Het beschrijven van het doel waarvoor persoonsgegevens worden verzameld en verwerkt vormt de kern van het opstellen van een privacybeleid. Persoonsgegevens mogen alleen worden verwerkt ten behoeve van welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (=doelbinding) (art. 5 lid 1(a) AVG). Iedere verwerking van persoonsgegevens wordt daaraan getoetst. De doelomschrijving kan over het algemeen worden afgeleid van het organisatiedoel. Bij een onderneming gaat het vaak om een winstdoelstelling. Bij een overheidsinstelling om de vervulling van de publiekrechtelijke taak. Voorbeelden van activiteiten in relatie tot een organisatiedoelstelling zijn te vinden in WP 203. Naast een verwerkingsdoel moet de verwerkingsverantwoordelijke ook kunnen laten zien op welke basis hij meent gegevens voor dat doel te mogen verwerken (verwerkingsgrondslag(en)) en waarom dat noodzakelijk is (evenredigheid/proportionaliteit en subsidiariteit). Dat vloeit voort uit art. 6 lid 1 AVG. Als de verwerkingsverantwoordelijke de gegevens voor een ander doel wil verwerken dan waarvoor de gegevens oorspronkelijk werden verzameld, moet hij nagaan of dit hergebruik “niet onverenigbaar” is met dat oorspronkelijke verzameldoel (art. 5 lid 1(b) AVG; art. 6 lid 4 AVG). Bovendien moet voor dit hergebruik ook een doel geformuleerd worden.
marktonderzoek (het analyseren van de markt);
marktbewerking (het benaderen van klanten);
aangaan/uitvoeren overeenkomst;
relatiebeheer;
naleven wettelijke verplichtingen;
efficiënt personeelsbeheer;
preventie, detectie en opvolging van fraude en onregelmatigheden;
uitvoering wettelijke taken (bij overheidsorganisatie);
goede gezondheidszorg (gezondheidsinstellingen).
Bovenstaande “doeleinden” hebben een hoog aggregatieniveau. Soms eist de AVG een meer gedetailleerde specificatie (granularity). Bijvoorbeeld bij het vragen van toestemming voor een verwerking kan het nodig zijn de omschrijving van het doeleinde te detailleren (
art. 7
AVG). Bij het voldoen aan de informatieverplichtingen van
art. 13
en
14
AVG stelt
art. 12
lid 1 AVG de eis dat de betrokkene de informatie “in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”.
toestemming (art. 6 lid 1(a) AVG); zie ook art. 7 AVG;
aangaan of uitvoering contract (art. 6 lid 1(b) AVG);
wettelijke verplichting (art. 6 lid 1(c) AVG);
vitaal belang betrokkene of een andere natuurlijke persoon (art. 6 lid 1(d) AVG);
taken van algemeen belang of in het kader van openbaar gezag (art. 6 lid 1(e) AVG);
belangen van verantwoordelijke of derden die dienen te prevaleren boven die van de betrokkene (art. 6 lid 1(f) AVG) [NB: de overheid kan als regel geen beroep doen op deze grondslag. Zie art. 6 lid 1 laatste volzin AVG.];
of: een combinatie van bovenstaande grondslagen (aanhef art. 6 lid 1 AVG “tenminste een van de grondslagen”) [zie ook aanhef art. 6 lid 1 AVG (“ten minste één van..”); zie ook art. 17 lid 1(b) AVG; zie ook WP 187, p.8].
Het is soms verwarrend dat de benaming van een verwerkingsdoel gelijk kan zijn aan de benaming van de toepasselijke verwerkingsgrondslag uit art. 6 AVG. Bijvoorbeeld bij het aangaan/uitvoeren van een overeenkomst of het naleven van wettelijke verplichtingen zijn de benamingen van verwerkingsdoel en verwerkingsgrondslag gelijk. Het verwerkingsdoel wordt hier eerst getoetst aan art. 5 AVG (rechtmatigheidstoets). Maar dat betekent niet automatisch dat het ook noodzakelijk is om alle mogelijke persoonsgegevens voor dat doel te verwerken (art. 6 lid 1(b resp. c) AVG: “noodzakelijk”: dus aanvullende toets op proportionaliteit en subsidiariteit).
doelomschrijving (art. 5 lid 1(b) AVG); doel wordt bepaald door verwerkingsverantwoordelijke (art. 4 onder 7 AVG);
art. 26 AVG: vaststelling doeleinden door gezamenlijke verwerkingsverantwoordelijken;
art. 28 lid 10 AVG: de “verwerker” die zelf een verwerkingsdoel vaststelt wordt daardoor “verwerkingsverantwoordelijke”.
informatieplicht art. 13 lid 1(c) AVG bij verkrijging van persoonsgegevens van betrokkene (directe verkrijging): informatie over het verwerkingsdoel en grondslag;
aanvullende informatieplicht art. 13 lid 1(d) AVG: indien van toepassing informatie over de gemaakte belangenafweging bij grondslag van art. 6 lid 1(f) AVG; N.B.: deze verantwoordingsplicht geldt niet bij de afweging van grondslag art. 6 lid 1(e) AVG (overheid);
art. 13 lid 3 AVG verplicht tot nadere informatie bij wijziging doel (“verenigbaar gebruik”);
informatieplicht art. 14 lid 1(c) AVG bij verkrijging van persoonsgegevens anders dan van betrokkene (indirecte verkrijging): informatie over het verwerkingsdoel en grondslag;
aanvullende informatieplicht art. 14 lid 2(d) AVG: indien van toepassing informatie over de gemaakte belangenafweging bij grondslag van art. 6 lid 1(f) AVG; N.B.: deze verantwoordingsplicht geldt niet bij de afweging van grondslag art. 6 lid 1(e) AVG;
art. 14 lid 4 AVG verplicht tot nadere informatie bij wijziging doel (“verenigbaar gebruik”);
art. 15 lid 1(a) AVG: inzagerecht omvat ook het verwerkingsdoel;
informatie moet duidelijk zijn (art. 12 AVG).
art. 30 lid 1(b) AVG: het “register van verwerkingsactiviteiten” bevat een overzicht van verwerkingsdoeleinden;
art. 47 lid 2(b) AVG: “bindende bedrijfsvoorschriften” moeten een specificatie van de verwerkingsdoeleinden bevatten;
art. 28 lid 3 AVG en overweging 81 AVG: bij uitbesteding dient de verwerkersovereenkomst aandacht te besteden aan het verwerkingsdoel (checklist 17).
samenhang met art. 6 AVG: art. 5 AVG specificeert de eisen die aan een verwerkingsdoel worden gesteld; art. 6 lid 1 AVG geeft vervolgens aan onder welke voorwaarden gegevens mogen worden verwerkt voor dat verwerkingsdoel;
verenigbaarheid van verder gebruik van persoonsgegevens (art. 5 lid 1(b) AVG); zie ook overweging 50 AVG; zie ook art. 6 lid 4 AVG;
veronderstelde verenigbaarheid bij onderzoek (art. 5 lid 1(b) AVG);
doelgerelateerde gegevensminimalisatie (art. 5 lid 1(c) AVG);
juist en actueel gezien het doel (art. 5 lid 1(d) AVG);
art. 5 lid 1(e) AVG: bewaartermijn gerelateerd aan doeleinden;
overweging 48 AVG: doelgerelateerd vermoeden van rechtmatigheid bij concernverkeer gebaseerd op art. 6 lid 1(f) AVG;
art. 16 en 17 lid 1(a) AVG: rectificatie/gegevenswissing indien geen sprake meer is van een relevant doel;
art. 32 lid 1 AVG: verwerkingsdoeleinden bepalen mede het noodzakelijke beveiligingsniveau;
art. 35 lid 1 en 7(a) AVG: verwerkingsdoeleinden bepalen mede de noodzaak van een DPIA;
art. 27 lid 2(a) AVG: verwerkingsdoeleinden mede bepalend voor de vraag of een “vertegenwoordiger” voor een buitenlandse verwerkingsverantwoordelijke moet worden aangesteld.
art. 89 AVG en overweging 113 en 156-163 AVG. Let op: aparte regels voor verwerkingen met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden; zie ook art. 21 lid 6 AVG en art. 44 en 45 UAVG;
art. 9 lid 2 AVG: doelgerelateerde uitzonderingen op het verwerkingsverbod ten aanzien van bijzondere categorieën van gegevens; zie uitwerking in art. 22, 28 en 30 UAVG;
art. 31 t/m 33 UAVG: doelgerelateerde uitzonderingen op de verwerking van strafrechtelijke gegevens;
let op: aparte regels voor verwerkingen met het oog op journalistieke doeleinden (art. 85 AVG, art. 43 UAVG), gezondheidsdoeleinden (art. 9 lid 2 AVG), marketingdoeleinden (art. 21 lid 3 AVG);
art. 11 AVG: geen verplichting voor verwerkingsverantwoordelijke om identificerende gegevens van betrokkene te verzamelen indien dat niet noodzakelijk is voor het verwerkingsdoel;
art. 7 AVG in samenhang met art. 6 lid 1(a) AVG en overweging 32 en 42 AVG: bij verwerkingen op basis van toestemming dient de toestemming per doeleinde te worden gegeven;
art. 9 lid 2(a) AVG: speciale regeling bij toestemming voor de verwerking van bijzondere categorieën van persoonsgegevens voor “welbepaalde doeleinden”;
verwerking voor beveiligingsdoeleinden kan plaatsvinden met het gerechtvaardigd belang als grondslag (overweging 49 AVG).
