Ook het commerciële belang van LinkedIn doorstaat de AVG-toetsing niet; de hoogste boete tot nu toe

Op 24 oktober 2024 heeft de Data Protection Commission (‘DPC’) de tot nu toe hoogste boete opgelegd aan het LinkedIn-moederbedrijf Microsoft van € 310 miljoen.

LinkedIn gebruikt voor gerichte advertenties en gedragsanalyses persoonsgegevens. De DPC heeft onder meer vastgesteld dat LinkedIn geen beroep kon doen op een gerechtvaardigd belang als grondslag voor haar verwerking van persoonsgegevens voor bovengenoemde doeleinden. Volgens de DPC weegt de privacy van de leden van LinkedIn toch zwaarder dan het bovengenoemde commerciële belang van LinkedIn.

Deze overwegingen zijn in lijn met de interpretatie van het Hof van Justitie EU (‘HvJEU’) in de KNLTB-zaak; hoewel een commercieel belang een gerechtvaardigd belang kan zijn, dient de belangenafweging nog altijd uit te wijzen of de verwerking van persoonsgegevens voor commerciële doeleinden rechtmatig is.

Aanleiding onderzoek naar LinkedIn

De klacht tegen LinkedIn komt van de Franse privacy-organisatie La Quadrature du Net (‘La Quadrature’). La Quadrature meende dat LinkedIn geen rechtmatige grondslag had voor het verwerken van de persoonsgegevens voor gedragsanalyses en doelgerichte advertenties. De Franse autoriteit waar de klacht binnenkwam heeft deze klacht vervolgens doorgezet naar de DPC.

LinkedIn deed een beroep op drie grondslagen voor de gegevensverwerking van haar leden voor commerciële doeleinden, namelijk:

1. Toestemming van de betrokkene (in casu: de leden van LinkedIn) voor de gegevensverwerking; en
2. Noodzakelijkheid van de gegevensverwerking voor de uitvoering van een overeenkomst met de betrokkene; en
3. Een gerechtvaardigd belang van LinkedIn voor de verwerking van de persoonsgegevens van de betrokkene.

Op grond van art. 6 van de AVG dient de verwerking van persoonsgegevens rechtmatig te zijn. Een gegevensverwerking is rechtmatig als er een grondslag is voor de verwerking van de persoonsgegevens. Zonder een rechtmatig beroep op een wettelijke grondslag is de gegevensverwerking niet toegestaan.

Beslissing DPC

De DPC oordeelt dat LinkedIn onterecht een beroep doet op voornoemde grondslagen. Daarmee is de gegevensverwerking volgens de DPC onrechtmatig.

Geen vrijelijke toestemming van de betrokkenen

Ten eerste is de toestemming van de betrokkenen naar het oordeel van DPC niet vrijelijk, voldoende geïnformeerd, specifiek of ondubbelzinnig gegeven. Er was zodoende geen sprake van een rechtsgeldige toestemming.

Geen noodzaak voor uitvoering van de overeenkomst

Ten tweede is er volgens de DPC voor de gegevensverwerking geen noodzaak voor de uitvoering van een overeenkomst met de betrokkene. Deze noodzaak voor de verwerking van persoonsgegevens was immers niet aangetoond door LinkedIn.

Geen gerechtvaardigd belang

Tot slot oordeelde de DPC dat LinkedIn geen rechtsgeldig beroep kon doen op een gerechtvaardigd belang voor de verwerking van de persoonsgegevens. LinkedIn stelde dat zij een gerechtvaardigd belang, namelijk een commercieel belang, had voor de verwerking van de persoonsgegevens voor gedragsanalyses en doelgerichte marketing.

Echter oordeelt de DPC dat in de belangenafweging bij de toetsing van het gerechtvaardigd belang, de belangen van de betrokkenen zwaarder wegen dan het gerechtvaardigde belang van LinkedIn. Factoren die bij de belangenafweging volgens de recente richtsnoeren van de EDPB van belang zijn, zijn onder andere de gevolgen van de verwerking voor de betrokkenen, waaronder begrepen de aard en context van de te verwerken gegevens en de redelijke verwachtingen van de betrokkenen. Het volledige boetebesluit van de DPC is nog niet gepubliceerd. Het is dus nog niet duidelijk welke factoren in het geval van LinkedIn een rol hebben gespeeld bij de beoordeling.

Commercieel belang als gerechtvaardigd belang

Hoewel het volledige boetebesluit van de DPC nog niet gepubliceerd is, lijkt het besluit van de DPC in lijn met de interpretatie van de HvJEU (4 oktober 2024, ECLI:EU:C:2024:857 KNLTB v Autoriteit Persoonsgegevens). Het HvJEU gaf enkele weken voordat de boete aan LinkedIn werd opgelegd, antwoord op prejudiciële vragen van de rechtbank Amsterdam.

Volgens het HvJEU kan een zuiver commercieel belang een gerechtvaardigd belang opleveren. In feite kan vrijwel ieder belang een gerechtvaardigd belang zijn, zolang dat belang niet in strijd is met de wet, aldus het HvJEU in de KNLTB-zaak. Dit staat haaks op de eerdere zienswijze van de AP in dit kader. De AP oordeelde eerder in de VoetbalTV-zaak dat een zuiver commercieel belang geen gerechtvaardigd belang kan zijn.

Volgens het HvJEU dient na de vaststelling dat er een gerechtvaardigd belang is, te weten het commerciële belang, nog steeds aan de overige vereisten van deze grondslag voldaan worden. De verwerking van persoonsgegevens is noodzakelijk, waarbij wordt getoetst of er geen alternatieven voorhanden zijn die minder bezwarend zijn. Verder mogen de grondrechten en fundamentele vrijheden van de betrokkene niet zwaarder wegen dan het gerechtvaardigd belang van de verweringsverantwoordelijke.

Juist die belangenafweging leidde er volgens de DPC toe dat LinkedIn geen rechtsgeldige beroep kon doen op een gerechtvaardigd belang.

Conclusie

De recente uitspraak van het HvJEU in de KNLTB-zaak bevestigt dat de eerdere zienswijze van de AP (die inmiddels is aangepast op haar website) ten aanzien van het commerciële belang niet juist was. De HvJEU heeft - in lijn met hetgeen veel advocaten en juristen al eerder betoogden – geoordeeld dat een zuiver commercieel belang ook een gerechtvaardigd belang kan opleveren. Het is daarmee echter nog geen gelopen race. Hoewel een zuiver commercieel belang volgens het HvJEU en de DPC een gerechtvaardigd belang kan zijn, moet de verwerking voor het legitieme belang noodzakelijk zijn, hetzelfde doel moet niet nagestreefd kunnen worden met minder bezwarende alternatieven. Ook dient er een belangenafweging plaats te vinden. Het is in dat kader interessant voor de praktijk hoe de DPC de toetsing van de belangenafweging heeft gemotiveerd in haar boetebesluit.

Meer informatie of vragen?

Wilt u meer informatie over dit onderwerp? Neemt u dan gerust contact op met onze advocaat Lisanne Wigboldus. Zij is per e-mail bereikbaar via lisanne.wigboldus@pellicaan.nl of telefonisch via 088 627 22 20.

Bronvermelding

Lisanne Wigboldus is auteur voor Sdu. Dit artikel is gepubliceerd in Sdu OpMaat algemeen, OpMaat privacyrecht basis en OpMaat Privacyrecht Plus.