Welke zes grondslagen zijn er?
Het verwerken van persoonsgegevens moet volgens de AVG op een behoorlijke en transparante wijze, op basis van een rechtmatige grondslag. De grondslag legt uit waarom de persoonsgegevens verwerkt mogen worden. Er zijn zes grondslagen in de AVG:
- toestemming van de betrokkene voor een of meer specifieke doeleinden;
- noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is;
- noodzakelijk om te voldoen aan een wettelijke verplichting;
- noodzakelijk om de vitale belangen van de betrokkene of een andere natuurlijk persoon te beschermen;
- noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
- noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde (belangenafweging).
Toestemming en gerechtvaardigd belang
De toestemming van de betrokkene is een van deze grondslagen. Toestemming verkrijgen is niet altijd mogelijk en heeft voorwaarden: zo moet de betrokkene de toestemming kunnen intrekken en is de toestemming pas rechtsgeldig wanneer deze vrijelijk door de betrokkene is gegeven. Een werkgever kan aan een werknemer niet zomaar toestemming vragen voor het opslaan van bepaalde persoonsgegevens omdat er sprake is van een hiërarchische verhouding. De toestemming van de werknemer wordt dan niet geacht vrijelijk te zijn gegeven. Tot slot geldt voor bijzondere persoonsgegevens een zwaarder criterium: toestemming is slechts rechtsgeldig indien deze uitdrukkelijk wordt gegeven.
De verwerkingsverantwoordelijke kan een gerechtvaardigd belang hebben dat een rechtsgrond voor een verwerking kan zijn, maar dan mogen de belangen of de grondrechten van de betrokkenen niet zwaarder wegen. Hierin ligt een belangenafweging die per situatie beoordeeld moet worden. Een bedrijf kan bijvoorbeeld het voornemen hebben om haar pand te beveiligen met camera’s. Het belang van het bedrijf bij de verwerking van persoonsgegevens is dan het waarborgen van de veiligheid. Afhangende van de wijze waarop de camera’s worden gebruikt, zal het privacybelang van de betrokkenen wel of niet prevaleren.
Andere grondslagen in de AVG
Toestemming van de betrokkene is niet altijd nodig als grondslag voor de verwerking. Een organisatie kan ook een overeenkomst met de betrokkene hebben, deze dient dan als grondslag voor de verwerking. De persoonsgegevens zijn dan noodzakelijk voor de uitvoering van de overeenkomst. Een webshop heeft bijvoorbeeld adresgegevens nodig om een product te kunnen bezorgen bij de betrokkene.
Een organisatie kan ook wettelijk verplicht zijn om bepaalde persoonsgegevens te verwerken. Vanuit het belastingrecht en arbeidsrecht bestaan een hoop verplichtingen tot het verwerken en bewaren van persoonsgegevens. Voor de verwerking daarvan hoef je uiteraard geen toestemming van de betrokkene te hebben.
Als laatste kunnen vitale belangen van de betrokkene of een algemeen belang de grondslag van een verwerking zijn. Een vitaal belang is bijvoorbeeld de verwerking van bepaalde (medische) persoonsgegevens wanneer iemand in medische nood verkeerd. De laatste grondslag ziet op een verwerking door een overheidsinstantie die nadrukkelijk door de wetgever is aangewezen om een publieke taak van algemeen belang of uitoefening van openbaar gezag te vervullen.
