De AVG als excuustruus 2.0

Vaak horen we dat iets niet mag van de AVG. Dit heeft soms met onwetendheid te maken, maar soms ook met onwil! Een recente uitspraak van het Europese Hof laat een mooi voorbeeld zien. Het lijkt er hier sterk op dat vrachtwagenfabrikant Scania haar (commerciële) belangen wil beschermen door zich achter de AVG te verschuilen.

De casus

De zaak betreft een geschil tussen Scania, een Zweeds merk van (motor)voertuigen, waaronder vrachtwagens, en de Duitse Algemene Vereniging voor Auto-onderdelenhandel (‘’Gesamtverband Autoteile-Handel eV). Scania is een van de grootste vrachtwagenproducenten in Europa. Zij verleent onafhankelijke marktdeelnemers via een website manuele toegang tot voertuiginformatie, reparatie- en onderhoudsinformatie en OBD-informatie. Met deze website kan snel een hoop informatie worden opgevraagd over voertuigen door algemene informatie zoals het model, de motor of het bouwjaar. Dit is essentieel voor handelaren in auto-onderdelen, omdat zij zo kunnen achterhalen welke onderdelen wel en niet compatibel zijn met het specifieke voertuig.

Deze informatie kan echter ook worden achterhaald door de laatste zeven cijfers van het Vehicle Identification Number (VIN) van een specifiek voertuig in te voeren. Alleen reparateurs, bij wie het voertuig voor onderhoud of reparatie door de klant is binnengebracht, hebben toegang tot deze gegevens via het kentekenbewijs of de vermelding op het chassis van het voertuig; fabrikanten en distributeurs van reserveonderdelen hebben geen toegang tot individuele VIN’s, zonder welke het zoeken aan de hand van algemene criteria enkel onnauwkeurige resultaten oplevert.[1]

Scania wil de VIN’s niet verstrekken aan onafhankelijke marktdeelnemers, die 80% van de markt opmaken. De brancheorganisatie stelde dat het niet vrijgeven van deze informatie in strijd is met de op Scania rustende Europese verplichtingen. Autofabrikanten zijn namelijk verplicht om onafhankelijke marktdeelnemers onbeperkte, gestandaardiseerde en niet-discriminerende toegang te bieden tot onder meer reparatie- en onderhoudsinformatie van voertuigen.[2] Scania zei vervolgens het volgende:

Verweerster (red: Scania) betoogt dat de AVG de doorgifte van persoonsgegevens verbiedt waarvoor geen rechtsgrondslag bestaat. Als rechtvaardigingsgrond komt alleen artikel 6, lid 1, onder c), AVG in aanmerking, volgens hetwelk de verwerking van persoonsgegevens rechtmatig is indien zij noodzakelijk is om te voldoen aan een wettelijke verplichting van de verwerkingsverantwoordelijke (in casu: de fabrikant). Artikel 61, lid 1, van verordening 2018/858 vormt echter geen dergelijke wettelijke verplichting. De regeling is niet voldoende nauwkeurig, het doel van de verwerking wordt niet duidelijk omschreven en de verordening laat zich niet uit over gegevensbescherming.

Dit leest een beetje alsof Scania haar commerciële belangen wil beschermen door een beroep te doen op de AVG.

Is er sprake van persoonsgegevens?

Allereerste onderzocht het Hof of het VIN onder het begrip ‘’persoonsgegevens’’ van de AVG valt. Anders is de AVG namelijk niet van toepassing en strand het argument daar. Van persoonsgegevens is sprake indien de informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde natuurlijke persoon. Om te bepalen of iemand direct of indirect identificeerbaar is, moet de context waarin de verwerking plaatsvind worden meegewogen. Gespecialiseerde bedrijven kunnen met bepaalde gegevens bijvoorbeeld iemand identificeren, die leken of andere bedrijven met dezelfde gegevens niet kunnen achterhalen.

Het Hof stelde dat het VIN als een persoonsgegeven is aan te merken, omdat deze op het kentekenbewijs van het voertuig moet worden vermeld tezamen met de naam en het adres van dat kentekenbewijs – vaak een natuurlijk persoon. Het VIN is dus een persoonsgegeven voor degenen die redelijkerwijs over de middelen beschikken om het aan een bepaalde persoon te liëren.[3] Ook hier kijkt de rechter dus naar de feiten en omstandigheden van het geval waarin de verwerking plaatsvindt.

Weerhoudt de AVG Scania ervan de gegevens te delen?

Daarmee is de kous niet af. Dat het hier om persoonsgegevens gaat betekent niet dat Scania’s argument direct hout snijdt. Het beschikbaar stellen van persoonsgegevens is een verwerkingsactie, en mag deze enkel verwerkt worden indien aan bepaalde voorwaarden is voldaan. Een verwerking is onder andere noodzakelijk indien dit nodig is om te voldoen aan een wettelijke verplichting. In deze casus is de vraag of er een wettelijke plicht op Scania rust om deze persoonsgegevens met onafhankelijke marktdeelnemers te delen.
Deze toets bestaat uit drie elementen:
1. Is er sprake van een wettelijke verplichting, vastgesteld bij Unierecht of het recht van een van de lidstaten?
2. Dient het doeleinde van deze verplichting een doelstelling van algemeen belang?
3. Is de verwerking evenredig met het nagestreefde gerechtvaardigde doel?
Het Hof beantwoordde bevestigend op alle drie de vragen. Daarmee was de zaak over: Scania moet de gegevens dus delen met onafhankelijke marktdeelnemers.

De AVG als excuustruus 2.0

Scania had geen argumenten meer over om de informatiedeling tegen te houden. Dus beriepen ze zich op een laatste redmiddel: de AVG. Bedoeld om de grondrechtelijke bescherming van persoonsgegevens van natuurlijke personen te behartigen, hier ingezet als schild door marktverstorende praktijken van een autofabrikant in stand te houden. Dit is geen enkele gebeurtenis. Wel vaker wordt de AVG ingezet door partijen voor doeleinden waar zij niet voor bedoeld is. Neem bijvoorbeeld deze Nederlandse zaak, waarin inzage tot een reeks WOZ-gegevens werd verzocht op grond van de Wet bescherming persoonsgegevens (voorganger AVG). De Raad van State overwoog terecht dat het hier ging om waardegegevens en niet om persoonsgegevens. Appellant had geen verdere argumenten voor de inzage.

Onze visie op de AVG

Rond de AVG hangt een stigma van regels en beperkingen, terwijl dit juist het omgekeerde is van waar de AVG voor bedoeld is. Men heeft in Europa een grondrecht op privacy, vastgelegd in art. 8 EVRM. De AVG creëert juist een raamwerk waarbinnen inbreuk mag worden gemaakt op dat grondrecht. Dit is een omkeer van de redenatie: in plaats van denken wat allemaal niet mag van de AVG, kijken we bij L2P juist naar waar de AVG ons allemaal recht op geeft als het op de verwerking van en omgang met persoonsgegevens omgaat. ‘’Dat mag niet van de AVG’’ is niet het uitgangspunt van de AVG. Het geeft ondernemingen juist de rechten waarbinnen ze haar activiteiten mogen uitvoeren. Het zijn geen beperkingen, maar mogelijkheden.

Sébastian van der Veen
Adviseur L2P

[1] Conclusie AG, overweging 20
[2] artikel 61, lid 1, tweede volzin, verordening 2018/858
[3] Arrest Hof rechtsoverweging 46