Veel organisaties maken gebruik van persoonsgegevens. Het gaat dan om gegevens die herleidbaar zijn naar natuurlijke personen. Het gebruik van persoonsgegevens is aan strenge Europese wet- en regelgeving gebonden die in de zogeheten Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) te vinden is. In deze blog focus ik mij op de basis bij het gebruik van persoonsgegevens, dus de AVG. Mijn tweede blog zal in het teken staan van de rechtsgrondslag “gerechtvaardigd belang”. In deze blog schets ik een inleiding waarna ik in binnenkort nog te verschijnen blogs dieper op de materie zal ingaan.
De verschillende rechtsgrondslagen
In het gegevensbeschermingsrecht zijn er 6 grondslagen waar een verwerkingsverantwoordelijke organisatie zich op kan baseren. Deze grondslagen staan, hoe ironisch dan ook, in art. 6 lid 1 AVG.
“Artikel 6
Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a)de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b)de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c)de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d)de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e)de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f)de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
De grondslag onder a is de toestemming van de betrokkene. Die dient ondubbelzinnig, dus expliciet, voor een of meerdere specifieke doeleinden, door de betrokkene zelf of diens wettelijke vertegenwoordiger in geval van minderjarigheid of onder curatelestelling gegeven te worden. Maar het is voor een verwerking van persoonsgegevens niet altijd wenselijk om altijd die toestemming van de betrokkene te moeten vragen. Een groot misverstand onder niet-juristen is dat je alleen persoonsgegevens mag gebruiken bij toestemming. Dat is absoluut niet het geval! Er zijn meer grondslagen waarop het mogelijk is persoonsgegevens te verwerken.
Onder d staat bijvoorbeeld een grondslag indien het niet mogelijk is van de betrokkene toestemming te krijgen. Dat is een vitaal belang maar hier moet volgens vaste rechtspraak van het Hof van Justitie van de EU zeer beperkt mee om worden gegaan. Het gaat hier bijvoorbeeld echt alleen om de persoon die op straat een hartaanval krijgt en niet meer aanspreekbaar is. Hulpdiensten moeten wel weten wie hij of zij is, om het medisch dossier op te vragen (mogelijke oorzaak hartaanval en medische bijzonderheden) en om de familie te informeren. Het belangrijkste is dan natuurlijk een leven te redden en de AVG mag dat niet belemmeren is de gedachte.
Vervolgens is de grondslag onder b ook belangrijk. Het gaat dan om de persoonsgegevens die je als verwerkingsverantwoordelijke organisatie mag gebruiken om een contract met iemand aan te gaan, uit te voeren of te beëindigen. Het gaat hier dan wel alleen om informatie die strikt noodzakelijk hiervoor is. Als een uitgeverij met een klant een overeenkomst tot levering van een papieren magazine tegen betaling door die klant afsluit is de bankrekening en de tenaamstelling van de klant noodzakelijk. Anders kan de automatische incasso niet worden uitgevoerd, indien de klant dat wenst. Ook het adres is noodzakelijk want een papieren magazine moet ergens naartoe. Maar de vraag is of het e-mailadres van de klant op de b-grond gebaseerd kan worden. Het gaat immers niet om een online levering. En de social media gegevens van de klant kunnen in dit geval al helemaal niet onder b-grond vallen.
De grondslagen onder c en e zijn rechtsgronden die met name van toepassing zijn voor overheidsorganen. Het gaat om wettelijke verplichtingen en algemene belangen die nauwelijks in het privaatrecht voorkomen. Daarnaast mogen overheidsorganen immers bij de uitoefening van hun overheidstaken de f-grond niet gebruiken. En juist over die f-grond gaat deze blog.
Het gerechtvaardigde belang van uw organisatie om persoonsgegevens te gebruiken
In veel van de hiervoor genoemde gevallen is er een grondslag die slechts beperkt gebruikt kan worden. De persoon die geen toestemming kan geven omdat hij een hartaanval heeft (vitaal belang), de klant met een papieren magazine (uitvoering van de overeenkomst), wettelijke plichten die alleen op overheidsorganen kunnen rusten en het vragen van toestemming aan de betrokkene. Veel organisaties in het privaatrecht zouden indien de grondslag gerechtvaardigd belang ex. art. 6 lid 1 sub f AVG niet zou bestaan slechts heel beperkt persoonsgegevens mogen verwerken. Dat is niet wenselijk voor ons vrije handelsverkeer en ook niet in het licht van art. 16 van het EU-Werkingsverdrag (VWEU). Dat artikel zegt kortgezegd dat eenieder recht heeft op bescherming van persoonsgegevens maar gebruik van persoonsgegevens in gevallen waarin de wet dat toestaat wel mogelijk moeten zijn. Daarnaast moeten persoonsgegevens binnen de EU ook vrij kunnen worden gebruikt en sluit art. 16 VWEU aan op het vrij verkeer van personen, goederen, diensten en kapitaal in onze EU. Daarom is de rechtsgrondslag gerechtvaardigd belang ex. art. 6 lid 1 sub f AVG privaatrechtelijke een belangrijke grondslag.
Slot
Heeft u naar aanleiding van deze blog vragen of heeft een andere vraag met betrekking tot de AVG, dan vernemen wij dat graag. Wij zijn te bereiken:
via onze contactpagina
per e-mail
per telefoon
Wij houden kantoor in Hoofddorp onder de rook van Schiphol, maar werken landelijk.