Laatst gaf ik een masterclass privacy, waarbij een van de cursisten wilde weten of de verspreiding van de deelnemerslijst voor die masterclass een inbreuk op haar privacy was? De cursisten hadden bij inschrijving geen toestemming gegeven voor de aanleg en verspreiding van een deelnemerslijst. Was dit dan wel toegestaan?
Eerste vraag bij elke privacygerelateerde vraag is of het hier persoonsgegevens betreft. De volledige naam van cursisten en hun mailadres herleiden inderdaad naar een individu. Persoonsgegevens dus.
Tweede vraag is of sprake is van een verwerking van persoonsgegevens: dit geldt zodra je iets geautomatiseerd doet met persoonsgegevens, gaande van de verzameling tot de vernietiging. Het opleidingsinstituut dat de deelnemerslijst had aangelegd had dat geautomatiseerd gedaan. Een verwerking van persoonsgegevens dus.
Gegevensverwerking is behoorlijk en zorgvuldig indien een rechtmatige grondslag voorligt. Rechtmatige grondslagen zijn:
- toestemming van de betrokkene;
- uitvoering van een overeenkomst;
- behartiging van een gerechtvaardigd belang van de verantwoordelijke.
Laten we kijken of van één van de rechtmatige grondslagen sprake is:
Toestemming van de betrokkene?
Cursisten hadden geen toestemming gegeven voor de aanleg van de deelnemerslijst, wel voor de organisatie van de cursus. De toestemming hoeft niet per se schriftelijk te worden verleend, maar kan ook blijken uit het gedrag van de cursisten. Uit het gedrag van een cursist die protesteert, blijkt juist geen (impliciete) toestemming. Hadden de deelnemers echter zelf hun contactgegevens genoteerd om deze uit te wisselen onder elkaar, of om de nieuwsbrief te ontvangen, of om uitgenodigd te worden voor verdere cursussen, dan is de automatisering daarvan door het opleidingsinstituut geen inbreuk op hun privacy.
Uitvoering van een overeenkomst?
De cursisten hadden zich ingeschreven bij het opleidingsinstituut en de organisatie van de cursus is een overeenkomst tussen de cursist en het opleidingsinstituut. Maar is de aanleg van een deelnemerslijst hiermee verenigbaar?
De vraag is waarvoor de deelnemerslijst vervolgens wordt gebruikt. Dat gebruik moet in relatie staan tot de doelstellingen waarvoor de gegevens zijn verkregen.Dient de deelnemerslijst om de organisatie van de cursus te dienen - zoals elkaar mailen na afloop van de cursus of uitnodigen op LinkedIn - dan is de aanleg van een deelnemerslijst gerelateerd aan de uitvoering van de overeenkomst.
Het ter beschikking stellen van de contactgegevens aan derden (verhuur van adresbestanden) is daarentegen onverenigbaar met de oorspronkelijke doelstelling, nml. het volgen van een cursus.
Behartiging van een gerechtvaardigd belang?
Gaat het trainingsinstituut de gegevens van de lijst zelf ook nog verwerken in haar eigen belang, dan is de vraag of dat verenigbaar is met het privacybelang van de cursist. Een eigen belang van het opleidingsinstituut zou kunnen zijn: het werven van deelnemers aan een volgende cursus. Is dat verenigbaar met het recht van de cursist om na deze cursus met rust gelaten te worden?
En, volgende vraag is: is er geen andere manier voor het opleidingsinstituut om nieuwe deelnemers te werven.
Daardoor ligt ook in deze rechtvaardigingsgrond een toets aan het belang van de cursist besloten.
Waar het elektronische contactgegevens betreft, voorziet 11.7 Tw wel een rechtvaardigingsgrond om bestaande klanten uit te nodigen (lees: te spammen) voor nieuwe cursussen. Al moet het opleidingsinstituut bij elke uitnodigingsmail een opt-out mogelijkheid voorzien, middels het welk de cursist kan aangegeven deze uitnodigingen/mails niet meer te willen ontvangen.
Antwoord op de vraag: Of het opleidingsinstituut een deelnemerslijst had mogen aanleggen en uitdelen zonder toestemming?
Het hangt ervan af aan wie de deelnemerslijst werd uitgedeeld en of de lijst ook voor andere doeleinden werd gebruikt. Is de lijst enkel ten bate van de deelnemers dan zie ik geen probleem, zeker niet indien een lijst werd rondgegeven die door de cursisten handmatig werd ingevuld.
