Gerechtvaardigd belang AVG: wanneer mag je het gebruiken?

Het gerechtvaardigd belang is een van de zes grondslagen onder de AVG waarmee je persoonsgegevens mag verwerken zonder toestemming van de betrokkene. Je mag deze grondslag inzetten als je een legitiem belang hebt, de verwerking noodzakelijk is om dat belang te behartigen, én het belang van jouw organisatie zwaarder weegt dan de belangen of rechten van de persoon van wie je gegevens verwerkt. Dat klinkt eenvoudig, maar in de praktijk vraagt het om een zorgvuldige afweging.

De drie voorwaarden voor gerechtvaardigd belang

De Autoriteit Persoonsgegevens benoemt drie cumulatieve voorwaarden. Dat betekent dat je aan alle drie tegelijk moet voldoen. Voldoe je aan slechts twee van de drie, dan heb je geen geldige grondslag.

Je hebt een daadwerkelijk gerechtvaardigd belang. Dit belang moet reëel en concreet zijn. Vage of hypothetische voordelen tellen niet mee.
De verwerking is noodzakelijk. Er mag geen minder ingrijpende manier zijn om hetzelfde doel te bereiken. Als je het doel ook kunt bereiken met minder persoonsgegevens of een andere methode, dan is verwerking niet noodzakelijk.
Het belang weegt zwaarder dan dat van de betrokkene. Dit is de balanstoets. Je weegt jouw belang af tegen de privacy van de persoon wiens gegevens je verwerkt. Hoe gevoeliger de gegevens, hoe zwaarder de betrokkene in de weegschaal legt.

Wat telt als gerechtvaardigd belang AVG?

De AVG geeft geen uitputtende lijst van wat een gerechtvaardigd belang is. Uit de praktijk en rechtspraak zijn wel duidelijke voorbeelden bekend. Fraudepreventie is een klassiek voorbeeld: als een bank transacties analyseert om fraude op te sporen, is dat een erkend belang. Ook netwerk- en informatiebeveiliging valt hieronder. Denk aan een werkgever die inlogpogingen op zijn systemen logt om ongeautoriseerde toegang te detecteren.

Direct marketing richting bestaande klanten kan ook onder gerechtvaardigd belang vallen, mits de klant redelijkerwijs kan verwachten dat zijn gegevens daarvoor worden gebruikt en er een duidelijke opt-outmogelijkheid is. Dit staat ook in overweging 47 van de AVG zelf.

Wat doorgaans níét geldt als gerechtvaardigd belang: puur commercieel gegevensdelen met derde partijen zonder dat de betrokkene dit verwacht, of het opbouwen van uitgebreide profielen voor gerichte advertenties op basis van surfgedrag. De Autoriteit Persoonsgegevens kijkt hier kritisch naar.

De balanstoets: zo doe je de afweging

De balanstoets is het meest complexe onderdeel. Je weegt jouw belang af tegen de redelijke verwachtingen van de betrokkene en de impact van de verwerking op diens privacy. Een handige structuur om dit te doen:

Aard van het belang: hoe zwaar weegt het? Een veiligheidsbelang weegt zwaarder dan een puur commercieel belang.
Aard van de gegevens: gaat het om gewone gegevens (naam, adres) of gevoeliger informatie (locatiegegevens, financiële situatie)?
Verwachting van de betrokkene: had de persoon redelijkerwijs kunnen verwachten dat zijn gegevens voor dit doel worden gebruikt? Bestaande klanten verwachten eerder marketingberichten dan nieuwe contacten.
Impact op de betrokkene: leidt de verwerking tot nadeel, stigmatisering of risico’s voor de persoon?
Aanvullende waarborgen: kun je de impact beperken met technische of organisatorische maatregelen, zoals dataminimalisatie of anonimisering?

Documenteer de afweging in een LIA

Als je gerechtvaardigd belang als grondslag gebruikt, moet je dit kunnen aantonen. In de praktijk doe je dit met een Legitimate Interests Assessment (LIA), ook wel een gerechtvaardigde belangen-toets genoemd. Dit is een intern document waarin je de drie voorwaarden en de balanstoets stap voor stap doorloopt en vastlegt. De AVG verplicht je tot accountability: je moet kunnen bewijzen dat je de afweging serieus hebt gemaakt, niet dat je die achteraf hebt bedacht.

Een LIA hoeft geen ingewikkeld juridisch document te zijn. Zorg wel dat je de volgende elementen dekt: wat is het belang, waarom is verwerking noodzakelijk, en hoe weeg je de belangen af inclusief eventuele waarborgen.

Wanneer gebruik je gerechtvaardigd belang niet?

De grondslag gerechtvaardigd belang mag je niet gebruiken als een andere grondslag meer voor de hand ligt of verplicht is. Voor verwerkingen waarvoor de wet een specifieke grondslag voorschrijft, zoals een wettelijke verplichting, gebruik je die grondslag. Ook geldt dat overheidsinstanties deze grondslag in beginsel niet mogen inzetten voor de uitvoering van hun publieke taken. Daarvoor bestaat de grondslag “publiekrechtelijke taak”.

Bovendien geldt: als de betrokkene een zwaar privacybelang heeft en de gevolgen van de verwerking groot zijn, zal gerechtvaardigd belang zelden standhouden. De Autoriteit Persoonsgegevens benadrukt dat je de grondslag niet mag gebruiken als een makkelijke uitweg om toestemming te vermijden.

Veelgestelde vragen over gerechtvaardigd belang AVG

Moet ik betrokkenen informeren als ik gerechtvaardigd belang gebruik?
Ja. Je moet in je privacyverklaring vermelden welke grondslag je gebruikt, wat je gerechtvaardigd belang is, en dat de betrokkene het recht heeft om bezwaar te maken tegen de verwerking. Dat recht op bezwaar (artikel 21 AVG) is specifiek verbonden aan deze grondslag.

Kan ik gerechtvaardigd belang ook gebruiken voor bijzondere persoonsgegevens?
Nee. Voor bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens, religieuze overtuiging of politieke opvattingen, gelden aanvullende uitzonderingsgronden. Gerechtvaardigd belang alleen is daarvoor niet voldoende.

Hoe verschilt gerechtvaardigd belang van toestemming?
Toestemming vereist een vrije, specifieke en geïnformeerde keuze van de betrokkene en kan altijd worden ingetrokken. Gerechtvaardigd belang heeft die toestemming niet nodig, maar vraagt een stevige eigen afweging en biedt de betrokkene wel het recht op bezwaar. Gebruik toestemming als je geen andere geldige grondslag hebt, niet als alternatief om de AVG-eisen te omzeilen.

Gerechtvaardigd belang is een flexibele grondslag, maar geen vrijbrief. De afweging moet je serieus maken en vastleggen. Twijfel je of jouw situatie voldoet? De Autoriteit Persoonsgegevens biedt uitgebreide informatie en richtsnoeren op haar website, en voor complexe situaties is juridisch advies verstandig.