2021
De GBA verduidelijkt de regels in verband met het frequent verzenden van e-mails door platforms die petities lanceren
De Gegevensbeschermingsautoriteit berispt het online petitieplatform Change.org door het te gelasten de toegang tot zijn privacybeleid, de contactgegevens en de manier waarop de ontvangers van de petitie hun rechten kunnen uitoefenen, te vergemakkelijken vanaf de eerste e-mail die naar hen wordt gestuurd. Het uitoefenen van het recht van bezwaar is in deze context essentieel om bezwaar te kunnen maken tegen de gemakkelijke en frequente verzending van ongewenste e-mails.
Een leidinggevende van een vervoersmaatschappij heeft bij de GBA een klacht ingediend in verband met de herhaalde verzending van e-mails over een petitie tegen de aanleg van een toekomstige metrolijn in Brussel, waarvan hij de ontvanger was. De klacht is gericht tegen een collectief van verenigingen dat het initiatief tot de petitie heeft genomen en tegen het bedrijf Change.org. De klager protesteert tegen het gebrek aan rechtsgrond voor het gebruik van het e-mailadres van de klager, de buitensporig hoge frequentie van de e-mails, en het gebrek aan informatie en transparantie, waardoor de klager zijn rechten niet (gemakkelijk) kan uitoefenen, zoals bepaald in de AVG.
Rechtsgrond voor de gegevensverwerking
Change.org, dat door de Geschillenkamer als gezamenlijke verwerkingsverantwoordelijke wordt beschouwd, beroept zich op het gerechtvaardigde belang als rechtsgrond voor de gegevensverwerking. De Geschillenkamer is van mening dat deze rechtsgrond niet kan worden ingeroepen voor de e-mails die ten tijde van de feiten aan de klager zijn verzonden. Zelfs indien de Geschillenkamer van oordeel is dat het contact met de overheid gerechtvaardigd was om het recht van petitie uit te oefenen, vormt het feit dat de klager herhaaldelijk werd gecontacteerd op zijn nominatieve professionele e-mailadres, zonder dat hij de mogelijkheid had om daartegen bezwaar te maken, een inbreuk op de AVG.
Al is het recht van petitie een grondwettelijk recht, dateert dat recht van 1831, toen nog niet noodzakelijkerwijs was voorzien in het gebruik van geautomatiseerde platforms en digitale instrumenten om de verzending van petities op regelmatige basis te vergemakkelijken.
Gebrek aan informatie en transparantie over de uitoefening van rechten op het gebied van gegevensbescherming
Vanaf de eerste verzonden e-mails vermeldde het online petitiebedrijf geen link naar zijn privacybeleid en zijn contactgegevens. Er werd dus geen enkele informatie verstrekt over de uitoefening van het recht van bezwaar om de verzending van e-mails te beperken.
De Geschillenkamer herinnert eraan dat het recht van bezwaar van essentieel belang is, vooral wanneer ongewenste berichten worden verzonden. Daarom vereist de AVG vanaf de eerste communicatie een gemakkelijke toegang tot het privacybeleid en een gemakkelijke en duidelijke procedure voor de uitoefening van de rechten van de betrokkenen, waaronder het recht van bezwaar.
Beslissing
De Geschillenkamer berispt Change.org en gelast het bedrijf vanaf het eerste contact en op transparantere manier te communiceren over de uitoefening van de rechten van de betrokkenen, een link naar het privacybeleid te vermelden, en het bewijs van naleving hiervan te leveren.
Hielke Hijmans, Voorzitter van de Geschillekamer: "Wij hebben een afweging moeten maken tussen twee grondrechten, namelijk het recht van petitie en het recht op gegevensbescherming. De uitoefening van het recht van petitie door e-mails te verzenden zonder dat de ontvangers de mogelijkheid hebben daartegen bezwaar te maken, vormt een echte inbreuk op het recht op gegevensbescherming. Om die reden hebben wij besloten dat het gerechtvaardigd belang in dit geval geen rechtsgrond was. Vooral omdat het recht van petitie een recht is dat al zo lang bestaat, hield dit recht geen rekening met nieuwe technologieën en platforms enz. waarmee nu snel en gemakkelijk e-mails kunnen worden verzonden."
David Stevens, Voorzitter van de GBA: "Burgers vooraf goed informeren over wat je met hun gegevens gaat doen is een belangrijke voorwaarde voor elke verwerking van persoonsgegevens. Tenzij in uitzonderlijke gevallen, moeten burgers een geïnformeerde beslissing kunnen nemen of zij die geplande verwerkingen al dan niet willen.”