Boete voor databroker Lusha: wat betekent dit voor de handel in zakelijke contactgegevens?

De Italiaanse privacytoezichthouder heeft databroker Lusha een boete van 2 miljoen euro opgelegd voor het verzamelen, verrijken, actualiseren en verkopen van persoonsgegevens van honderdduizenden professionals.Opvallend is niet alleen de hoogte van de boete. De toezichthouder oordeelt ook dat het periodiek controleren en actualiseren van iemands functie en professionele positie kan worden gezien als monitoring onder de AVG. Het door Lusha aangevoerde gerechtvaardigd belang bood volgens de toezichthouder onvoldoende grondslag voor de verwerking. Wat betekent deze uitspraak voor de databrokingsector? En mogen organisaties nog wel persoonsgegevens inkopen bij een databroker?

Telefoonnummers van prominente Italianen beschikbaar via platform

Lusha is een Amerikaanse aanbieder van B2B-contactgegevens. Via het platform kunnen klanten contactgegevens van professionals vinden, bijvoorbeeld een naam, functie, zakelijk e-mailadres, telefoonnummer en locatie. Die informatie kwam volgens de Italiaanse toezichthouder uit verschillende bronnen. Lusha verzamelde onder andere gegevens via online bronnen en sociale netwerken, kocht gegevens in bij andere dataleveranciers en maakte gebruik van integraties en browserextensies. De gegevens werden samengevoegd, verrijkt en vervolgens minimaal wekelijks bijgewerkt. De aanleiding voor het onderzoek was de ontdekking dat op het platform onder andere telefoonnummers van prominente Italiaanse functionarissen beschikbaar waren. Ook hadden mensen geklaagd nadat zij telefonisch of per e-mail reclame ontvingen en ontdekten dat hun contactgegevens via Lusha beschikbaar waren gemaakt.

De Italiaanse toezichthouder concludeerde uiteindelijk dat onder meer de AVG-beginselen van rechtmatigheid, behoorlijkheid, transparantie en dataminimalisatie waren geschonden. Naast de boete van 2 miljoen euro moet Lusha de onrechtmatig verkregen gegevens van personen in Italië wissen en is verdere verwerking daarvan verboden.

Waarom is het oordeel over ‘monitoring’ interessant?

Lusha heeft geen vestiging in de Europese Unie. Daardoor speelde eerst de vraag of de AVG überhaupt op deze verwerking van toepassing was. Maar de AVG geldt ook voor een organisatie buiten Europa wanneer zij het gedrag van personen binnen de EU monitort. Lusha stelde onder meer dat daarvan geen sprake was omdat zij personen niet op de gebruikelijke manier profileerde.

De Italiaanse toezichthouder volgt die redenering niet. Volgens de toezichthouder hoeft monitoring niet noodzakelijk te bestaan uit uitgebreide gedragsprofilering. Het systematisch volgen van veranderingen in iemands professionele positie kan ook voldoende zijn. Lusha controleerde bijvoorbeeld regelmatig of iemand nog dezelfde functie of standplaats had en paste de database daarop aan.

“Het structureel opbouwen én onderhouden van een commercieel dataprofiel kan meer zijn dan het eenmalig verzamelen van openbare informatie.”

Dat is relevant voor veel meer partijen dan alleen Lusha. Denk aan leadgeneratiebedrijven en databrokers die voortdurend openbare bronnen controleren om hun bestanden actueel te houden. Het bijhouden van veranderingen is voor een databroker immers juist onderdeel van het product: klanten betalen mede voor actuele informatie.

Van LinkedIn-profiel naar dataprofiel

Een ander belangrijk element in de uitspraak is de manier waarop Lusha gegevens uit verschillende bronnen combineerde. Lusha gebruikte onder meer professionele netwerkprofielen, waaronder LinkedIn, als aanknopingspunt voor professionele gegevens zoals functie en werkgever. Contactgegevens zoals e-mailadressen en telefoonnummers stonden daar lang niet altijd bij. Ontbrekende gegevens werden daarom uit andere bronnen gehaald, gekocht of afgeleid en vervolgens aan dezelfde persoon gekoppeld. Daarmee ontstaat een verrijkt profiel dat verder gaat dan de informatie die iemand zelf op één plek openbaar heeft gemaakt. Dat mechanisme werd jaren geleden al zichtbaar in berichtgeving over de Lusha-browserextensie.

Dat is relevant voor de beoordeling door de Italiaanse toezichthouder. Die benadrukt namelijk dat Lusha zich niet beperkt tot het eenmalig verzamelen van professionele informatie. Het bedrijf controleert en actualiseert die gegevens. Volgens de toezichthouder vormt dat het online volgen van de professionele positie van betrokkenen en daarmee monitoring in de zin van de AVG. Het gaat om de combinatie van drie elementen:

gegevens uit verschillende bronnen worden aan één persoon gekoppeld;
het daaruit ontstane profiel wordt verrijkt met aanvullende contactgegevens; en
die informatie wordt vervolgens periodiek gecontroleerd en geactualiseerd.

Juist dat verschil weegt mee bij de vraag wat iemand redelijkerwijs kan verwachten. Wie op LinkedIn vermeldt waar hij werkt en welke functie hij heeft, hoeft er niet automatisch rekening mee te houden dat daar door een derde partij een mobiel nummer, persoonlijk zakelijk e-mailadres of andere aanvullende gegevens aan worden gekoppeld en dat het complete profiel vervolgens commercieel wordt aangeboden aan grote aantallen afnemers.

En het gerechtvaardigd belang dan?

Misschien nog relevanter voor de sector is het oordeel over de AVG rechtsgrond. Lusha beriep zich voor een belangrijk deel op het gerechtvaardigd belang uit artikel 6 lid 1 sub f AVG. Een commercieel belang kan op zichzelf een gerechtvaardigd belang zijn. Dat heeft ook het Hof van Justitie van de Europese Unie eerder bevestigd. Dat betekent alleen niet dat iedere commerciële verwerking daarmee automatisch is toegestaan. Er moet steeds aan drie voorwaarden worden voldaan:

er moet een daadwerkelijk gerechtvaardigd belang bestaan;
de verwerking moet noodzakelijk zijn om dat belang te realiseren; en
de belangen en rechten van de betrokken personen mogen niet zwaarder wegen.

Deze afweging moet de organisatie kunnen onderbouwen, bijvoorbeeld in een Legitimate Interest Assessment (LIA). Volgens de Italiaanse toezichthouder ging dat bij Lusha op meerdere onderdelen mis. Zo ontbrak volgens de toezichthouder een toereikende belangenafweging. Daarnaast werden meer gegevens verwerkt dan noodzakelijk was en bestond tussen Lusha en de personen in de database doorgaans geen enkele relatie. Ook de verwachtingen van betrokkenen speelden een belangrijke rol. Dat iemand professionele informatie openbaar maakt, betekent niet automatisch dat diegene ook verwacht dat een derde partij daar aanvullende contactgegevens aan koppelt, het profiel structureel actualiseert en vervolgens verkoopt voor commerciële prospecting.

Niet alleen een LIA, maar ook goede informatie aan de betrokkene

Een beroep op het gerechtvaardigd belang is niet alleen een interne exercitie. Ook de informatievoorziening aan de betrokkene moet daarmee in lijn zijn. Een organisatie die persoonsgegevens niet rechtstreeks van de betrokkene ontvangt, moet op grond van artikel 14 AVG onder meer informeren over het doel van de verwerking, de gebruikte grondslag, de categorieën persoonsgegevens, de herkomst van de gegevens en de ontvangers of categorieën ontvangers. Bij een beroep op het gerechtvaardigd belang moet bovendien duidelijk worden gemaakt welk gerechtvaardigd belang wordt nagestreefd. In deze casus is dat relevant. Iemand die op LinkedIn vermeldt waar hij werkt, krijgt immers niet noodzakelijk mee dat een andere organisatie die informatie gebruikt als aanknopingspunt om elders een telefoonnummer of e-mailadres te vinden, deze gegevens samenvoegt tot één commercieel profiel en dat profiel daarna aan klanten beschikbaar stelt. De Italiaanse toezichthouder stelt expliciet dat de informatie die Lusha aan betrokkenen verstrekte niet duidelijk en niet gemakkelijk toegankelijk was. Dat droeg volgens de toezichthouder bij aan de schending van de AVG-beginselen van rechtmatigheid, behoorlijkheid en transparantie.

Transparantie is bij databroking geen formaliteit achteraf, maar een wezenlijk onderdeel van de vraag of het gehele verwerkingsmodel rechtmatig is. Hoe meer bronnen worden samengevoegd en hoe verder het uiteindelijke profiel afstaat van de informatie die iemand zelf openbaar heeft gemaakt, hoe moeilijker het wordt om vol te houden dat de verwerking binnen de redelijke verwachtingen van de betrokkene valt.

Moeten databrokers dan voortaan toestemming vragen?

Niet noodzakelijk. De uitspraak maakt toestemming niet tot de enige mogelijke AVG-grondslag voor databroking. Een gerechtvaardigd belang blijft mogelijk, ook voor commerciële doeleinden. De broker moet dan wel concreet onderbouwen welk belang wordt nagestreefd, waarom de verwerking noodzakelijk is en hoe de rechten en redelijke verwachtingen van betrokkenen zijn meegewogen.

Daarbij is ook de informatie aan betrokkenen essentieel. Wie gegevens uit verschillende bronnen verzamelt en combineert, moet betrokkenen duidelijk en gemakkelijk toegankelijk informeren over onder meer de herkomst, het doel en de grondslag van de verwerking. Juist op dit punt schoot Lusha volgens de Italiaanse toezichthouder tekort.

Voor het daadwerkelijk benaderen van personen kunnen bovendien afzonderlijke regels gelden. Een geldige AVG-grondslag voor het verzamelen van een e-mailadres of telefoonnummer betekent niet automatisch dat dit gegeven ook voor e-mail, sms of telemarketing mag worden gebruikt.

Wanneer toestemming in de praktijk de enige werkbare route voor databroking zou worden, kan dat daarnaast de toch al sterke marktpositie van grote Amerikaanse technologieplatforms verder versterken. Platforms als LinkedIn en Meta hebben een rechtstreekse gebruikersrelatie en beschikken binnen hun eigen ecosystemen over grote hoeveelheden gegevens. Dat is geen reden om voor databrokers lagere AVG-eisen te hanteren en ook de verwerking door deze platforms is niet automatisch rechtmatig. Het onderstreept wel dat uit de Lusha-zaak geen algemeen verbod op het gerechtvaardigd belang moet worden afgeleid.

Waar moet u op letten bij de inzet van brokerdata?

Wie brokerdata koopt, is voor het eigen gebruik doorgaans zelf verantwoordelijk. Een contractuele garantie dat de leverancier ‘AVG-compliant’ is, is niet genoeg. Controleer in ieder geval:

herkomst en verrijking: uit welke bronnen komen de gegevens en wat is gekocht, afgeleid of aan een profiel gekoppeld?
grondslag en transparantie: welke grondslag gebruikt de broker en hoe zijn betrokkenen geïnformeerd?
uw eigen doel en grondslag: waarom zijn juist deze gegevens nodig en is bij een beroep op het gerechtvaardigd belang een LIA vastgelegd?
het marketingkanaal: gelden voor e-mail, sms of telemarketing aanvullende regels?
de keten: worden correcties, bezwaren, verwijderingen en blokkades ook aan afnemers doorgegeven?

Dat een afnemer niet blind mag varen op de leverancier blijkt ook uit een andere Italiaanse Lusha-zaak. Een onderneming die via Lusha verkregen gegevens voor telemarketing gebruikte, moest zelf controleren of dat gebruik was toegestaan.

De bredere tendens: openbaar is niet vrij bruikbaar

Dezelfde beweging zien we rond het Handelsregister. De openbaarheid daarvan dient primair de rechtszekerheid in het economisch verkeer. Dat gegevens toegankelijk zijn, betekent niet dat zij zonder meer mogen worden gebruikt om marketingbestanden op te bouwen. De Lusha-zaak voegt daar een belangrijk accent aan toe: ook het combineren en verrijken van gegevens verandert de context. Een openbaar professioneel profiel kan zo worden aangevuld met contactgegevens die de betrokkene zelf nooit in die omgeving openbaar heeft gemaakt.

Heeft u vragen over het inkopen van prospectdata, databrokers of de grondslag voor direct marketing? Neem dan contact met ons op.