Uitspraak
RECHTBANK MIDDEN-NEDERLAND
Zittingsplaats Utrecht
Bestuursrecht
zaaknummer: UTR 24/3373
uitspraak van de voorzieningenrechter van 6 augustus 2024 in de zaak tussen
1. [verzoekster 1] B.V. en
2. [verzoekster 2] B.V.uit [vestigingsplaats] , verzoeksters
(gemachtigden: mr. N. Wolters Ruckert, mr. M.E. Huisman, mr. P.C.A.J.M Gimbrère, en mr. M. Klijsen),
en
Autoriteit Persoonsgegevens
(gemachtigden: mr. T.N. Sanders en mr. S. Hendriks).
Inleiding
1. Bij besluit van 18 april 2024 (het publicatiebesluit) heeft de Autoriteit besloten om twee sanctiebesluiten voor overtredingen van de Algemene verordening gegevensbescherming (Avg) openbaar te maken op grond van artikel 3.1 van de Wet open overheid (Woo). Het gaat om een besluit, waarbij aan verzoekster 1 een boete is opgelegd, en om een besluit, waarbij aan verzoekster 2 een last onder dwangsom is opgelegd (de sanctiebesluiten).
1.1.
Verzoeksters hebben tegen het publicatiebesluit bezwaar gemaakt. Zij hebben de voorzieningenrechter primair gevraagd om het publicatiebesluit te schorsen.
1.2.
De Autoriteit heeft op het verzoek gereageerd met een verweerschrift.
1.3.
De voorzieningenrechter heeft het verzoek op 23 juli 2024 op zitting behandeld. Hieraan hebben deelgenomen: namens verzoekster: [A] en [B] en hun gemachtigden, namens de Autoriteit: mr. [C] , mr. [D] , mr. [E] en hun gemachtigden.
Beoordeling door de voorzieningenrechter
2. De voorzieningenrechter wijst het verzoek toe. Hierna legt de voorzieningenrechter uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.
Spoedeisend belang
3. Indien tegen een besluit bezwaar is gemaakt, kan de voorzieningenrechter op verzoek een voorlopige voorziening treffen indien onverwijlde spoed, gelet op de betrokken belangen, dat vereist. In deze procedure ligt de vraag voor of het publicatiebesluit geschorst moet worden. Alleen al omdat de publicatie van de sanctiebesluiten onomkeerbare gevolgen heeft, hebben verzoekster een spoedeisend belang bij een beoordeling van hun verzoek om een voorlopige voorziening.
Relevante feiten
4. Naar aanleiding van klachten van betrokkenen over ongewenste reclamepost, heeft de Autoriteit onderzoek gedaan naar mogelijke overtreding van de Avg door [verzoekster 1] B.V, thans verzoekster 1. Daarbij heeft de Autoriteit de verwerking van gegevens onderzocht in verschillende databanken en systemen van [verzoekster 1] B.V., waaronder de databank [verzoekster 2] . Op 1 juli 2021 heeft [verzoekster 1] B.V. haar ondernemingsactiviteiten overgedragen aan verzoekster 2.
4.1.
Op basis van het boeterapport concludeert de Autoriteit dat [verzoekster 1] B.V. in de periode van 25 mei 2028 tot 1 juli 2021 zonder rechtmatige grondslag persoonsgegevens heeft verwerkt ten behoeve van postale direct marketing door derden. Daarbij stelt de Autoriteit zich primair op het standpunt dat de verwerking van persoonsgegevens geen gerechtvaardigd belang dient, omdat er sprake is van zuiver economische belangen. Daarmee is volgens de Autoriteit de verwerking in strijd met artikel 6, eerste lid, onder f, van de Avg. Daarnaast stelt de Autoriteit dat – indien wel sprake zou zijn van een gerechtvaardigd belang – de verwerking van de persoonsgegevens ook niet noodzakelijk en evenredig is. In dat kader stelt de Autoriteit onder andere dat meer en langer persoonsgegevens worden verwerkt dan noodzakelijk voor het doel en dat niet is voldaan aan het beginsel van minimale gegevensverwerking. [1] Ook stelt de Autoriteit dat betrokkenen niet actief en volledig over de gegevensverwerking zijn geïnformeerd. [2]
4.2.
Gelet hierop is aan verzoekster 1 bij besluit van 19 december 2023 (het boetebesluit) een bestuurlijke boete opgelegd van in totaal € 120.000,-. Om de overtredingen te beëindigen heeft de Autoriteit met een afzonderlijk besluit van 19 december 2023 (het dwangsombesluit) aan verzoekster 2 een last onder dwangsom opgelegd en gevorderd om haar bedrijfsactiviteiten binnen de gestelde begunstigingstermijn te beëindigen en beëindigd te houden.
4.3.
De Autoriteit heeft verder besloten om de sanctiebesluiten, inclusief de namen, de adres- en bedrijfsgegevens van verzoeksters, volledig openbaar te maken. Alleen de passages die volgens de Autoriteit bedrijfs- of fabricagegegevens bevatten als bedoeld in artikel 5.1, tweede lid en onder f van de Woo, maakt zij niet openbaar. De Autoriteit stelt zich op het standpunt dat met de openbaarmaking van de handhavingsbesluiten het publieke belang van openbaarheid wordt gediend. Volgens de Autoriteit wordt het publiek op deze manier geïnformeerd over overtredingen die mensen persoonlijk (kunnen) raken. Daarnaast kan de openbaarmaking van handhavingsbesluiten een generale preventieve werking hebben, omdat het kan leiden tot het voorkomen of beëindigen van overtredingen van de Avg door andere verwerkingsverantwoordelijken. Op de zitting heeft de Autoriteit er op gewezen dat datahandel een focusgebied is van de Autoriteit. Met het openbaar maken van de sanctiebesluiten wil de Autoriteit laten zien dat zij deze handel daadwerkelijk aanpakt en legt zij publiekelijk verantwoording hierover af.
De beoordeling van de openbaarmaking
5. Verzoeksters voeren aan dat openbaarmaking van de sanctiebesluiten leidt tot een onevenredig nadeel. Verzoekster stellen namelijk dat deze besluiten naar verwachting geen stand zullen houden. In dat kader wijzen zij er primair op dat het standpunt van de Autoriteit dat een zuiver economisch belang niet als gerechtvaardigd belang in de zin van de Avg kan worden aangemerkt, onjuist is. Daarnaast miskent de Autoriteit dat zij niet meer gegevens verwerken dan noodzakelijk en dat zij betrokkenen wel degelijk hebben geïnformeerd over de verwerking van de persoonsgegevens. Volgens verzoeksters zullen zij dan ook ten onrechte als overtreders van de Avg worden afgeschilderd, als de sanctiebesluiten toch openbaar worden gemaakt. Volgens verzoeksters moet daarom van (volledige) openbaarmaking van de sanctiebesluiten worden afgezien.
5.1.
Volgens vaste rechtspraak is in het geval van een voorgenomen openbaarmaking op grond van artikel 3.1 van de Woo, een nadere afweging van belangen geboden. Deze nadere afweging houdt in dit geval in dat het algemene belang dat door onverkorte openbaarmaking wordt gediend, wordt afgewogen tegen het belang van verzoeksters geen onevenredig nadeel te ondervinden als gevolg van de openbaarmaking, waarbij aan het algemeen belang een groot gewicht moet worden toegekend. Van onevenredige benadeling kan sprake zijn als de sanctiebesluiten uiteindelijk in rechte geen stand houden en verzoeksters ten onrechte als overtreders kenbaar zijn gemaakt. Of sprake is van onevenredige benadeling hangt dan af van een oordeel over de rechtmatigheid van de sanctiebesluiten. In het kader van een verzoek tot het treffen van een voorlopige voorziening gericht tegen de openbaarmaking van de sanctiebesluiten is dus van belang of die besluiten de voorlopige rechtmatigheidstoets kan doorstaan. Indien dat het geval is zal er in beginsel geen aanleiding zijn de openbaarmaking te verhinderen. Indien de sanctiebesluiten de voorlopige rechtmatigheidstoets niet kan doorstaan, dan zal in beginsel aanleiding zijn om het boetebesluit te schorsen, in die zin dat het niet (volledig) gepubliceerd mag worden. [3]
Gerechtvaardigd belang in geschil
5.2.
De voorzieningenrechter constateert dat tussen partijen primair in geschil is of het standpunt van de Autoriteit dat de economische belangen van verzoeksters niet zijn aan te merken als een gerechtvaardigd belang, juist is. Over de vraag of zuiver commerciële belangen onder omstandigheden kunnen worden aangemerkt als gerechtvaardigde belangen, heeft de rechtbank Amsterdam prejudiciële vragen gesteld aan het Hof van Justitie van de Europese Unie (Hof) [4] . Deze rechtbank heeft eerder geconcludeerd dat de toetsing van de Autoriteit uit gaat van een verkeerde interpretatie van het begrip ‘gerechtvaardigd belang’ en daarom in strijd is met artikel 6, eerste lid, aanhef en onder f, van de Avg. [5] Gelet hierop is naar het oordeel van de voorzieningenrechter op voorhand dan ook niet uit te sluiten dat het standpunt van de Autoriteit in de sanctiebesluiten over het gerechtvaardigd belang in rechte geen stand houdt.
Beoordeling sanctiebesluiten zelfs als standpunt gerechtvaardigd belang onjuist is
5.3.
De Autoriteit meent echter dat ook al zou haar uitleg niet worden gevolgd, de sanctiebesluiten niettemin stand kunnen houden. Daarbij wijst de Autoriteit er op dat zij ook heeft onderzocht en heeft beoordeeld of de verwerking van de persoonsgegevens noodzakelijk en evenredig is. Volgens de Autoriteit is dat niet het geval en is ook daarom de verwerking van persoonsgegevens onrechtmatig.
5.4.
Volgens verzoeksters kan de beoordeling van de noodzakelijkheid en evenredigheid niet los worden gezien van de vraag of de verwerking een gerechtvaardigd belang dient. Verzoeksters voeren ook aan dat zij de eis van minimale gegevensverwerking niet schenden, omdat zij alleen persoonsgegevens verwerken die noodzakelijk zijn voor het doel waarvoor ze zijn verwerkt. Op de zitting hebben zij er in dit kader op gewezen dat er een onderscheid is tussen de databank [verzoekster 2] en de andere databank die de Autoriteit bij het onderzoek heeft betrokken. Volgens verzoeksters heeft de Autoriteit dit onderscheid miskend en is de Autoriteit daardoor ook buiten de scope van het onderzoek getreden.
5.5.
De voorzieningenrechter constateert dat in het boeterapport er op is gewezen dat de voorganger van verzoekster 1, [verzoekster 1] B.V., gelet op haar website verschillende diensten aanbiedt, waaronder [dienst 1] , [dienst 2] en [dienst 3] . De voorzieningenrechter stelt op basis van het boeterapport vast dat het onderzoek van de Autoriteit alleen ziet op de dienst [dienst 3] (nu [dienst 4] genoemd). In het boeterapport is beschreven dat voor die dienst persoonsgegevens worden geleverd aan afnemers ten behoeve van postale direct marketing door die afnemers. De gegevens zijn afkomstig uit de databank [verzoekster 2] . De Autoriteit heeft niet alleen de gegevensverwerking in [verzoekster 2] beoordeeld, maar ook andere databanken en systemen bij het onderzoek en de beoordeling betrokken.
5.6.
De voorzieningenrechter constateert verder dat de Autoriteit in het boetebesluit heeft opgemerkt dat verzoekster 1 in een van haar databanken persoonsgegevens bewaart van personen die hebben aangegeven bezwaar te maken tegen het ontvangen van reclamepost. Uit die databank worden de persoonsgegevens dan niet verwijderd. Volgens de Autoriteit betekent dit dat de verwerking van persoonsgegevens verder gaat dan noodzakelijk is voor het doel van postale direct marketing. Op de zitting hebben verzoeksters uiteen gezet dat de gegevens die aan afnemers worden verstrekt ten behoeve van postale direct marketing, worden verstrekt vanuit de databank [verzoekster 2] . De databank waar de Autoriteit naar verwijst is een andere databank. Die databank dient er voor om de [dienst 1] te bewaken. Daarbij hebben verzoeksters er op gewezen dat die [dienst 1] ook voor andere diensten van belang is. Er is in zoverre volgens verzoeksters een belangrijk onderscheid in doel en noodzaak van de databank waarin persoonsgegevens worden bewaard en de databank [verzoekster 2] . Uit [verzoekster 2] worden wel persoonsgegevens verwijderd van betrokkenen die geen postale direct marketing meer willen ontvangen. Naar het oordeel van de voorzieningenrechter geeft het boetebesluit onvoldoende blijk van dit onderscheid tussen de verschillende databanken en het doel waarvoor zij worden gebruikt. In zoverre is het standpunt van de Autoriteit dat de gegevensverwerking niet noodzakelijk is, onvoldoende gemotiveerd.
5.7.
In het verlengde hiervan overweegt de voorzieningenrechter dat in het aan verzoekster 2 opgelegde dwangsombesluit in belangrijke mate is verwezen naar de motivering van de aan verzoekster 1 opgelegde boete. Dat betekent dat het standpunt van de Autoriteit dat verzoekster 2 in een van haar databanken meer en langer gegevens heeft verwerkt dan noodzakelijk, ook deel uit maakt van de beoordeling van en motivering van het dwangsombesluit. De voorzieningenrechter merkt op dat in het aan verzoekster 2 opgelegde sanctiebesluit er van wordt uitgegaan dat de ondernemingsactiviteiten van verzoekster 2 bestaan uit “
het recht om op exclusieve basis voor haar verkoop- en marketingactiviteiten gebruik te maken van de database [verzoekster 2] en het recht om die database op exclusieve basis te exploiteren door het verlenen van gebruiksrechten aan derden.”. Naar het oordeel van de voorzieningenrechter blijkt onvoldoende uit het dwangsombesluit waarom niettemin de motivering van de Autoriteit aangaande de andere databank, ook relevant is voor verzoekster 2 en ook de gegevensverwerking door verzoekster 2 niet noodzakelijk is voor haar doel.
het recht om op exclusieve basis voor haar verkoop- en marketingactiviteiten gebruik te maken van de database [verzoekster 2] en het recht om die database op exclusieve basis te exploiteren door het verlenen van gebruiksrechten aan derden.”. Naar het oordeel van de voorzieningenrechter blijkt onvoldoende uit het dwangsombesluit waarom niettemin de motivering van de Autoriteit aangaande de andere databank, ook relevant is voor verzoekster 2 en ook de gegevensverwerking door verzoekster 2 niet noodzakelijk is voor haar doel.
5.8.
Op de zitting en in hun bezwaren tegen de sanctiebesluiten hebben verzoeksters ook opgemerkt dat de Autoriteit bij de beoordeling van de noodzakelijkheid ten onrechte stelt dat hashing of pseudonimisering een alternatief is. Daarbij is op de zitting ook naar voren gebracht dat uit de sanctiebesluiten niet blijkt hoe het verwerken van gepseudonimiseerde gegevens zich wel zou verhouden tot de Avg, aangezien dan nog steeds sprake is van verwerking van persoonsgegevens. Daarnaast is op de zitting naar voren gebracht dat sinds 2018 geen persoonsgegevens van nieuwe betrokkenen meer zijn toegevoegd aan de database waarin gegevens worden bewaard voor [dienst 1] . Volgens verzoeksters is dit van belang voor het standpunt van de Autoriteit dat betrokkenen niet of niet tijdig zijn geïnformeerd over de verwerking van gegevens.
5.9.
Gelet op het voorgaande constateert de voorzieningenrechter dat er verschillende punten zijn die nader debat vergen in de bezwaarfase. Ook is niet uit te sluiten dat op die punten nader onderzoek nodig is. Op dit moment ziet de voorzieningenrechter dan ook geen ruimte om vast te stellen of de sanctiebesluiten in rechte in stand zullen blijven. Dat betekent dat op dit moment ook niet kan worden vastgesteld of verzoeksters door de Autoriteit terecht als overtreder zijn aangemerkt. De voorzieningenrechter overweegt dat publicatie van de sanctiebesluiten onomkeerbaar is. Verzoeksters hebben aangegeven dat zij door publicatie van de sanctiebesluiten op dit moment in de procedure zwaar zullen worden benadeeld. Niet alleen in financieel opzicht, maar volgens verzoeksters zullen ook hun reputaties en de marktpositie worden aangetast. Hoewel verzoeksters dit niet nader hebben onderbouwd, is naar het oordeel van de voorzieningenrechter aannemelijk dat publicatie van de sanctiebesluiten effecten zullen hebben op de reputatie van verzoeksters en daarmee ook op de marktpositie. Gelet hierop is de voorzieningenrechter van oordeel dat de belangen van de Autoriteit om aan het publiek kenbaar te maken dat zij datahandelaren daadwerkelijk aanpakt en daartegen optreedt, op dit moment niet opweegt tegen de belangen van verzoeksters. Daarbij weegt de voorzieningenrechter mee dat het onderzoek zich richt op een periode van 2018 tot 2021 en dat verzoeksters hebben aangegeven dat zij hun dienstverlening ten behoeve van postale direct marketing tijdelijk gestaakt hebben.
5.10.
De belangen tegen elkaar afwegende ziet de voorzieningenrechter dan ook reden het verzoek toe te wijzen en een voorlopige voorziening te treffen in de zin dat de sanctiebesluiten niet openbaar mogen worden gemaakt totdat op het bezwaar van verzoeksters is beslist.
Conclusie en gevolgen
6. De voorzieningenrechter wijst het verzoek toe en treft de voorlopige voorziening dat het publicatiebesluit van 18 april 2024 is geschorst tot zes weken na bekendmaking van de beslissing op bezwaar.
6.1.
Omdat de voorzieningenrechter het verzoek toewijst, moet de Autoriteit het griffierecht aan verzoekster vergoeden. Ook moet de Autoriteit de door verzoeksters gemaakte proceskosten vergoeden. Deze vergoeding bedraagt € 1.750,-, omdat de gemachtigde van verzoeksters een verzoekschrift heeft ingediend en aan de zitting heeft deelgenomen. Op grond van het Besluit proceskosten bestuursrecht heeft elke proceshandeling een waarde van € 875,-, zodat de vergoeding in totaal € 1.750,- bedraagt.
Beslissing
De voorzieningenrechter:
- schorst het publicatiebesluit van 18 april 2024 tot zes weken na bekendmaking van de beslissing op bezwaar;
- veroordeelt de Autoriteit in de proceskosten van verzoeksters tot een bedrag van € 1.750;
- bepaalt dat de Autoriteit het griffierecht van € 371,- aan verzoeksters moet vergoeden.
Deze uitspraak is gedaan door mr. P.J. Blok, voorzieningenrechter, in aanwezigheid van mr. L.E. Mollerus, griffier. De uitspraak is uitgesproken in het openbaar op 6 augustus 2024.
griffier
voorzieningenrechter
Een afschrift van deze uitspraak is verzonden aan partijen op: