NTFR 2019/955 - Data als vrijkomend sloopmateriaal?

Ik heb het betreffende krantenbericht met meer dan gemiddelde interesse gelezen. Betalen met data was immers ook het onderwerp van mijn recente oratie aan de Rijksuniversiteit van Groningen.² De specifieke plannen voor Brandevoort II waren op dat moment nog niet bekend; mijn beschouwingen richtten zich op techbedrijven zoals Whatsapp, Facebook, Twitter en Snapchat, bedrijven waarvoor het verzamelen en te gelde maken van gebruikersdata een cruciaal onderdeel vormt van de bedrijfsvoering. Vanuit mijn vakgebied – de btw – bezien is het dan de vraag of de data die gebruikers van deze ‘gratis’ internetvoorzieningen met hun gebruik genereren een btw-relevante betaling in natura opleveren. Techbedrijven zouden dan btw verschuldigd zijn over de waarde van de ontvangen gegevens.

Voor btw-heffing moet echter een rechtstreeks verband bestaan tussen een prestatie (‘gratis’ toegang tot bijvoorbeeld Facebook) en een tegenprestatie (het verstrekken van data door de gebruiker). Wat dat precies betekent, heeft het HvJ duidelijk gemaakt in het arrest Tolsma.³ Hier ging het om de mogelijke btw-belastbaarheid van de betalingen die een orgeldraaier in de Friese hoofdstad van passanten ontving.

Orgeldraaier Tolsma bracht muziek ten gehore op de openbare weg. Het langslopende publiek kon doorlopen, blijven staan, vriendelijk glimlachen, Tolsma straal negeren, maar ook een willekeurig bedrag betalen. Tolsma had geen recht op betaling, het publiek had geen recht op muziek. Dat toch muziek werd gemaakt en in voorkomend geval hiervoor werd betaald, was de eigen spontane keuze van partijen en vloeide niet voort uit tussen hen gemaakte afspraken. Onder dergelijke omstandigheden ontbreekt een rechtstreeks verband tussen prestatie en tegenprestatie en is btw-heffing niet aan de orde, zo overwoog het HvJ.

Tolsma blijkt inmiddels de uitzondering; geen btw bij echt vrijwillige betalingen. In normale handelsbetrekkingen zal van een dergelijke vrijwilligheid niet snel sprake zijn. Als het gaat om het ter beschikking stellen van de eigen persoonsgegevens, dat wil zeggen data die tot de betreffende persoon te herleiden zijn, past evenwel een kanttekening. Deze kanttekening houdt verband met de huidige privacyregels die de verhandelbaarheid van persoonlijke data beperken.

Met ingang van 25 mei 2018 geldt de Europese Algemene verordening gegevensbescherming (AVG).⁴ Onder deze AVG is het opslaan en verwerken van persoonsgegevens aan strenge voorwaarden verbonden.

De verwerking van persoonsgegevens is alleen rechtmatig met een AVG-grondslag. Een van deze grondslagen betreft toestemming. Degene die de gegevens verwerkt moet dan kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. Een verzoek om het verlenen van toestemming moet ‘in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal’ worden gepresenteerd. De betrokkene heeft het recht zijn toestemming te allen tijde en zonder opgave van redenen in te trekken. Het gebruik van de betreffende gegevens moet dan direct gestaakt worden. Bovendien moeten de gegevens worden gewist.

Toestemming moet vrijelijk verleend worden; dat wil zeggen dat de betrokkene een ‘echte en vrije keuze’ heeft en zijn toestemming kan weigeren zonder nadelige gevolgen. Hierover is in de preambule van de AVG (punt 43) bepaald:

‘De toestemming wordt geacht niet vrijelijk te zijn verleend indien geen afzonderlijke toestemming kan worden gegeven voor verschillende persoonsgegevensverwerkingen ondanks het feit dat dit in het individuele geval passend is, of indien de uitvoering van een overeenkomst, daaronder begrepen het verlenen van een dienst, afhankelijk is van de toestemming ondanks het feit dat dergelijke toestemming niet noodzakelijk is voor die uitvoering.’

Voor het ter beschikking stellen van voorzieningen zoals Facebook, Whatsapp of Twitter betekent het voorgaande dat de aanbieder toegang tot deze voorzieningen niet mag koppelen aan het door de gebruiker verlenen van toestemming voor het gebruik van zijn persoonsgegevens. Toestemming mag wel gevraagd worden, maar indien deze niet verleend wordt, moet de betreffende voorziening tóch worden opengesteld. Mensen die geen toestemming verlenen voor het gebruik van hun eigen persoonsgegevens, of deze toestemming naderhand intrekken, mogen niet uitgesloten worden van het gebruik van de faciliteiten.

Uit het voorgaande moge blijken dat er nogal wat haken en ogen zitten aan het gebruik van persoonsgegevens in commerciële verhoudingen. De Europese Toezichthouder voor Gegevensbescherming (European Data Protection Supervisor, ofwel EDPS) heeft hier in ieder geval nogal uitgesproken gedachten over. Volgens de EDPS kunnen fundamentele rechten, zoals het recht op de bescherming van persoonsgegevens, niet worden gereduceerd tot eenvoudige consumentenbelangen, en kunnen persoonsgegevens niet enkel als handelswaar worden beschouwd. De EDPS overweegt in dit verband:

‘There might well be a market for personal data, just like there is, tragically, a market for live human organs, but that does not mean that we can or should give that market the blessing of legislation. One cannot monetise and subject a fundamental right to a simple commercial transaction, even if it is the individual concerned by the data who is a party to the transaction.’

Het verhandelen van eigen persoonsgegevens wordt aldus op één lijn gesteld met het verhandelen van de eigen organen. Wellicht financieel aantrekkelijk, maar feitelijk niet toegestaan.⁵ Zo bezien, zie ik nog wel wat beren op de weg voor de geplande data-inzameling en huurkortingen in het Helmondse Brandevoort II.