GBA legt geldboete op aan gegevensmakelaar

---

Doorverkoop van gegevens voor marketingdoeleinden zonder geldige toestemming

Nadat hij marketingcommunicatie in zijn brievenbus had ontvangen van een bedrijf waarvan hij geen klant was, vroeg de klager in dit dossier aan het bedrijf dat de reclame had verstuurd hoe het aan zijn gegevens was gekomen. De gegevens waren verkregen van een media-agentschap, dat ze op zijn beurt had ontvangen van gegevensmakelaar Infobel. Infobel had de gegevens oorspronkelijk verkregen van een telecomoperator.

Op vragen in het kader van dit dossier antwoordde de gegevensmakelaar dat hij persoonsgegevens doorverkocht op basis van toestemming van de betrokkenen. De Geschillenkamer van de GBA herinnert er echter aan dat toestemming, om geldig te zijn in de zin van de algemene verordening gegevensbescherming (AVG), aan een reeks voorwaarden moet voldoen. Deze moet onder meer:

• geïnformeerd zijn: de persoon moet weten wie zijn gegevens verwerkt en waarom, zodat hij op een geïnformeerde manier toestemming kan geven voor de verwerking van zijn gegevens. De klager was echter nergens op de hoogte gebracht van het feit dat zijn gegevens door Infobel zouden worden gecommercialiseerd. Door dit gebrek aan informatie kon de klager ook geen contact opnemen met het bedrijf om zijn recht op intrekking van toestemming uit te oefenen, aangezien hij niet wist dat dit bedrijf zijn gegevens bezat en verwerkte.
• ondubbelzinnig zijn: toestemming moet actief worden gegeven. Het gebruik van reeds aangekruiste vakjes of inactiviteit mag niet als toestemming gelden. Volgens het bedrijf vloeide de toestemming van de klager voor de doorverkoop van zijn gegevens echter voort uit het lezen van de algemene voorwaarden, en niet uit een duidelijke actieve handeling van zijn kant.
• specifiek zijn: een bedrijf dat toestemming vraagt voor verschillende specifieke doeleinden, moet voor elk doeleinde afzonderlijk toestemming vragen. De persoon moet namelijk de vrijheid hebben om voor elk doeleinde al dan niet toestemming te geven.  In dit geval werd echter geen afzonderlijke toestemming gevraagd voor de doorverkoop van gegevens voor direct-marketingdoeleinden.

De Geschillenkamer heeft dan ook vastgesteld dat niet aan de voorwaarden voor toestemming in de zin van de AVG was voldaan en dat Infobel niet heeft aangetoond dat de klager (geldig) toestemming had gegeven voor de doorverkoop van zijn gegevens.

Gegevenswissing en kennisgeving aan zakelijke klanten

De Geschillenkamer legt Infobel daarom een geldboete van 40.000 euro op voor de doorverkoop van gegevens voor marketingdoeleinden zonder geldige toestemming. Bij de berekening van de geldboete heeft de Geschillenkamer rekening gehouden met het feit dat volgens Infobel de betrokken databank sinds 2023 niet meer wordt gebruikt en dat de gegevens in deze databank werden verwijderd.

Bovendien beveelt zij het bedrijf om de persoonsgegevens te verwijderen waarvoor het bedrijf niet kan aantonen dat het voor de verwerking ervan over een rechtsgrond (zoals bijvoorbeeld een geldige toestemming) beschikt.

Ten slotte gelast de Geschillenkamer Infobel om contact op te nemen met de zakelijke klanten die gegevens van hem hebben ontvangen en hen enerzijds in kennis te stellen van het bevel tot gegevenswissing en anderzijds van de niet-conformiteit met de AVG van de toestemming waarop de verwerking ervan was gebaseerd.

De partijen waarop de beslissing betrekking heeft, hebben 30 dagen om beroep aan te tekenen.

Hielke Hijmans, directeur van de Geschillenkamer: “De activiteiten van gegevensmakelaars (”data brokers") houden in dat gegevens over een persoon op onrechtstreekse wijze worden verkregen en worden doorgegeven aan een groot aantal actoren waarmee deze persoon niet noodzakelijkerwijs een band heeft, zodat hij niet altijd op de hoogte is van het feit dat zijn gegevens worden verwerkt, voor welk doeleinde en door wie. Daarom hebben wij in dit geval een geldboete opgelegd, aangezien de doorverkoop van gegevens niet op een geldige geïnformeerde toestemming was gebaseerd.”

Gegevensmakelaars: een activiteit die transparant moet zijn

Gegevensmakelaars (of “data brokers” in het Engels) zijn bedrijven die persoonsgegevens verzamelen uit verschillende, soms onrechtstreekse bronnen, deze verwerken en doorverkopen aan derden die ze voor verschillende doeleinden gebruiken (bijvoorbeeld marketing, onderzoek, enz.).

Het feit dat de gegevens die door gegevensmakelaars worden verwerkt en doorverkocht, doorgaans niet rechtstreeks bij de betrokkenen worden verzameld, kan problemen opleveren op het vlak van transparantie, terwijl transparantie een van de hoekstenen van de AVG is. Personen kunnen hun rechten op het gebied van gegevensbescherming, zoals het recht om bezwaar te maken tegen de verwerking van hun gegevens of het recht om deze te laten wissen, alleen uitoefenen als zij op de hoogte zijn van het feit dat hun gegevens worden verwerkt.

Gegevensmakelaars moeten daarom bijzonder waakzaam zijn met betrekking tot de informatie die zij verstrekken aan de personen van wie zij gegevens verwerken. De GBA heeft reeds sancties opgelegd aan gegevensmakelaars, met name in 2021, 2024 en 2025.