Het Hof van Justitie van de Europese Unie (HvJEU) pakte in 2024 lekker door: meer dan 30 gegevensbeschermingszaken werden behandeld. Daar zijn boeken mee te vullen, maar wat zijn een aantal interessante punten waar de leergierige DPO\u2019s iets concreets mee kunnen?<\/p>\n
<\/p>\n
De bijzondere categorie\u00ebn worden breed ge\u00efnterpreteerd<\/strong><\/p>\n Het verwerken van bestellingen van medicijnen op de Amazon Marketplace, is dat een verwerking van bijzondere categorie\u00ebn aan gegevens? Die vraag lag voor bij het Hof<\/a>, en de voorbereidende opinie van de Advocaat-Generaal concludeerde alvast \u201cNee, niet als het medicijnen zonder voorschrift zijn\u201d. De Ibuprofen kan immers voor iedereen zijn, en wat zegt dat nu over de gezondheidstoestand?<\/p>\n <\/p>\n Volgens het Hof genoeg dat je met wat gezond boerenverstand conclusies kunt trekken over de gezondheidstoestand van de besteller, zelfs al zal dat soms niet terecht zijn. Ook bestellingen zonder voorschrift zijn dus bijzondere categorie\u00ebn (art. 9) gegevens. Het Hof geeft aan dat we niet voor niets een hoog niveau van bescherming vereisen voor zulke gegevens, en al te snel gaan nuanceren leidt tot een verlaging van dat niveau.<\/p>\n <\/p>\n Denk ook terug aan de HvJEU zaak uit Litouwen<\/a> waarbij het louter publiceren van de naam van de partner in een overheidstransparantieregister aanzien werd als publicatie van een bijzonder gegeven: men kan immers relatief simpel de seksuele geaardheid bepalen wanneer de mandataris Theodoor heet en de partner Alfons.<\/p>\n <\/p>\n Les voor de DPO: we zijn wellicht sneller dan we dachten bijzondere categorie\u00ebn van gegevens aan het verwerken dan we dachten!<\/p>\n <\/p>\n Hoe ver mag je de art. 9 uitzondering \u201ckennelijk openbaar gemaakt\u201d toepassen?<\/strong><\/p>\n Zonder twijfel is Max Schrems de persoon met de meeste HvJEU zaken op zijn naam. De recentste heeft overigens niet te maken met internationale doorgiften, maar wel met een ietwat obscure uitzonderingsregel in art. 9.2e die het mogelijk maakt om bijzondere categorie\u00ebn aan persoonsgegevens te verwerken wanneer die \u201ckennelijk door de betrokkene openbaar zijn gemaakt\u201d.<\/p>\n <\/p>\n De context<\/a> was het verwerken door Meta van gegevens die de seksuele geaardheid onthullen. Schrems betoogde dat Meta gegevens over zijn seksuele geaardheid verwerkte, niet alleen op basis van interacties van Schrems op Meta platformen maar ook op basis van gegevens die ze\u00a0 onrechtstreeks had verkregen via derden. Een belangrijk argument van Meta om die gegevens toch te mogen gebruiken, bestond eruit dat Max Schrems op enig moment in gesprek op een event (dat onder meer werd opgenomen en op YouTube beschikbaar is) had aangegeven dat hij gay is.<\/p>\n Dit argument faalde op twee belangrijke punten: ten eerste dateerde de video van na de eerste verwerkingen rond geaardheid door Meta (het team van Meta was waarschijnlijk wanhopig op zoek gegaan naar video\u2019s waarin Schrems zijn geaardheid uitte). Ten tweede, zelfs al zou dat event voor de verwerkingen hebben gelegen, een dergelijke openbaarmaking betekent vervolgens niet dat bijzondere categorie\u00ebn persoonsgegevens voor ieder doeleinde mogen worden gebruikt. Zeker niet wanneer dit betekent dat gegevens die over allerlei platformen waren verzameld ingezet gaan worden om gepersonaliseerde advertenties te sturen. De \u201ckennelijke openbaarmaking\u201d en het doeleinde waarvoor de gegevens vervolgens gebruikt worden moeten gelijkaardig zijn en binnen de redelijke verwachtingen van de betrokkene liggen.<\/p>\n <\/p>\n Een gerechtvaardigd belang mag commercieel zijn<\/strong><\/p>\n De Nederlandse AP bleef zo stug volhouden (met faillissementen tot gevolg), dat je je af en toe afvroeg of ze misschien toch gelijk hadden met hun \u201cNormuitleg Gerechtvaardigd Belang\u201d. Die normuitleg hield kortgezegd in dat gerechtvaardigd belang enkel toegepast mocht worden in een niet-commerci\u00eble context en wanneer de wet ergens voorziet in dit belang.<\/p>\n <\/p>\n Privacy minnend Europa kon het zich amper voorstellen omdat dit de toepassing van het gerechtvaardigd belang als rechtsgrond bijna volledig zou uithollen. Het Hof volgde daar gelukkig in<\/a>: uiteraard mag een gerechtvaardigd belang niet t\u00e9gen de wet zijn, maar het moet niet specifiek voorzien zijn en kan dus bijna ieder mogelijk belang zijn. De verdere uitwerking van de twee andere toetsstenen van een gerechtvaardigd belang (de noodzakelijkheidstoets en de belangenafweging) zullen vervolgens bepalen of je dit belang ook gerechtvaardigd is.<\/p>\n <\/p>\n De les voor de DPO: gerechtvaardigd belang mag gelukkig nog best breed ingezet worden, maar zorg dat je het kunt onderbouwen!<\/p>\n <\/p>\n Wanneer krijg je een schadevergoeding? <\/strong><\/p>\n Dit jaar zeer vaak de revue gepasseerd bij het Hof: vragen over schadevergoedingen<\/a>. Zo vaak, dat je je soms afvraagt of het nu echt zinvol is dat het Hof er n\u00f2g een behandeld. We kennen uiteraard artikel 82 waar de mogelijkheid wordt voorzien om (im)materi\u00eble schade te verhalen. Het Hof heeft nu meermaals bevestigt welke criteria we moeten hanteren om te bepalen of er recht is op een schadevergoeding:<\/p>\n <\/p>\n Hoe hoog de schadevergoeding moet zijn hangt dan weer volledig af van de geleden schade en belangrijk: schadevergoedingen vanuit de GDPR hebben een compensatoir en geen punitief karakter. Oftewel, geen Amerikaanse toestanden waar schadevergoedingen een afschrikwekkend effect moeten hebben, wel \u00e9chte vergoedingen voor geleden schade. Hoe klein die ook moge zijn, in de laatste relevante zaak werd door het Hof aangegeven dat zelfs excuses<\/a> voldoende kunnen zijn. Maar zoals altijd bij het Hof: case by case te bekijken.<\/p>\n <\/p>\n\n