Artikel 6 AVG geeft zes mogelijke rechtsgronden voor de verwerking van persoonsgegevens. Voor een concrete verwerking moet ten minste één daarvan daadwerkelijk van toepassing zijn. Een naam in een register zetten is onvoldoende: het doel, de noodzakelijkheid en de voorwaarden moeten kloppen met wat de organisatie doet. Toestemming is daarbij geen standaardvereiste voor alle persoonsgegevens, en een commercieel belang is evenmin automatisch een vrijbrief. Deze gids legt uit hoe u de juiste grondslag bepaalt, documenteert en opnieuw beoordeelt bij veranderingen.
Begin met het doel, niet met een keuzelijst
Omschrijf eerst welke gegevens u van wie wilt gebruiken en waarom. “Klantenbeheer” is vaak te breed: een bestelling uitvoeren, facturen bewaren en aanbiedingen versturen kunnen verschillende doelen zijn. Splits ze wanneer de juridische beoordeling verschilt. Een adres kan nodig zijn voor bezorging, terwijl dezelfde adresgegevens later voor reclame worden gebruikt. Dat het gegeven al beschikbaar is, maakt het nieuwe gebruik niet vanzelf rechtmatig.
Bepaal ook wie verantwoordelijk is voor het doel en de wezenlijke middelen. De verantwoordelijke moet de rechtsgrond vaststellen en kunnen verantwoorden. Een verwerker kan niet eigenhandig een ontbrekende grondslag bij zijn klant repareren door een andere aan te kruisen. Bekijk daarom eerst de rollen van verantwoordelijke en verwerker wanneer meerdere organisaties bij dezelfde gegevens betrokken zijn. Een contract met een leverancier is bovendien niet hetzelfde als een overeenkomst met de persoon wiens gegevens worden verwerkt.
De volledige tekst van artikel 6 AVG zegt niet dat exact één grondslag in elke situatie denkbaar mag zijn. Zij verlangt dat ten minste één wettelijke voorwaarde is vervuld. Gebruik dit niet om alle zes tegelijk als reserve te noemen. Maak vooraf duidelijk waarop u voor welk doel steunt. Bij verschillende doelen kan dezelfde gegevensset terecht onder verschillende beoordelingen vallen, bijvoorbeeld contractuele uitvoering en afzonderlijke fiscale bewaring.
Toestemming: een echte en aantoonbare keuze
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De betrokkene moet door een duidelijke actieve handeling instemmen. Een vooraf aangevinkt vakje of alleen het uitblijven van een reactie volstaat niet. Presenteer het verzoek begrijpelijk en afzonderlijk van andere zaken. Meerdere zelfstandig te onderscheiden doelen vragen voldoende afzonderlijke keuzemogelijkheden; een algemeen akkoord op alle huidige en toekomstige toepassingen is niet specifiek.
Vraag u vóór het inrichten van een toestemmingsscherm af wat er gebeurt als iemand weigert. Wanneer een niet-noodzakelijke gegevensverwerking feitelijk wordt afgedwongen om een dienst te krijgen, staat de vrije keuze onder druk. Bij werknemers speelt bovendien de afhankelijkheid van de werkgever. Gebruik toestemming daar niet als gemakkelijke oplossing voor personeelsmonitoring. Er zijn situaties waarin een werkelijk vrije keuze mogelijk is, maar die moet uit de omstandigheden blijken, inclusief het ontbreken van nadelige gevolgen bij weigering.
Artikel 7 verlangt bewijs van de toestemming en een intrekking die even eenvoudig is als het geven ervan. Leg daarom vast welke uitleg en keuzes iemand kreeg, voor welk doel en op welk moment toestemming werd gegeven. Bewaar het bewijs doelgericht; maak daarvan geen onbeperkt activiteitenlogboek. Na intrekking stopt het daarop gebaseerde gebruik. Rechtmatige verwerking vóór de intrekking wordt daardoor niet achteraf onrechtmatig. Andere werkelijk bestaande doeleinden, zoals een wettelijke bewaarplicht, vragen een eigen beoordeling en duidelijke uitleg.
Overeenkomst: noodzakelijk voor de prestatie aan de betrokkene
Artikel 6 lid 1 onder b geldt voor noodzakelijke verwerking voor een overeenkomst waarbij de betrokkene partij is. Het omvat ook noodzakelijke maatregelen vóór het sluiten daarvan, op verzoek van die persoon. Denk aan gegevens om een gevraagde offerte op te stellen of een gekocht product te bezorgen. De verwerking moet objectief nodig zijn voor die prestatie. Dat u een gegevensgebruik in algemene voorwaarden opneemt, maakt het nog niet noodzakelijk.
Een winkel kan een bezorgadres nodig hebben voor een levering. Het opbouwen van een uitgebreid advertentieprofiel is daarmee niet automatisch onderdeel van dezelfde noodzaak. Onderzoek of de overeenkomst ook zonder de aanvullende gegevens kan worden uitgevoerd. Een betere commerciële opbrengst of een handige interne werkwijze is geen zelfstandige uitbreiding van artikel 6 lid 1 onder b.
Let in zakelijke relaties op de persoon achter de gegevens. Een contract met een rechtspersoon betekent niet dat iedere contactpersoon, werknemer of bezoeker zelf contractspartij is. Voor hun gegevens kan een andere grondslag nodig zijn. Leg bij personeelsverwerkingen eveneens het onderscheid vast tussen noodzakelijke uitvoering van de arbeidsovereenkomst, wettelijke werkgeversplichten en andere doelen. Een werkrelatie maakt niet elk systeem voor beoordeling of toezicht contractueel noodzakelijk.
Wettelijke verplichting: benoem de concrete norm
Onder c moet de verwerking noodzakelijk zijn voor een wettelijke verplichting die op de verantwoordelijke rust. Die verplichting berust op toepasselijk Unierecht of lidstatelijk recht. Verwijs daarom niet alleen naar “de wet” of “compliance”, maar identificeer de bepaling, de betrokken organisatie en de gegevens die nodig zijn. Een zelf opgestelde bedrijfsregel is geen wettelijke verplichting in deze betekenis.
Een Nederlands voorbeeld is artikel 52 AWR, dat administratieplichtigen verplicht een controleerbare administratie te voeren en relevante gegevens in beginsel zeven jaar te bewaren. Deze plicht rechtvaardigt de noodzakelijke fiscale administratie, niet het bewaren van alle mogelijke persoonsgegevens in hetzelfde systeem. Het aflopen van een dienstverlening sluit zo’n wettelijke bewaarplicht niet uit. Houd wel de benodigde gegevens apart van bestanden die voor geen geldig doel meer nodig zijn.
Een verzoek van een zakelijke klant om extra gegevens te verzamelen is op zichzelf ook geen wettelijke verplichting van uw organisatie. Controleer bij uitbestede werkzaamheden op wie de wettelijke taak rust en welke rol u vervult. Daarmee voorkomt u dat een opdracht of commerciële afspraak wordt voorgesteld als een dwingend voorschrift.
Vitale belangen: bescherming van een natuurlijk persoon
Onder d kan noodzakelijke verwerking plaatsvinden om vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen. Het gaat om wezenlijke belangen, bijvoorbeeld in een acute levensbedreigende situatie. De overwegingen bij de AVG plaatsen deze grondslag vooral in omstandigheden waarin een andere rechtsgrond kennelijk niet beschikbaar is. Een belangrijk bedrijfsbelang of algemene wens om risico’s te verminderen is geen vitaal belang van een natuurlijk persoon.
Bij gezondheidsgegevens blijft artikel 9 daarnaast gelden. De uitzondering voor vitale belangen in artikel 9 lid 2 onder c verlangt dat de betrokkene fysiek of juridisch niet in staat is toestemming te geven. Een bewusteloze patiënt in een noodsituatie is een passend soort voorbeeld; een gewoon gezondheidsprogramma op de werkplek vraagt een andere analyse. Leg achteraf vast waarom de noodsituatie de gegevensverwerking noodzakelijk maakte, zonder meer medische details te registreren dan daarvoor nodig zijn.
Algemeen belang en openbaar gezag: een opgedragen taak
Onder e is noodzakelijke verwerking mogelijk voor een taak van algemeen belang of de uitoefening van openbaar gezag die aan de verantwoordelijke is opgedragen. Net als bij een wettelijke verplichting moet er een basis in Unierecht of lidstatelijk recht zijn. Het doel en de omvang van die taak begrenzen de gegevensverwerking. Een organisatie kan dus niet uitsluitend zelf besluiten dat haar initiatief maatschappelijk nuttig is en daarmee deze grondslag creëren.
De aard van de taak is belangrijker dan alleen de publieke of private vorm van de organisatie. Een private organisatie kan een wettelijk opgedragen publieke taak hebben. Omgekeerd vallen niet alle verwerkingen van iedere overheidsorganisatie onder één algemene taakomschrijving. Controleer ook eerst of de AVG van toepassing is: bepaalde verwerkingen voor strafrechtelijke handhaving kennen een afzonderlijk wettelijk regime. Een voorbeeld uit politiewetgeving is daarom niet zonder meer een voorbeeld van artikel 6 AVG.
Gerechtvaardigd belang: drie voorwaarden samen
Onder f moet u eerst een concreet gerechtvaardigd belang van de verantwoordelijke of een derde vaststellen. Vervolgens moet de verwerking voor dat belang noodzakelijk zijn. Ten slotte mogen de belangen of fundamentele rechten en vrijheden van de betrokkene niet zwaarder wegen. Kinderen verdienen daarbij bijzondere aandacht. Voor overheidsinstanties is deze grondslag niet beschikbaar bij verwerking in het kader van de uitoefening van hun taken.
Beschrijf het belang nauwkeurig, zoals bescherming tegen een bepaalde vorm van fraude. Onderzoek daarna alternatieven: kunt u hetzelfde resultaat redelijkerwijs even effectief bereiken met minder gegevens, kortere bewaring of een gerichtere controle? Bekijk vervolgens de gevolgen, de relatie met betrokkenen, hun redelijke verwachtingen en kwetsbaarheid. Een technisch beveiligde verwerking kan nog steeds onverwacht of te ingrijpend zijn. Waarborgen verbeteren de beoordeling, maar maken een onnodige verwerking niet noodzakelijk.
Stel bijvoorbeeld dat een organisatie toegangslogs wil gebruiken om onbevoegde toegang tot dossiers te onderzoeken. Een gerichte analyse bij concrete signalen kan anders uitpakken dan voortdurend alle medewerkers rangschikken op activiteit. Leg doel, gegevensomvang en gebruiksbeperkingen afzonderlijk vast. Daarmee wordt zichtbaar welke maatregel bij het beveiligingsbelang past en welke feitelijk een ander doel dient.
Wat het KNLTB-arrest over commerciële belangen zegt
In C-621/22, KNLTB tegen de Autoriteit Persoonsgegevens, van 4 oktober 2024 verduidelijkte het Hof dat een commercieel belang niet als categorie is uitgesloten. Het hoeft niet afzonderlijk in een wet te zijn vastgelegd, maar moet rechtmatig zijn. Dat is pas de eerste stap. De noodzakelijkheid en afweging blijven vereist, ook bij betaalde verstrekking van ledengegevens aan sponsors.
Het Hof wees onder meer op minder ingrijpende mogelijkheden, redelijke verwachtingen en mogelijke nadelige gevolgen van de verstrekking. Het liet de beoordeling van de concrete voorwaarden aan de verwijzende rechter. Het arrest is dus geen algemene goedkeuring voor verkoop van ledenbestanden en geen bevestiging van een Franse CNIL-boete. Gebruik de uitspraak om de toets correct op te bouwen, zonder daaruit een niet-onderzochte actuele nationale procesuitkomst af te leiden.
Cookies en marketing vragen een aanvullende toets
Een AVG-grondslag vervangt de Telecommunicatiewet niet. Artikel 11.7a stelt eisen aan opslag van of toegang tot informatie op apparatuur. Er bestaan uitzonderingen, waaronder strikt noodzakelijke opslag voor een gevraagde dienst en bepaalde metingen van de kwaliteit of effectiviteit van een geleverde dienst met geen of geringe gevolgen voor de persoonlijke levenssfeer. Niet iedere analytische cookie is dus automatisch toestemmingsplichtig of automatisch vrijgesteld; de concrete werking bepaalt of de uitzondering past.
Voor tracking buiten de wettelijke uitzonderingen is voorafgaande toestemming nodig. Een beroep op gerechtvaardigd belang voor persoonsgegevens omzeilt die toestelregel niet. Andersom betekent een cookie-uitzondering niet dat alle verdere verwerking van persoonsgegevens buiten de AVG valt. Houd de vragen uit elkaar: mag de technologie informatie opslaan of uitlezen, en op welke grondslag worden eventuele persoonsgegevens vervolgens gebruikt? Zie daarvoor de uitleg over AVG-toestemming voor cookies.
Bij elektronische reclame geldt daarnaast artikel 11.7. De bestaande-klantuitzondering kent voorwaarden, waaronder verkregen contactgegevens bij een verkoop, eigen gelijksoortige producten of diensten en een kosteloze, gemakkelijke afmelding bij verzameling en iedere boodschap. Er bestaan ook andere wettelijke branches en uitzonderingen. Een geslaagde AVG-belangenafweging is op zichzelf geen toestemming om ieder adres te mailen. Beoordeel direct marketing daarom zowel op grondslag als op de toepasselijke communicatieregels.
Bijzondere gegevens, strafrechtelijke gegevens en BSN
Voor gezondheidsgegevens en andere categorieën uit artikel 9 is artikel 6 noodzakelijk maar niet voldoende. Er moet ook een toepasselijke uitzondering op het verwerkingsverbod bestaan, met alle bijbehorende voorwaarden. Biometrische gegevens vallen onder dit verbod wanneer zij met het oog op unieke identificatie worden verwerkt. Een gewone foto is niet uitsluitend door haar bestandsvorm een biometrisch identificatiemiddel.
Strafrechtelijke gegevens volgen artikel 10: verwerking onder toezicht van de overheid of een passende wettelijke toelating met waarborgen. De Uitvoeringswet AVG werkt verschillende nationale mogelijkheden uit. Zij is geen vrijbrief om met een algemene verwijzing naar “artikel 6 en de UAVG” medische dossiers of strafrechtelijke informatie te verzamelen. Beoordeel de categorie en toepasselijke uitzondering voordat u het systeem inricht. Het BSN heeft onder artikel 46 UAVG weer een eigen regeling voor wettelijk bepaalde doeleinden; gewone toestemming vervangt die niet.
Een ander doel en een andere grondslag
Artikel 6 lid 4 regelt de beoordeling van verdere verwerking voor een ander doel wanneer deze niet berust op toestemming of een wettelijke maatregel die noodzakelijk en evenredig is voor een doelstelling van artikel 23 lid 1, zoals de daarin bedoelde bescherming van openbare veiligheid of rechten van anderen. Bekijk de samenhang tussen doelen, de verzamelcontext en relatie, de aard van gegevens, mogelijke gevolgen en waarborgen zoals pseudonimisering. Verenigbaar verder gebruik vereist niet altijd een afzonderlijke nieuwe rechtsgrond, maar blijft aan de AVG gebonden. Onverenigbaar gebruik wordt niet vanzelf toegestaan door achteraf een ander vakje te kiezen.
Bij toestemming is extra zorg nodig. De definitieve EDPB-richtsnoeren 05/2020 waarschuwen tegen achteraf overschakelen naar gerechtvaardigd belang om ongeldige toestemming te repareren. Respecteer ook intrekking voor het betreffende doel. Een afzonderlijke wettelijke bewaring kan blijven bestaan, maar moet als zodanig zijn onderbouwd en uitgelegd. Een nieuwe tekst in de privacyverklaring maakt eerdere onrechtmatige verwerking niet met terugwerkende kracht rechtmatig.
Documentatie en gevolgen voor rechten
Leg per doel vast welke grondslag geldt en welke feiten de keuze dragen. Koppel de onderbouwing aan het verwerkingsregister. Artikel 30 noemt de grondslag niet als zelfstandig verplicht registerveld; opname is een nuttige manier om samenhang te bewaken. Artikelen 13 en 14 verlangen informatie over doeleinden en rechtsgrond, en bij gerechtvaardigd belang ook over dat belang. Een leesbare privacyverklaring en een uitgebreidere interne beoordeling vervullen daarmee verschillende functies.
De keuze heeft praktische gevolgen. Toestemming moet kunnen worden ingetrokken. Bij artikel 6 onder e of f kan iemand wegens zijn bijzondere situatie bezwaar maken; voortzetting vergt de daarvoor geldende zwaarwegende rechtvaardiging of rechtsvorderingsgrond. Voor direct marketing leidt bezwaar tot beëindiging van dat gebruik, inclusief daarmee samenhangende profilering. Het recht op dataportabiliteit geldt onder zijn eigen voorwaarden bij geautomatiseerde verwerking op toestemming of overeenkomst. Een organisatie kan deze gevolgen niet vermijden door haar feitelijke doel anders te benoemen.
Een onjuiste grondslag vraagt eerst om herstel van de verwerking: stop onrechtmatig gebruik, onderzoek wat met bestaande gegevens moet gebeuren en verbeter informatie en besluitvorming. Er is geen automatische standaardboete voor iedere verkeerde keuze. Artikel 83 kent een beoordeling van de omstandigheden en wettelijke maxima; voor de basisbeginselen kan het hoogste niveau gelden. Wie AP-handhavingszaken vergelijkt, moet grondslagschendingen onderscheiden van beveiliging, meldplichten en internationale doorgiften. De bredere beginselen van artikel 5 blijven naast artikel 6 gelden: een geldige grondslag maakt overmatige, onjuiste of te lang bewaarde gegevens niet geoorloofd.