Welke grondslagen staan er in de AVG?
De AVG kent de volgende grondslagen voor een rechtmatige verwerking van persoonsgegevens (artikel 6):
- Er is toestemming van de persoon om wie het gaat (de betrokkene);
- De verwerking is noodzakelijk om een overeenkomst uit te voeren, waarbij de betrokkene partij is;
- De verwerking is noodzakelijk omdat dit wettelijk verplicht is;
- De verwerking is noodzakelijk om de vitale belangen van de betrokkene of andere natuurlijke personen te beschermen;
- Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang of openbaar gezag uit te oefenen;
- De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde.
Toestemming
Een verwerking van persoonsgegevens kan rechtmatig zijn wanneer er toestemming is gegeven door de betrokkene. Dat is degene wiens persoonsgegevens verwerkt worden. De toestemming moet aan een aantal voorwaarden voldoen (artikel 7 AVG). De AVG verbindt strenge voorwaarden aan het gebruik van de grondslag toestemming. Als decentrale overheid moet u goed kunnen onderbouwen waarom er voor een bepaalde grondslag is gekozen. Tevens is opgenomen bij de grondslag gerechtvaardigde belangen dat overheidsinstanties zich hier niet op mogen beroepen in het kader van de uitoefening van hun taken. Het is namelijk aan de wetgever om de rechtsgrond te bepalen voor de verwerking van persoonsgegevens door overheidsinstanties.
De toestemming van de betrokkene dient vrijelijk te worden gegeven door middel van een duidelijke actieve handeling. Dit kan bijvoorbeeld met een schriftelijke verklaring, elektronische middelen of een mondelinge verklaring. Hieruit moet blijken dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt (overweging 32 Preambule AVG).
Het verzoek om toestemming moet in een eenvoudige en begrijpbare taal worden aangeboden. Daaruit moet duidelijk blijken waar de toestemming precies voor wordt gegeven. Welke persoonsgegevens worden verzameld? En voor welke doelen worden deze verwerkt?
Wanneer er meerdere doelen zijn voor de verwerking van de persoonsgegevens moet voor elk van deze verwerkingsdoelen specifiek toestemming gegeven worden.
Geen sprake van vrijelijke toestemming
In overweging 43 AVG staat dat er geen sprake kan zijn van vrijelijk gegeven toestemming wanneer er sprake is van een duidelijke ‘wanverhouding’ tussen de betrokkene en de organisatie. Aangegeven wordt dat hier met name sprake van kan zijn indien de verwerkingsverantwoordelijke een overheidsinstantie is. Door afhankelijkheid als gevolg van de relatie tussen een overheidsinstantie en betrokkene, is het onwaarschijnlijk dat de betrokkene zijn toestemming voor gegevensverwerking zou kunnen onthouden zonder angst of reële dreiging van nadelige gevolgen bij een weigering. Hierdoor is er geen sprake van vrijelijk toestemming.
Indien decentrale overheden zich op de grondslag toestemming willen beroepen, dienen zij zich bewust te zijn van hun hoedanigheid als overheid of als bedrijfsorganisatie. Bij verwerking en in het sociaal domein is de wanverhouding bijvoorbeeld duidelijker aanwezig dan bij het vragen van toestemming voor het verzenden van een nieuwsbrief.
Voorbeeld van vrijelijke toestemming
Bij het geven van vrijelijke toestemming kunt u bijvoorbeeld denken aan het aanklikken van een vakje bij een bezoek aan een internetwebsite of het selecteren van technische instellingen voor diensten. Uit de handeling moet duidelijk blijken dat de betrokkene instemt met de voorgestelde verwerking van persoonsgegevens. De vakjes moeten bijvoorbeeld actief worden aangevinkt. Een vooraf aangevinkt vakje, die iemand zelf uit moet zetten als zij daar geen toestemming voor willen geven, is niet toegestaan.
Bewijs van toestemming
De verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van de persoonsgegevens (artikel 7 AVG).
Daarnaast is het belangrijk om te weten dat de betrokkene de toestemming ieder moment mag intrekken. Dit moet even makkelijk zijn als het geven van de toestemming.
Overeenkomst
Een van die grondslagen in de AVG is dat het noodzakelijk is om persoonsgegevens te verwerken om een overeenkomst uit te voeren. Dit houdt het volgende in:
- Een decentrale overheid mag zich op deze grondslag baseren als er sprake is van een overeenkomst met iemand en hiervoor het verwerken van persoonsgegevens noodzakelijk is.
- De overeenkomst zelf mag niet gericht zijn op het verwerken van persoonsgegevens, maar moet een ander doel hebben.
- Deze grondslag geldt ook voor een fase voordat er een overeenkomst wordt afgesloten, bijvoorbeeld als u op verzoek een offerte opstelt.
Wettelijke verplichting
In sommige gevallen is het verwerken van persoonsgegevens noodzakelijk om aan een wettelijke verplichting te voldoen. Dit is bijvoorbeeld het geval wanneer er sprake is van een bevel van de politie om bepaalde persoonsgegevens aan de politie te verstrekken. Of als er gegevens worden verstrekt voor de uitvoering van de belastingwetgeving.
Het hoeft niet expliciet in de wet te staan dat u persoonsgegevens moet verwerken om een specifieke taak uit te voeren. Soms is de verplichting in de wet namelijk ruimer geformuleerd. Het is dan aan de decentrale overheid om te bepalen of het verwerken van persoonsgegevens noodzakelijk is om aan deze verplichting te voldoen.
Vitaal belang van de betrokkene
Deze grondslag is niet van belang voor decentrale overheden. Een vitaal belang is aan de orde als het over een belang gaat dat essentieel is voor iemands leven of gezondheid en die persoon niet om toestemming voor het verwerken van zijn gegevens kan worden gevraagd.
Algemeen belang
Is de verwerking noodzakelijk om een publieke taak uit te oefenen voor het algemeen belang of openbaar gezag? Dan kunt u zich op deze grondslag baseren. Het gaat daarbij om taken die in de wet zijn vastgelegd en die relevant zijn voor uw decentrale overheid. Het moet voor mensen ook duidelijk zijn dat u hun persoonsgegevens verwerkt om die specifieke wettelijke taak uit te oefenen.
Daarnaast moet de verwerking van de persoonsgegevens noodzakelijk zijn om uw publieke taak goed te kunnen vervullen. Dit is bijvoorbeeld het geval wanneer een gemeente cameratoezicht inzet op openbare plaatsen voor de openbare veiligheid.
Eigen gerechtvaardigd belang
Om uw verwerking te mogen baseren op de grondslag ‘noodzakelijk voor de behartiging van een gerechtvaardigd belang’, moet er zijn voldaan aan drie voorwaarden . Hiermee toetst u of uw recht om persoonsgegevens te verwerken (omdat u een gerechtvaardigd belang heeft om dit te doen) zwaarder weegt dan iemands recht op privacy.
De 3 voorwaarden zijn:
- U heeft daadwerkelijk een gerechtvaardigd belang. Niet elk belang kwalificeert als een gerechtvaardigd belang.
- De verwerking is noodzakelijk om dit belang te behartigen.
- U heeft een afweging gemaakt tussen uw belangen en die van de betrokkenen.
