Schending van de GDPR zonder gegevensverwerking

Het begon met een handelaar die enkel kortingen gaf aan houders van een klantenkaart. Die kaart kon enkel worden verkregen na het elektronisch uitlezen van de eID van de klant. Klant A, die zijn eID niet wilde laten uitlezen, diende een klacht in omdat de klantenkaart – en de bijhorende kortingen – hem werden geweigerd.

In 2019 besliste de Gegevensbeschermingsautoriteit (GBA) dat barcode, geslacht en geboortedatum – allemaal gegevens op de eID – niet strikt noodzakelijke informatie waren. De verwerking was dus niet in lijn met het principe van gegevensminimalisatie. Bovendien werd aan klanten geen alternatief geboden om de kortingen te verkrijgen zonder hun eID te laten uitlezen voor de klantenkaart.

In beroep boog het Marktenhof zich over de zaak. Het hof vernietigde de eerdere beslissing van de GBA, met het argument dat er geen daadwerkelijke verwerking van persoonsgegevens had plaatsgevonden, en er dus geen sprake kon zijn van een GDPR-schending.

In 2021 volgde het Hof van Cassatie echter de redenering van de GBA.

Het Hof bevestigde eerst dat een betrokkene een klacht kan indienen op basis van een reëel belang, zelfs wanneer er uiteindelijk geen persoonsgegevens zijn verwerkt. In dit geval voorkwam de weigering van toestemming – in het licht van een vermeend onrechtmatige praktijk – dat de verwerking effectief plaatsvond. De weigering had specifiek betrekking op de persoonsgegevens van de betrokkene en leidde ertoe dat hij een bepaalde dienst of voordeel niet kon genieten.

Dit leidde tot een tweede conclusie van het Hof: het oordeelde dat de vrije toestemming onvoldoende was gewaarborgd, aangezien het weigeren van toestemming automatisch en onherroepelijk het verlies inhield van een voordeel (zoals een korting) of een dienst.

Bij het gebruik van klantenkaarten doen handelaars er goed aan met de volgende rekening te houden:

• Verwerk enkel gegevens die relevant en noodzakelijk zijn voor het aanmaken van een klantenkaart.
  Gegevens op een eID, zoals rijksregisternummer, geslacht, geboorteplaats, enz. kunnen moeilijk als “strikt noodzakelijk” worden beschouwd om commerciële voordelen toe te kennen.
• Bied altijd een alternatief voor het uitlezen van de eID.
  Bijvoorbeeld door een papieren formulier te laten invullen. Zo wordt vrije en rechtsgeldige toestemming beter gewaarborgd.
• Informeer duidelijk over hoe de gegevens worden verwerkt en welke rechten klanten hebben.
  Dek uzelf in met een vooraf aangekondigd en goed uitgewerkt privacybeleid.