Verbiedt de privacywet (AVG) gegevensverwerking óf biedt de AVG juist mogelijkheden tot verwerking?

Gerechtvaardigd belang als verwerkingsgrondslag

Met enige regelmaat hoor ik ondernemers dat de Algemene verordening gegevensbescherming (AVG) het verbiedt om persoonsgegevens te verwerken.
Opmerkelijk want het tegenovergestelde is waar: de AVG biedt mogelijkheid tot verwerking van persoonsgegevens, maar het stelt kaders.

Verwerking van persoonsgegevens is in essentie onrechtmatig: het maakt namelijk inbreuk op de fundamentele rechten en vrijheden van degene van wie
gegevens verwerkt worden. De AVG biedt zes grondslagen voor een rechtmatige verwerking van persoonsgegevens. Anders gezegd: de AVG creëert mogelijkheden om rechtvaardig inbreuk te maken op de fundamentele rechten en vrijheden van het individu.

Vijf van die grondslagen zijn concreet en vier hebben een specifiek verwerkingsdoel: denk aan uitvoering van een overeenkomst of wettelijke verplichting. Gerechtvaardigd belang daarentegen is anders, het heeft geen specifiek verwerkingsdoel, is subjectief en lijkt flexibel. Wat is een
gerechtvaardigd belang eigenlijk?

Gerechtvaardigd belang?

Gerechtvaardigd belang kan gebruikt worden als andere grondslagen niet toepasbaar zijn of wanneer gerechtvaardigd belang simpelweg beter past bij de situatie. Maar wanneer is een belang gerechtvaardigd? Het antwoord op die vraag vraagt om een belangenafweging. Een afweging tussen enerzijds het belang van degene die persoonsgegevens wil verwerken en anderzijds het belang en de fundamentele rechten en vrijheden van het individu. De uitkomst van de belangenafweging bepaalt grotendeels of het belang wel of niet gerechtvaardigd is. 

Hoe maak je een belangenafweging? 

Bij een belangenafweging staan drie cumulatieve voorwaarden centraal:

1. 1. Gerechtvaardigd belang; 
   2. Noodzaak van de verwerking;
   3. Belangenafweging. 

1. Gerechtvaardigd belang

De eerste voorwaarde is dat het belang zich ontleent aan een (geschreven of ongeschreven) rechtsregel of rechtsbeginsel. Daarnaast moet het belang concreet, rechtstreeks en specifiek zijn. Dus niet vaag, speculatief of toekomstig. Voorbeelden van belangen die kwalificeren als rechtvaardig zijn: voorkomen van fraude, oplichting of bescherming van de privésfeer.

2. Noodzakelijkheid van de verwerking

Naast de kwalificatie van gerechtvaardigd belang, moet de beoogde verwerking noodzakelijk zijn. Bij de noodzakelijkheidstoets wordt de verwerking getoetst aan de eis van proportionaliteit en subsidiariteit. Anders gezegd: kan het verwerkingsdoel op een andere manier gerealiseerd worden? Een manier die minder inbreuk maakt op de fundamentele rechten en vrijheden van het individu.

3. Afweging van belangen

Als de vorige twee voorwaarden succesvol zijn beargumenteerd volgt een belangenafweging, waarbij onderstaand criteria als leidraad dienen:

• Wat zijn de gevolgen voor het individu?;
• Wat zijn de maatregelen die worden genomen om ongewenste gevolgen voor het individu te voorkomen of te beperken?; 
• Wat is de gradatie van de inbreuk op het grondrecht van het individu?;
• In welke mate verwacht het individu de verwerking?

Blijkt na zorgvuldige afweging dat het belang van het individu niet zwaarder weegt dan het verwerkingsbelang, dan kan de verwerking rechtmatig plaatsvinden. Weegt daarentegen het belang van het individu zwaarder, dan kan de verwerking niet rechtmatig plaatsvinden. Vergeet overigens niet:

• een Data Privacy Impact Assessment (DPIA) uit te voeren wanneer de verwerking een hoog risico is, én
• de grondslag met verwerkingsdoel te melden in de privacyverklaring.   

Concluderend: maak gebruik van het kader dat de AVG biedt: vaak is er meer mogelijk dan gedacht.

Auteur: Sander van der Smit