Laura Van Gompel – 14/07/2022 – Het Belgische Hof van Cassatie heeft uitspraak gedaan over de verwerking van persoonsgegevens op de eID voor de aanmaak van een klantenkaart. Alleen deze kaart bracht speciale kortingen met zich mee. Daardoor zouden betrokkenen hieraan gekoppelde of soortgelijke deals anders niet kunnen ontvangen.
Het begon met een winkelier die alleen kortingen gaf aan klantenkaarthouders. Deze kaart kon pas verkregen worden na een elektronische uitlezing van de eID van de klant. Klant A die zijn eID liever niet gaf, diende klacht in omdat de klantenkaart – en daaraan verbonden kortingen – hem geweigerd werden.
Bijgevolg besliste de Belgische Gegevensbeschermingsautoriteit (GBA) dat streepjescode, geslacht en geboortedatum – alle gegevens op de eID – niet strikt noodzakelijke informatie waren. De verwerking was dus niet in overeenstemming met het principe van dataminimalisatie. Bovendien kregen klanten niet de mogelijkheid om kortingen te krijgen op een andere manier dan door hun eID te verstrekken.
In hoger beroep heeft het Marktenhof haar licht op de zaak laten schijnen. De rechtbank vernietigde het eerdere besluit van de GBA, aangezien er geen daadwerkelijke verwerking van persoonsgegevens had plaatsgevonden en er dus geen sprake was van een schending van de AVG.
PRINCIPES VAN GEGEVENSMINIMALISATIE EN VRIJE TOESTEMMING
In 2021 volgde het Hof van Cassatie de redenering van de GBA. Ten eerste heeft het Hof bevestigd dat een betrokkene een klacht kan indienen op basis van een oprecht belang. Bovendien kan de betrokkene dit ook doen als er daadwerkelijk geen persoonsgegevens worden/werden verwerkt. In dit geval verhinderde de weigering van toestemming – in het licht van een vermeend inbreukmakende praktijk – dat de verwerking plaatsvond. De weigering had uitdrukkelijk betrekking op de persoonsgegevens van de betrokkene en had tot gevolg dat hij niet kon genieten van een dienst of voordeel.
Dit leidde tot een tweede conclusie van het Hof. Het was van oordeel dat vrije toestemming niet voldoende was gegarandeerd, aangezien weigering van toestemming het onmiddellijk en onherstelbaar verlies van een voordeel (bv. korting) of dienst impliceerde.
TAKEAWAYS VOOR DETAILHANDELAARS
Winkeliers kunnen bij het gebruik van klantenkaarten beter rekening houden met de volgende punten:
- Verwerk alleen gegevens die relevant en noodzakelijk zijn om een klantenkaart aan te maken. Gegevens op een eID, zoals rijksregisternummer, geslacht, geboorteplaats, enz. kunnen nauwelijks als “strikt noodzakelijk” worden beschouwd om commerciële voordelen toe te kennen.
- Bied altijd een alternatief voor de eID-kaartuitlezing. Bijvoorbeeld het invullen van een papieren formulier. Dit om vrije en rechtmatige toestemming te garanderen.
- Informeer de klant over hoe de gegevens worden verwerkt en welke rechten zij hebben verstrekt. Zorg voor een duidelijk, aangekondigd privacybeleid.
NIET ZEKER OF UW BEDRIJF VOLDOET AAN DE AVG/GDPR?
Neem gerust contact op voor meer informatie over onze GDPR-audits en onze juridische diensten met betrekking tot gegevensbescherming.
