Wanneer mag je persoonsgegevens doorspelen aan een derde?

Bijna elke onderneming verzamelt en verwerkt persoonsgegevens. Hieraan zijn een aantal verregaande verplichtingen verbonden. Een algemene regel is daarbij dat je de persoonsgegevens goed moet beveiligen en ervoor moet zorgen dat ze niet uitlekken. Maar wat als een derde bij je komt aankloppen en om die persoonsgegevens vraagt? Die derde kan ze per slot van rekening nodig hebben om een openstaande vordering te innen of om een schadeclaim in te dienen. Hoef je daar dan op in te gaan? Een kant-en-klaar antwoord is er niet. Gelukkig zijn er in de rechtspraak een aantal voorbeeldzaken te vinden die verduidelijking brengen.

Enkel bij gerechtvaardigd belang

In het arrest Lycos/Pessers moest de Hoge Raad in 2005 al over gelijkaardige feiten oordelen. Dit arrest is nog steeds een van de belangrijkste zaken in deze materie. Toen wou een derde, die schade leed ten gevolge van gepubliceerde beschuldigingen op een website, via de hostingprovider de NAW-gegevens bekomen van de websitehouder. De Hoge Raad heeft toen een set criteria uitgewerkt die nog steeds heel relevant zijn. Enkel indien aan deze criteria is voldaan, moet je de persoonsgegevens verstrekken. Uiteraard moeten die criteria dan wel bekeken worden vanuit de bijzonderheid van het arrest Lycos/Pessers.

In de eerste plaats moest het voldoende aannemelijk zijn dat de op de website verstrekte informatie schadelijk en onrechtmatig is. Daarnaast moet er een reëel belang zijn bij de verkrijging van de NAW-gegevens en mag er geen andere, minder ingrijpende, mogelijkheid zijn om die gegevens te achterhalen. Ten slotte moet er een belangenafweging worden gemaakt: het belang van de vragende partij moet prevaleren boven het belang van de partij wiens persoonsgegevens worden vrijgegeven én van de verstrekkende partij. Denk bij dat laatste bijvoorbeeld aan reputatieschade ten gevolge van de vrijgave van gevoelige gegevens.

Strikte beoordeling van gerechtvaardigd belang

Dat de rechtspraak niet meteen lichtzinnig omspringt met deze criteria, mag duidelijk zijn. In een uitspraak van 20 september 2019 werd een gelijkaardige zaak voorgelegd voor de rechtbank Amsterdam. Toen wou een postzegelverkoper van Marktplaats de gegevens verkrijgen van de uitbrenger van het winnend bod van zesduizend euro. Volgens de verkoper zou er, door het uitbrengen en het accepteren van het bod, per slot van rekening een verkoopovereenkomst tot stand komen. De rechter was het daar echter niet mee eens, omdat de gebruiksvoorwaarden van Marktplaats aangeven dat biedingen niet bindend zijn. En omdat er geen geldige overeenkomst tot stand was gekomen, is Marktplaats dan ook niet verplicht om de persoonsgegevens vrij te geven.

Enkel indien er een overeenkomst tot stand is gekomen en indien er aan de andere criteria is voldaan, kon het dan weer anders zijn. Maar dan moest de verkoper zelf het bewijs leveren van zijn reëel belang en moest Marktplaats eveneens onderzoeken of er minder ingrijpende mogelijkheden zijn om de gegevens te achterhalen, bijvoorbeeld door na te gaan of de verkoper al via de chatfunctie heeft getracht om contact op te nemen met de koper. En uiteraard dringt ook een belangenafweging zich in dat geval op.

Aandacht schenken aan belangenafweging

Dat er ook voldoende aandacht moet worden geschonken aan die belangenafweging, maakt een andere zaak tegen Marktplaats duidelijk. In de zaak Stokke/Marktplaats vroeg het bedrijf Stokke aan Marktplaats de gegevens van adverteerders die kinderstoelen verkochten. Het ging om adverteerders die namaak verkochten en zo de merkrechten van Stokke schonden.

Hier oordeelde de rechter dat het belang van het bedrijf Stokke kleiner is dan de particuliere belangen. Het bedrijf Stokke monitorde immers voortdurend het aanbod en gaf inbreuken door aan Marktplaats, die ze vrijwel meteen offline haalden. De schade van Stokke was veel te beperkt om te prevaleren op die van particulieren wiens privacy zou worden geschonden. De rechtspraak kent duidelijk veel waarde toe aan de privacyrechten van particulieren.

Win advies in vooraleer je persoonsgegevens vrijgeeft

Zowel de wetgever als de rechtspraak tilt zwaar aan de privacybescherming van je gebruikers of (potentiële) klanten. Wanneer een derde vraagt om die persoonsgegevens, laat je die derde dan maar beter eerst even aantonen dat hij over een gerechtvaardigd belang beschikt. Vervolgens zal je moeten nagaan of de derde niet op een andere, minder ingrijpende, manier de gegevens kan vergaren. Ten slotte maak je dan weer een belangenafweging. En enkel wanneer al die signalen gunstig zijn, kan je de persoonsgegevens vrijgeven. Want anders riskeer je niet alleen boetes, maar ook schadeclaims.

Twijfel je? Dan helpen onze bedrijfsjuristen je graag verder. Bel ons voor meer informatie.