Wie Arendse Health Club in Barendrecht, voorheen Wellnesselande, wil bezoeken krijgt bij aankomst een onaangename verrassing. Zonder voorafgaande uitleg of echte keuze wordt je ter plekke verplicht een app te downloaden en in te vullen. Geen app betekent simpelweg: geen toegang. Deze werkwijze is niet alleen klantonvriendelijk, maar vormt ook een ernstige schending van de privacyrechten van bezoekers.

Bezoekers worden niet vooraf geïnformeerd over welke persoonsgegevens worden verzameld, waarom dat gebeurt en wat ermee wordt gedaan. Pas op het moment dat men al voor de deur staat, wordt duidelijk dat het gebruik van de Arendse-app verplicht is. Dat is in strijd met de basisregels van de Algemene Verordening Gegevensbescherming (AVG), die juist voorschrijft dat mensen "vooraf, duidelijk en volledig" geïnformeerd moeten worden over de gegevensverwerking.

Alsof dat nog niet problematisch genoeg is, maakt de app gebruik van een privacybeleid dat afkomstig is van een ander bedrijf: Technogym. Hierdoor is het volstrekt onduidelijk wie nu eigenlijk verantwoordelijk is voor de verwerking van persoonsgegevens. Is dat Arendse Health Club of een externe partij gevestigd in Italië? Ook deze onduidelijkheid is strijdig met de AVG, die juist eist dat organisaties helder zijn over hun rol en verantwoordelijkheid.

Bezoekers worden bovendien verplicht om meerdere persoonsgegevens in te vullen, waaronder ook gevoelige gegevens. Waarom deze gegevens nodig zijn, wordt niet onderbouwd. Dit druist in tegen het principe van dataminimalisatie: organisaties mogen alleen gegevens verzamelen die echt noodzakelijk zijn. Meer vragen dan nodig is simpelweg verboden.

Toestemming moet vrij worden gegeven. Als de enige manier om binnen te komen het afstaan van bijzondere persoonsgegevens via een verplichte app is, dan is er sprake van feitelijke dwang. Zonder alternatief is toestemming niet vrij, niet specifiek en dus juridisch ongeldig.

De huidige praktijk van Arendse Health Club laat zien hoe gemak voor de organisatie boven fundamentele privacyrechten van klanten wordt geplaatst. Bezoekers worden voor een voldongen feit gesteld, onvoldoende geïnformeerd en gedwongen persoonsgegevens af te staan zonder duidelijke noodzaak of rechtsgeldige grondslag. Dit is niet een administratieve fout, maar een structurele schending van de privacy en van het vertrouwen dat klanten mogen hebben in een sport- en gezondheidsorganisatie.