De AP beboette Experian voor een ontbrekende grondslag. Het besluit hield stand in bezwaar.

De Autoriteit Persoonsgegevens beboette Experian Nederland met 2,7 miljoen euro. De toezichthouder stelde twee overtredingen vast: de informatie aan betrokkenen schoot tekort, en er werden persoonsgegevens verwerkt zonder geldige grondslag. Het beroep op gerechtvaardigd belang hield geen stand.

Dat tweede punt is de reden dat deze zaak ertoe doet. Vrijwel elke partij die persoonsgegevens verhandelt, staat op dezelfde grondslag.

Wat het bedrijf deed

Experian leverde kredietbeoordelingen over personen aan zijn klanten. Het verzamelde daarvoor gegevens uit uiteenlopende bronnen, publiek en niet-publiek: onder meer het Handelsregister van de Kamer van Koophandel, en daarnaast telecom- en energiebedrijven die klantgegevens verkopen.

Die opsomming is op zichzelf een les. De keten loopt van een register dat om een heel andere reden bestaat, via bedrijven waar iemand gewoon klant was, naar een profiel dat aan derden wordt geleverd. Op geen enkel punt in die keten heeft de betrokkene iets gedaan.

Waarom het gerechtvaardigd belang sneuvelde

Een beroep op gerechtvaardigd belang is geen vrijbrief. Het vraagt dat het belang echt bestaat, dat de verwerking noodzakelijk is om dat belang te dienen, en dat het opweegt tegen de belangen en rechten van de mensen om wie het gaat. Die drie moeten alle drie hard te maken zijn, en dat is in de praktijk lastiger dan de populariteit van deze grondslag doet vermoeden.

Het argument dat de dienst een maatschappelijk nut heeft — voorkomen dat mensen schulden aangaan die zij niet kunnen dragen — vond de toezichthouder onvoldoende om de inbreuken te rechtvaardigen. Nuttig zijn is niet hetzelfde als een grondslag hebben.

Wat er daarna gebeurde

De boete bleef in bezwaar overeind. Het bedrijf is met deze dienstverlening in Nederland gestopt en verwijdert de database met de betreffende persoonsgegevens.

Dat laatste is zeldzaam en het verdient vermelding: dit is een van de weinige gevallen waarin handhaving niet leidde tot een aangepaste privacyverklaring maar tot het beëindigen van de verwerking zelf.

Wat u hieruit kunt gebruiken, en wat niet

Bruikbaar: dat een beroep op gerechtvaardigd belang bij grootschalige gegevensverzameling geen automatisme is, en dat een toezichthouder bereid is die grondslag onderuit te halen. Dat is precies de redenering waarop een bezwaar leunt.

Niet bruikbaar: deze zaak als bewijs dat úw situatie hetzelfde ligt. Zij ging over consumentengegevens en kredietscores. Wij werken aan profielen van bestuurders in zakelijke bestanden. Dat is een andere categorie, met deels andere argumenten, en de overdracht is dus analoog en niet direct.

Evenmin bruikbaar: de gedachte dat de handel in persoonsgegevens daarmee boven aan de handhavingsagenda staat. Dat was tot en met 2025 een verdedigbare lezing; de prioriteiten die de toezichthouder voor de jaren daarna heeft vastgelegd, liggen elders. Wie op handhaving rekent als strategie, rekent op iets wat hij niet in de hand heeft.

Waar dit ophoudt

Eén boete bij één bedrijf verandert de markt niet. De partijen die deze gegevens verhandelen zijn er nog, de grondslag waarop zij zich beroepen is dezelfde, en de meeste van hen zijn nooit onderzocht.

Wat deze zaak wél doet, is een argument dat wij anders alleen zelf zouden beweren, laten steunen op een besluit van een toezichthouder. Dat is het verschil tussen een verkooppraatje en een precedent.

Hetzelfde verweer dat B2B-leadgeneratie voert→

Waar dit vandaan komt