Wanneer mag ik persoonsgegevens verwerken?

Zes gronden, en toestemming is er maar één van

Persoonsgegevens verwerken mag op het moment dat een van de zes gronden uit artikel 6 AVG van toepassing is. Toestemming is de bekendste grond, maar niet de enige en in de praktijk vaak niet de meest voor de hand liggende: een verwerking kan ook rechtmatig zijn omdat die nodig is voor de uitvoering van een overeenkomst, omdat er een wettelijke verplichting achter zit, om een vitaal belang te beschermen, voor de vervulling van een taak van algemeen belang, of omdat een gerechtvaardigd belang van de organisatie zwaarder weegt dan het belang van de betrokkene om niet verwerkt te worden.

Bij een webshop of dienstverlener komen meestal drie van die gronden terug: de overeenkomst (een klant bestelt iets, en de gegevens zijn nodig om te kunnen leveren), de wettelijke verplichting (een factuur die op grond van de fiscale regels bewaard moet blijven), en het gerechtvaardigd belang (bijvoorbeeld beveiliging van de website, of een nieuwsbrief aan bestaande klanten). Toestemming komt in beeld zodra geen van de andere gronden opgaat, zoals bij marketing aan mensen die nog geen klant zijn — waarbij voor die toestemming geldt dat ze specifiek, vrij gegeven en aantoonbaar moet zijn.

Dit staat in artikel 6 van de AVG

Artikel 6, eerste lid, van de AVG somt de zes gronden op onder de letters a tot en met f; welke grond bij een concrete verwerking past, volgt uit de aard van die verwerking zelf en niet uit een keuze die daarvóór al vaststaat. De Autoriteit Persoonsgegevens geeft op haar website nadere duiding bij de toepassing van deze gronden in de praktijk.