Hof van beroep vs Gegevensautoriteit
Op 19 februari deed het hof van beroep in Brussel een uitspraak in een betwisting van een sanctie van de GegevensBeschermingsAutoriteit (GBA). Het is bij mijn weten het eerste beroepsvonnis in België en dus interessant per definitie. Het is saaie boel, niet steeds in mensentaal, maar wie het eens lezen wil vindt de link onderaan deze blog. Het gaat over het inlezen van een identiteitskaart (IK) door een winkelier, en een klant die dat niet zag zitten en er de GBA bij betrok.
Al goed dat een nieuwe wet van december 2018 glashelder stelt dat iedere winkelier die de identiteitskaart gebruikt om klantgegevens op te vragen daarvoor ook een alternatief moet bieden. Dat was mijns inziens al getackeld in de GDPR door de begrippen privacy impact analyse en data minimalisatie, maar soit, nu kan niemand hier nog omheen.
Het vonnis bevat een drietal punten die onze en uw aandacht verdienen:
- Zo blijkt dat de rechtbank een boete opgelegd door de autoriteit kan terugdraaien. Het Hof betwist de autoriteit van de GBA niet, maar stelt wel dat ze in eerste instantie moet opmerkingen maken, verbeteringen opleggen en pas daarna beboeten als blijkt dat de verwerker niet ingaat op haar verzuchtingen (“…met als doel nodeloos sanctioneren te vermijden”). GDPR is inderdaad bedoeld om gedrag bij te sturen, niet om geld in het laatje te brengen. Alhoewel…
- Daarnaast stelt het Hof dat in het aanhangig geval geen onrechtmatige verwerking is gebeurd omdat de klant weigerde. Het verwerpt dan ook de beslissing van GBA die de praktijk van de winkelier veroordeelde. Het Hof schijnt de GBA te beschouwen als de advocaat van klant X, wat volgens mij niet terecht is want Art.58.2 geeft de autoriteit ook corrigerende bevoegdheden.
De GBA had er wellicht goed aan gedaan om aan de winkelier te vragen hoeveel klanten hij op die manier al ingelezen had en daarop pleiten dat het invoeren van al die identiteitskaarten niet in balans is met het beoogde doel. Ze had ook kunnen vragen naar de impact-analyse van de beoogde verwerking.
- Het vonnis bevestigt tenslotte een belangrijk maatschappelijk feit. Het aanvaardt immers de idee van “uw data voor geld”. Winkeliers mogen op basis van uw toestemming uw gegevens vragen in ruil voor korting. Als de klant toestemming weigert loopt ie de korting mis, maar de koop gaat toch door. De GBA had geargumenteerd dat de toestemming niet vrij gegeven was. Het Hof onderscheidt nu de transactie (de koop) van de commerciële gunst.
En uit haar besluit volgt: een IK inlezen om de garantiebewijzen te verzorgen kan niet op basis van toestemming, want die toestemming is niet vrij gekozen. De IK inlezen om een korting te geven kan wel op basis van toestemming. Zou ik de enige zijn die hierin een contradictie ziet?
Als ondernemer heeft u maar één leidraad nodig: respectvol handelen. En ik zou in ieder geval afraden om een identiteitskaart te reduceren tot een goedkoop invoermiddel.
Willem