Doelbinding AVG: wat het betekent en hoe je het in de praktijk toepast

Doelbinding is een van de zes kernbeginselen van de AVG en houdt in dat je persoonsgegevens alleen mag gebruiken voor het doel waarvoor je ze hebt verzameld. Verzamel je gegevens om een bestelling te verwerken? Dan mag je die gegevens niet zomaar ook gebruiken voor marketingdoeleinden. Dit principe geldt voor elke organisatie die persoonsgegevens verwerkt, van grote bedrijven tot kleine zzp’ers.

In de praktijk is doelbinding een van de meest onderschatte regels van de AVG. Veel organisaties verzamelen gegevens zonder goed na te denken over waarvoor ze die later willen gebruiken, en lopen daarmee onbedoeld het risico op een overtreding.

Wat zegt de AVG precies over doelbinding?

De AVG omschrijft het beginsel van doelbinding als volgt: persoonsgegevens mogen alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Daarna mogen ze niet worden verwerkt op een manier die onverenigbaar is met die doeleinden. Dit staat in artikel 5, lid 1, onder b van de AVG.

Dat klinkt technisch, maar het is simpel samen te vatten in twee vereisten:

• Vooraf vastleggen: je bepaalt het doel vóórdat je gegevens verzamelt, niet achteraf.
• Niet hergebruiken voor iets anders: je gebruikt de gegevens niet voor een ander doel dat niet past bij het oorspronkelijke doel.

Het doel moet specifiek en concreet zijn. “Bedrijfsdoeleinden” of “interne verwerking” is te vaag. “Het verwerken van bestellingen via onze webshop” of “het bijhouden van de salarisadministratie voor medewerkers” is wél concreet genoeg.

Wanneer is een nieuw doel wel toegestaan?

De AVG verbiedt niet elk hergebruik van gegevens, maar stelt hier wel strenge voorwaarden aan. Als je gegevens wilt gebruiken voor een ander doel dan waarvoor ze zijn verzameld, moet je eerst beoordelen of dat nieuwe doel verenigbaar is met het oorspronkelijke doel. De Autoriteit Persoonsgegevens noemt dit een compatibiliteitstoets.

Bij die toets kijk je onder andere naar:

• De relatie tussen het oorspronkelijke en het nieuwe doel.
• De context waarin de gegevens zijn verzameld (wat verwachtte de betrokkene redelijkerwijs?).
• De aard van de gegevens, met name of het gaat om gevoelige informatie.
• De mogelijke gevolgen van het nieuwe gebruik voor de betrokkene.
• De aanwezigheid van passende waarborgen, zoals versleuteling of pseudonimisering.

Stel: je verzamelt e-mailadressen om klanten een orderbevestiging te sturen. Wil je ze daarna ook een nieuwsbrief sturen? Dan is dat een nieuw doel. De meeste privacytoezichthouders zien dit niet als verenigbaar gebruik, tenzij de klant daar expliciet toestemming voor heeft gegeven.

Er zijn ook twee situaties waarin verdere verwerking sowieso is toegestaan, ongeacht het nieuwe doel. Dat is het geval bij wetenschappelijk of historisch onderzoek en bij archivering in het algemeen belang, mits er de juiste waarborgen gelden.

Doelbinding AVG in de praktijk: concrete voorbeelden

Het helpt om doelbinding te begrijpen aan de hand van herkenbare situaties.

Voorbeeld 1: personeelsgegevens
Een werkgever verzamelt het bankrekeningnummer van een medewerker voor de salarisuitbetaling. Datzelfde bankrekeningnummer gebruiken om te controleren of de medewerker schulden heeft, is niet toegestaan. Dat valt buiten het oorspronkelijke doel.

Voorbeeld 2: contactformulier
Een bezoeker vult een contactformulier in om een vraag te stellen. De naam en het e-mailadres die hij invult, mag je gebruiken om de vraag te beantwoorden. Ze toevoegen aan een mailinglijst zonder extra toestemming mag niet.

Voorbeeld 3: klantenbestand
Een winkel heeft een klantenbestand aangelegd voor garantiebeheer. Datzelfde bestand gebruiken voor een reclamecampagne is een nieuw doel en vereist een aparte grondslag, meestal toestemming.

Hoe leg je het doel vast?

Je bent als verwerkingsverantwoordelijke verplicht het doel schriftelijk vast te leggen. Dit doe je in je register van verwerkingsactiviteiten, ook wel het verwerkingsregister genoemd. Daarin noteer je per categorie persoonsgegevens waarvoor je ze gebruikt, op welke grondslag dat berust en hoe lang je ze bewaart.

Daarnaast informeer je betrokkenen over het doel via je privacyverklaring. Die informatie moet duidelijk, begrijpelijk en volledig zijn. Staat er alleen een vage omschrijving in je privacyverklaring? Dan voldoe je waarschijnlijk niet aan de doelbindingsvereiste.

Wat zijn de risico’s bij overtreding?

De Autoriteit Persoonsgegevens kan handhavend optreden als een organisatie gegevens gebruikt voor een doel dat niet verenigbaar is met het oorspronkelijke doel. Dat kan leiden tot een waarschuwing, een last onder dwangsom of een boete. De boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. In de praktijk krijgen kleine organisaties bij een eerste overtreding vaak eerst een waarschuwing, maar dat is geen garantie.

Naast de formele sancties speelt ook reputatieschade mee. Betrokkenen die merken dat hun gegevens voor iets anders worden gebruikt dan waarvoor ze zijn gegeven, verliezen het vertrouwen in een organisatie. Dat herstel je niet snel.

Veelgestelde vragen over doelbinding

Mag ik gegevens bewaren voor toekomstige, nog onbekende doeleinden?
Nee. Je moet het doel vooraf bepalen. Gegevens verzamelen “voor het geval dat” of “misschien later handig” is in strijd met doelbinding.

Geldt doelbinding ook voor anonieme gegevens?
Nee. De AVG geldt alleen voor persoonsgegevens, dus informatie waarmee een persoon direct of indirect identificeerbaar is. Volledig geanonimiseerde gegevens vallen buiten de reikwijdte van de AVG en dus ook buiten de doelbindingsregel.

Mag ik gegevens delen met een derde partij voor een ander doel?
Alleen als dat nieuwe doel verenigbaar is met het oorspronkelijke doel, of als er een andere geldige grondslag is, zoals toestemming van de betrokkene of een wettelijke verplichting.

Hoe specifiek moet het doel zijn?
Concreet genoeg dat een betrokkene begrijpt waarvoor zijn gegevens worden gebruikt. “Het verbeteren van onze dienstverlening” is te vaag. “Het analyseren van klikgedrag op onze website om de navigatie te verbeteren” is acceptabeler, mits de grondslag klopt.

Doelbinding vraagt om discipline aan het begin van elk project of proces waarbij je persoonsgegevens verzamelt. Stel jezelf de vraag “waarvoor heb ik deze gegevens nodig?” voordat je ze verzamelt, leg dat schriftelijk vast, en gebruik de gegevens daarna alleen voor dat doel. Zo voldoe je niet alleen aan de wet, maar bouw je ook aan het vertrouwen van de mensen wiens gegevens je verwerkt.