Bijzondere persoonsgegevens mogen onder de AVG in beginsel niet worden verwerkt. Voor bijvoorbeeld gezondheidsgegevens, politieke opvattingen en biometrische identificatie heeft een organisatie een uitzondering op artikel 9 nodig. Daarnaast blijft een grondslag uit artikel 6 vereist. In Nederland kunnen de UAVG en sectorwetten de toepasselijke uitzondering invullen of aanvullende voorwaarden stellen. Een algemeen bedrijfsbelang of een beveiligingsmaatregel vervangt die juridische toets niet.
Deze uitleg helpt u bepalen welke gegevens onder het verbod vallen, welke uitzondering bij uw activiteit past en hoe u de toegestane verwerking begrenst. Strafrechtelijke gegevens en het burgerservicenummer krijgen een afzonderlijke behandeling: daarvoor gelden eigen regels, hoewel ze in de praktijk vaak naast bijzondere persoonsgegevens in hetzelfde dossier staan.
Welke persoonsgegevens vallen onder artikel 9?
Artikel 9 AVG noemt gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of vakbondslidmaatschap blijken. Ook genetische gegevens, gezondheidsgegevens, gegevens over seksueel gedrag of seksuele gerichtheid en biometrische gegevens voor unieke identificatie vallen eronder. De lijst is wettelijk bepaald; een organisatie kan een categorie niet buiten het artikel plaatsen door deze administratief of commercieel te noemen.
Gezondheidsgegevens omvatten meer dan diagnoses. Een medische afspraak, een bepaalde behandeling of een geregistreerde beperking kan iets over de gezondheid onthullen. Niet iedere afspraak of sportprestatie is daarmee automatisch een medisch gegeven: inhoud, context en de informatie die eruit blijkt, zijn bepalend. Een klantenprofiel dat aan iemand een waarschijnlijke aandoening toeschrijft, vraagt dus een andere beoordeling dan een algemene voorkeur voor sportartikelen.
Voor biometrie is de unieke identificatie belangrijk. Een gewone foto wordt niet uitsluitend doordat er een gezicht op staat een biometrisch identificatiemiddel. Dat verandert wanneer specifieke technische verwerking wordt gebruikt om iemand uniek te herkennen of diens identiteit te bevestigen. Een foto kan ondertussen wel andere bijzondere informatie onthullen. De conclusie dat een afbeelding geen biometrisch gegeven is, beëindigt daarom niet altijd de toets aan artikel 9.
Ook indirect onthulde informatie kan meetellen. In C-184/20, arrest van 1 augustus 2022, beoordeelde het Hof de publicatie van belangenverklaringen met partnergegevens waaruit seksuele gerichtheid kon worden afgeleid. Het beschermingsregime kon niet worden omzeild doordat de gevoelige informatie indirect zichtbaar werd. Daaruit volgt geen automatisme dat ieder koorlid een bepaalde religie heeft. Beoordeel wat de concrete gegevens werkelijk onthullen en welke gevolgtrekkingen uw verwerking mogelijk maakt.
Twee juridische toetsen: grondslag én uitzondering
Begin met het concrete doel: welke handeling wilt u verrichten, voor wie en waarom? De grondslagen van artikel 6 AVG bepalen of persoonsgegevens voor dat doel mogen worden verwerkt. Vervolgens moet voor bijzondere categorieën een passende uitzondering uit artikel 9 lid 2 gelden. De voorwaarden moeten tegelijk worden vervuld. De ene toets hoeft niet administratief eerder plaats te vinden dan de andere.
Een gerechtvaardigd belang kan bijvoorbeeld een grondslag voor een noodzakelijke verwerking zijn, maar doorbreekt het verbod van artikel 9 niet zelfstandig. Ook een overeenkomst die een organisatie zelf breed formuleert, schept geen uitzondering voor alle gezondheidsgegevens die handig zouden zijn. Omgekeerd betekent de aanwezigheid van een zorguitzondering niet dat iedere ontvanger alle informatie uit een patiëntendossier mag krijgen.
De UAVG, artikelen 22 tot en met 30, werkt verschillende Nederlandse uitzonderingen en beperkingen uit. Niet iedere toepassing van artikel 9 vereist nog een afzonderlijke nationale uitzondering boven op een rechtstreeks toepasselijke AVG-uitzondering. Sommige routes vereisen juist een wettelijke basis of andere specifiek genoemde rechtsbron. Controleer daarom de gekozen route en eventuele aanvullende nationale voorwaarden, in plaats van standaard twee willekeurige artikelnummers te verzamelen.
Ook na beide toetsen blijven de beginselen van artikel 5 AVG gelden. Verzamel alleen noodzakelijke gegevens, informeer betrokkenen en beperk gebruik en bewaartermijn. Een rechtmatige opname in een medisch dossier is bijvoorbeeld geen algemene toestemming om datzelfde dossier voor reclame of personeelsselectie te gebruiken.
De tien uitzonderingen en hun grenzen
Uitdrukkelijke toestemming vereist een duidelijke verklaring voor specifieke doeleinden. De organisatie moet die toestemming kunnen aantonen. Een vooraf aangevinkt vakje, zwijgen of een algemene aanvaarding van voorwaarden voldoet niet. Intrekken moet even gemakkelijk zijn als geven. Bovendien kan toepasselijk recht bepalen dat het verbod niet met toestemming mag worden opgeheven. De praktische eisen staan bij toestemming onder artikel 7.
Arbeidsrecht en sociale bescherming kunnen noodzakelijke verwerking toestaan voor specifieke rechten of verplichtingen. Artikel 9 lid 2 onder b verlangt daarvoor toelating in Unierecht, nationaal recht of een naar nationaal recht geldige collectieve overeenkomst met passende waarborgen. Een interne HR-regeling is op zichzelf onvoldoende. De Nederlandse gezondheidsuitzonderingen moeten vervolgens bij de activiteit en de betrokken organisatie passen.
Vitale belangen bieden een beperkte noodroute wanneer verwerking noodzakelijk is om de betrokkene of een andere natuurlijke persoon te beschermen en de betrokkene lichamelijk of juridisch geen toestemming kan geven. Denk aan essentiële medische informatie bij een bewusteloos slachtoffer. Deze uitzondering is geen praktische vervanging voor het organiseren van een grondslag bij voorzienbare, terugkerende dienstverlening.
Bepaalde organisaties zonder winstoogmerk mogen binnen hun gerechtvaardigde politieke, levensbeschouwelijke, religieuze of vakbondsactiviteiten gegevens verwerken met passende waarborgen. Het moet gaan om leden, voormalige leden of personen met regelmatig contact in verband met de doelstelling. Verstrekking buiten de organisatie vereist binnen deze uitzonderingsroute toestemming. Een gewone commerciële dienstverlener kan deze ledenuitzondering niet overnemen.
Kennelijk openbaar gemaakte gegevens vormen een uitzondering wanneer de betrokkene zelf de informatie duidelijk openbaar heeft gemaakt. Een gelekt dossier of een publicatie door iemand anders valt daar niet automatisch onder. Ook openbaarmaking door de persoon zelf maakt onbeperkte opslag, verdere verspreiding of nieuwe profilering niet vanzelf rechtmatig; de overige AVG-voorwaarden blijven gelden.
Rechtsvorderingen kunnen noodzakelijke verwerking rechtvaardigen voor het instellen, uitoefenen of onderbouwen van een vordering; ook gerechten bij hun rechtsprekende werkzaamheden vallen onder deze route. Een concreet letselschadegeschil kan relevante medische informatie vereisen. Dat rechtvaardigt niet zonder nadere reden het bewaren van alle medische stukken van alle klanten voor een eventueel toekomstig conflict.
Zwaarwegend algemeen belang moet zijn verankerd in Unierecht of nationaal recht. Die rechtsbasis moet evenredigheid, de wezenlijke inhoud van het recht op gegevensbescherming en passende specifieke waarborgen verzekeren. Een organisatie kan haar eigen veiligheidswens dus niet simpelweg als zwaarwegend algemeen belang aanwijzen en daarmee het verbod opheffen.
Gezondheidszorg en sociale zorg omvatten onder meer preventieve geneeskunde, arbeidsgeneeskunde, diagnostiek, behandeling en het beheer van zorgdiensten. Artikel 9 lid 2 onder h noemt Unierecht, nationaal recht of een overeenkomst met een gezondheidswerker als mogelijke basis. De geheimhoudingsvoorwaarden uit lid 3 blijven vereist. Niet ieder bedrijf dat zich met welzijn bezighoudt, is daardoor een zorgverlener onder deze uitzondering.
Volksgezondheid betreft noodzakelijke verwerking om redenen van algemeen belang, bijvoorbeeld bij ernstige grensoverschrijdende gezondheidsbedreigingen. Hiervoor is een wettelijke basis met passende specifieke bescherming nodig, waaronder bescherming van het beroepsgeheim. Het enkele feit dat gezondheidsinformatie maatschappelijk nuttig kan zijn, is onvoldoende om deze uitzondering toe te passen.
Archivering, onderzoek en statistiek kennen eveneens wettelijke voorwaarden en de waarborgen van artikel 89. Voor de Nederlandse onderzoeksroute van artikel 24 UAVG moet onder meer een algemeen belang worden gediend, toestemming onmogelijk blijken of onevenredige inspanning vergen en voldoende bescherming bestaan. Het etiket onderzoek maakt een commerciële analyse of onbeperkte hergebruikdatabase niet vanzelf toegestaan.
Gezondheidsgegevens in de Nederlandse praktijk
Artikel 30 UAVG verdeelt uitzonderingen naar doel en organisatie. Zorgverleners mogen noodzakelijke gegevens verwerken voor goede behandeling, verzorging of beheer van de praktijk. De noodzaak moet per toepassing worden beoordeeld: een medische voorgeschiedenis kan nodig zijn voor behandeling, terwijl de facturatie slechts een beperkt deel van de informatie vereist. Werk de toegang van medische en administratieve functies daarom afzonderlijk uit.
Dat onderscheid is relevant voor zowel huisartsenpraktijken als apotheken. Een leverancier die een dossiersysteem beheert, krijgt door zijn technische rol geen zelfstandig recht om patiëntgegevens voor eigen analyses te gebruiken. Bepaal welke partij doelen en middelen vaststelt, welke partij uitsluitend in opdracht werkt en welke gegevens iedere partij daadwerkelijk nodig heeft.
Bij werkgevers staat noodzakelijke verwerking voor wettelijke aanspraken, begeleiding en re-integratie centraal. Het verbod is dus niet dat een werkgever nooit enig gezondheidsgegeven mag verwerken. Wel zijn diagnoses en oorzaken van ziekte in de normale verzuimadministratie niet nodig. De AP-uitleg over zieke werknemers onderscheidt noodzakelijke werkgerelateerde informatie van medische details. De bedrijfsarts kan bijvoorbeeld relevante informatie over belastbaarheid geven zonder de diagnose door te sturen.
Een werknemer die spontaan vertelt welke aandoening hij heeft, verleent daarmee geen algemene bevoegdheid om dit in HR-software vast te leggen. Toestemming in een afhankelijkheidsrelatie is bovendien doorgaans problematisch. Bespreek noodzakelijke werkafspraken, scheid medische beoordeling van personeelsadministratie en beperk interne verspreiding. De verdere taakverdeling staat in de uitleg over personeelsgegevens en werkgevers.
Ook buiten werkgevers en zorginstellingen moeten uitzonderingen precies worden gekozen. Artikel 30 kent bijvoorbeeld een specifieke schooluitzondering voor noodzakelijke begeleiding of voorzieningen. Een kinderopvang kan zich niet uitsluitend vanwege contact met kinderen als school op die bepaling beroepen. Bij allergieën en andere gegevens in de kinderopvang moet de gekozen route passen bij de eigen dienstverlening. Registreer waar mogelijk de noodzakelijke handelingsinstructie zonder een onnodig breed medisch dossier op te bouwen.
Biometrie: beveiliging vraagt een echte noodzaak
Artikel 29 UAVG kent een uitzondering voor noodzakelijke biometrische authenticatie of beveiliging. De actuele bepaling verlangt tevens noodzaak wegens een zwaarwegend algemeen belang van rechtmatige toegang tot de genoemde plaatsen, gebouwen, diensten, producten of systemen. Een beroep op gemak, snelheid of minder verloren toegangspassen volstaat daarom niet als onderbouwing.
Vergelijk eerst het risico en de beschikbare alternatieven. Kan een persoonlijke pas met een aanvullende controle hetzelfde beveiligingsdoel bereiken? Welke schade ontstaat bij misbruik, en waarom zou die minder ingrijpende aanpak onvoldoende zijn? Leg de uitkomst vast voordat u vingerafdrukken of gezichtssjablonen verzamelt. Dat een leverancier zijn oplossing veilig noemt, beantwoordt deze juridische vragen niet.
Beperk vervolgens de feitelijke verwerking. Onderzoek waar biometrische sjablonen worden opgeslagen, wie ze kan vergelijken, welke exports mogelijk zijn en wat er gebeurt bij uitdiensttreding. Een sjabloon is niet automatisch anoniem. Een beveiligingsincident kan juist langdurige gevolgen hebben omdat lichamelijke kenmerken niet zoals een wachtwoord kunnen worden vervangen.
Strafrechtelijke gegevens en BSN afzonderlijk beoordelen
Gegevens over strafrechtelijke veroordelingen, strafbare feiten en samenhangende veiligheidsmaatregelen vallen onder artikel 10 AVG. Naast een grondslag uit artikel 6 is overheidstoezicht of een wettelijke toelating met passende waarborgen nodig. In Nederland zijn onder meer artikelen 31 tot en met 33 UAVG relevant. Behandel een verdenking of fraudeaantekening daarom niet als een vrij te gebruiken klantenkenmerk zodra deze strafrechtelijke informatie bevat.
Voor eigen bescherming en verstrekking aan derden bestaan verschillende voorwaarden. Een intern dossier over een concreet incident geeft niet automatisch toestemming om een sectorbrede zwarte lijst op te zetten. Bepaal wie informatie ontvangt, op welke nationale uitzondering dit berust en of een vergunning of andere aanvullende waarborg vereist is. Een algemene verwijzing naar veiligheid of toestemming uit de algemene voorwaarden is onvoldoende.
Het BSN behoort op zichzelf niet tot de categorieën van artikel 9. Artikel 46 UAVG beperkt het gebruik van wettelijk voorgeschreven identificatienummers tot uitvoering van de betrokken wet of wettelijk bepaalde doeleinden. Daarom kan een organisatie het BSN niet enkel op grond van klanttoestemming als universeel klantnummer gebruiken. Controleer de concrete wettelijke bevoegdheid en het doel voordat het nummer in formulieren, kopieën of systemen terechtkomt.
Van juridische keuze naar aantoonbare uitvoering
Beschrijf de activiteit in het register van verwerkingsactiviteiten. Vermeld de relevante categorieën, ontvangers, bewaartermijnen en beveiliging, en documenteer daarnaast de gekozen grondslag en uitzondering. De uitzondering voor organisaties met minder dan 250 medewerkers geldt niet voor activiteiten met artikel 9- of artikel 10-gegevens. Ook niet-incidentele verwerking of verwerking die risico kan inhouden sluit die uitzondering voor de betreffende activiteit uit.
Een registratie is geen toestemming om te beginnen. Beoordeel vóór de verwerking of een DPIA nodig is. Grootschalige verwerking van bijzondere of strafrechtelijke gegevens wordt uitdrukkelijk genoemd in artikel 35. Ook andere waarschijnlijk hoge risico’s en de toepasselijke verplichte DPIA-lijst kunnen doorslaggevend zijn. Een enkel gevoelig gegeven maakt een activiteit niet automatisch grootschalig; omgekeerd zegt een klein personeelsbestand weinig over het aantal betrokken klanten.
Vertaal het risico naar maatregelen volgens artikel 32 AVG. Denk aan beperkte toegangsrechten, passende versleuteling, controle op inzage, veilige overdracht en herstelmogelijkheden. Dit zijn maatregelen die bij de concrete verwerking moeten passen, geen vaste technische boodschappenlijst voor iedere organisatie. Controleer bijvoorbeeld ook of een geëxporteerd overzicht dezelfde bescherming krijgt als het oorspronkelijke dossier.
Koppel de bewaartermijn aan het doel en eventuele sectorwetgeving. Verwijder onnodige bijlagen, beperk toegang bij een concreet geschil en bepaal hoe kopieën bij leveranciers worden afgehandeld. Er bestaat geen algemene AVG-termijn voor alle bijzondere persoonsgegevens. Een verplicht medisch dossier en een tijdelijk verzoek om een toegankelijke vergaderruimte kunnen heel verschillende termijnen rechtvaardigen.
Maak tot slot afspraken over incidenten. Meld een persoonsgegevensinbreuk zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennisneming aan de bevoegde toezichthouder, tenzij risico voor personen onwaarschijnlijk is; motiveer een latere melding. Documenteer alle persoonsgegevensinbreuken, ook die waarvoor geen melding nodig is. Beoordeel afzonderlijk of betrokkenen wegens een waarschijnlijk hoog risico zonder onredelijke vertraging moeten worden geïnformeerd, met de uitzonderingen van artikel 34. De gevoeligheid van gegevens weegt zwaar, maar vervangt deze afzonderlijke beoordelingen niet.
Een bruikbaar besluit over bijzondere persoonsgegevens verbindt dus de uitzondering met een beperkte, uitvoerbare activiteit. Een behandelaar krijgt noodzakelijke zorginformatie, HR krijgt noodzakelijke werkafspraken en een leverancier krijgt alleen de gegevens die zijn werk rechtmatig vereist. Bij ieder nieuw gebruik moet die verbinding opnieuw worden gecontroleerd; een eerder juiste juridische keuze dekt een later, ander doel niet automatisch.