11.9.1 Achtergrond

De verwerking van persoonsgegevens in het kader van microtargeting is aan verschillende normen onderhevig. Allereerst gelden daarbij de bepalingen van de AVG, in welk kader onderscheid gemaakt wordt tussen de verwerking van ‘gewone’ persoonsgegevens en de verwerking van ‘bijzondere’ persoonsgegevens. Onder deze bijzondere persoonsgegevens vallen (naast onder meer gegevens betreffende ras, gezondheid, etnische afkomst en seksuele gerichtheid) ook gegevens over de politieke opvattingen van betrokkene.1 Om welke concrete gegevens het kan gaan (noch wat als ‘politieke opvatting’ kwalificeert), maakt de AVG niet duidelijk.2 In de literatuur worden gegevens over partijlidmaatschap, het ondertekenen van een petitie en deelname aan een demonstratie als voorbeeld genoemd.3 Een stemvoorkeur ligt daarmee in lijn. Het gaat hierbij niet slechts om gegevens waaruit de politieke opvattingen van de betrokkene direct blijken, maar ook om data waaruit deze opvattingen kunnen worden afgeleid.4 Ook gegevens die op zichzelf niets over iemands politieke opvattingen zeggen, maar waaruit, bijvoorbeeld door het leggen van verbanden met andere gegevens, toch deze opvattingen blijken, zijn als bijzondere persoonsgegevens te beschouwen.5 Die grote reikwijdte zorgt ervoor dat de grens tussen ‘gewone’ en ‘bijzondere’ persoonsgegevens in het geval van politieke advertenties niet altijd even makkelijk te trekken is.6 De in paragraaf 11.3.2 genoemde voorbeelden illustreren dit. Wanneer politieke partijen zich met hun advertenties specifiek tot de (veronderstelde) achterban van andere partijen richten, zoals bijvoorbeeld FvD en VVD bij de gemeenteraadsverkiezingen van 2018 deden, wordt duidelijk getarget op basis van politieke voorkeur en is de verwerking van bijzondere persoonsgegevens aan de orde. In andere gevallen is dit echter minder duidelijk. Van de PvdD, bijvoorbeeld, die advertenties richtte aan personen van wie zij vermoedde dat ze veganistisch eten, kan enerzijds bezwaarlijk gezegd worden dat ze enkel daarmee bijzondere persoonsgegevens heeft verwerkt. Anderzijds richtte zij zich daarmee wel degelijk op haar veronderstelde achterban. Aan de keuze om zich tot veganisten te richten, ligt immers de gedachte ten grondslag dat deze mensen zullen sympathiseren met het gedachtegoed van de partij, en die (verwachte) politieke opvatting is een bijzonder persoonsgegeven.

Voor zowel gewone als bijzondere gegevens geldt dat de verwerkingsverantwoordelijke zich moet kunnen beroepen op een rechtmatige verwerkingsgrondslag. De politieke partij die zich van microtargeting bedient, zal in veel gevallen als verwerkingsverantwoordelijke aan te merken zijn. 7Artikel 6 AVG biedt de grondslagen voor verwerking van ‘gewone’ persoonsgegevens. In het kader van microtargeting komen twee grondslagen in beeld, te weten toestemming van de betrokkene en de aanwezigheid van een gerechtvaardigd belang van de verwerkingsverantwoordelijke.8 Toestemming wordt gedefinieerd als een ‘vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende werking van persoonsgegevens aanvaardt’.9

Het ‘gerechtvaardigd belang’, de andere mogelijke verwerkingsgrondslag, vormt een open categorie, waarbij volgens het HvJEU voor een geslaagd beroep geldt dat het verwerken van persoonsgegevens daadwerkelijk nodig moet zijn in het kader van dit belang en dat de fundamentele rechten en vrijheden van de betrokkene niet zwaarder wegen dan het belang van de verwerkingsverantwoordelijke.10 In het geval van gegevensverwerking ten behoeve van microtargeting zal de politieke partij als verwerkingsverantwoordelijke de uitoefening van haar vrijheid van meningsuiting onder omstandigheden als gerechtvaardigd belang kunnen inroepen. 11Profilering van kiezers, bestaande uit het (al dan niet gedeeltelijk) geautomatiseerd en op basis van persoonsgegevens analyseren of voorspellen van persoonlijke aspecten of kenmerken van personen, 12zal echter minder makkelijk aan de genoemde criteria kunnen voldoen naarmate deze profilering geavanceerder wordt.13 In zulke gevallen weegt het recht op gegevensbescherming van de kiezer zwaarder dan het recht op vrijheid van meningsuiting van de politieke partij. Een precieze grens is echter niet te trekken.

Naast de twee zojuist genoemde grondslagen is een derde grondslag, in theorie, geschikt om gegevensverwerking in het kader van microtargeting te rechtvaardigen. Het gaat om situaties waarin gegevensverwerking noodzakelijk is voor ‘de vervulling van een taak van algemeen belang’. 14Het is te beargumenteren dat het voeren van verkiezingscampagne de vervulling van zo een taak van algemeen belang behelst, die eruit bestaat dat politieke partijen de kiezer in staat stellen om bij de verkiezingen een ge-informeerde keuze te maken.15 Voor deze verwerkingsgrondslag geldt echter dat een beroep daarop mogelijk gemaakt en ingekaderd moet worden door nationale wetgeving van de afzonderlijke EU-lidstaten.16 De Nederlandse wetgever heeft van die mogelijkheid geen gebruik gemaakt, zodat de grondslag niet in aanmerking komt voor gegevensverwerking ten behoeve van microtargeting door Nederlandse politieke partijen.

Artikel 9 AVG verbiedt, in beginsel, de verwerking van bijzondere persoonsgegevens. Aan dit verbod ligt de gedachte ten grondslag dat de verwerking van gevoelige gegevens bijzondere bescherming verdient. Het verwerkingsverbod berust op het uitgangspunt dat de verwerking van deze gegevens in het bijzonder risico’s met zich kan brengen voor de uitoefening van grondrechten en fundamentele vrijheden.17 Op dit verwerkingsverbod is, ingevolge artikel 9 lid 2 AVG, vervolgens echter een aantal uitzonderingen van toepassing. In de context van microtargeting door politieke partijen zijn twee uitzonderingsgronden relevant, te weten uitdrukkelijke toestemming van de betrokkene voor de verwerking van zijn gegevens en de verwerking van gegevens in het kader van activiteiten die betrekking hebben op (al dan niet voormalige) leden van de partij en personen die ‘regelmatig contact’ met de partij onderhouden.18 De toestemmingsgrondslag wordt hier strenger ingevuld dan het geval is bij de verwerking van gewone persoonsgegevens. De betrokkene moet hier uitdrukkelijk verklaren dat hij akkoord gaat met de verwerking van zijn gegevens.19 De vraag wanneer sprake is van ‘regelmatig contact’ wordt in de AVG niet beantwoord. Het valt te bepleiten dat het incidenteel liken van of reageren op berichten van een partij op sociale media niet als regelmatig contact geldt, waar het structureel volgen van de accounts van partijen op sociale media dat wel doet.20

Ook ten aanzien van bijzondere persoonsgegevens bepaalt de AVG dat verwerking gebaseerd kan worden op de aanwezigheid van een ‘algemeen belang’, mits de mogelijkheid daartoe door het nationale recht van de EU-lidstaten wordt geopend. Hier geldt echter dat het moet gaan om een zwaarwegend algemeen belang, waarin tot uitdrukking komt dat verwerking van bijzondere persoonsgegevens aan strengere regels is gebonden dan de verwerking van gewone persoonsgegevens.21 De AVG bepaalt dat gegevensverwerking op grond van een algemeen belang onder andere kan worden toegestaan als dat bij het ondernemen van ‘verkiezingsactiviteiten’ door politieke partijen ‘voor de goede werking van de democratie in een lidstaat vereist is’.22 De Nederlandse wetgever heeft van deze mogelijkheid geen gebruik gemaakt, zodat politieke partijen gegevensverwerking ten behoeve van microtargeting niet op de aanwezigheid van een zwaarwegend algemeen belang kunnen baseren.

Het oorspronkelijke Commissievoorstel voor de Transparantieverordening verbood, in beginsel, microtargeting op basis van bijzondere persoonsgegevens in de zin van de AVG. Dit voorschrift moest fungeren als een lex specialis ten opzichte van artikel 9 AVG, waarin zoals gezegd de algemene regeling omtrent de verwerking van bijzondere persoonsgegevens is neergelegd. Evenals artikel 9 AVG, is de achtergrond van dit verbod het feit dat de verwerking van bijzondere persoonsgegevens risico’s met zich kan brengen voor de uitoefening van grondrechten en fundamentele vrijheden, waarbij het er in de context van microtargeting om gaat dat de verwerking van deze bijzondere gegevens de vrije meningsvorming zwaarder onder druk zou zetten dan de verwerking van ‘gewone’ persoonsgegevens.23

Het verwerkingsverbod moest in het oorspronkelijke Commissievoorstel uitzondering lijden als de betrokkene voor de verwerking van de ‘bijzondere persoonsgegevens’ uitdrukkelijk toestemming had gegeven. Ook bleef het voor politieke partijen mogelijk om gegevens te verwerken van (al dan niet voormalige) leden en personen die ‘regelmatig contact met haar onderhouden’. 24De bepaling wekte de indruk het gebruik van persoonsgegevens ten behoeve van microtargeting verder aan banden te leggen dan de AVG doet, waarin, naast de hierboven genoemde gronden van uitdrukkelijke toestemming en, kort gezegd, contact met (al dan niet voormalige) leden, 25nog meer uitzonderingen op het verbod tot verwerking van bijzondere persoonsgegevens zijn opgenomen. In de praktijk zijn het echter, zoals ik in het voorgaande al aangaf, voornamelijk de twee genoemde gronden die in de context van microtargeting voor de gerechtvaardigde verwerking van bijzondere persoonsgegevens in aanmerking komen, 26zodat het voorstel van de Commissie wat dat betreft weinig toegevoegde waarde zou hebben.27 Uitzondering is de grondslag van een ‘zwaarwegend algemeen belang’, die met het voorstel zou komen te vervallen. De waarde van het oorspronkelijke was vooral gelegen in de concrete focus van de regels omtrent gegevensverwerking op microtargeting. Deze focus ontbreekt in de AVG, gegeven haar algemene toepasbaarheid op de verwerking van persoonsgegevens. Met het voorstel van de Commissie zou voor degenen die zich van microtargeting bedienen, ondubbelzinnig duidelijk worden aan welke vereisten zij moeten voldoen. 28

Het Europees Parlement amendeerde het voorstel vervolgens echter in vergaande mate. Allereerst schrapte het Parlement uitdrukkelijke toestemming van de betrokkene als uitzondering op het verbod van verwerking van bijzondere persoonsgegevens. 29Contact met (al dan niet voormalige) leden daargelaten, 30zou microtargeting op basis van bijzondere persoonsgegevens daarmee onmogelijk worden. Andere (dat wil zeggen ‘gewone’) persoonsgegevens zouden slechts verwerkt mogen worden als de betrokkene die gegevens uitdrukkelijk heeft verstrekt met zijn of haar toestemming. Ook introduceerde het Europees Parlement beperkingen op het gebied van de categorieën persoonsgegevens die in het kader van microtargeting gebruikt mogen worden. Zo mochten op grond van het geamendeerde voorstel niet meer dan vier categorieën persoonsgegevens met elkaar gecombineerd worden. 31In de zestig dagen voorafgaand aan een verkiezing moest dit regime bovendien nog strikter worden. In die periode moest microtargeting beperkt worden tot persoonsgegevens aangaande (1) de talen die de betrokkene spreekt, (2) de locatie van de betrokkene en (3) de informatie dat de betrokkene voor het eerst kiesgerechtigd is.32 De locatie had, zo volgde uit het geamendeerde voorstel, betrekking op het niveau van kiesdistricten. Voor een land als Nederland, dat niet in kiesdistricten is onderverdeeld, geldt dat locatie opgevat zou moeten worden als ‘de locatie op regionaal of een gelijkwaardig niveau naar nationaal recht’. 33

Het definitieve voorstel gooit het opnieuw over een andere boeg en staat gegevensverwerking ten behoeve van microtargeting toe als voldaan is aan drie voorwaarden.34 Ten eerste mogen alleen gegevens verwerkt worden die direct van de betrokkene zijn verkregen. De betrokkene moet de gegevens, evenals in het geamendeerde voorstel, dus zelf verstrekken. Ten tweede is in alle gevallen uitdrukkelijke toestemming van de betrokkene vereist voor de gegevensverwerking. De AVG vereist die uitdrukkelijke toestemming zoals gezegd alleen voor de verwerking van bijzondere persoonsgegevens; voor ‘gewone’ persoonsgegevens volstaat ‘gewone’ toestemming. Ten derde mogen verwerkingsverantwoordelijken niet langer profileren op basis van bijzondere persoonsgegevens. Van profilering is sprake wanneer verzamelde persoonsgegevens gebruikt worden om andere persoonskenmerken (bijvoorbeeld persoonlijke voorkeuren, interesses, gedrag) te analyseren of te voorspellen.35