De rechtbank overweegt echter in rechtsoverweging 16 dat de vraag of een organisatie een gerechtvaardigd belang heeft aan de hand van een negatieve toets moet worden beoordeeld. Dit brengt met zich mee dat ieder belang gerechtvaardigd kan zijn, zo lang deze maar niet in strijd is met het recht. Dit is een ruime interpretatie. De rechtbank vindt in overweging 47 van de AVG steun voor deze ruime interpretatie. Hierin staat namelijk expliciet genoemd dat “direct marketing” als voorbeeld kan dienen van een mogelijk gerechtvaardigd belang. Bij “direct marketing” kan ook geen rechtsbelang worden genoemd als basis. Wat kunnen organisaties met de uitspraak? Organisaties hebben op basis van onderhavige uitspraak meer ruimte gekregen om persoonsgegevens te verwerken op basis van de grondslag gerechtvaardigd belang. De Rechtbank geeft met haar negatieve toets namelijk een voorzet op maat aan organisaties die commerciële activiteiten willen ontplooien. Dit neemt niet weg dat je als organisatie nog steeds een goed verhaal moet hebben om de grondslag gerechtvaardigd belang rond te krijgen, waarmee de bal dus bij de organisaties zelf komt te liggen. De Autoriteit Persoonsgegevens dient zicht bij haar beoordeling te laten leiden door de belangen die door de verwerkingsverantwoordelijke naar voren worden gebracht. Daarbij mag de Autoriteit Persoonsgegevens niet vooraf – bij stap 1 uit de driestappentoets – bepalen dat er geen gerechtvaardigd belang is, tenzij een belang in strijd is met het recht. De Autoriteit Persoonsgegevens zal dit moeten aantonen. Is het belang niet in strijd met het recht, dan moet de Autoriteit Persoonsgegeven een noodzakelijkheidstoets uitvoeren en een belangenafweging maken (stap 2 en stap 3 uit de driestappentoets). Commerciële activiteiten mogen dus niet al vooraf – bij stap 1 uit de driestappentoets – worden getackeld door de Autoriteit Persoonsgegevens. Of VoetbalTV gebruik kon maken van de grondslag gerechtvaardigd belang blijkt niet uit de uitspraak, omdat de Autoriteit Persoonsgegevens dit – stap 2 en stap 3 uit de driestappentoets – dus niet heeft getoetst. Aan organisaties de taak om een gefundeerd verhaal te hebben bij de (voorgenomen) gegevensverwerking. In dit kader is het raadzaam om de driestappentoets op papier te zetten, zodat u kunt motiveren waarom gebruik kan worden gemaakt van de grondslag “gerechtvaardigd belang”. Mocht er ooit discussie ontstaan over de grondslag, dan heeft u uw papieren motivering altijd achter de hand. Daarnaast kunnen maatregelen worden genomen om belangenafweging tussen de belangen van uw organisatie (of een derde) en het privacybelang van de betrokkene(n) in het voordeel te laten uitvallen van uw organisatie (of een derde). Denk aan maatregelen zoals (1) het op de juiste wijze informeren over de verwerking van persoonsgegevens; (2) de persoonsgegevens niet inzetten voor andere doeleinden; (3) de persoonsgegevens zo snel mogelijk en op een veilige manier verwijderen; (4) een onvoorwaardelijk recht van bezwaar aanbieden en duidelijk onder de aandacht brengen; en (5) het nemen van passende beveiligingsmaatregelen. Dergelijke maatregelen kunnen in de driestappentoets worden opgenomen. Vanzelfsprekend dienen de maatregelen ook in de praktijk ten uitvoer te worden gebracht. Of de Autoriteit Persoonsgegevens in hoger beroep alsnog voor een rematch gaat tegen de uitspraak moeten we afwachten. We houden de zaak in ieder geval in de gaten. 16 ICTRecht in de Praktijk
17 Online Touch Home