Grondslagen

Er zijn in de AVG verschillende grondslagen vastgelegd op grond waarvan organisaties rechtmatig persoonsgegevens mogen verwerken. De grondslagen dienen als een juridische basis voor de verwerking en moeten worden nageleefd om de gegevensverwerking in overeenstemming te brengen met de privacywetgeving.

Het verwerken van de persoonsgegevens moet worden gebaseerd op minstens één van de volgende grondslagen (artikel 6 lid 1 AVG):

• Toestemming
• Uitvoering overeenkomst
• Wettelijke verplichting
• Vitale belangen
• Uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag
• Gerechtvaardigd belang

Het is van belang op te merken dat organisaties ervoor moeten zorgen dat de grondslag passend en rechtmatig is voor elke specifieke verwerking van persoonsgegevens. Bovendien moeten ze transparant zijn naar betrokkenen over welke grondslag wordt gebruikt en voor welk doel de gegevens worden verwerkt. Dit kan worden opgenomen in de privacyverklaring van de desbetreffende organisatie. Een zorgvuldige afweging van de juiste grondslag is cruciaal om te voldoen aan de vereisten van de AVG en om de privacy van individuen te waarborgen.

Toestemming

In artikel 6 lid 1 sub a is de grondslag 'toestemming' opgenomen als een van de zes mogelijke grondslagen op basis waarvan persoonsgegevens rechtmatig kunnen worden verwerkt. Dit artikel legt de nadruk op de vrijwillige, specifieke, geïnformeerde en ondubbelzinnige instemming van de betrokkene voordat persoonsgegevens mogen worden verwerkt. Wanneer gebruik wordt gemaakt van de grondslag toestemming, bijvoorbeeld in het geval van het versturen van een nieuwsbrief, dient er aan een aantal voorwaarden te zijn voldaan.

Allereerst dient de toestemming vrijwillig te worden gegeven. Dit houdt in dat de toestemming vrijelijk wordt gegeven, zonder enige vorm van druk of negatieve gevolgen. Daarnaast mag er geen sprake zijn van een ongelijke machtsverhouding tussen de partijen.

Daarnaast moet toestemming betrekking hebben op een specifiek doel van de gegevensverwerking. Het moet duidelijk zijn waarvoor toestemming wordt gevraagd, zodat de betrokkene een weloverwogen beslissing kan nemen. De betrokkene moet worden geïnformeerd over alle relevante informatie met betrekking tot de gegevensverwerking, zoals de identiteit van de verwerkingsverantwoordelijke, het doel van de verwerking en de ontvangers van de gegevens. Tot slot moet de toestemming ondubbelzinnig zijn. Dit houdt in dat er er geen twijfel mag bestaan over de vraag of de betrokkene daadwerkelijk heeft ingestemd met de verwerking van zijn of haar persoonsgegevens. Bijvoorbeeld bij de toestemmingsvraag voor het versturen van een nieuwsbrief moet de betrokkene het vakje zelf aankruisen. Er mag geen gebruik worden gemaakt van een opt-out.

Uitvoering overeenkomst

In artikel 6 lid 1 sub b is de grondslag 'uitvoering overeenkomst' opgenomen op basis waarvan organisaties persoonsgegevens rechtmatig kunnen verwerken. Dit is een belangrijke grondslag die het mogelijk maakt om persoonsgegevens te verwerken wanneer dat noodzakelijk is voor de uitvoering van een contract. Dit omvat mede precontractuele maatregelen. De grondslag stelt organisaties in staat om persoonsgegevens te verzamelen en te gebruiken wanneer dat nodig is om te voldoen aan de verplichtingen die voortvloeien uit een overeenkomst met de betrokkene.

Wettelijke verplichting

Artikel 6 lid 1 sub c legt de grondslag vast over de verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Een voorbeeld van een wettelijke verplichting is de verstrekking van gegevens over werknemers aan de Belastingdienst. De wettelijke verplichting dient gebaseerd te zijn op het Europees recht of in nationaal recht.

Vitale belangen

Artikel 6 lid 1 sub d legt de vierde grondslag vast. Het gaat om een noodzaak om de vitale belangen van de betrokkene of van een andere natuurlijk persoon (zoals het kind van een betrokkene) te beschermen. Een vitaal belang raakt aan het leven van die persoon. Het gaat daarbij bijvoorbeeld om het verwerken van medische gegevens bij een ongeval. Het is van belang op te merken dat de verwerking van persoonsgegevens op grond van het vitale belang voor een ander natuurlijke persoon in beginsel alleen is toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd.

Uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag

Artikel 6 lid 1 sub e legt vast dat een verwerking van persoonsgegevens ook gerechtvaardigd is als deze noodzakelijk is voor een taak van algemeen belang of een taak voor het openbaar gezag. Het algemeen belang wordt niet gedefinieerd in de AVG. Het algemeen belang is in ieder geval niet beperkt tot overheidsinstanties. Gezondheidsdoelen zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten worden ook genoemd. Van openbaar gezag is sprake wanneer overheidsinstanties hun bij wet geregelde taak uitvoeren.

Gerechtvaardigd belang

De laatste grondslag is vastgelegd in artikel 6 lid 1 sub f. Dit gaat om het gerechtvaardigd belang van de verwerkingsverantwoordelijke. Het is van belang dat hierbij een belangenafweging met de grondrechten van de betrokkene is vereist. In deze belangenafweging wordt het belang van de verwerkingsverantwoordelijke tegenover de belangen of grondrechten en de fundamentele vrijheden van betrokkene afgewogen. Het is een open norm en de afweging wordt uitgevoerd op basis van alle omstandigheden van het geval. Een belangrijke factor hierbij is in hoeverre de betrokkene redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. Bij deze verwachtingen speelt de verhouding tot de verwerkingsverantwoordelijke een belangrijke rol. Het is van belang dat de verwerkingsverantwoordelijke deze afweging toelicht bij het gebruik van deze grondslag.