De grondslag voor verwerking

Van de gangbare grondslagen

voor de verwerking van persoonsgegevens is toestemming een veel gebruikte. Om deze te gebruiken moet aan een aantal eisen worden voldaan, maar die eisen maken het gebruik van deze grondslag juist inefficiënt. Er zijn twee betere alternatieven voor toestemming: uitvoering en voorbereiding van een overeenkomst en de grondslag gerechtvaardigd belang.

In hoofdstuk 1 stonden we al even stil bij de zes grondslagen voor het verwerken van persoonsgegevens. Toestemming is een van die grondslagen en eentje die vaak wordt gebruikt.

Vanuit het oogpunt van efficiency is toestemming niet de beste grondslag om te gebruiken. Het is een bewerkelijke grondslag, die per persoon steeds weer werk met zich meebrengt. De toestemming moet individueel worden gevraagd en moet aantoonbaar zijn, dus worden geadministreerd of gelogd. De betrokkene kan de toestemming weer intrekken: de gegevens moeten dan worden verwijderd en mogen niet meer worden gebruikt. En dat is definitief, een andere grondslag mag je dan niet meer gebruiken en de gegevens dus ook niet.

De toestemming moet aan een aantal vereisten voldoen. De AVG geeft de volgende definitie van toestemming: ‘elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.’

Het eerste element uit deze definitie is dat de toestemming in vrijheid moet zijn gegeven. Bij een nieuwsbrief is dat duidelijk: je wilt hem lezen of niet, de betrokkene is helemaal vrij in zijn keuze. Er mag geen dwang achter de toestemming zitten.

In bepaalde situaties ligt dat gecompliceerder. In een arbeidsrelatie, bijvoorbeeld. Is de toestemming die een medewerker geeft voor het gebruik van een foto op de website of in de bedrijfsnieuwsbrief wel in vrijheid gegeven? Voelt de werknemer geen druk om toestemming te geven, omdat anders de arbeidsrelatie wellicht verstoord kan raken?

Bovenstaande geldt ook voor de relatie tussen hulpverlener en cliënt. De betrokkene, de cliënt, zal vaak in een afhankelijke positie verkeren ten opzichte van de hulpverlener. Kan dan nog worden gesproken van toestemming die in vrijheid is gegeven? Ook in de relatie tussen overheid en burger kun je je afvragen in hoeverre er sprake is van vrijheid. De overheid zal dan ook meestal de grondslag algemeen belang of openbaar gezag gebruiken.

Het tweede element vereist dat de toestemming specifiek is. Elke toestemming moet apart worden gevraagd en dus ook apart worden aangevinkt. ‘Hiermee verklaar ik dat het formulier naar waarheid is ingevuld en stem ik in met de voorwaarden van dienstverlening en het gebruik van mijn gegevens’ – dit voldoet niet aan de voorwaarden. De toestemming wordt niet apart gevraagd en is ook nog eens te algemeen geformuleerd. Dat is niet toegestaan: het doel waarvoor de persoonsgegevens nodig zijn, moet duidelijk worden omschreven. Voor elk doel dient apart toestemming te worden gevraagd.

De AVG eist voor het gebruik van toestemming ook dat de betrokkene vooraf volledig is geïnformeerd. Hij moet weten welke gegevens worden verwerkt, hoe lang en voor welk doel. Ook moet op het moment dat de toestemming wordt gevraagd meteen informatie worden gegeven hoe de toestemming weer kan worden ingetrokken.

De grondslag toestemming is dus een bewerkelijke grondslag. De keuze voor deze grondslag leidt in termen van de verspillingen uit hoofdstuk 2 tot overprocessing. Daarom is het de moeite waard om te kijken of je een efficiëntere grondslag kunt gebruiken.

De overheid kan vaak de grondslag algemeen belang of openbaar gezag gebruiken. Voor andere organisaties komen de grondslagen uitvoering van een overeenkomst en gerechtvaardigd belang het meest in aanmerking.

De grondslag uitvoering van overeenkomst

Deze grondslag is vrij overzichtelijk: als een overeenkomst wordt gesloten, dan worden persoonsgegevens opgevraagd om de overeenkomst te kunnen afsluiten. Helaas wordt nogal eens vergeten dat de precontractuele fase ook onder deze grondslag valt; in de aanloop naar het daadwerkelijk sluiten van de overeenkomst mogen met deze grondslag ook al persoonsgegevens worden opgevraagd. Daarbij geldt natuurlijk wel de eis van dataminimalisatie uit de AVG. Je mag niet meer gegevens vragen dan nodig voor het uitvoeren of voorbereiden van de overeenkomst en het doel waarvoor de overeenkomst wordt afgesloten.

Stappen voor het gebruik van gerechtvaardigd belang als grondslag

Als de grondslag uitvoering overeenkomst niet te gebruiken is, kun je overwegen om de grondslag gerechtvaardigd belang te gebruiken. Dat is wel een iets complexere grondslag, want deze vraagt denkwerk van de organisatie. Bij toestemming leg je die afweging simpelweg bij de betrokkenen, je klanten, neer: de klant moet nadenken of hij het verwerken van zijn persoonsgegevens wenselijk vindt. Toch is gerechtvaardigd belang als grondslag zeker voor commerciële organisaties beter en efficiënter dan toestemming. Er is maar eenmalig een aantal maatregelen nodig, in tegenstelling tot de continue rompslomp van toestemming. Bovendien dwingt het de organisatie na te denken over de verwerking van persoonsgegevens.

Welke stappen moet de organisatie maken om deze grondslag te gebruiken? Het Hof van Justitie heeft in 2017 in een arrest drie voorwaarden gesteld waaraan moet worden voldaan.

Het belang moet duidelijk en specifiek omschreven zijn en een direct doel dienen;

De verwerking van de persoonsgegevens is noodzakelijk om het belang te behartigen;

Er moet een afweging plaatsvinden tussen het belang van de organisatie en de privacybelangen van betrokkenen (proportionaliteit). Die afweging moet zorgvuldig gebeuren en aantoonbaar zijn.

Je kunt dus niet zomaar stellen dat je een gerechtvaardigd belang hebt. Jouw belang moet zwaarder wegen dan het grondrecht van privacy van degene van wie je de gegevens verwerkt. Het gebruik van deze grondslag vraagt een goede documentatie. Je moet het belang, het doel en de noodzaak van de verwerking helder omschrijven. Ook de elementen die in de belangenafweging zijn meegenomen, moeten worden vastgelegd.

De drie stappen voor gerechtvaardigd belang

Stap 1: Is het belang gerechtvaardigd?

Maak een afweging of het belang dat jouw organisatie heeft of denkt te hebben, wel gerechtvaardigd is. Een bedrijf heeft er belang bij om persoonsgegevens te verzamelen, bijvoorbeeld om de database te optimaliseren voor marketing of om de klantenservice te verbeteren. Daarmee is het nog geen gerechtvaardigd belang. Een belang is gerechtvaardigd als het aan de volgende eisen voldoet:

Het belang moet specifiek en duidelijk worden verwoord. Geen vage prietpraat, maar een concreet belang. Een mooi voorbeeld kwam ik laatst tegen in het privacyreglement van de Stichting Schoonmaak Kwaliteit:
‘Het gerechtvaardigd belang bestaat mede uit het feit dat contact met stakeholders en ondernemingen werkzaam in de sector cruciaal is bij het vergaren en delen van kennis en standpunten, wat noodzakelijk is bij het bevorderen van de belangen van de sector en deelnemers zoals bedoeld in de statuten.’

Het belang moet er nu zijn; de grondslag mag niet worden gebruikt voor een belang dat er in de toekomst wellicht zal zijn. Het nu alvast verzamelen van e-mailadressen, omdat je in de toekomst wellicht een nieuwsbrief wilt versturen, is om die reden niet toegestaan.

Ten overvloede: het belang mag natuurlijk niet illegaal zijn.

Stap 2: Is het nodig de persoonsgegevens te verzamelen?

Als je hebt vastgesteld dat je een gerechtvaardigd belang hebt, dan maak je de afweging of het voor het behartigen van dat belang noodzakelijk is om die persoonsgegevens te verzamelen. Dit heet het subsidiariteitsbeginsel: is er geen andere manier om je belang te behartigen zonder dat je daar persoonsgegevens bij vastlegt?

Stap 3: Weegt mijn belang op tegen de privacy van degene van wie gegevens worden vastgelegd?

Als je hebt vastgesteld dat jouw belang rechtvaardigt dat je persoonsgegevens vastlegt en dat je dit op geen andere manier kunt doen dan door het verwerken van persoonsgegevens, dan maak je de laatste afweging: het proportionaliteitsbeginsel. Weegt jouw belang zwaarder dan het (grond)recht en de vrijheid van de persoon van wie je de gegevens vastlegt? Voor deze afweging geldt een eenvoudige vuistregel: kan de betrokkene, degene van wie de gegevens worden verwerkt, redelijkerwijs verwachten dat de gegevens voor het omschreven doel worden verwerkt? Ook deze afweging moet je net als de vorige stappen weer documenteren: leg de afwegingen en argumentatie daarom goed vast.

Als je hebt vastgesteld dat je gerechtvaardigd belang als grondslag kunt gebruiken, dan moet je dat wel bekendmaken. In je privacyreglement vermeld je dat je gerechtvaardigd belang als grondslag gebruikt en je beschrijft concreet het belang dat je daarbij hebt.

Legitimate Interest Assessment

Bovenstaand stappenplan is een beknopte manier om de grondslag gerechtvaardigd belang te onderbouwen. De kern hiervan is het aantoonbaar maken van de afwegingen die je hebt gemaakt tussen jouw belang en het belang van privacy voor de betrokkenen.

Bij sommige verwerkingen, bijvoorbeeld die waar het belang voor de betrokkenen groot is of als gevoelige gegevens op deze grondslag worden verwerkt, kan het verstandig zijn de afweging uitgebreider te onderbouwen.

De Engelse toezichthouder heeft daarvoor een model ontwikkeld, het zogenaamde Legitimate Interest Assessment (LIA). Hoewel het uitvoeren van een dergelijk assessment geen verplichting is van de AVG, kan het in specifieke situaties nuttig zijn een LIA uit te voeren.

De zaak Voetbal TV: de AP en gerechtvaardigd belang

Complicatie bij het gebruik van deze grondslag was dat de toezichthouder, de Autoriteit Persoonsgegevens (AP), zich op het standpunt stelde dat een commercieel belang nooit een gerechtvaardigd belang kon zijn (ECLI:NL:RVS:2022:2173). Een zuiver commercieel belang is niet specifiek genoeg en mist een dwingend ‘wettelijk’ karakter, aldus de AP. Het uitvoeren van die kernactiviteit kan nooit een gerechtvaardigd belang zijn omdat de noodzakelijkheidstoets en belangenafweging haars inziens dan inhoudsloos worden.

De AP legde VoetbalTV, een commercieel bedrijf dat videobeelden genereerde van amateur voetbalwedstrijden, een boete op omdat zij de verwerking van de beelden onrechtmatig achtte. Die onrechtmatigheid vloeit voort uit het standpunt van de AP dat er alleen een gerechtvaardigd belang kan zijn als het belang:

benoemd is als rechtsbelang in wetgeving of elders in het recht, het moet in rechte beschermd worden;

een min of meer dringend en specifiek karakter heeft dat uit een rechtsregel voortvloeit

Het bedrijf achter VoetbalTV stapte daarop naar de rechter. Op 23 november 2020 heeft de rechtbank Midden-Nederland een uitspraak in deze zaak gedaan.

De rechtbank concludeert dat in de rechtspraak van het Hof van Justitie geen duidelijke omschrijving wordt gegeven van wat een gerechtvaardigd belang precies is. Ook heeft de rechtbank nergens in de jurisprudentie terug kunnen vinden dat het moet gaan om een rechtsbelang.

Daarmee is dus nog niet gezegd dat in deze specifieke casus gerechtvaardigd belang als grondslag voor de verwerking kan dienen. De uitspraak maakt wel duidelijk dat een commercieel belang het gebruik van de grondslag gerechtvaardigd belang niet per definitie in de weg staat, zoals de AP stelde.