25-03-2022

Doorgaans wordt de GDPR beschouwd als een strak keurslijf die heel wat minder ruimte laat voor marketeers wanneer er geen toestemming (“opt-in”) van de betrokkene voorligt.

Slechts in eerder uitzonderlijke omstandigheden kan de verwerkingsverantwoordelijke direct marketing verantwoorden op basis van zijn/haar “gerechtvaardigd belang”. Om zich op deze rechtsgrond te kunnen beroepen moet de verwerkingsverantwoordelijke nagaan of er aan drie voorwaarden cumulatief voldaan wordt, namelijk (i) de verwerkingsverantwoordelijke of een derde aan wie gegevens worden verstrekt, streven een gerechtvaardigd belang na (ii) de verwerking van persoonsgegevens is noodzakelijk voor de realisatie van dit gerechtvaardigd belang (iii) de fundamentele rechten en vrijheden van de betrokkene prevaleren niet op het belang van de verwerkingsverantwoordelijke.

Tot onze grote verbazing deed de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) hierover zeer recent (10/03/2022) een opmerkelijke uitspraak (lees hier).

Het voorwerp van de desbetreffende zaak was o.a. het al dan niet ongewenst karakter van direct marketing toegestuurd op het e-mailadres van dhr. X, omdat hij hiervoor voorafgaandelijk zijn toestemming (“opt-in”) niet had gegeven. Er diende daarom nagegaan te worden of de verantwoordelijke zich kon beroepen op een gerechtvaardigd belang, zodat er geen toestemming van de betrokkene moest gevraagd worden voor de toegestuurde direct marketing.

Het e-mailadres x-waarop de direct marketing ontvangen werd, was door dhr. X zelf online beschikbaar gesteld. Dit was voor de Geschillenkamer reeds voldoende om te besluiten dat de betrokkene hiermee noodzakelijkerwijs tot doel had om gecontacteerd te kunnen worden. Bijgevolg moest het binnen zijn redelijke verwachting vallen dat hij via zijn e-mailadres bereikt zou kunnen worden en dit dus ook voor direct marketing doeleinden. De Geschillenkamer meent dus dat de verwerkingsverantwoordelijke in dit geval een gerechtvaardigd belang had om de direct marketing te sturen en niet voorafgaand toestemming moest vragen.

Hiermee lijkt de Geschillenkamer voorbij te gaan aan de e-Privacy Richtlijn die voorschrijft dat een toestemming nodig is voor het toezenden van e-mail marketing en de hoger genoemde drie-staps-test i.k.v. het gerechtvaardigd belang. Bovendien is in aanbeveling nr. 01/2020 van 17 januari 2020 van de GBA een ander standpunt terug te vinden: “Wanneer u nooit enige relatie met een betrokkene heeft gehad, of deze relatie een hele tijd teruggaat zonder dat deze ondertussen werd opgevolgd, kan de rechtsgrond gerechtvaardigd belang niet worden ingeroepen, omdat de ontvangst van uw bericht niet tot hun redelijke verwachtingen behoort”.

Bijgevolg lijkt de uitspraak van de Geschillenkamer een kentering in vergelijking met eerdere aanbevelingen van de GBA. Iedere informatie die publiek beschikbaar gesteld is op basis waarvan contact kan opgenomen worden (zoals e-mail adressen, maar ook bv. telefoonnummers) zou nu gebruikt kunnen worden voor direct marketing op basis van een gerechtvaardigd belang, zonder dat per se een expliciete “opt-in” vereist is. Hiermee zet de Geschillenkamer zelf de deur open voor ondernemingen (marketeers) om een meer doorgedreven marketingbeleid te voeren. Het zich sneller baseren op gerechtvaardigd belang als grondslag en het voorzien van een opt-out, blijkt in die gevallen dan toch voldoende.