Elke verwerking van persoonsgegevens heeft een grondslag nodig. De grondslagen van de AVG staan in artikel 6, het zijn er zes, en de keuze ertussen is bepalender dan de meeste organisaties denken.
Kort samengevat
- Zes grondslagen, geen zeven. De lijst is gesloten; buiten deze zes mag u niet verwerken.
- Eén grondslag per verwerking. Kiezen doet u vooraf, niet achteraf.
- Toestemming is de zwakste. Intrekbaar, en in een gezagsverhouding zelden geldig.
- Gerechtvaardigd belang vraagt een afweging. En die legt u schriftelijk vast.
- Overheden hebben minder keuze. Gerechtvaardigd belang is voor hun taken uitgesloten.
De grondslag bepaalt niet alleen of u mag verwerken, maar ook welke rechten de betrokkene heeft. Bij toestemming kan hij die intrekken, bij gerechtvaardigd belang kan hij bezwaar maken, en bij een wettelijke verplichting kan hij weinig. Wie de grondslag verkeerd kiest, belooft daarmee ongemerkt iets wat hij niet kan waarmaken.
Welke grondslagen van de AVG zijn er?
Artikel 6 noemt er zes, en ze zijn gelijkwaardig. Er is geen rangorde, alleen geschiktheid per situatie.
- Toestemming. De betrokkene heeft vrij, specifiek, geïnformeerd en ondubbelzinnig toestemming gegeven.
- Uitvoering van een overeenkomst. De verwerking is noodzakelijk om een contract met de betrokkene uit te voeren, of voor stappen die daaraan voorafgaan op zijn verzoek.
- Wettelijke verplichting. U moet de gegevens verwerken op grond van de wet.
- Vitaal belang. Nodig om iemands leven of gezondheid te beschermen. Dit is een noodgrondslag.
- Taak van algemeen belang of openbaar gezag. De grondslag waar overheidsorganisaties het vaakst op steunen.
- Gerechtvaardigd belang. Uw eigen belang of dat van een derde, mits dat na afweging zwaarder weegt dan de belangen van de betrokkene.
Let op: dit gaat over gewone persoonsgegevens. Verwerkt u bijzondere gegevens, zoals gegevens over gezondheid, religie of politieke opvattingen, dan geldt een verbod met eigen uitzonderingen. U heeft dan zowel een grondslag uit artikel 6 nodig als een uitzondering op dat verbod.
Waarom is toestemming zelden de beste keuze?
Omdat toestemming vier eisen kent die in de praktijk lastig te halen zijn, en omdat hij intrekbaar is.
Vrij betekent dat er een reële keuze is en dat weigeren geen nadeel oplevert. Tussen werkgever en werknemer is die vrijheid er meestal niet, omdat er een gezagsverhouding is. Toestemming van een medewerker voor cameratoezicht of voor een volgsysteem houdt daarom vrijwel nooit stand.
Specifiek betekent per doel, dus geen algemene toestemming voor alles. Geïnformeerd betekent dat de betrokkene begrijpt waarvoor hij tekent. En ondubbelzinnig betekent een actieve handeling, dus geen voorgevinkt vakje en geen stilzwijgen.
Daar komt het echte probleem bovenop: toestemming kan op elk moment worden ingetrokken, en dan moet u stoppen. U kunt op dat moment niet alsnog overstappen op een andere grondslag. Wie een verwerking bouwt op toestemming, bouwt daarmee een uitknop in waar iemand anders over gaat.
Hoe werkt gerechtvaardigd belang?
Dit is de meest gebruikte grondslag in het bedrijfsleven, en de enige die een expliciete afweging vraagt. Die toets bestaat uit drie stappen.
Eerst: is uw belang gerechtvaardigd? Dat is een lage drempel; bedrijfsvoering, beveiliging en fraudebestrijding halen die doorgaans. Dan: is de verwerking noodzakelijk om dat belang te dienen, of kan het ook met minder gegevens of op een andere manier? Dit is de stap waar de meeste plannen sneuvelen. En ten slotte: wegen uw belangen zwaarder dan de belangen, rechten en vrijheden van de betrokkene?
Bij die laatste stap kijkt u naar wat de betrokkene redelijkerwijs mag verwachten. Een klant verwacht dat u zijn gegevens gebruikt om zijn bestelling te leveren. Hij verwacht niet dat u zijn gedrag koppelt aan externe databronnen om een profiel op te bouwen.
Leg de afweging schriftelijk vast. Dat hoeft niet lang te zijn, maar zonder vastlegging kunt u achteraf niet laten zien dat u haar heeft gemaakt. Bij verwerkingen met een hoog risico gaat die afweging op in een DPIA.
Welke grondslag hoort bij welke situatie?
Een paar veelvoorkomende gevallen, en de grondslag die daar meestal bij past.
- Personeelsadministratie. Uitvoering van de arbeidsovereenkomst, aangevuld met wettelijke verplichting voor de fiscale en sociale onderdelen.
- Klantadministratie en levering. Uitvoering van de overeenkomst.
- Beveiliging en cameratoezicht. Gerechtvaardigd belang, met een afweging en met aandacht voor cameratoezicht.
- Nieuwsbrieven aan niet-klanten. Toestemming, want hier is die wel vrij te geven.
- Bewaren voor de belastingdienst. Wettelijke verplichting.
- Uitkeringen en vergunningen door een gemeente. Taak van algemeen belang of wettelijke verplichting.
Wat legt u vast en waar?
Per verwerking: het doel, de grondslag, en bij gerechtvaardigd belang de afweging. De logische plek daarvoor is uw register van verwerkingen, want daar staan de verwerkingen toch al in. In waarom u een register van verwerkingen bijhoudt legden wij uit waarom dat register meer is dan een verplicht nummer.
Vermeld de grondslag ook in uw privacyverklaring, want de betrokkene heeft er recht op te weten waarop u zich baseert. Bij gerechtvaardigd belang noemt u ook welk belang dat is. Hoe u zo’n verklaring opzet, staat in de noodzaak van een privacyverklaring.
Twijfelt u over een specifieke verwerking, dan is juridisch privacy advies de snelste manier om de keuze te toetsen voordat hij in uw systemen is vastgelegd. Loopt u tegen een groter aantal verwerkingen aan, dan geeft een AVG audit en nulmeting het overzicht.
