Ee 3 di A AUTORITEIT PERSOONSGEGEVENS Autoriteit Persoonsgegevens Postbus 93374 , 2509 AJ Den Haag Bezuidenhoutseweg 30 , 2594 AV Den Haag T 070 8888 500 - F 070 8888 501 autoriteitpersoonsgegevens. nl Aangetekend KNLTB (geanonimiseerd) a 4 3821 BT AMERSFOORT Ons kenmerk (geanonimiseerdJ ) Datum 30 juli 2020 Contactpersoon (geanonimiseerd) 070 8888 500 Onderwerp Beslissing op bezwaar boetebesluit KNLTB (geanonimiseerdJ ) Hierbij ontvangt u het besluit van de Autoriteit Persoonsgegevens (AP) op uw bezwaarschrift van 30 januari 2020 , aangevuld bij brief van 17 april 2020. Het bezwaar is gericht tegen het besluit van de AP van 20 december 2019 (kenmerk: (geanonimiseerdMJ)). waarbij de AP een bestuurlijke boete heeft opgelegd aan de KNLTB , wegens overtreding van de Algemene Verordening Gegevensbescherming (AVG). Het besluit van 20 december 2020 wordt hierna (ook) aangeduid als het boetebesluit of het primaire besluit. Bij deze beslissing op bezwaar verklaart de AP uw bezwaar ongegrond en wordt het primaire besluit gehandhaafd , met inachtneming van de hierin genoemde motivering. De AP licht haar besluit hieronder toe. 1. Samenvatting primair besluit De AP heeft bij besluit van 20 december 2019 aan KNLTB een boete opgelegd van €525. 000 omdat de KNLTB persoonsgegevens van leden van KNLTB heeft verstrekt aan haar sponsoren TennisDirect* en de Nederlandse Loterij Organisatie B. V. (NLO). ” Daarbij is in strijd gehandeld met: artikel 5 , eerste lid , onder b , van de AVG (doelbinding) en e artikel 6 , eerste lid , van de AVG , in (verwerkingsgrondslag). e samenhang gelezen met artikel 5 , eerste lid , onder a , van de AVG 1 De ? verstrekking heeft plaatsgevonden op 11 juni 2018. De verstrekking heeft plaatsgevonden op 29 juni 2018. Bijlage(n)

AUTORITEIT PERSOONSGEGEVENS Datum rk (geanonimiseerd) onverlet laat dat KNLTB over een wettelijke grondslag dient te beschikken voor de sprake dient te verwerking dan wel van een verenigbare verdere verwerking. zijn 19. Op grond van de AVG wordt de verwerking van persoonsgegevens afhankelijk gesteld van het doel waarvoor de gegevens aanvankelijk zijn verzameld. Dit volgt onder meer uit artikel 5 , eerste lid , onder b , van de AVG en overweging 5o uit de AVG. Uit overweging 50 van de AVG volgt dat de verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld niet is toegestaan (tenzij de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld) Dit betekent dat de persoonsgegevens die van een ° bestaand lid zijn verzameld in het kader van het lidmaatschap (d. w. z. om een lidmaatschapsovereenkomst af te kunnen sluiten) , niet lopende het lidmaatschap mogen worden verwerkt voor een nieuw verzameldoeleinde (tenzij dus sprake is van een verenigbare verdere verwerking.). " Dit kan derhalve ook niet door , lopende de lidmaatschapsovereenkomst , de statuten te wijzigen of door het aanpassen van het Privacy statement. '* In dit verband kan o. m. gewezen worden op de opinie van Werkgroep 29 (Wpz29) waarin is vermeld: “Article 6(1)(b) of the Directive requires that personal data be ‘collectspeecd ifi’ed , explicit and legitimate purposes. Thus , it can be inferred that the purposes must be specified prior to. and in the time when the collection of personal for any event , not later than , data occurs. ”? (onderstreping AP). Verzameldoel ná het van de Ledenraad in 2007 instemmingsbesluit 20. Gelet op het vorenstaande dient om te bepalen welke gegevens voor welk doel gebruikt mogen worden , een “knip in de tijd” te worden gemaakt. Hiervoor is het moment dat een nieuw verzameldoel is ontstaan bepalend , dat is het moment nadat de Ledenraad heeft ingestemd met het besluit om persoonsgegevens van leden te verzenden aan sponsoren. De AP concludeert , gelet op het vorenstaande , dat de AP bij het boetebesluit terecht heeft geconcludeerd dat de persoonsgegevens van leden die na het - instemmingsbesluit zijn verzameld naast de lidmaatschapsovereenkomst zijn verzameld om deze te kunnen verstrekken aan sponsoren met als doel (1) het creëren van meerwaarde voor het lidmaatschap en (2) extra inkomsten te kunnen genereren voor de KNLTB. — '® Of deze zaak sprake is van een verenigbare verdere verwerking wordt behandeld in 8 3. 4. 3 van dit besluit. in 1 Of sprake is van een verenigbare verdere verwerking wordt behandeld in 8 3. 1. 3 van dit besluit. 2 Of B sprake is van een verenigbare verdere verwerking wordt behandeld in 8 3. 1. 3 van dit besluit. WP29 , Opinion 03/2013 On purpose limitation , p. 15. De ratio achter deze bepaling wordt in de opinie als volgt toegelicht: When we share personal data with others , we usually have an expectation about the purposes for which the data will be used , There is a value in honouring these expectations and preserving trust and legal certainty , which is why. purpose limitation is such an important safeguard , a cornerstone of data protection , Indeed , the principle of purpose limitation inhibits ‘mission creep’ which could otherwise give rise to the usage of the available personal data beyond the purposes for which they were initially collected. zie p. 4 van deze opinie. Deze opinie was gebaseerd op Richtlijn 95/46/EG , maar is “(onderstreping AP) , nog steeds relevant voor bepalingen uit de AVG. 5/38

AUTORITEIT PERSOONSGEGEVENS Datum 30 juli 2020 rk (geanonimiseerd) sprake is van een verdere verwerking door derden die geen onderdeel uitmaken van de eigen bedrijfsvoering van KNLTB , kan ook om deze reden reeds geen sprake zijn van een verwerking. verenigbare verdere 30. Gelet op het vorenstaande concludeert de AP dat in het boetebesluit terecht is KNLTB in geconcludeerd dat de heeft gehandeld met artikel 5 , eerste lid , onder b , van de AVG. strijd die Persoonsgegevens zijn verzameld nd de het instemmingsbesluit van de Ledenraad in 2007 31. Voor wat betreft de verstrekking van persoonsgegevens van de leden die na het instemmingsbesluit van de Ledenraad in 2007 lid zijn geworden van de KNLTB (en dus vanaf dat moment door KNLTB zijn verzameld) is door de AP geconcludeerd dat het doel om persoonsgegevens te verstrekken aan sponsoren overeenkomt met één van de doelen waarvoor deze gegevens zijn verzameld. De verstrekking van deze gegevens wordt door de AP niet als een verdere verwerking aangemerkt zoals hiervoor is toegelicht. Aan de beantwoording van de vraag of sprake is van een verenigbare verdere verwerking komt de AP dan ook niet toe , Wel dient ten aanzien van deze verstrekking nog te worden beoordeeld of sprake is van een gerechtvaardigd doeleinde , zoals bedoeld in artikel 5 , van de AVG. Van een eerste lid , onder b , gerechtvaardigd doel kan eerst sprake zijn wanneer sprake is van een rechtmatige verwerkingsgrondslag , zoals bedoeld in artikel 6 , eerste lid , van de AVG. Dit wordt onder meer bevestigd door WP29 die naar van aanleiding van artikel 7 the Richtlijn 95/46/EG heeft gewezen op het volgende: “In order purposes to be for - legitimate , the processing must -at all and at all times be based on at least one the different stages legal grounds of provided for in Article 7. *5 Of sprake is van een rechtmatige verwerkingsgrondslag wordt hierna , onder bezwaaronderdeel B , beoordeeld. 32. Het vorenstaande kan in een schema als volgt worden weergegeven: Persoonsgegevens die zijn verzameld vóór het instemmingsbesluit van de Ledenraad in 2007 Lidmaatschapsovereenkomst Persoonsgegevens die zijn verzameld u | de het instemminggbesluit van de Ledenraad in 2007 Lidmaatschapsovereenkomst én verstrekking aan sponsoren met als doel(1) het creëren van meerwaarde voor het lidmaatschap en (2) extra inkomsten genereren voor de KNLTB. Ja , het doel van de verstrekking komt overeen met één van de verzameldoelen — de 1. Voor welk doeleinde zijn persoonsgegevens verzameld? 2. Komt het doel van de Nee verstrekking van persoonsgegevens aan sponsoren overeen met het doeleinde waarvoor de persoonsgegevens aanvankelijk zijn verzameld? om persoonsgegevens aan sponsoren te verstrekken. _| _| 2% Het gaat hier om de verzameling van persoonsgegevens van leden die ná het geworden. 25 instemmingsbesluit van de Ledenraad in 2007 lid zijn WP29 , Opinion 03/2013 On purpose limitation , p. 19. 8/38

a Ik FR DS , at 1 AUTORITEIT PERSOONSGEGEVENS sl AE Datum 30 juli 2020 rk (geanonimiseerd) 3. Is er sprake van een verenigbare verdere Nee , de verdere verwerking is onverenigbaar. De verstrekking van persoonsgegevens aan sponsoren is onrechtmatig , vanwege strijd met artikel 5 , eerste lid , onder b , (doelbinding) n. v‚t26 verwerking van de AVG Conclusie t. a. v. bezwaaronderdeel A (de verzameldoeleinden en verdere verwerkin 33. Gelet op het vorenstaande concludeert de AP dat bij het primaire besluit de juiste verzameldoeleinden zijn bepaald. Daarnaast is terecht geconcludeerd dat de KNLTB in eerste strijd heeft gehandeld met artikel 5 , lid , onder b , van de AVG , voorzover het gaat om de verstrekkingen van persoonsgegevens aan sponsoren van leden die vóór het instemmingsbesluit van de Ledenraad in 2007 lid zijn geworden en derhalve vóór dat instemmingsbesluit door de KNLTB zijn verzameld. Voorzover het betreft de verstrekking van persoonsgegevens van leden die ná het instemmingsbesluit lid zijn geworden , is geconcludeerd dat geen sprake is van een verdere verwerking. Het bezwaar ten aanzien van onderdeel A wordt dan ook door de AP ongegrond verklaard. 3. 2 Ten aanzien van het bezwaaronderdeel B (de verwekingsgrondslag) 34. Ten aanzien van de verstrekking van persoonsgegevens van de leden die ná het instemmingsbesluit van de Ledenraad in 2007 lid zijn geworden en door de KNLTB zijn verzameld , is in het boetebesluit geconcludeerd dat geen sprake is van een rechtmatige verwerkingsgrondslag , zoals bedoeld in artikel 6 , eerste lid , van de AVG , dat in samenhang is bezien met artikel 5 , eerste lid , onder a , van de AVG. De KNLTB is het hier niet mee eens en voert aan dat de AP een onjuist standpunt ten aanzien van het gerechtvaardigd belang inneemt. De KNLTB is van oordeel dat de verstrekking van persoonsgegevens aan sponsoren gebaseerd kan worden op het gerechtvaardigd belang , zoals bedoeld in artikel 6 , eerste lid , onder f , van de AVG en dat zij derhalve ook voldoet aan de eerste voorwaarde , namelijk dát sprake is van een gerechtvaardigd belang. De KNLTB stelt zich op het standpunt dat de uitleg die de AP aan het gerechtvaardigd belang geeft , zoals bedoeld in artikel 6 , eerste lid , onder f , van de AVG , onjuist is , In dat verband is , samengevat , aangevoerd dat de AP het belang van de KNLTB ten onrechte aanmerkt als slechts ‘het genereren van (extra) inkomsten voor de KNLTB' en het ‘te gelde kunnen maken van persoonsgegevens’ , waardoor de AP de afweging in het kader van de grondslag gerechtvaardigd belang daadwerkelijke belang dat de KNLTB heeft en de afweging die zij dient te maken. niet laat toezien op het 35. Tevens ontbreekt , naar het oordeel van de KNLTB , iedere basis voor de juridische uitleg van de AP met betrekking tot dit standpunt en wijkt deze af van de heersende leer , zoals uitgedragen door het Hof van Justitie van de Europese Unie (HvJEU) , andere Europese toezichthouders , overige gezaghebbende autoriteiten en de eerder door de AP zelf uitgedragen leer. en % Eris geen sprake van een verdere verwerking. Daarom is de vraag of orde. Zie randnummer 31 sprake is van een verenigbareverdere verwerking niet aan de 9/38

AUTORITEIT PERSOONSGEGEVENS (geanonimiseerd) 36. De AP handhaaft in bezwaar het standpunt dat de KNLTB voor de aan sponsoren zich niet kan van de AVG. Dit verstrekkingen van persoonsgegevens beroepen op een gerechtvaardigd belang , zoals bedoeld in artikel 6 , eerste lid , standpunt wordt hieronder nader gemotiveerd. 321 _ Hetgerechtvaardigd belang van 37. Sinds het van kracht worden van het Handvest is het fandamentele recht op bescherming persoonsgegevens binnen de EU een nieuw en zelfstandig grondrecht. Ingevolge artikel 8 , eerste lid , van het Handvest heeft eenieder recht op bescherming van zijn persoonsgegevens. Het tweede lid van het artikel bevat ook een nadere uitwerking van dit recht , namelijk dat persoonsgegevens eerlijk , voor bepaalde doeleinden en met toestemming van de betrokkene of grondslag waarin de wet voorziet , worden verwerkt. op basis van een andere gerechtvaardigde 38. Het Hof van Justitie heeft inmiddels bij herhaling bevestigd - o. a. in dat iedere Digital Rights Ireland?” - verwerking van persoonsgegevens altijd een inmenging is op dit fandamentele recht. Daardoor staat vast dat dit recht inmiddels van eenzelfde niveau , kaliber en gewicht is als onder meer de fundamentele rechten van ieder natuurlijk persoon op bijvoorbeeld het ongestoord genot van zijn eigendom , op lichamelijke en geestelijke integriteit en op eerbiediging van zijn privéleven , zijn familie- en gezinsleven , zijn woning en communicatie. Door de uitleg zijn van het Hof van Justitie is nu niet alleen iedere inmenging op onder van iemand in meer de lichamelijke en geestelijke integriteit beginsel onrechtmatig , maar ook iedere verwerking van persoonsgegevens. Dit komt tot uitdrukking in artikel 6 van de AVG , waarin is bepaald dat een verwerking slechts dan rechtmatig is , indien die verwerking valt onder een van de daarin (onder atot en met f) genoemde gronden. Een inmenging kan dan ook alleen plaatsvinden op basis van de iemand - vrije wil van toestemming of een overeenkomst - of op basis van de wet c. q. het recht. 39. Ook dit grondrecht is niet absoluut. De beperking ervan is echter wel aan strenge voorwaarden gebonden. Ingevolge artikel 52 , eerste lid , van het Handvest van de grondrechten van de Europese Unie (het Handvest) moeten beperkingen op de uitoefening van de in het Handvest erkende rechten en vrijheden bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden worden geëerbiedigd. Met inachtneming van het evenredigheidsbeginsel kunnen alleen beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen beantwoorden. De AVG herhaalt dit nog eens in een van de overwegingen**: ‘Het recht op bescherming van persoonsgegevens heeft geen absolute gelding , maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen’. 40. Met andere woorden: het belang van de bescherming van persoonsgegevens kan ‘botsen’ met andere door het recht erkende algemene belangen en/of met de (grond)rechten van anderen. En dus wordt ook met betrekking tot dit grondrecht de mogelijkheid voor onvrijwillige inmengingen niet uitgesloten , maar zo'n onvrijwillige inmenging is dan - - samengevat pas rechtmatig indien dat eveneens mogelijk is gemaakt 2 Hof van Justitie EU , 8 april 2014 in de ECLI:EU:C:2014:238 , 2% gevoegde zaken C-293/12 en C-594/12 , Digital Rights Ireland Ltd en Seitlinger e.a , Overweging 4 van de AVG. 10/38

ei Die nw Iek DN , AUTORITEIT PERSOONSGEGEVENS slet elsene Datum On (geanonimiseerd) rk plaats: de voorwaarde dat de fundamentele rechten en vrijheden betrokken persoon niet prevaleren. van de bij de gegevensbescherming 45. De eerste voorwaarde is dat de belangen van de verwerkingsverantwoordelijke of een derde kwalificeren als gerechtvaardigd. Dat houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Het moet gaan om een belang dat ook in rechte beschermd wordt , dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en worden. ‘afgedwongen’ kan 46. De verwerkingsverantwoordelijke of derde moet zich dus op een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel kunnen beroepen. Is die rechtsregel of dat rechtsbeginsel ten aanzien van de verwerking van persoonsgegevens voor de betrokkene (voldoende) duidelijk en nauwkeurig en/of de toepassing ervan (voldoende) voorspelbaar , dan kan de verwerking op basis van de onder artikel 6 , eerste lid , onder c en e , van de AVG genoemde grondslagen (wettelijke verplichting respectievelijk vervulling van taak van algemeen belang) plaatsvinden , maar er zijn ook gevallen waarbij de rechtsregel of dat rechtsbeginsel ten aanzien van de verwerking van persoonsgegevens voor de betrokkene niet (voldoende) duidelijk en nauwkeurig en/of de toepassing ervan (onvoldoende) voorspelbaar is. 47. In deze gevallen kan er bij de verwerkingsverantwoordelijke of derde toch sprake zijn van gerechtvaardigde moeten wel steeds echt , concreet en rechtstreeks belangen. Deze belangen zelf zijn. En dus niet speculatief , afgeleid. Het kan in beginsel ieder materieel of immaterieel belang zijn. toekomstig of 48. Het enkele belang persoonsgegevens te gelde te kunnen maken c. q. daar winst mee te kunnen maken kwalificeert op zichzelf echter niet als een gerechtvaardigd belang. Niet alleen omdat een dergelijk belang — doorgaans onvoldoende specifiek zal zijn wel belang bij het in zekere zin heeft iedereen overal altijd — hebben van meer geld maar principiëler ook omdat er dan van uitgegaan wordt dat er afweging gemaakt mag worden. En wel een afweging tussen: het enkele niet juridisch/rechtens beschermde belang dat een partij maken van andermans persoonsgegevens enerzijds , - het grondrechtelijk verankerde belang dat betrokkene heeft bij bescherming van zijn persoonsgegevens anderzijds. vervolgens een - heeft bij het zo goed mogelijk te gelde 49. Er zijn weinig beperkingen aan de commerciële mogelijkheden bij toepassing van de grondslagen toestemming en overeenkomst. Het gaat bij verwerkingen die noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke echter in de kern juist buiten de wil van de betrokkene om. Dit is het domein waar de rechten van verwerkingsverantwoordelijken botsen met het grondrecht van betrokkenen. De gedachte dat het in beginsel toegestaan zou zijn om geld te verdienen door op eigen gezag inbreuk te maken op andermans grondrechten staat hier haaks op het optreden van de uitgangspunt dat betrokkene - wetgever daargelaten grip op zijn gegevens zou moeten hebben. Een zo ruime mogelijkheid tot afweging kan dus niet zijn wat om verwerkingen - 12/38

@ AUTORITEIT PERSOONSGEGEVENS aliinLt , U Datum Ons (geanonimiseerd) rh de AVG beoogt en wordt ook niet genoemd , toegelaten of Gegevensbescherming Artikel 29 (WP29). 2° voorgestaan door de Groep 50. De gerechtvaardigdheid van het belang is - ook volgens WP29 - bepalend voor de vraag of de ‘drempel’ gehaald wordt om een afweging te mogen maken. De afweging (noodzaak en belangenafweging) is de verwerkingsverantwoordelijke zich niet op een immers niet aan de orde als de drempel ‘gerechtvaardigdheid’ juridisch/rechtens niet wordt beschermd bereikt. belang Met andere kan beroepen woorden: - Als de betrokkene kan dat immers wel - dan kan er van noodzaak geen sprake zijn en ook al niet van het wegen van beide rechtsbelangen. Omgekeerd betekent dit dat de bescherming die uitgaat van het gesloten stelsel van grondslagen gemakkelijk zou kunnen worden uitgehold als het enkele belang om geld te verdienen al een gerechtvaardigd belang zou zijn. Dan kan immers onder omstandigheden ook eenvoudig beweerd worden dat de desbetreffende inkomsten dringend noodzakelijk zijn , gelet op het belang zo veel mogelijk - geld te verdienen. En dan resteert in feite slechts een materiële afweging te maken door degene met het financiële belang zelf geld verdienen en andermans grondrechten opgeven. In het uiterste geval zou men dan kunnen beweren dat als het om heel veel rato groter zou mogen zijn. - zelf tussen geld gaat , de inbreuk op de grondrechten naar 51. Zouden als het ware alle gestelde - en dus ook de ‘gewone’ , dat wil zeggen niet door het recht beschermde - belangen van een verwerkingsverantwoordelijke in beginsel altijd kwalificeren als gerechtvaardigd , dan zou daardoor niet alleen de betekenis van ‘gerechtvaardigd’ feitelijk illusoir worden , maar zou ook de AVG en zelfs de eisen zoals verwoord in artikel 8 en 52 van het Handvest - als geheel voor een belangrijk deel illusoir worden. Indien niet rechtens beschermde belangen zouden kunnen kwalificeren als en dus in ‘gerechtvaardigd’ beginsel ook als voldoende kwalificeren voor het plegen van een inbreuk op het grondrecht van een ander , dan zou de norm worden dat in beginsel iedereen die stelt enig (persoonlijk of zakelijk) belang te hebben , hoe ‘gewoon’ , alledaags of (zeer) particulier ook en hij voorts stelt dat het noodzakelijk is om persoonsgegevens te verwerken om dat ‘gewone’ belang te behartigen , leiden tot een weging/botsing van een (nog) niet rechtens beschermd belang tegen (inmiddels) een fandamenteel recht van een betrokkene. Dat is uiteraard niet de bedoeling van de wetgever. Het zou ook een serieuze ondermijning betekenen van artikel 52 van het Handvest. Belangen kunnen pas ‘botsen’ als het beide ook echt rechtsbelangen zijn , anders is er geen sprake van een ‘echte’ botsing , want dan gaat ‘gewoon’ de rechtsplicht voor om je jegens derden niet onrechtmatig te gedragen. De noodzakelijkheidsvraag komt dan überhaupt niet aan de orde. In een situatie waarin ‘gerechtvaardigd’ feitelijk illusoir wordt , zou dit grondrecht bovendien veel minder worden beschermd dan de andere grondrechten. Het dienen van ‘gewone’ belangen , dat wil zeggen belangen die niet zijn te kwalificeren als rechtsbelangen , rechtens beschermingswaardige belangen , kan eveneens nooit leiden tot een onvrijwillige inmenging in enig (ander) grondrecht van iemand. - 52. Een andere interpretatie zou overigens ook tot de merkwaardige uitkomst leiden dat na het van kracht worden van (artikel 8 van) het Handvest in Nederland onvrijwillige inmengingen die kunnen worden gebaseerd op het doen van een beroep op een gerechtvaardigd belang c. q. een rechtvaardigingsgrond in het civiele aansprakelijkheidsrecht beter/sterker beschermd zouden zijn dan onder de AVG. Het plegen 2 WP29 Opinion 06/2014 on the " Notion of legitimate interests of the data controller under Article 7 of Directive 95/46EC” , 13/38

AUTORITEIT PERSOONSGEGEVENS Datum 30 juli 2020 rk (geanonimiseerd) van een inbreuk op iemands grondrecht kwalificeert immers in beginsel als een inbreuk op een persoonlijkheidsrecht en dus als een onrechtmatige daad. En niet rechtens beschermde belangen worden in het aansprakelijkheidsrecht niet gehonoreerd als een rechtvaardigingsgrond. Gevolg zou verder zijn dat inmengingen in dit grondrecht daardoor ook in het algemeen minder sterk wordt beschermd dan inmengingen in andere grondrechten. 53. Enige voorbeelden van situaties waarin een verwerkingsverantwoordelijke zich (wel) kan beroepen op het dienen van een gerechtvaardigd belang en waarin er daardoor sprake is van een botsing van - rechtsbelangen het recht van de zijn onder andere de volgende. grondrecht van de betrokkene - verwerkingsverantwoordelijke tegen het - 54. De situatie waarin er sprake is van een echt , concreet , rechtstreeks dreigende ‘real and hazardous’ , stelt de - EDPB-guideline situatie waarin een verwerkingsverantwoordelijke zijn belang bij een veilig en gezond leven of de bescherming van zijn eigendom wil of moet behartigen. Dat is vergelijkbaar met het recht op zelfverdediging - een rechtvaardigingsgrond - in het civiele recht en in het strafrecht. Verder kwalificeren situaties waarin er bij een werkgever sprake is van of een serieus gevaar dreigt voor fraude of diefstal of ander (dreigend) onrechtmatig gedrag door een werknemer of een klant. En op verwerkingsverantwoordelijken rust ook de rechtsplicht om data van derden goed te beveiligen en beschermen. Voorts kan het situaties betreffen waarin een verwerkingsverantwoordelijke een echt en concreet procesbelang heeft. Al geldt ook voor het kunnen procederen de minimumnorm: geen belang , geen actie. En daarbij stelt de rechter dan ook altijd de minimumeisen dat het (uiteraard) een rechtsbelang moet betreffen en dat dat belang echt , concreet en rechtstreeks moet zijn. Verder rusten op werkgevers bijvoorbeeld diverse zorgplichten voor hun werknemers. Zoals ook verkopers/bedrijven diverse voorschrift moet uiteraard wel een (zorg) plichten hebben ten aanzien van klanten. Zo'n wettelijk duidelijke taak of plicht voorschrijven. Het enkel toekennen van een bevoegdheid is daarvoor onvoldoende. Dan gaat immers altijd gedrag waaronder een de rechtsplicht om je jegens derden te onthouden van inmenging in iemands onrechtmatig grondrechten voor. 55: Uit de Nederlandse jurisprudentie zijn verder de situaties bekend waarin een verwerkingsverantwoordelijke is opgelicht , er een inbreuk is gemaakt op het intellectueel van een verwerkingsverantwoordelijke of er anderszins onrechtmatig ten aanzien van een verwerkingsverantwoordelijke is gehandeld en die verwerkingsverantwoordelijke dan NAW-gegevens vordert van een bank of internetprovider om zo de dader aansprakelijk te kunnen stellen. Het gerechtvaardigd belang van het slachtoffer is dan het procesbelang om schade vergoed te krijgen. De bank - wie de of de internetprovider bij gegevens worden gevorderd - heeft in zo’n situatie eveneens een gerechtvaardigd belang op basis waarvan hij die NAW-gegevens dan mag verstrekken dat echt en concreet een onrechtmatige daad pleegt door in die concrete situatie die is , namelijk het voorkomen dat hij zelf NAW-gegevens niet te verstrekken. Als de bank of de provider in zo'n concrete situatie namelijk desgevraagd niet zou verstrekken , dan pleegt die bank of onrechtmatige daad , namelijk een nalaten - hetgeen volgens ongeschreven recht in het de eigendomsrecht provider in beginsel zelf eveneens een in zo’n concrete situatie: het (toch) niet afgeven - in strijd met maatschappelijk verkeer (wel) betaamt. Positief geformuleerd: verwerkingsverantwoordelijke dient dan het gerechtvaardigd belang van een derde/slachtoffer , waartoe 14/38

AUTORITEIT PERSOONSGEGEVENS Datum 30 juli 2020 rk (geanonimiseerd) hij op basis van het civiele recht in zo’n concrete situatie in beginsel ook verplicht is. Ook een anonymus moet immers in beginsel in rechte kunnen worden aangesproken. En daardoor ontstaat dan die ‘botsing’ rechtsbelangen/-plichten. Uiteraard moet dan in beide gevallen ook de noodzaak van de verwerking nog worden beoordeeld en moet er nog worden ‘gewogen’ wil het kunnen komen tot het opheffen van de onrechtmatigheid van deze verwerking van persoonsgegevens. Wanneer er op een verwerkingsverantwoordelijke wel of niet een rechtsplicht rust om te verstrekken blijft casuïstiek en hangt omstandigheden van het van steeds af van de geval. 56. Verder zijn in de jurisprudentie situaties bekend waarin werkgevers grensoverschrijdend gedrag in werkrelaties willen onderzoeken en beëindigen. Ook dit is een rechtsplicht die op werkgevers rust. Op werkgevers rust immers de plicht om te zorgen voor een veilig werkklimaat. Voorts is het doen van aangifte van strafbare feiten of het melden van verstoringen van de openbare dienst een gerechtvaardigd belang; van de aangever en/of van een derde/slachtoffer. Hetzelfde geldt met betrekking tot het melden van huiselijk geweld of kindermishandeling bij bevoegde instanties. Dat geldt ook al voor het kunnen helpen voorkomen van serieuze schade bij een ander , zoals voor banken en/of winkeliers die elkaar - als daar concreet aanleiding voor is - waarschuwen voor bijvoorbeeld fraudeurs of dieven. Ook dan vereist de maatschappelijke zorgvuldigheid dat informatie wordt gedeeld , maar steeds moeten dan ook de stappen twee en drie nog worden genomen. 57. De vrijheid van ondernemerschap is een erkenning in het Handvest van de vrijheid om een economische of een handelsactiviteit uit te oefenen en een erkenning van de contractuele vrijheid en de vrije mededinging. Dit alles is uiteraard niet onbegrensd , maar alleen ‘overeenkomstig het recht van de Unie en de nationale wetgevingen en praktijken’ , Hieruit volgt onder meer dat ondernemers in beginsel zelf mogen bepalen met wie ze zaken doen en met wie niet , zelf hun prijzen mogen vaststellen , et cetera , maar het is niet zo dat uit het algemene grondrecht van vrijheid van ondernemerschap volgt dat het recht ook het belang om (zoveel mogelijk) geld te verdienen op zichzelf beschermt. Of dat hieruit voortvloeit dat ‘minder winst kunnen of maken’ een botsing met het grondrecht op privacy gegevensbescherming van anderen oplevert. Zoals dit ook niet inhoudt dat bijvoorbeeld het grondrecht van anderen/klanten op eigendom onder verwijzing naar ondernemingsvrijheid onder omstandigheden zou mogen worden geschonden. Ondernemers hebben anderzijds wel de nodige zorgplichten voor hun werknemers en/of hun klanten. Die zijn vastgelegd in concrete of algemene rechtsnormen. Daar invulling aan kunnen geven is wel een gerechtvaardigd belang. 58. Het voorgaande brengt met zich dat gerechtvaardigde belangen een min of meer dringend en specifiek karakter hebben dat uit een (geschreven of rechtsbeginsel voortvloeit; het ongeschreven) rechtsregel of moet in zekere zin onontkoombaar zijn dat deze gerechtvaardigde belangen worden behartigd. 2° Zuiver commerciële belangen en het belang van winstmaximalisatie ontberen voldoende specificiteit en missen een dringend ‘wettelijk’ karakter zodat zij niet kunnen kwalificeren als gerechtvaardigde belangen. % Zie bijvoorbeeld het arrest van het Hof van Justitie EU van 4 mei 2017 , ECLI:EU:C:2017:336 , r. o. 29: [dat het belang van een derde bij het verkrijgen van persoonsgegevens van degene die schade heeft aangebracht aan zijn eigendom , teneinde de schade op deze persoon in rechte te verhalen , een gerechtvaardigd belang is'. Zie in die zin het ECLI:EU:C:2008:54 , r. 0. 53). arrest van het Hof van Justitie EU van 29 januari 2008 , 15/38

AUTORITEIT PERSOONSGEGEVENS ZEER KE Bis Datum 30 juli 2020 rk (geanonimiseerd) 59. Dit volgt , zij het in iets andere bewoordingen , ook uit advies 06/2014 van de Groep Gegevensbescherming van de voor de Artikel 29 over het begrip “gerechtvaardigd belang gegevensverwerking verantwoordelijke” in artikel 7 van Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens , de voorloper van de AVG. In dit advies is onder meer het volgende vermeld: ‘Een belang kan daarom worden beschouwd als gerechtvaardigd zolang de voor de verwerking verantwoordelijke dit belang kan behartigen op een manier die overeenkomt met de gegevensbeschermings- en andere wetgeving. Anders “aanvaardbaar zijn volgens de gezegd moet een gerechtvaardigd belang wetgeving”’ 3. 2. 2 _Ten aanzien van de eerste voorwaarde van het gerechtvaardigd belang 60. Ten aanzien van dit bezwaar wijst de AP naar 8 3. 1. 2. van dit besluit , waarin is geconcludeerd is dat na het instemmingsbesluit van de Ledenraad in 2007 een nieuw verzameldoeleinde is bepaald om persoonsgegevens van leden aan sponsoren te kunnen verstrekken met als doel (1) het creëren van meerwaarde voor het lidmaatschap en (2) extra inkomsten te genereren voor de KNLTB. Aan de verstrekking van persoonsgegevens aan sponsoren liggen derhalve commerciële belangen ten grondslag. Zoals hierboven betoogd is , is de AP van mening dat in casu het gerechtvaardigd belang met zich brengt dat er geen gerechtvaardigde belangen zijn die die voortvloeien uit een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel;?* Zuiver commerciële belangen ontberen voldoende specificiteit en missen een dringend ‘wettelijk’ karakter zodat zij niet kunnen kwalificeren als gerechtvaardigde belangen. 61. De KNLTB heeft in bezwaar gewezen op “het grondrecht vrijheid van ondernemerschap” zoals bedoeld in artikel 16 van het Handvest. In dat verband heeft de KNLTB erop gewezen dat uit het besluit van de AP inzake Bluetrace® volgt dat artikel 16 van het Handvest wel kan gelden als een gerechtvaardigd belang dat is , De AP heeft naar het oordeel van de KNLTB onvoldoende gemotiveerd waarom een dergelijk commercieel belang , zoals in die zaak aan de orde was , destijds wél kon worden gekwalificeerd als vrijheid van ondernemerschap , en als een belang dat gerechtvaardigd was. De AP wijst naar aanleiding van dit bezwaar erop dat artikel 16 van het Handvest , een fundamenteel recht is dat , naast de contractuele vrijheid , de vrijheid om een economische of een handelsactiviteit uit te oefenen , regelt. Het doel om persoonsgegevens aan sponsors te verstrekken met als doel een meerwaarde voor het lidmaatschap te creëren en extra inkomsten te genereren voor de KNLTB , is op zichzelf beschouwd weliswaar een te respecteren (commercieel) belang , maar geen rechtsbelang , en kan dus en daarom niet worden afgedwongen in rechte. De AP concludeert dan ook dat dit belang niet kwalificeert als een belang , zoals bedoeld in artikel 6 , gerechtvaardigd eerst lid , van de AVG. 21 WP29 Opinion 06/2014 on the “Notion of legitimate interests of the data controller under Article 7 of Directive 95/46EC' , p. 25 , 2 Zie bijvoorbeeld het arrest van het Hof van Justitie EU van 4 mei 2017 , ECLI:EU:C:2017:336 , r. 0. 29: ‘[…. ] dat het belang van een derde bij het verkrijgen van persoonsgegevens van degene die schade heeft aangebracht aan zijn eigendom , teneinde de schade op deze persoon in rechte te verhalen , een gerechtvaardigd belang is’. Zie in die zin het arrest van het Hof van Justitie EU van 29 januari 2008 , ECLI:EU:C:2008:54 , r. o. 53). ® Sanctiebesluit AP ‘Bluetrace' van 30 juni (geanonimiseerd) AE , 16/38

Ik , an let DL ig sl A) AUTORITEIT PERSOONSGEGEVENS (geanonimiseerd) 62. De verwerking zoals onderzocht bij Bluetrace betrof een andere situatie. In die specifieke situatie is wel een gerechtvaardigd belang aangenomen aangezien de verwerking niet uitsluitend zag op een maar ook commercieel belang gelegen was in aspecten die zagen op het beheersen van grote groepen mensen tijdens evenementen of het bepalen van de geschiktste inrichting van een terrein of winkelgebied met het oog op de openbare orde of de veiligheid van het publiek. Deze aspecten richten zich derhalve wel op een rechtsbelang , namelijk orde en veiligheid. Hierbij merkt de AP nog op dat het onderzoek naar Bluetrace nog onder het AVG. Wbp-regime heeft plaatsgevonden en geen toetsing heeft plaatsgevonden aan de 63. De KNLTB heeft daarnaast gewezen op het recht “vrijheid van vereniging” dat door de KNLTB wordt uitgelegd als het recht van een vereniging heeft om eigen regels te creëren , bijvoorbeeld inzake de wijze waarop rechtsgeldige besluiten binnen een vereniging tot stand komen. In dat verband is aangevoerd dat binnen een vereniging de besluitvorming plaatsvindt door de leden (raad). Deze besluitvorming is bindend voor alle leden (zowel voor huidige als toekomstige leden) , waarbij geldt dat steeds de laatst vastgestelde reglementen en besluiten bindend zijn. Naar het oordeel van de KNLTB heeft de AP onvoldoende rekening gehouden met deze rechten. De AP volgt de KNLTB niet hierin en wijst erop dat het recht van vrijheid van vereniging niet zo ver reikt dat het de regels van de AVG op zij kan zetten of buiten toepassing te laten worden verklaard. Uiteraard kan een Ledenraad beslissingen nemen die bindend zijn voor de vereniging , maar dat betekent niet dat een ledenraad ook kan besluiten dat persoonsgegevens van individuele leden aan sponsoren worden verstrekt zonder hiervoor een gerechtvaardigd belang te hebben of zonder voorafgaande toestemming van de betreffende leden te hebben ontvangen. ” De AVG voorziet immers niet in die mogelijkheid en biedt betrokkenen handvatten om zelf kunnen beschikken over hun rechten ter bescherming van hun te persoonsgegevens. 64. Nu geconcludeerd is dat geen sprake is van een gerechtvaardigd belang wordt in beginsel niet toegekomen aan een verdere beoordeling van de noodzakelijkheid (de tweede voorwaarde) en de afweging tussen de belangen van betrokkenen enerzijds en die van de KNLTB en eventuele andere belanghebbenden anderzijds (de derde voorwaarde). Naar het oordeel van de KNLTB is er wel sprake van een gerechtvaardigd belang en had de AP ook moeten ingaan op de twee overige voorwaarden van het gerechtvaardigd belang. % Alhoewel aan een verdere beoordeling van het gerechtvaardigd belang niet wordt toegekomen , zal de AP , gelet op dit bezwaar , in het hierna volgende ingaan op de twee overige voorwaarden van het gerechtvaardigd belang. Ten aanzien van de tweede voorwaarde van het 3. 2. 3 gerechtvaardigd belang (het noodzakelijkheidsvereiste) 65. Voor zover er toch vanuit moet worden gegaan dat sprake is van een echt , rechtstreeks en concreet belang dat kwalificeert als ‘gerechtvaardigd’ , leidt dat tot de volgende overwegingen van de AP ten aanzien van het noodzakelijkheidsvereiste. Hierna wordt eerst kort het juridische kader beschreven met betrekking tot het noodzakelijkheidsvereiste. Daarna worden de feiten in deze zaak aan de hand hiervan beoordeeld. % % Zie ook 8 3. 3. 4. van dit besluit. Zie het aanvullend bezwaarschrift , onder 8 54. , 17/38

AUTORITEIT PERSOONSGEGEVENS Datum 30 juli 20 2 0 rk (geanonimiseerd) de voorgenomen verwerking. Van een dergelijk goed of afkeurend advies was onder de Wbp geen sprake. voorafgaande aan een verwerking 86. De AP constateert dat de bovengenoemde maatregelen c. q. waarborgen er niet toe hebben geleid dat de inbreuk op de rechten en vrijheden van de betrokkenen als minder ernstig door de betrokkenen zijn ervaren en evenmin als minder ernstig kwalificeren. Uit het onderzoek van de AP is immers naar voren gekomen dat de verstrekking van persoonsgegevens , met name die aan de NLO , door betrokkenen als ingrijpend is ervaren. Dit is ook zelf door de KNLTB erkend. De KNLTB heeft in dit verband zelf verklaard dat zij snel na aanvang van de belactie merkte dat deze minder goed door de leden werd ontvangen , doordat de leden contact opnamen met de KNLTB. ’ Leden bleken , ondanks de door de KNLTB getroffen maatregelen , verrast te zijn over de wijze waarop zij door NLO werden benaderd. ” Gelet hierop heeft de NLO , ondanks dat er sprake was van een hoge conversie (er werden veel abonnementen verkocht)” de belactie door NLO vroegtijdig beëindigd. * De AP kan zich hier niet aan de indruk onttrekken dat de KNLTB hier zelf een belangenafweging heeft gemaakt , zoals bedoeld in artikel 6 , eerste lid , onder £ , al de AVG , waarbij de KNLTB de belangen van de betrokkene zwaarder heeft gewogen dan haar eigen belangen of de belangen van NLO (de derde). Door de KNLTB wordt evenwel ontkend dat geen sprake is van een gerechtvaardigd belang. Wat hiervan ook zij , de AP is alles afwegende van oordeel dat de met de verstrekking van persoonsgegevens nagestreefde belangen van KNLTB niet prevaleren boven de rechten en vrijheden , met inbegrip van hun fundamentele rechten op de bescherming van persoonsgegevens en privacy , van betrokkenen. Voorts valt niet in te zien dat de belangen van een derde , zoals die van de NLO (die eveneens o. m. een economisch belang heeft) , zwaarder zouden moeten wegen dan het belang van betrokkenen. In dit verband is zwaar meegewogen dat — naast dat het om persoonsgegevens van een zeer groot deel van de het ledenbestand van de KNLTB betrof — de verstrekking persoonsgegevens aan NLO door de betrokkenen als een ingrijpende inbreuk op hun rechten is ervaren. van belangen , van 87. Op grond van het bovenstaande concludeert de AP dat de KNLTB dan ook niet voldoet aan de derde voorwaarde van het gerechtvaardigd belang , waardoor geen sprake kan verwerkingsgrondslag , zoals bedoeld in artikel 6 , zijn van een van de AVG. 3 rechtmatige eerste lid , onder £ , Conclusie t. a. v. bezwaaronderdeel B (de verwerkingsgrondslag 88. Gelet op het vorenstaande concludeert de AP dat bij het primaire besluit terecht en op juiste gronden is geconcludeerd dat de KNLTB geen rechtmatige verwerkingsgrondslag heeft voor de verstrekking persoonsgegevens aan TennisDirect en NLO. De KNLTB heeft hiermee in van strijd gehandeld met artikel 6 , “ Pagina 3 van begeleidende brief van Antwoorden KNLTB 20november2018 (dossierstuk 35 van het onderzoek). Bijlage 2 van Antwoorden KNLTB 20 november 2018 (dossierstuk 35 , van het onderzoek). Pagina 3 van begeleidende brief van Antwoorden KNLTB 20 november 2018 (dossierstuk 35 , van het onderzoek). van het Antwoord vraag 15 van Antwoorden NLO 28 december 2018 (dossierstuk 73 , onderzoek). > Uit de vorenstaande conclusie volgt t. a. v. persoonsgegevens die aan NLO zijn verstrekt , dat de KNLTB in strijd heeft gehandeld met artikel 6 , eerste lid , onder f , van de AVG. Gelet op deze conclusie is de verstrekking van persoonsgegevens aan TennisDirect niet meer beoordeeld , omdat dit aan de vorenstaande conclusie — AVG - “9 51 “? dat KNLTB in strijd heeft gehandeld met artikel 6 , eerste Id , onder f‚ van de niets afdoet. 22/38

1E lekt 51 sl AUTORITEIT PERSOONSGEGEVENS be Datum rk (geanonimiseerd) eerste lid , van de AVG , in samenhang gelezen met artikel 5 , eerste lid , onder a , van de AVG. Het bezwaar ten aanzien van onderdeel B wordt door de AP dan ook ongegrond verklaard. 3-3 Ten aanzien van het bezwaaronderdeel C (algemene beginselen van behoorlijk bestuur) 89. De gronden van het bezwaar die hierna worden behandeld zijn terug te voeren op de verschillende algemene beginselen van behoorlijk bestuur die naar het oordeel van de KNLTB door de AP zijn geschonden. Deze — naar het oordeel van de KNLTB — geschonden beginselen zijn met name terug te voeren op het lex certa-beginsel c. q. het rechtszekerheidsbeginsel , het verbod op vooringenomenheid c. q. met de het handelen in strijd onschuldspresumptie en schending van de rechten van bewijsvergaring. Deze schendingen staan , naar het oordeel van de KNLTB , een verdediging/onjuiste boeteoplegging in de weg. _Ten aanzien van het lex het 33. 1 certa-beginsel c. q. rechtszekerheidsbeginsel en het vertrouwensbeginsel go. Het lex certa-beginsel , dat onder meer besloten ligt in artikel 5:4 , eerste lid , van de Awb , verlangt van de wetgever dat hij met het oog op de rechtszekerheid op een zo duidelijk mogelijke wijze een norm of verboden gedraging omschrijft. % Iemand moet kunnen weten ter zake van welke gedraging of nalaten hij kan worden gestraft. Dat vereist dat de invulling van een wettelijke bepaling voldoende duidelijk , bepaald zijn. en kenbaar dient te die de AP aan het 91. De KNLTB stelt zich op het standpunt dat de uitleg gerechtvaardigd belang geeft , zoals bedoeld in artikel 6 , eerste lid , onder f , van de AVG , onjuist is. In dat verband is , samengevat , aangevoerd , dat de AP dit artikel verkeerd interpreteert en dat de juridische uitleg van de AP van (stap 1 van) het gerechtvaardigd belang afwijkt van de heersende leer , aangezien de AP onder meer stelt dat: een gerechtvaardigd belang terug te voeren moet zijn op een grondrecht of rechtsbeginsel; kan een financieel/zuiver commercieel belang niet als een gerechtvaardigd belang gelden; vrijheid van ondernemerschap’ in dit kader anders interpreteert. - - - de reikwijdte van ‘de 92. De AP bestrijdt dat zij een onjuiste uitleg over het gerechtvaardigd belang hanteert. Het standpunt van de AP heeft een duidelijke juridische basis die in bezwaaronderdeel B van deze hand van verschillende wet —en regelgeving , jurisprudentie en casussen is op artikel 6 , eerste lid onder f‚ van AVG , kunnen weten dat de sponsoren niet voldeed aan het AP op artikel 6 , beslissing uitgebreid aan de toegelicht. De KNLTB had gelet verstrekking van persoonsgegevens aan gerechtvaardigd belang. Er wordt door het handhavend optreden door de eerste lid , van de AVG dan ook geen inbreuk gemaakt op het lex certa-beginsel. 93. De KNLTB heeft met een beroep op het rechtszekerheidsbeginsel daarnaast gewezen op een oud informatieblad van het CBP over het “Verstrekken van gegevens uit ledenadministratie”s5 (hierna: het informatieblad) en heeft aangevoerd haar beleid , ten aanzien van de verstrekkingen van persoonsgegevens aan sponsoren , onder meer naar aanleiding van dit informatieblad te hebben ingericht. Dit informatieblad was daarnaast gepubliceerd op de website van het CBP. Hierin was onder meer het volgende vermeld: vereniging , zoals een sponsor , mag als de personen of bedrijven buiten de vereniging daarvoor aan Als het gaat om activiteiten die voor de vereniging gebruikelijk zijn of zijn ledenvergadering , hoeft geen expliciete toestemming gevraagd worden aan de leden. ” Het “Verstrekken van leden toestemming heeft gevraagd. […. ] goedgekeurd door de zijn te % Zie CRvB 22 februari 2017 , ECLI:NL:CRVB:2017:901 5'Verstrekken van gegevens uit ledenadministratie; CBP Informatieblad randnummer 30 , september 2010. 23/38

IR DS , i AUTORITEIT PERSOONSGEGEVENS Lekt Snert A} Ons kenmerk (geanonimiseerdJ ) personen bestaat. Nu de uitspraak op de klacht door de AP is genomen , heeft de AP uit zorgvuldigheidsoverwegingen , bewust ervoor gekozen om ook het boetebesluit nemen en niet lager in de organisatie te beleggen. Opgemerkt moet worden dat primaire (boete)besluit op bestuursniveau is dient te worden genomen. % op bestuursniveau te gelet op het feit dat het beslissing op bezwaar ook op bestuursniveau genomen , deze 106. Verder stelt de AP vast dat het onderzoeksrapport en het boetebesluit voldoen aan de daaraan te stellen wettelijke eisen. In dit verband kan worden opgemerkt dat inmiddels transparant is hoe het onderzoek is verlopen en dat de feiten uit het onderzoeksrapport en de belangen van de KNLTB opnieuw zijn gewogen. Voorts is de KNLTB in de gelegenheid gesteld om een zienswijze te geven , welke bij de vaststelling van het onderzoeksrapport en het boetebesluit zijn meegewogen. De AP is ten aanzien hiervan niet afgeweken van haar beleid , De AP concludeert gelet op het vorenstaande dat er een zorgvuldige afweging van belangen heeft plaatsgevonden. 107. Op grond van het vorenstaande concludeert de AP dat is geen sprake is van vooringenomenheid en dat niet onschuldspresumptie. De AP verklaart dit bezwaar gehandeld in strijd met de ongegrond. _Deschending van de rechten van verdediging/onjuiste bewijsvergaring aangevoerd dat de KNLTB in zijn verdedigingsrechten is aangetast doordat op onjuiste vergaard. 333 108. De KNLTB heeft basis een onderzoek is gestart en bewijs is 109. De KNLTB heeft in dit verband aangevoerd dat de AP tijdens een gesprek op 11 oktober 2018 informatie heeft verzameld waarbij de AP op oneigenlijke wijze te werk is gegaan. In dit verband is toegelicht dat de AP jegens de KNLTB had aangekondigd een informeel gesprek te willen voeren , maar dat dit gesprek na 10 minuten een formele wending kreeg en dat pas 10 minuten nadat het gesprek was aangevangen de cautie door de AP is gegeven. Daarnaast heeft de KNLTB aangevoerd dat de KNLTB , vanwege het informele karakter van dit gesprek , zich niet juridisch heeft laten bijstaan door een advocaat en dat de AP de KNLTB tijdens het gesprek ook niet adequaat in de gelegenheid heeft te voorzien. gesteld zich van passende juridische bijstand 110. De AP herkent zich niet in deze weergave en wijst erop dat zij op grond van artikel 58 , eerste lid , van de AVG bevoegd is om ambtshalve een onderzoek in te stellen naar de verwerking van persoonsgegevens door KNLTB. De AP heeft , naar aanleiding van een aantal klachten en signalen over de KNLTB met betrekking tot de verstrekkingen van persoonsgegevens aan sponsoren en de media-aandacht die over deze verstrekkingen was ontstaan , op 11 oktober 2018 een gesprek gevoerd met de KNLTB. ° Op dat verstrekkingen in te gesprek genomen. “Het gesprek van 11 oktober verstrekking van tijdens dat gesprek had toegelicht , heeft de AP de KNLTB — moment was door de AP nog niet besloten om een onderzoek naar de betreffende stellen. Het besluit om een onderzoek in te stellen is ná dit 2018 had als doel te beoordelen of een onderzoek naar de moest worden ingesteld. Nadat de aanwezigen zichzelf AP het doel van dat persoonsgegeven van leden gesprek hadden geïntroduceerd en de op voorhand — erop gewezen dat de $& Dit ® volgt uit artikel 10:3 van de Awb. Van dit gesprek is een zakelijke weergave door de AP opgesteld (dossierstuk 16 , van het onderzoek). De KNLTB heeft op deze onderzoek). onderzoek). zakelijke weergave een reactie gegeven (dossierstuk 30 , bijlage 10 en dossierstuk 40 , van het $$ Zie de brief van 22 oktober 2018 van de AP aan de KNLTB (dossierstuk 15 en 16 , van het 27/38

AUTORITEIT PERSOONSGEGEVENS Ons kenmerk (geanonimiseerdJ ) tweetal sponsoren. Deze verwerkingen hebben derhalve niet plaatsgevonden op basis van een grondslag als bedoeld in artikel 6 , eerste lid , van de AVG , en hebben dan ook onrechtmatig dat van een plaatsgevonden. De AP heeft hiervoor reeds toegelicht gerechtvaardigd belang geen sprake is en de persoonsgegevens evenmin op basis van verdere verwerking is toegestaan. wettelijke 126. Bij de beoordeling van de ernst van de overtreding betrekt de AP enerzijds het grote aantal betrokkenen en van de hoeveelheid persoonsgegevens die zijn verwerkt. Anderzijds betrekt de AP de categorieën persoonsgegevens waarop de inbreuk betrekking heeft. Het betreft in dit geval naam , adres en woonplaats alsmede het telefoonnummer , maar geen bijzondere persoonsgegevens van de KNLTB-leden. Dat er geen bijzondere persoonsgegevens zijn verwerkt heeft geen gevolgen voor de geconstateerde overtredingen. Dat er volgens de KNLTB nauwelijks wordt geklaagd door haar leden kan de conclusie dat er geen sprake is van enige schade bij betrokkenen echter niet dragen. In deze volstaat dat schade kan worden geleden als gevolg van de inbreuk op de verordening. Evenmin is voor het vaststellen van deze overtreding relevant dat de leden van de KNLTB ook enig voordeel hebben kunnen ondervinden van deze omstreden actie. Dat het zelf voor leden niet verplicht is om de aanbieding van de sponsor te lezen zoals KNLTB stelt , verandert ook niets aan de bezwaar geconstateerde overtredingen. Dat leden tegen deze verstrekking achteraf hun kenbaar hebben kunnen maken , gaat eraan voorbij dat er geen sprake is van een rechtmatige grondslag en de betreffende gegevens sowieso niet had mogen worden verstrekt aan de sponsoren. 127. De AP ziet , gelet op het hetgeen hier is aangevoerd , derhalve geen aanleiding om de boete te matigen. De opzettelijke of nalatige aard van de inbreuk (ii) 128 , De KNLTB heeft ten aanzien hiervan onder meer aangevoerd , dat hoewel opzet geen vereiste is om een boete te kunnen opleggen , het ontbreken daarvan wel een rol speelt bij de boeteoplegging. 129. De AP is het met de constatering van de KNLTB eens dat opzet geen vereiste is voor het opleggen van een boete. De AP wijst erop dat de verstrekking van persoonsgegevens aan sponsoren een onrechtmatige verwerking is en dat de verstrekking van persoonsgegevens zonder wettelijke verwerkingsgrondslag reeds voldoende is om een boete op te kunnen leggen. 130. Ingevolge artikel 5:41 van de Awb geldt dat het bestuursorgaan geen bestuurlijke boete oplegt voor zover de overtreding niet aan de overtreder kan worden verweten. Net als bij strafrechtelijke overtredingen is schuld in de zin van verwijtbaarheid bij bestuursrechtelijk gesanctioneerde overtredingen doorgaans geen bestanddeel van het delict. Dit betekent dat het bestuursorgaan de verwijtbaarheid niet behoeft te bewijzen , maar deze mag veronderstellen als het daderschap vaststaat”? De AP heeft in het kader van het eerste lid , van de AVG onderzoek vastgesteld dat de KNLTB in juni 2018 , in strijd met artikel 6 , persoonsgegevens van leden heeft verstrekt aan sponsoren. De KNLTB heeft dat erkend. Hiermee staat het daderschap vast. ” Wanneer het daderschap vaststaat is daarmee de verwijtbaarheid gegeven zoals reeds in het boetebesluit is vermeld. Zoals hiervoor reeds uitvoerig is vermeld , dient de persoonsgegevens van leden aan sponsoren te worden aangemerkt als een KNLTB voor de verstrekking van overtreding van de AVG. Dat de gezocht bij hetgeen in de literatuur verstrekking van persoonsgegevens aansluiting heeft 71 Kamerstukken I1 2003/0429702 , , nr. 3 , p. 134. 7 De KNLTB erkent in juni 2018 persoonsgegevens van leden te hebben verstrekt aan sponsoren , maar betwist dat de gegevens zijn verstrekt zonder rechtmatige verwerkingsgrondslag. 32/38

AUTORITEIT PERSOONSGEGEVENS Ons kenmerk (geanonimiseerdJ ) tot €300.000- , , wanneer de factoren die moeten worden gewogen leiden tot een verlaging van de boete. Zoals in de voorgaande randnummers uiteen is gezet , ziet de AP geen aanleiding om op basis van deze factoren enige verlaging van de boete toe te passen. Om die reden kan een verlaging tot de laagst mogelijke boetehoogte in categorie III hier niet aan de orde zijn. 145. De AP ziet , gelet op het hetgeen hier is aangevoerd , derhalve geen aanleiding om de boete te matigen. _Tenaanzien van de 342 draagkracht 146. De KNLTB heeft in bezwaar aangevoerd dat de AP de boete zou moeten matigen vanwege haar draagkracht en de gevolgen die COVID-19 heeft op de organisatie. De KNLTB stelt als gevolg van COVID- 19 een inkomstenderving te hebben van € Hierbij geeft KNLTB aan dat door besparingen aan de zijde van KNLTB het resultaat voor 2020 m iets r kan worden bijgesteld , maar dat dit afhankelijk zal zijn van verdere ontwikkelingen wat betreft COVID-19. Wanneer de ook geen doorgang kan vinden vanwege COVID-19 , dan zal de oplopen. Als gevolg van de (geanonimiseerd) inkomstenderving met zn € bestuurlijke boete in deze zaak en de COVID-19 , stelt de KNLTB de k omend e jaren aanzienlijk minder te kunnen investeren in de tennissport en heeft de ondersteuning aan de verenigingen en leden daaronder te lijden. De KNLTB heeft aangegeven dat het nu nog niet mogelijk is om de definitieve schade naar aanleiding van COVID-19 te ramen aangezien maatregelen/versoepelingen veranderlijk zijn. (geanonimiseerd) 147. De AP ziet in hetgeen hier is aangevoerd geen reden om de boete te matigen. De AP licht dit als volgt toe. de 148. Bij vaststelling van de hoogte van de bestuurlijke boete moet ingevolge artikel 5:46 , tweede lid , Awb rekening worden gehouden met het evenredigheidsbeginsel. In dat verband dient het daarbij zo nodig rekening te houden met de omstandigheden waaronder de overtreding is parlementaire geschiedenis bij de Awb blijkt bevestigd % bestuursorgaan gepleegd. Uit de dat de draagkracht een zodanige omstandigheid kan zijn. ?? Ook in de jurisprudentie is dit 149. Uit de jurisprudentie volgt dat als op basis van door de overtreder overgelegde financiële gegevens blijkt dat de overtreder door de boete onevenredig wordt getroffen , de boetehoogte gematigd moet worden. ® De AP acht de financiële situatie van KNLTB echter niet van dien aard dat daaruit moet worden geconcludeerd dat KNLTB onevenredig wordt getroffen door de hoogte van de boete en boetematiging vanwege verminderde draagkracht geïndiceerd is. Hierbij heeft de AP de concept jaarrekening van 2019 betrokken alsmede de door KNLTB bij aanvullend bezwaarschrift verstrekte informatie en nadere stukken zoals ingediend na de hoorzitting. ® 150 „De AP heeft naar aanleiding van deze bezwaargrond van KNLTB verzocht om dit nader te onderbouwen met financiële bescheiden. De AP constateert allereerst dat KNLTB op 13 juli 2020 een concept jaarrekening 2019 heeft overgelegd onder medezending van een mailbericht van BDO Accountants van eveneens 13 juli 2020 waaruit blijkt dat nog geen controleverklaring is afgegeven voor deze concept 7 Kamerstukken 1 , 2003/04 , 29 702 , P. 141. 2012 , ECLI:NL:RVS:2012:BV9508 en HR 28 maart 2014 , ECLI:NL:HR:2014:685. maart Zie ABRvS 12 maart 2008 , ECL l:NL:RVS:2008:BV9509 en ABRvS van 16 januari 2019 , ECLI:NL:RVS:2019:103 , Zoals de aanvullende bijlagen toegezonden per email van 6 juli 2020. (notitie schade voor bondsbestuur 2020 , april schadeberekening NOC*NSF en monitor Sport en Corona) en de op 13 juli 2020 nagezonden stukken bestaande uit een concept jaarrekening 2019 en een formele bevestiging van accountantskantoor BDO inzake de concept jaarrekening. 50 ABRvS 21 81 ®2 35/38

Toelichting grondslagen In dit document kunt u secties vinden die onleesbaar zijn gemaakt. Deze informatie is achterwege gelaten op basis van de Wet open overheid (Woo). De letter die hierbij is vermeld correspondeert met de bijbehorende grondslag in onderstaand overzicht. C Art. 5. 1 lid 1 sub c Deze informatie betreft bedrijfs- en fabricagegegevens die vertrouwelijk aan de overheid zijn meegedeeld J Art. 5. 1 lid 2 sub e Het belang van de openbaarmaking van deze informatie weegt niet op tegen het belang van de eerbiediging van de persoonlijke levenssfeer van betrokkenen