Wanneer mag ik persoonsgegevens verwerken?

Toestemming is maar één van zes gronden

Persoonsgegevens verwerken mag op zes verschillende gronden, en toestemming is daarvan maar één. De AVG noemt naast toestemming: de uitvoering van een overeenkomst, het nakomen van een wettelijke verplichting, de bescherming van een vitaal belang, de vervulling van een taak van algemeen belang of openbaar gezag, en het gerechtvaardigd belang van de organisatie of een derde. Voor elke verwerking geldt dat er precies één van deze gronden op van toepassing is — niet zes tegelijk, en niet naar keuze de "makkelijkste".

In de praktijk van het MKB en zzp komen vooral drie gronden terug. Klantgegevens die nodig zijn om een bestelling te leveren of een factuur te versturen, vallen doorgaans onder de overeenkomst. Het bijhouden van een salarisadministratie of het bewaren van facturen voor de fiscus loopt via de wettelijke verplichting. Nieuwsbrieven, marketingmails aan mensen die geen klant zijn, en het plaatsen van tracking-cookies vragen meestal om toestemming — vooraf gegeven, specifiek, en net zo makkelijk in te trekken als te geven. Gerechtvaardigd belang is de grond die het vaakst wordt aangehaald zonder dat er goed over is nagedacht; die grond vraagt om een afweging tussen het belang van de organisatie en de belangen van de betrokkene, en die afweging staat idealiter op papier.

Waar dat staat: artikel 6 AVG

De zes gronden staan opgesomd in artikel 6, eerste lid, van de AVG. Dat artikel is de kern van elke verwerking: zonder een grond uit deze lijst is verwerken niet toegestaan, hoe goed de bedoeling ook is. De Autoriteit Persoonsgegevens licht op haar website toe hoe deze gronden in de praktijk worden beoordeeld, met voorbeelden per sector. Voor bijzondere categorieën van gegevens — gezondheid, ras, vakbondslidmaatschap en dergelijke — gelden aanvullende, strengere voorwaarden uit artikel 9 van de AVG, die niet in deze zes gronden zijn opgenomen.