De zes grondslagen van de AVG eenvoudig uitgelegd

Een organisatie mag niet zomaar persoonsgegevens verzamelen of gebruiken. Voor iedere verwerking moet een geldige juridische reden bestaan. De AVG noemt zo’n juridische reden een grondslag.

De grondslag bepaalt waarom een organisatie persoonsgegevens mag verwerken. Zonder passende grondslag is de verwerking niet rechtmatig, ook niet wanneer de gegevens goed worden beveiligd of voor een begrijpelijk doel worden gebruikt. De AVG kent zes (uitputtende) mogelijke grondslagen. Welke grondslag van toepassing is, hangt af van het doel en de omstandigheden van de verwerking. Het is daarom belangrijk om vóór de start van een verwerking te bepalen op welke grondslag deze wordt gebaseerd.

In dit artikel leggen we de zes grondslagen van de AVG uit en laten we met praktische voorbeelden zien wanneer je ze kunt gebruiken.

Wat is een grondslag onder de AVG?

Een grondslag is de juridische basis voor het verwerken van persoonsgegevens. Een organisatie moet voor iedere verwerking kunnen uitleggen waarom zij de gegevens nodig heeft en op welke grondslag uit de AVG zij zich beroept.

De grondslag moet aansluiten bij de werkelijke reden voor de verwerking. Een organisatie kan dus niet achteraf een grondslag kiezen die administratief het beste uitkomt. Bij het versturen van een bestelling kan de verwerking van het afleveradres bijvoorbeeld noodzakelijk zijn om een overeenkomst uit te voeren. Voor het bewaren van facturen kan juist een wettelijke verplichting gelden. Het gaat om dezelfde klant, maar om twee verschillende verwerkingen met ieder een eigen doel en mogelijk een andere grondslag. De AVG bepaalt dat een verwerking alleen rechtmatig is wanneer ten minste één van de zes grondslagen van toepassing is.

De zes grondslagen op een rij

De AVG kent de volgende grondslagen:

1. toestemming van de betrokkene
2. uitvoering van een overeenkomst;
3. wettelijke verplichting;
4. vitale belangen;
5. taak van algemeen belang of openbaar gezag;
6. gerechtvaardigd belang.

1. Toestemming

Een organisatie kan persoonsgegevens verwerken wanneer de betrokkene daarvoor geldige toestemming heeft gegeven. Toestemming is alleen geldig wanneer deze vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven. De persoon moet dus begrijpen waarvoor toestemming wordt gevraagd en moet daadwerkelijk de keuze hebben om wel of niet akkoord te gaan.

Een vooraf aangevinkt vakje is bijvoorbeeld geen geldige toestemming. Ook stilzwijgen of het enkele gebruik van een website is normaal gesproken onvoldoende. Daarnaast moet toestemming gericht zijn op een duidelijk doel. Een algemene toestemming voor “het gebruik van persoonsgegevens” is te vaag. De organisatie moet uitleggen welke gegevens zij wil gebruiken, waarvoor dat gebeurt en eventueel met welke partijen de gegevens worden gedeeld.

Een voorbeeld is een klant die zich vrijwillig inschrijft voor een commerciële nieuwsbrief. De klant vult het e-mailadres in en vinkt actief aan dat hij of zij de nieuwsbrief wil ontvangen. De organisatie kan de verzending van de nieuwsbrief dan baseren op toestemming.

a) Toestemming moet kunnen worden ingetrokken

Een belangrijk kenmerk van toestemming is dat de betrokkene deze op ieder moment kan intrekken. Het intrekken moet in beginsel net zo eenvoudig zijn als het geven van toestemming.

Wanneer iemand zich uitschrijft voor een nieuwsbrief, moet de organisatie stoppen met het gebruiken van het e-mailadres voor die nieuwsbrief. De verwerkingen die vóór de intrekking rechtmatig zijn uitgevoerd, worden daardoor niet met terugwerkende kracht onrechtmatig.

De organisatie moet bovendien kunnen aantonen dat geldige toestemming is verkregen. Het is daarom belangrijk om vast te leggen wanneer, op welke manier en voor welk doel iemand toestemming heeft gegeven.

b) Toestemming is niet altijd de beste grondslag

Toestemming wordt soms ten onrechte gebruikt als standaardgrondslag. Dat is niet altijd verstandig. Wanneer een organisatie de persoonsgegevens ook zonder toestemming moet verwerken, is er mogelijk geen sprake van een vrije keuze. Een werkgever kan bijvoorbeeld meestal niet op toestemming van een werknemer vertrouwen wanneer de werknemer zich vanwege de gezagsverhouding niet vrij voelt om te weigeren. Daarnaast heeft een betrokkene in beginsel het recht om zijn/haar toestemming in te trekken. Het gevolg kan zijn dat er vanaf dat moment, en mogelijk zelfs met terugwerkende kracht, geen geldige grondslag meer is voor de verwerking.

2. Uitvoering van een overeenkomst

Persoonsgegevens mogen worden verwerkt wanneer dit noodzakelijk is om een overeenkomst met de betrokkene uit te voeren.

Deze grondslag kan ook worden gebruikt voor maatregelen die op verzoek van de betrokkene worden genomen voordat de overeenkomst wordt gesloten. Denk bijvoorbeeld aan iemand die een offerte aanvraagt of informatie verstrekt om een verzekering aan te vragen. Een webwinkel mag bijvoorbeeld de naam en het afleveradres van een klant verwerken om een bestelling te bezorgen. Zonder deze gegevens kan de overeenkomst niet worden uitgevoerd.

Ook een telefoonnummer kan soms noodzakelijk zijn wanneer een bezorgdienst de klant moet kunnen bereiken om de levering mogelijk te maken. Of dat werkelijk noodzakelijk is, hangt af van de omstandigheden.

a) Niet alles wat in een contract staat, is noodzakelijk

Het is niet voldoende dat een verwerking ergens in de algemene voorwaarden of overeenkomst wordt genoemd. De verwerking moet objectief noodzakelijk zijn voor de uitvoering van de overeenkomst. Een streamingdienst heeft bijvoorbeeld betaalgegevens nodig om een betaald abonnement uit te voeren. Het maken van uitgebreide advertentieprofielen is echter niet automatisch noodzakelijk om de streamingdienst te leveren, ook niet wanneer dit in de voorwaarden staat.

De centrale vraag is of de overeenkomst redelijkerwijs kan worden uitgevoerd zonder de betreffende persoonsgegevens te verwerken. De grondslag kan bovendien alleen worden gebruikt wanneer de betrokkene zelf partij is bij de overeenkomst. Een overeenkomst tussen twee organisaties vormt dus niet automatisch een grondslag voor het verwerken van gegevens van medewerkers of andere personen.

3. Wettelijke verplichting

Een organisatie mag persoonsgegevens verwerken wanneer dit noodzakelijk is om aan een wettelijke verplichting te voldoen.

De verplichting moet volgen uit Europese of nationale wetgeving die op de organisatie van toepassing is. Een afspraak in een overeenkomst is geen wettelijke verplichting in de betekenis van de AVG. Een werkgever moet bijvoorbeeld bepaalde salaris- en personeelsgegevens verwerken om loonbelasting af te dragen. Ondernemingen moeten daarnaast hun financiële administratie gedurende een wettelijk bepaalde periode bewaren.

In zulke gevallen hoeft de organisatie geen toestemming te vragen. De verwerking vindt immers plaats omdat de wet dit verlangt.

a) De wettelijke verplichting moet voldoende duidelijk zijn

De organisatie moet kunnen aangeven uit welke wet of regeling de verplichting voortvloeit. Het is niet altijd noodzakelijk dat de wet exact opsomt welke persoonsgegevens moeten worden verwerkt, maar de verwerking moet wel noodzakelijk en voorzienbaar zijn om aan de verplichting te voldoen.

Ook onder deze grondslag geldt dat niet meer persoonsgegevens mogen worden verwerkt dan noodzakelijk is. Een wettelijke verplichting geeft dus geen onbeperkte bevoegdheid om informatie te verzamelen of te bewaren. citeturn554519search0

4. Vitale belangen

Persoonsgegevens mogen worden verwerkt wanneer dit noodzakelijk is om de vitale belangen van een persoon te beschermen.

Een vitaal belang is een belang dat essentieel is voor iemands leven of gezondheid. Deze grondslag is vooral bedoeld voor urgente situaties waarin de betrokkene niet in staat is om toestemming te geven en geen andere geschikte grondslag beschikbaar is. Denk bijvoorbeeld aan een persoon die na een ernstig ongeluk buiten bewustzijn is. Wanneer medische informatie noodzakelijk is om een levensreddende behandeling uit te voeren, kan de verwerking mogelijk worden gebaseerd op vitale belangen.

De grondslag kan ook betrekking hebben op de vitale belangen van een andere natuurlijke persoon dan degene van wie de gegevens worden verwerkt. In de normale bedrijfsvoering zal deze grondslag niet vaak worden gebruikt. Het is geen algemene grondslag voor verwerkingen die slechts nuttig zijn voor de gezondheid of veiligheid. Er moet sprake zijn van een wezenlijk en doorgaans dringend belang.

5. Taak van algemeen belang of openbaar gezag

Een verwerking kan rechtmatig zijn wanneer deze noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van openbaar gezag.

Deze grondslag wordt vooral gebruikt door overheidsorganisaties en andere organisaties die een wettelijk opgedragen publieke taak uitvoeren. Een gemeente kan bijvoorbeeld persoonsgegevens verwerken om een aanvraag voor een uitkering of vergunning te beoordelen. Een onderwijsinstelling of zorgorganisatie kan in bepaalde situaties eveneens een wettelijk vastgelegde taak van algemeen belang uitvoeren.

De publieke taak of bevoegdheid moet zijn vastgelegd in Europese of nationale wetgeving. De organisatie kan niet zelf bepalen dat haar werkzaamheden van algemeen belang zijn en vervolgens deze grondslag gebruiken. Het doel van de verwerking moet aansluiten op de wettelijke taak en de verwerking moet daarvoor noodzakelijk zijn. Ook hier geldt dat niet meer gegevens mogen worden gebruikt dan nodig is.

6. Gerechtvaardigd belang

Een organisatie kan persoonsgegevens verwerken wanneer dit noodzakelijk is voor een gerechtvaardigd belang van de organisatie of van een andere partij. Deze grondslag vraagt om een zorgvuldige belangenafweging. Het belang van de organisatie mag namelijk niet zwaarder worden gewogen zonder rekening te houden met de privacyrechten en belangen van de betrokkenen.

Voor een beroep op het gerechtvaardigd belang moeten drie onderdelen worden beoordeeld.

i. Er moet een gerechtvaardigd belang zijn

Allereerst moet de organisatie een concreet en rechtmatig belang hebben. Denk bijvoorbeeld aan het beveiligen van een bedrijfspand, het voorkomen van fraude, het innen van openstaande vorderingen of het beschermen van de eigen IT-systemen. Het belang moet werkelijk bestaan en voldoende duidelijk zijn omschreven. Alleen stellen dat verwerking “handig voor de bedrijfsvoering” is, is meestal niet concreet genoeg.

ii. De verwerking moet noodzakelijk zijn

Vervolgens moet worden beoordeeld of de verwerking daadwerkelijk nodig is om het belang te bereiken. Zijn er minder ingrijpende manieren om hetzelfde doel te bereiken? Dan moet de organisatie in beginsel voor die minder ingrijpende oplossing kiezen.

Een camera bij de ingang van een gebouw kan bijvoorbeeld nodig zijn vanwege herhaalde veiligheidsincidenten. Wanneer hetzelfde doel ook kan worden bereikt met betere sloten of toegangscontrole, kan cameratoezicht mogelijk te ingrijpend zijn.

iii. De belangen van betrokkenen mogen niet zwaarder wegen

Tot slot moeten de belangen van de organisatie worden afgewogen tegen de rechten en verwachtingen van de betrokkenen. Daarbij spelen onder meer de aard van de persoonsgegevens, de mogelijke gevolgen van de verwerking, de relatie met de betrokkene en de vraag of de persoon de verwerking redelijkerwijs kon verwachten een rol.

Bij kinderen moet extra zorgvuldig worden beoordeeld of hun belangen zwaarder wegen.

De uitkomst van deze afweging moet worden vastgelegd. Een organisatie moet kunnen aantonen waarom het gerechtvaardigde belang in de concrete situatie een passende grondslag is. Overheidsinstanties mogen deze grondslag niet gebruiken voor verwerkingen die zij uitvoeren als onderdeel van hun publieke taken.

Welke grondslag moet je kiezen?

De juiste grondslag volgt uit het doel en de noodzaak van de verwerking. Begin daarom niet bij de lijst met grondslagen, maar bij de verwerking zelf. Stel eerst vast waarom je de persoonsgegevens wilt gebruiken. Beoordeel daarna welke gegevens daarvoor noodzakelijk zijn en welke juridische verhouding bestaat met de betrokkene. Gaat het om gegevens die noodzakelijk zijn om een bestelling uit te voeren? Dan kan de overeenkomst de juiste grondslag zijn. Moeten gegevens vanwege belastingwetgeving worden bewaard? Dan ligt een wettelijke verplichting voor de hand. Wil je gegevens voor een vrijwillige nieuwsbrief gebruiken? Dan kan toestemming nodig zijn. Bij een beroep op het gerechtvaardigd belang moet aanvullend een belangenafweging worden uitgevoerd.

De grondslag moet vóór de start van de verwerking worden bepaald. Het is niet de bedoeling dat een organisatie eerst persoonsgegevens verzamelt en pas later onderzoekt welke juridische reden daarbij zou kunnen passen.

Kan een verwerking meerdere grondslagen hebben?

Een organisatie kan persoonsgegevens voor verschillende doeleinden verwerken. Per doel kan een andere grondslag gelden. Een webwinkel verwerkt het adres van een klant bijvoorbeeld om een bestelling te bezorgen. Voor dat doel kan de grondslag uitvoering van de overeenkomst zijn. De factuur wordt vervolgens langer bewaard vanwege een wettelijke verplichting.

Het gaat dan niet zozeer om één verwerking met willekeurig meerdere grondslagen, maar om verschillende doeleinden die ieder afzonderlijk moeten worden beoordeeld.

Het is daarom belangrijk om de verwerkingsdoelen voldoende concreet te beschrijven. Een ruime omschrijving zoals “klantbeheer” maakt niet duidelijk welke gegevens voor welk doel en op welke grondslag worden verwerkt.

Kun je achteraf van grondslag veranderen?

Een grondslag moet worden gekozen voordat de verwerking begint. Een organisatie kan niet zonder meer achteraf naar een andere grondslag overstappen omdat de oorspronkelijke grondslag niet meer bruikbaar is.

Wanneer iemand toestemming intrekt, kan de organisatie dus niet automatisch besluiten om dezelfde verwerking voortaan op het gerechtvaardigd belang te baseren. Wel kan het voorkomen dat persoonsgegevens voor een ander doel moeten worden bewaard op basis van een afzonderlijke grondslag. Na intrekking van marketingtoestemming kan een organisatie bijvoorbeeld bepaalde gegevens nog moeten bewaren om te voldoen aan een wettelijke administratieplicht. De doelen en grondslagen moeten dan duidelijk van elkaar worden onderscheiden.

Geldt een grondslag ook voor bijzondere persoonsgegevens?

Voor bijzondere persoonsgegevens gelden strengere regels. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over gezondheid, religieuze overtuigingen, politieke opvattingen, seksuele gerichtheid of biometrische gegevens waarmee iemand uniek wordt geïdentificeerd.

Voor deze gegevens is een grondslag uit artikel 6 AVG niet voldoende. De organisatie moet daarnaast kunnen aantonen dat een specifieke uitzondering op het verbod uit artikel 9 AVG van toepassing is.

Lees verder: Wat zijn bijzondere persoonsgegevens en wanneer mag je ze verwerken?

Moet je de grondslag opnemen in het verwerkingsregister?

Artikel 30 AVG noemt de grondslag niet als afzonderlijk verplicht onderdeel van het verwerkingsregister van een verwerkingsverantwoordelijke. Toch is het verstandig om de grondslag per verwerking vast te leggen. Het verwerkingsregister bevat immers de doelen waarvoor persoonsgegevens worden verwerkt. Door ook de bijbehorende grondslag op te nemen, wordt duidelijk waarom de verwerking volgens de organisatie rechtmatig is.

De grondslag moet daarnaast terugkomen in de informatie die aan betrokkenen wordt verstrekt, bijvoorbeeld in de privacyverklaring. Wanneer een organisatie het gerechtvaardigd belang gebruikt, moet ook worden uitgelegd om welk belang het gaat.

Grondslagen beheren met PrivacyDome

Wanneer een organisatie verschillende persoonsgegevens voor verschillende doelen verwerkt, kan het lastig zijn om overzicht te houden over de bijbehorende grondslagen.

Binnen PrivacyDome kun je per verwerking in het verwerkingsregister vastleggen op welke grondslag de verwerking is gebaseerd. Zo blijft direct inzichtelijk waarom persoonsgegevens worden verwerkt en welke juridische basis daarbij hoort. Door de grondslag te koppelen aan de specifieke verwerking ontstaat één centraal overzicht van het verwerkingsdoel, de persoonsgegevens, betrokkenen, bewaartermijnen, leveranciers en juridische onderbouwing.

Dat helpt niet alleen om het verwerkingsregister actueel te houden, maar maakt het ook eenvoudiger om privacyverklaringen te controleren, vragen van betrokkenen te beantwoorden en aan te tonen dat de grondslagen zorgvuldig zijn beoordeeld.