Dit dossier geeft een breed en actueel beeld over het gerechtvaardigd belang in de AVG. Hierboven kun je navigeren tussen onder meer het laatste nieuws, beleid en vraag&antwoorden op dit gebied. In onderstaande tekst vind je praktische en algemene informatie over het onderwerp. De tekst sluit af met manieren waarop je je verder op dit onderwerp kunt ontwikkelen.
Gerechtvaardigd belang als verwerkingsgrondslag
De AVG in totaal zes verwerkingsgrondslagen om persoonsgegevens te verwerken, opgesomd in artikel 6 lid 1 AVG. Een van die verwerkingsgrondslagen is de grondslag van het gerechtvaardigd belang. Voor de andere verwerkingsgrondslagen zie het | themadossier AVG.
De gerechtvaardigd belang grondslag (artikel 6 lid 1 sub f AVG) luidt als volgt:
‘‘1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: (..)
(..) f. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.’’
De grondslag gerechtvaardigd belang is een zogeheten restgrondslag en kan voor organisaties een uitkomst bieden wanneer bijvoorbeeld toestemming (art. 6 lid 1 sub a AVG) of noodzakelijkheid op basis van uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) geen voorkeuren hebben. Het is daarentegen geen ‘laatste redmiddel’ voor zeldzame of onverwachte situaties waarin de andere rechtsgronden niet van toepassing zijn. (1) Wanneer je wilt onderzoeken of je op basis van het gerechtvaardigd belang binnen jouw (overheids)organisatie persoonsgegevens kunt verwerken moet je eerst stilstaan bij het volgende:
1. Is de AVG van toepassing?
De AVG is al snel van toepassing, maar toch is dit niet altijd zo. Bijvoorbeeld omdat de verwerking in kwestie niet onder het toepassingsgebied van de AVG valt. Over het toepassingsgebied van de AVG lees je meer in het themadossier AVG. Ook kan het zijn dat er een andere wet dan de AVG van toepassing is op de gegevensverwerking, doordat er sectorspecifieke wetten zijn die prevaleren. Denk bijvoorbeeld aan de gevallen wanneer persoonsgegevens aangemerkt kunnen worden als politiegegevens onder de Wet politiegegevens (Wpg)
| Dossier Wet politiegevens | Cursus Privacywetgeving in de opsporing
Alleen voor overheidsorganen | 2. Wil ik de gerechtvaardigd belang grondslag inzetten met als doel om een nieuwe publieke taak te creëren?
Dit is sinds de inwerkingtreding van de AVG niet (meer) toegestaan (overweging 47 AVG). Als overheidsorgaan mag je je alleen op de taak van algemeen belang (artikel 6 lid 1 sub e AVG) of een wettelijke plicht (artikel lid 1 sub c AVG) beroepen. De taak waarvoor een overheidsinstantie persoonsgegevens verwerkt moet namelijk wettelijke gecreëerd zijn en dient daarom te berusten op bepaalde regelgeving. Een voorbeeld van zo’n wettelijke grondslag is artikel 172 Gemeentewet jo. Artikel 13b Opiumwet. Op basis van deze grondslag mag een burgemeester gegevens verwerken in het kader van de bevoegdheid tot het sluiten van een illegale hennepkwekerij. Een overheidsorgaan mag het gerechtvaardigd belang wel gebruiken als het gaat om de interne bedrijfsvoering. (2)
Drie stappentoets gerechtvaardigd belang
Verwerking van persoonsgegevens is op basis van de grondslag gerechtvaardigd belang toegestaan indien dit noodzakelijk is voor de behartiging van een gerechtvaardigd belang. Deze grondslag kun je niet zomaar gebruiken. Adequaat gebruik van de grondslag vergt een goede en zorgvuldige argumentatie. Deze argumentatie dien je uit te werken aan de hand van de volgende drie vragen (3):
1. Gaat het om een gerechtvaardigd belang? Zo ja, welke?
2. Is de persoonsgegevensverwerking noodzakelijk voor behartiging van het gerechtvaardigd belang?
3. Is er een ander belang dat zwaarder weegt dan het gerechtvaardigd belang?
1. Gaat het om een gerechtvaardigd belang? Zo ja, welke?
De AVG noemt een aantal voorbeelden van belangen die als gerechtvaardigd belang kunnen fungeren. Voorbeelden zijn fraudevoorkoming en direct marketing (overweging 47 AVG). De AP een normuitleg uitgebracht waarin verschillende belangen worden genoemd. Voorbeelden zijn het hebben van een veilig en gezond leven , bescherming van deprivésfeer, het tegengaan van onrechtmatig gedrag en iemand aansprakelijk stellen voor schade. Hier vind je de normuitleg (klikbare link). (4) Zie ook p. 69 van het Advies 06/2014 van de EDPB, onder meer: privésfeer beschermen, computersystemen beveiligen, onderzoek grensoverschrijdend gedrag op de werkvloer. (5) En ook de website van de Belgische gegevensbeschermingsautoriteit (GBA), onder meer: beveiliging van gebouwen en het voorkomen van fraude. (6)
Over de reikwijdte van het begrip gerechtvaardigd bestaat al geruime tijd discussie. Dat ziet op dit specifieke element in de normuitleg van de AP: ‘‘Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, (..).’’
In de Voetbal TV zaak (7) stelt de AP dat een zuiver commercieel belang geen gerechtvaardigd belang is . Hierdoor kunnen zij bij voorbaat al niet kwalificeren als gerechtvaardigd belang en wordt aan de belangenafweging (zie hieronder) niet toegekomen. De rechtbank Amsterdam heeft in een andere zaak, de KNLTB zaak, vragen gesteld aan het Europese hof van Justitie van de Europese Unie over de reikwijdte van het begrip in dit kader. (8) Naar verwachting volgt hier medio 2023 een antwoord op. De EDPB heeft in een brief aan de AP laten weten dat zij niet meegaat in de strenge normuitleg van de AP, omdat dit de vrije ondernemerschap belemmert. (9) Experts voeren ook aan dat uit de Richtsnoeren 08/2020 (overweging 50) blijkt dat een gerechtvaardigd belang als grondslag kan dienen voor social media targeting. (10) De visie van de AP zou ook afwijken van het standpunt van overweging 47 van de AVG (direct marketing is een gerechtvaardigd belang) en de Europese rechtspraak, zoals de Fashion ID uitspraak (zie kopje Voorbeelden uit de praktijk).(11)
2. Is de persoonsgegevensverwerking noodzakelijk voor behartiging van het gerechtvaardigd belang?
Als het belang op zich als gerechtvaardigd aan te merken valt, moet gekeken worden of de persoonsgegevensverwerking ook noodzakelijk is in het specifieke geval. Je kijkt dan naar de subsidiariteit en de proportionaliteit: staat de inbreuk voor betrokkene in verhouding tot het doel van de gegevensverwerking? En is het doel niet op een andere manier te bereiken, die minder nadelig is voor de betrokkene? (12) Makkelijker gezegd: heb ik andere middelen waarmee ik het doel kan bereiken? Is het antwoord hierop positief, dan is er geen noodzaak, zo stelt de Belgische gegevensbeschermingsautoriteit. (13) Denk hierbij ook aan kleine aanpassingen die je kunt maken. Bij cameratoezicht bijvoorbeeld kun je denken aan het uitzetten van audio of het toepassen van een kortere bewaartermijn. Een voorbeeld waarbij noodzakelijkheid uitbleef was de een oude zaak waarin een event recorder werd gebruikt ten behoeve van het coachen van vrachtwagenchauffeurs. (14) |Themadossier Cameratoezicht | Cursus Cameratoezicht & Privacy
3. Is er een ander belang dat zwaarder weegt dan het gerechtvaardigd belang?
Is de verwerking noodzakelijk, maar is er een ander belang dat zwaarder weegt? Dan is persoonsgegevensverwerking alsnog niet toegestaan. Voor een juiste afweging kijk je onder andere naar de volgende elementen: de aard van het belang, impact op de betrokkene (waarschijnlijkheid van schade, bijvoorbeeld reputatieschade, discriminatie, uitsluiting, beperking van rechten (ook niet-AVG), verlies van (carrière)kansen, financieel verlies, identiteitsdiefstal, fraude), aard van de gegevens (hoe gevoelig zijn de gegevens en wie heeft er toegang toe?), redelijke verwachting betrokkene (kan hij weten hoe de gegevens worden verwerkt?), verhouding verantwoordelijke en betrokkene (afhankelijkheidsrelatie?), aanvullende maatregelen om impact te minimaliseren (privacy verbeterende technologieën), transparantie over persoonsgegevensverwerking, optie bieden voor betrokkene om persoonsgegevens niet te verwerken). (15)
Afsluitende opmerkingen
Wil je het gerechtvaardigd belang als grondslag gebruiken? Zorg ervoor dat je dit goed kunt onderbouwen aan de hand van bovenstaande vragen en de informatie uit dit dossier. Onder de AVG heb je namelijk een verantwoordingsplicht omtrent de persoonsgegevens die je verwerkt. Zie ook het themadossier AVG: Verantwoordingsplicht. Deze onderbouwing wordt ook wel een Legitimate interest assessment genoemd (LIA).
Voorbeelden uit de praktijk
Online proctoring door universiteit
Persoonsgegevensverwerking voor promotionele doeleinden (KLNTB zaak)
Opnemen en uitzenden voetbalwedstrijden voor verhogen betrokkenheid en spelplezier (Voetbal TV)
Persoonsgegevens verwerken om zo goed mogelijk reclame te maken als gerechtvaardigd belang (Fashion ID)
Delen persoonsgegevens bij schade aan eigendom (Promusicae)
Monitoring werknemer bij verdenking fraude| Zie ook themadossier Privacy op de werkvoer
Opslaan van IP-adressen met het oog op informatiebeveiliging, waarborging goede werking online medium (Breyer)| Zie ook themadossier Informatiebeveiliging
Verder leren
Actualiteitencursus AVG
Cursus Cameratoezicht & Privacy
Voetnoten
1. https://privacy-web.nl/publicaties/wp29-publiceert-advies-06-2014-over-het-gerechtvaardigd-belang/
2. https://www.privacycompany.eu/blogpost-nl/gerechtvaardigd-belang-niet-voor-de-overheid-mag-je-dan-niet-meer-efficient-werken
3. Deze drie vragen komen naar voren in de Fashion ID uitspraak: https://privacy-web.nl/jurisprudentie/eclieuc2019629/
4. https://privacy-web.nl/publicaties/wp29-publiceert-advies-06-2014-over-het-gerechtvaardigd-belang/
5. https://privacy-web.nl/publicaties/wp29-publiceert-advies-06-2014-over-het-gerechtvaardigd-belang/
6. https://www.gegevensbeschermingsautoriteit.be/professioneel/avg/rechtsgronden/gerechtvaardigd-belang
7. https://privacy-web.nl/jurisprudentie/eclinlrvs20222173/
8. De tussenuitspraak waar het om gaat: https://privacy-web.nl/jurisprudentie/eclinlrbams20225565/
11. https://privacy-web.nl/jurisprudentie/eclieuc2019629/
(Fashion ID)
13. https://www.gegevensbeschermingsautoriteit.be/professioneel/avg/rechtsgronden/gerechtvaardigd-belang
EDPB rapporteert met kritische noot over EU-VS Data Privacy Framework
BlogAP treedt op tegen privacypraktijken kredietinformatiebureaus Experian, Focum en EDR
Nieuws-persberichtAds: Meta wants to be 'less illegal' - but much more annoying...
Nieuws-persberichtBeste LinkedIn, nieuw in jouw netwerk: de AVG
BlogEuropese privacytoezichthouders nemen guidelines aan over gerechtvaardigd belang
Nieuws-persberichtSchrems v. Meta: Grip op gevoelige gegevens en gebrekkige grondslagen
ArtikelenEDPB rapporteert met kritische noot over EU-VS Data Privacy Framework
BlogAP treedt op tegen privacypraktijken kredietinformatiebureaus Experian, Focum en EDR
Nieuws-persberichtVoetbalTV: over het wat, waarom en hoe nu verder
Achtergrond artikelenEuropese Commissie waarschuwt AP voor te strenge interpretatie AVG
Nieuws-persberichtJouw gezicht in een deepfake: hoe zit dat AVG-technisch?
Juridische artikelenBig Boss is watching you: wanneer is cameratoezicht op de werkvloer toegestaan?
Artikel
