In antwoord op uw brief van 11 augustus 2020 deel ik u mee, dat de vragen van het lid Verhoeven (D66) inzake de onlinedienst Lusha, worden beantwoord in de bijlage bij deze brief.

De Minister voor Rechtsbescherming,

Sander Dekker

Antwoorden van de minister van Rechtsbescherming op de schriftelijke vragen van lid Verhoeven (D66) over de onlinedienst Lusha

(Ingezonden 11 augustus 2020, 2020Z14617)

Vraag 1

Bent u bekend met het bericht ‘Privénummers van LinkedIn-gebruikers te koop’?

Antwoord op vraag 1

Ja, ik ben bekend met dit artikel.

Vraag 2

Bent u bekend met de signalen uit het bericht, namelijk dat de onlinedienst Lusha telefoonnummers openbaarmaakt van mensen die dat niet weten en niet willen?

Antwoord op vraag 2

Dankzij het artikel ben ik hiervan op de hoogte.

Vraag 3

Deelt u de mening dat voor het openbaar maken van persoonlijke contactgegevens, zoals telefoonnummers, met een commercieel doel altijd toestemming nodig is van de betrokkenen?

Antwoord op vraag 3

De AVG vereist dat iedere verwerking van persoonsgegevens een geldige grondslag heeft. Artikel 6, eerste lid, AVG bevat zes grondslagen, waaronder toestemming. De uitleg van bepalingen uit de AVG is aan de nationale toezichthouder en aan de rechter. Zo ook de vraag welke grondslag in dergelijke gevallen van toepassing is.

Vraag 4

Kunt u toelichten of de werkwijze van Lusha in strijd is met de Algemene verordening gegevensbescherming (AVG)?

Antwoord op vraag 4

De beoordeling van individuele zaken is aan de Autoriteit Persoonsgegevens, zo ook de vraag of de werkwijze van Lusha in strijd is met de AVG. De Autoriteit Persoonsgegevens is een onafhankelijke toezichthouder. Aan deze onafhankelijkheid wil ik geen afbreuk doen door inhoudelijk in te gaan op zaken.

Vraag 5

Bent u van mening dat Lusha een gerechtvaardigd belang heeft om zijn diensten aan gebruikers aan te bieden?

Antwoord op vraag 5

Lusha is zelf van mening dat het een gerechtvaardigd belang heeft bij de verwerking van contactgegevens.[1] Bij een gerechtvaardigd belang van de verwerkingsverantwoordelijke dient de verwerking van de persoonsgegevens noodzakelijk te zijn om dit belang te behartigen. Daarnaast dient dit belang zwaarder te wegen dan de belangen of rechten van de betrokkene.[2] Als van een gerechtvaardigd belang als bedoeld in deze zin sprake is, dan zou het bedrijf een geldige grondslag hebben om gegevens te verwerken in de zin van artikel 6 AVG. Of daarvan sprake is, is ter beoordeling van de Autoriteit Persoonsgegevens. Daarbij is onder meer van belang of er sprake is van commerciële doeleinden. De AP stelt in haar normuitleg dat zuiver commerciële doeleinden niet als een gerechtvaardigd belang kwalificeren.[3] Ook de vraag of daarvan sprake is, is aan de Autoriteit Persoonsgegevens.

Vraag 6

Kunt u deze vragen elk afzonderlijk beantwoorden?

Antwoord op vraag 6

Ja, dat heb ik gedaan.

Toelichting:

Deze vragen dienen ter aanvulling op eerdere vragen terzake van de leden Van Gent en Middendorp (beiden VVD), ingezonden 10 augustus 2020 (vraagnummer 2020Z14616).

[1] ‘GDPR Compliance’, lusha.co/gdpr.

[2] Artikel 6, eerste lid, onder f, AVG.

[3] Autoriteit Persoonsgegevens, Normuitleg grondslag ‘gerechtvaardigd belang’, 1 november 2019, p. 3.