Onder welke voorwaarden mag je persoonsgegevens verkopen?

Big data is big money en dus is het voor ondernemingen interessant om persoonsgegevens aan derde partijen te verkopen. Avast Software, het bedrijf achter de gelijknamige antivirussoftware, gaf recent nog toe dat het de gegevens van haar gebruikers verkoopt. Dat leverde toen de nodige commotie op, want de antivirussoftware van Avast beweert net persoonsgegevens te beschermen. Toch zijn het niet alleen bedrijven die persoonsgegevens verkopen, want ook een curator gaat bij de afwikkeling van het faillissement vaak na of het mogelijk is om de persoonsgegevens te verkopen. Wel is het belangrijk om te weten dat je volgens de AVG niet zomaar persoonsgegevens aan andere partijen mag verkopen.

Geldige grondslag nodig voor verkopen van persoonsgegevens

Persoonsgegevens verkopen is een vorm van gegevensverwerking en dus is een rechtmatige verwerking volgens de AVG enkel mogelijk indien er aan een van de zes grondslagen is voldaan. Deze grondslagen worden door de wet genoemd en gaan van wettelijke verplichtingen tot de noodzakelijkheid voor het uitvoeren van de overeenkomst. In de praktijk komen twee van deze grondslagen in aanmerking voor het verkopen van persoonsgegevens: het gerechtvaardigd belang en de toestemming. Als bedrijf moet je hierin een keuze maken en ervoor zorgen dat je die keuze ook juridisch kan onderbouwen. Bij een overtreding kan de Autoriteit Persoonsgegevens ingrijpen en een boete opleggen.

Gerechtvaardigd belang bij verkopen van persoonsgegevens

In de eerste plaats kan je dus opperen dat je een gerechtvaardigd belang hebt bij het verkopen van de persoonsgegevens. De verkoop moet dan noodzakelijk zijn om je bedrijfsactiviteiten uit te voeren, maar er zijn nog een aantal voorwaarden waaraan je moet voldoen. Vijf voorwaarden zijn hierbij van belang en moeten voorafgaand worden getoetst:

• De noodzakelijkheidsvoorwaarde
• Het doel moet in verhouding staan met de privacy-inbreuk
• Het doel mag niet op een minder nadelige manier kunnen worden bereikt
• Het bedrijfsbelang moet primeren op het privacybelang van de betrokkenen
• De betrokkenen moeten goed worden geïnformeerd.

Deze voorwaarden zijn heel verregaand en vaak is het erg moeilijk om deze grondslag correct in te roepen. Onder andere de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB) riep in 2018 nog het gerechtvaardigd belang in om de verkoop van persoonsgegevens te verantwoorden en gaf daarbij aan dat het op die manier de tennissport betaalbaar wou houden voor haar leden, maar deed dat niet helemaal juist. Zo had het niet onderzocht of er geen minder ingrijpende oplossingen waren om dat doel te bereiken en had het hier onvoldoende helder over gecommuniceerd. Uiteindelijk kreeg het KNLTB begin maart een torenhoge boete van 525.000 euro opgelegd door de Autoriteit Persoonsgegevens voor een aantal van die inbreuken in 2018.

Toestemming verkrijgen van de betrokkenen

Om problemen te voorkomen, is het toch aangeraden om te opteren voor de toestemmingsgrondslag. In dat geval geven de betrokkenen uitdrukkelijk hun toestemming om de persoonsgegevens te verkopen. Ook de toestemming is aan een aantal voorwaarden onderhevig:

• De toestemming moet vrij zijn (er mogen geen nadelige gevolgen aan verbonden zijn)
• De toestemming moet specifiek zijn (er moet voor de specifieke verwerking toestemming zijn gegeven)
• De toestemming moet geïnformeerd zijn (je moet voldoende informatie verschaffen)
• Er moet sprake zijn van een ondubbelzinnige wilsuiting (stilzwijgende toestemming is niet voldoende)

Enkel wanneer de toestemming ook juridisch juist is verkregen, mag je de gegevens verkopen. Bovendien moeten de betrokkenen de mogelijkheid hebben om op elk moment hun toestemming opnieuw in te trekken. De toestemminsgrondslag houdt zeker een aantal beperkingen in. Wanneer je je aan de voorwaarden houdt en alles juridisch correct uitvoert, voorkom je dat je nadien alsnog tegen boetes aankijkt. Over een juiste toestemming valt per slot van rekening niet meer te bakkeleien, maar of een belang uiteindelijk al dan niet gerechtvaardigd is, is vooraf niet altijd duidelijk.

Laat MKBrecht.nl helpen

De hoge boetes die de Autoriteit Persoonsgegevens oplegt, tonen aan dat je maar beter je privacykoetjes op het droge hebt. Ook wanneer je je op de toestemmingsgrondslag beroept, is dat het geval. Laat je daarom adviseren door MKBrecht.nl. Wij zorgen ervoor dat je toestemming de juridische test overleeft en dat je rechtsgeldig de persoonsgegevens mag verkopen. Maak gebruik van ons voordelig AVG-pakket.