsterdam verwees de zaak naar het CJEU.
Beslissing CJEU
Deze belangrijke beslissing zal naar verwachting meer flexibiliteit bieden voor bedrijven bij het verwerken van persoonsgegevens voor commerciële doeleinden.
Het CJEU benadrukt echter dat de verwerkingsverantwoordelijken ook:
- Vaststellen dat de verwerking noodzakelijk is
- Een afweging maken
- Passende transparantiemaatregelen moeten treffen
- Ervoor zorgen dat betrokkenen te allen tijde bezwaar kunnen maken tegen gegevensverwerking
Pascal Bodang, DPO at The DPO Centre, said ‘Er wordt daarmee een brede uitleg aan het begrip gegeven. Hoewel deze uitspraak duidelijkheid brengt in een langlopende discussie is het belangrijk om zorgvuldig te werk te gaan bij gegevensverwerkingen die gebaseerd zijn op de grondslag ‘gerechtvaardig belang’. Het is een blijft maatwerk waarbij de vereisten uit de AVG in acht genomen moeten worden. Een passende en evenwichtige belangenafweging (LIA) is daarvoor essentieel. In dat kader is het van belang om de laatste EDPB Guidelines over de grondslag gerechtvaardigd belang in acht te nemen‘
