Grondslag AVG: welke 6 grondslagen zijn er en wanneer gebruik je welke?

De grondslag AVG is de wettelijke rechtvaardiging die je nodig hebt om persoonsgegevens te mogen verwerken. Zonder geldige grondslag mag je als organisatie geen persoonsgegevens verwerken, hoe nuttig dat ook zou zijn. De AVG (Algemene Verordening Gegevensbescherming) kent precies zes grondslagen, en je moet er altijd minstens één kunnen aanwijzen voordat je begint met verwerken.

Dit artikel legt alle zes grondslagen uit, geeft aan wanneer je welke kiest en waarschuwt voor veelgemaakte fouten.

Wat is een grondslag in de AVG?

Een grondslag is de juridische basis waarop je persoonsgegevens verwerkt. De AVG verplicht je om vooraf te bepalen welke grondslag van toepassing is. Je mag niet achteraf een grondslag “zoeken” die past bij wat je al deed. De grondslag moet ook kloppen met het doel van de verwerking: voor elk doel geldt een eigen grondslag.

De zes grondslagen staan in artikel 6 van de AVG. Ze zijn limitatief, wat betekent dat er geen ruimte is voor een zevende of zelf verzonnen variant.

De 6 grondslagen van de AVG op een rij

• Toestemming: de betrokkene heeft vrijelijk, specifiek en ondubbelzinnig toestemming gegeven voor de verwerking.
• Uitvoering van een overeenkomst: de verwerking is noodzakelijk om een contract met de betrokkene uit te voeren, of om op zijn verzoek stappen te zetten vóór het sluiten van een contract.
• Wettelijke verplichting: de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de organisatie rust.
• Vitale belangen: de verwerking is noodzakelijk om iemands leven te beschermen, als de betrokkene niet zelf toestemming kan geven.
• Algemeen belang of openbaar gezag: de verwerking is noodzakelijk voor een taak van algemeen belang of voor de uitoefening van openbaar gezag.
• Gerechtvaardigd belang: de verwerking is noodzakelijk voor de gerechtvaardigde belangen van de organisatie of een derde, tenzij de belangen van de betrokkene zwaarder wegen.

Toestemming als grondslag: strenger dan je denkt

Toestemming klinkt eenvoudig, maar de AVG stelt er flinke eisen aan. Toestemming moet vrijelijk gegeven zijn: iemand mag er geen nadeel van ondervinden als hij weigert. Een vooraf aangevinkt hokje telt niet. Een vage tekst als “door gebruik te maken van onze site gaat u akkoord” is evenmin geldig.

Bovendien moet de betrokkene toestemming net zo makkelijk kunnen intrekken als geven. Maak je gebruik van toestemming als grondslag, dan moet je kunnen bewijzen dat je die toestemming hebt verkregen. Bewaar dus altijd een registratie van wanneer, hoe en waarvoor iemand toestemming gaf.

Toestemming is vaak niet de beste keuze als er een andere grondslag van toepassing is. Als de verwerking noodzakelijk is voor een contract, gebruik dan die grondslag. Toestemming vragen terwijl een andere grondslag geldt, wekt een onjuiste indruk bij de betrokkene.

Uitvoering van een overeenkomst

Heb je een contract met iemand, dan mag je de persoonsgegevens verwerken die je echt nodig hebt om dat contract uit te voeren. Een webshop mag een afleveradres verwerken om een bestelling te bezorgen. Een werkgever mag salarisgegevens verwerken om het loon uit te betalen.

Let op: “noodzakelijk” is het sleutelwoord. Je mag niet meer verwerken dan strikt nodig is voor de uitvoering. Verwerk je extra gegevens voor marketingdoeleinden, dan heb je daarvoor een aparte grondslag nodig.

Wettelijke verplichting

Sommige verwerking is simpelweg verplicht door de wet. Werkgevers moeten loongegevens doorgeven aan de Belastingdienst. Apotheken zijn verplicht medicatiegeschiedenissen bij te houden. In deze gevallen is de wettelijke verplichting de grondslag, en hoef je geen toestemming te vragen aan de betrokkene.

De wettelijke verplichting moet wel concreet zijn: een vage verwijzing naar “de wet” is niet genoeg. Je moet kunnen aanwijzen welke specifieke wet of welk artikel de verplichting oplegt.

Vitale belangen

Deze grondslag is bedoeld voor noodsituaties. Denk aan een bewusteloze patiënt waarbij medische gegevens gedeeld moeten worden om zijn leven te redden. De betrokkene is dan niet in staat toestemming te geven. Vitale belangen mag je alleen gebruiken als geen andere grondslag van toepassing is.

Algemeen belang of openbaar gezag

Deze grondslag is weggelegd voor overheidsorganisaties en organisaties die een publieke taak uitvoeren, zoals gemeenten, politie of uitvoeringsinstanties als het UWV. Een gemeente die persoonsgegevens verwerkt om bijstandsuitkeringen te verstrekken, gebruikt deze grondslag. Voor gewone bedrijven zonder publieke taak is deze grondslag in de meeste gevallen niet van toepassing.

Gerechtvaardigd belang: de meest complexe grondslag

Het gerechtvaardigd belang is de meest flexibele, maar ook de lastigste grondslag. Je moet drie dingen kunnen aantonen:

• Er is een gerechtvaardigd belang (bijvoorbeeld fraudepreventie, beveiliging van het netwerk of direct marketing aan bestaande klanten).
• De verwerking is noodzakelijk voor dat belang.
• Na een afweging wegen jouw belangen zwaarder dan de privacybelangen van de betrokkene.

Die laatste stap heet de belangenafweging. Je moet die afweging schriftelijk vastleggen, zodat je hem kunt laten zien als de Autoriteit Persoonsgegevens ernaar vraagt. Gerechtvaardigd belang is niet geschikt als de betrokkene redelijkerwijs niet verwacht dat zijn gegevens worden verwerkt, of als het gaat om bijzondere persoonsgegevens zoals gezondheidsdata.

Veelgemaakte fouten bij grondslagen

Een veelvoorkomende fout is toestemming vragen terwijl een andere grondslag van toepassing is. Dat geeft problemen: als iemand zijn toestemming intrekt, denkt hij dat de verwerking stopt, maar als je eigenlijk een contractuele grondslag hebt, mag je toch doorgaan. Dat is verwarrend en kan leiden tot klachten bij de Autoriteit Persoonsgegevens.

Een andere fout is de grondslag niet vastleggen. De AVG verplicht je om verwerkingen te documenteren in een verwerkingsregister, inclusief de grondslag. Ontbreekt die documentatie, dan is dat op zichzelf al een overtreding.

Tot slot: je kunt de grondslag niet halverwege wisselen. Began je met toestemming, dan kun je niet later zeggen dat gerechtvaardigd belang de basis was. De keuze maak je vooraf en leg je vast.

Wil je weten welke grondslag bij jouw situatie past, dan is de website van de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) een betrouwbaar startpunt. Voor complexe situaties, zoals verwerkingen met bijzondere persoonsgegevens of grootschalige profilering, is juridisch advies sterk aan te raden.