Voorkom boetes bij de verkoop van persoonsgegevens

Persoonsgegevens zijn erg waardevol. Daarom zegt men wel eens dat data de nieuwe olie is. Het verkopen van persoonsgegevens kan voor bedrijven zeer winstgevend zijn. De digitale voetafdruk die mensen achterlaten, is nu eenmaal van onschatbare waarde voor marketeers en gedragsanalisten. Om te voorkomen dat persoonsgegevens worden misbruikt, zijn er een aantal rechten en verplichtingen opgenomen in de Algemene Verordening Gegevensbescherming (AVG). De AVG verbiedt het verkopen van persoonsgegevens niet, maar legt wel erg strenge regels op.

Geldige grondslag voor gegevensverwerking

De AVG vereist een legitieme basis voor elke vorm van gegevensverwerking, inclusief de verkoop van persoonsgegevens. Het kan bijvoorbeeld dat de gegevensverwerking noodzakelijk is voor het uitvoeren van een contract of om te voldoen aan een wettelijke verplichting. In de praktijk beroept men zich vaak op de vrije en geïnformeerde toestemming van de betrokkene. Zeker in het geval van de verkoop van persoonsgegevens is de toestemming veruit de belangrijkste grondslag.

Ook het bestaan van een gerechtvaardigd belang wordt soms ingeroepen, maar het is essentieel dat dit zorgvuldig wordt afgewogen tegen het recht op privacy van de betrokkenen. Dit vereist een grondige beoordeling, waarbij onder meer rekening moet worden gehouden met de legitieme bedrijfsbelangen en de impact op de privacy van de individuen.

Indien de toestemmingsgrondslag wordt gebruikt, is het belangrijk dat deze toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig is. Dit betekent dat mensen echt een keuze moeten hebben (en dus geen nadelige gevolgen ervaren als ze weigeren) en duidelijk moeten weten waarvoor ze precies toestemming verlenen. Ook moeten ze adequaat geïnformeerd zijn over het gebruik van hun gegevens. Verder moeten ze deze toestemming actief verlenen. Tot slot moet de toestemming op elk moment ingetrokken kunnen worden.

Verkopen van persoonsgegevens

Indien aan de bovenstaande voorwaarden is voldaan, kunnen bedrijven persoonsgegevens verkopen. Ze dienen dan wel te zorgen voor een veilige gegevensoverdracht.

Recent heeft het Hof van Justitie nog een interessante uitspraak gedaan met betrekking tot de online veiling van persoonsgegevens voor reclamedoeleinden (zaak C-604/22). In dit arrest werd nogmaals benadrukt dat de gebruiker eerst zijn of haar toestemming moet verlenen én bezwaar moet kunnen maken. Wie het niet eens is met de verkoop van zijn of haar persoonsgegevens kan hiervan melding maken bij de Autoriteit Persoonsgegevens, de controlerende instantie die boetes kan opleggen.

Ook bijvoorbeeld een curator kan in het bezit komen van persoonsgegevens als onderdeel van de bezittingen van een failliete onderneming. De curator zal de persoonsgegevens eveneens niet zomaar mogen verkopen. Hij of zij zal moeten kijken of er een geldige grondslag is en zal eventueel de toestemming moeten vragen. In het andere geval mag de curator de persoonsgegevens niet verkopen. Hetzelfde geldt voor bijvoorbeeld laptops of computers die persoonsgegevens bevatten. De curator mag deze enkel verkopen als de persoonsgegevens onomkeerbaar vernietigd zijn of als de laptops en computers geen gegevensdragers meer bevatten.

Advies en ondersteuning bij verkoop persoonsgegevens

Het verkopen van persoonsgegevens is met andere woorden mogelijk, maar wel aan erg strenge regels onderhevig. Bedrijven die persoonsgegevens willen verkopen en verzamelen, zullen zowel technische als organisatorische maatregelen moeten treffen om de veiligheid te garanderen en datalekken te voorkomen. Daarnaast is het aan te raden om juridisch advies in te winnen, om te garanderen dat er een geldige grondslag is en dat de toestemming op de juiste manier wordt verkregen. Hiervoor kunt u een beroep doen op de expertise van MKBrecht.nl. Tijdens een vrijblijvend intakegesprek lichten we de mogelijkheden voor u toe.