Doelbinding betekent dat u persoonsgegevens voor duidelijke, vooraf bepaalde en gerechtvaardigde doeleinden verzamelt en ze niet zomaar voor een onverenigbaar nieuw doel gebruikt. Dat volgt uit artikel 5 lid 1 onder b AVG. Het principe wordt vooral praktisch wanneer iemand zegt: deze gegevens hebben we toch al, kunnen we ze ook hiervoor gebruiken? De vraag is dan niet alleen of het nieuwe project nuttig is, maar of deze gegevens daarvoor rechtmatig mogen worden ingezet.
Deze uitleg helpt u een besluit over verder gebruik vast te leggen. Het resultaat is een onderbouwde keuze: het voorgenomen gebruik past binnen het bestaande doel, is een toelaatbare verdere verwerking, vereist een andere rechtmatige route of moet worden aangepast of gestopt. Een nieuwe zin in de privacyverklaring is daarvoor onvoldoende. Eerst beoordeelt u de verwerking; daarna zorgt u dat informatie, inrichting en uitvoering bij het besluit passen.
Bepaal wat het oorspronkelijke doel werkelijk was
Begin met de situatie waarin de gegevens zijn verzameld. Welke dienst kreeg iemand, welke informatie ontving die persoon en welke verwerking was daarvoor bedoeld? Raadpleeg het formulier, de toenmalige privacyverklaring, contracten en de feitelijke werkwijze. Het huidige verwerkingsregister is een nuttig vertrekpunt, maar kan niet achteraf bewijzen dat een later bedacht doel vanaf het begin bestond. Bewaar daarom relevante versies en beschrijf eventuele onzekerheid.
Een doel moet voldoende specifiek zijn om te kunnen beoordelen welke gegevens nodig zijn en welk gebruik erbuiten valt. “Bedrijfsvoering” of “dienstverlening verbeteren” zegt zonder verdere uitleg weinig. Een webshop kan bijvoorbeeld aflevergegevens verwerken om een gekochte bestelling te bezorgen. Onderzoek naar vertraagde leveringen kan daar een duidelijke relatie mee hebben. Het verkopen van persoonlijke koopprofielen aan een andere onderneming vergt een heel andere beoordeling, ook als beide projecten als klantenservice worden gepresenteerd.
Maak ook onderscheid tussen een doel en een handeling. Opslaan, analyseren en versturen beschrijven wat een systeem doet, maar nog niet waarom. Een klantenbestand kan meerdere afgebakende doelen ondersteunen, zoals uitvoering van bestellingen en afhandeling van klachten. Dat geeft geen toestemming voor iedere mogelijke analyse. Per doel moet duidelijk zijn welke gegevens worden gebruikt, voor welke personen en met welke beoogde uitkomst. Zo blijft het besluit later toetsbaar.
Doelbinding en een rechtsgrond beantwoorden verschillende vragen
De beginselen van artikel 5 AVG werken naast de vereiste rechtsgrond uit artikel 6. Een rechtsgrond maakt niet ieder doel of ieder gegeven passend. Omgekeerd is een logisch verband met het oorspronkelijke doel geen bewijs dat de oorspronkelijke verwerking rechtmatig was. Controleer daarom eerst of de verzameling en het bestaande gebruik een houdbare juridische basis hadden. Een verenigbaarheidstoets herstelt geen onrechtmatige start.
Volgens overweging 50 kan verenigbare verdere verwerking in beginsel op de oorspronkelijke rechtsgrond voortbouwen, zonder dat een afzonderlijke nieuwe grondslag nodig is. De voorwaarden van die grondslag en eventuele bijzondere regels blijven wel relevant. Het Nederlandse Kenniscentrum voor beleid en regelgeving behandelt deze samenhang bij verdere verwerking. Een organisatie moet dus meer doen dan in een formulier een ander vakje onder artikel 6 aankruisen.
Artikel 6 lid 4 onderscheidt verdere verwerking die berust op toestemming voor dat andere doel of op een specifieke Unierechtelijke of nationale wettelijke maatregel die voldoet aan de daar genoemde voorwaarden, van de route van verenigbaarheid. Bij die wettelijke route gaat het om een noodzakelijke en evenredige maatregel ter bescherming van de doelen uit artikel 23 lid 1. Een willekeurige verwijzing naar “de wet” is niet genoeg. Evenmin heft een nieuw beroep op gerechtvaardigd belang vanzelf een onverenigbaar doel op.
Wanneer is een nieuwe toepassing nog hetzelfde doel?
Niet iedere wijziging in een systeem is een doelwijziging. Het vervangen van de software waarmee u bestaande bestellingen uitvoert kan dezelfde verwerking ondersteunen. Er kunnen dan wel nieuwe ontvangers, beveiligingsrisico’s of doorgiften ontstaan. Die vragen verdienen hun eigen beoordeling. Een ongewijzigd doel betekent niet dat de wijziging juridisch of technisch zonder gevolgen is, maar voorkomt dat u alle veranderingen ten onrechte als een nieuwe toestemming behandelt.
Een inhoudelijke verandering is waarschijnlijker wanneer de nieuwe toepassing een andere beslissing over personen ondersteunt. Denk aan het gebruiken van beveiligingslogboeken om individuele werknemers op productiviteit te beoordelen. Het oorspronkelijke doel was het beschermen van systemen; het nieuwe doel gaat over prestaties en arbeidsrelaties. Dat dezelfde gegevens en dezelfde werkgever betrokken zijn, maakt de twee doelen niet gelijk. Beschrijf daarom ook de beslissing die na de analyse wordt genomen, niet alleen de gebruikte techniek.
Twijfelt u, schrijf dan het oude en het nieuwe doel in afzonderlijke zinnen uit. Vergelijk de betrokken personen, de uitkomst, de ontvangers en de gevolgen. Laat de verantwoordelijke voor het oorspronkelijke proces controleren of de beschrijving klopt. Dit is een praktische methode om het gesprek scherp te krijgen, geen wettelijk voorgeschreven formulier. Als niemand het oorspronkelijke doel nog kan onderbouwen, moet die leemte expliciet worden opgelost voordat het nieuwe gebruik start.
De verenigbaarheidstoets heeft vijf samenhangende factoren
Artikel 6 lid 4 van de AVG noemt vijf factoren waarmee u onder meer rekening houdt. Het is geen rekensom waarbij drie positieve antwoorden automatisch voldoende zijn. Leg per factor de relevante feiten vast en beoordeel het geheel. Een sterke beveiliging kan bijvoorbeeld risico’s beperken, maar verandert een onverwacht ingrijpend doel niet vanzelf in een verenigbare verwerking.
De eerste factor is het verband tussen de oorspronkelijke en de voorgenomen doeleinden. Analyse van foutieve afleveringen kan dicht bij het uitvoeren van bestellingen liggen. Een verkoopscore voor een ongerelateerde verzekeraar ligt daar verder vanaf. Beschrijf waarom het nieuwe doel voortbouwt op het oude en welke onderdelen juist afwijken. Een algemeen belang van de organisatie bij hogere omzet is geen concreet verband tussen twee doeleinden.
De tweede factor is de context van de verzameling, in het bijzonder de verhouding tussen de betrokkenen en de verantwoordelijke. Wat kon iemand redelijkerwijs verwachten? Een patiënt, werknemer of inwoner in een afhankelijke positie bevindt zich in een andere situatie dan iemand die bewust aan een afzonderlijk onderzoek deelneemt. De privacyverklaring is relevant, maar een onverwachte toepassing wordt niet redelijk doordat zij in ruime woorden tussen andere voorwaarden is verstopt.
De derde factor is de aard van de persoonsgegevens. Artikel 6 lid 4 noemt uitdrukkelijk bijzondere categorieën en gegevens over strafrechtelijke veroordelingen en strafbare feiten. Ook andere gegevens kunnen ingrijpend zijn, bijvoorbeeld gedetailleerde locaties of financiële problemen. Beoordeel combinaties: een ogenschijnlijk onschuldige reeks aankopen kan gevoelige informatie onthullen. Voor gegevens onder artikelen 9 en 10 blijven bovendien de aanvullende wettelijke voorwaarden gelden; de verenigbaarheidstoets vervangt die niet.
De vierde factor betreft mogelijke gevolgen voor personen. Denk aan uitsluiting, andere prijzen, reputatieschade of gevolgen in een arbeidsrelatie. Kijk ook naar fouten en verkeerde gevolgtrekkingen. Een pilot met een klein aantal deelnemers kan nog steeds een grote impact hebben op die mensen. Beschrijf niet alleen het gewenste bedrijfsresultaat, maar ook wat er gebeurt wanneer het systeem iemand verkeerd indeelt en hoe die persoon dat kan herkennen of corrigeren.
De vijfde factor is het bestaan van passende waarborgen, zoals versleuteling of pseudonimisering. Benoem concrete maatregelen en hun beperkingen. Gescheiden sleutels, beperkte toegang en een verbod op individuele besluiten kunnen relevant zijn. Pseudonimisering maakt de informatie echter niet automatisch anoniem. Als personen nog met redelijkerwijs te gebruiken middelen identificeerbaar zijn, blijft de AVG van toepassing en blijft een rechtmatige verwerking nodig.
Toestemming mag niet stilzwijgend worden opgerekt
Als de oorspronkelijke verwerking op toestemming berust, moet u de afgesproken doeleinden respecteren. Een verenigbaarheidstoets is geen manier om specifiek gegeven toestemming ruimer te maken. Voor een nieuw doel buiten de oorspronkelijke toestemming is een passende rechtmatige route nodig, bijvoorbeeld nieuwe geldige toestemming voor dat doel. Die toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De voorwaarden van artikel 7 blijven dus essentieel.
Stel dat iemand alleen toestemming gaf om een onderzoeksuitnodiging te ontvangen. Dat is geen toestemming om zijn gegevens in een commerciële doelgroepdatabase op te nemen. Ook een melding dat de voorwaarden veranderen creëert geen nieuw akkoord. Beoordeel of het nieuwe doel werkelijk afzonderlijk kan worden geweigerd en wat er met de gegevens gebeurt als iemand niet reageert. Stilte of voortgezet gebruik van een dienst mag niet zonder meer als toestemming worden behandeld.
Het intrekken van toestemming heeft geen terugwerkende kracht voor de rechtmatigheid van eerdere verwerking op basis daarvan. Maar u kunt dezelfde toekomstig ongewenste verwerking niet eenvoudig voortzetten door achteraf een andere grondslag te kiezen. Sommige gegevens kunnen voor een afzonderlijke wettelijke verplichting nodig blijven. Leg dan dat afzonderlijke doel en die grondslag uit, beperk het gebruik tot dat doel en behandel intrekking niet alsof daarmee ieder ander recht automatisch vervalt.
Direct marketing: controleer ook de Nederlandse kanaalregels
Een e-mailadres voor een leveringsmelding is niet vanzelf beschikbaar voor iedere reclamecampagne. Beoordeel de doelbinding en de grondslag, maar controleer daarnaast de regels voor het gekozen kanaal. De ACM legt de regels voor elektronische reclame uit. De uitzondering voor bestaande klanten kent voorwaarden en mag niet worden vertaald naar een algemene toestemming voor alle reclame, alle groepsmaatschappijen of ieder communicatiekanaal.
Voor de klantuitzondering bij elektronische berichten gaat het onder meer om contactgegevens verkregen bij verkoop, eigen gelijksoortige producten of diensten en een duidelijke, kosteloze en gemakkelijke mogelijkheid van verzet bij verkrijging en in ieder bericht. Pas deze route niet toe op een los verkregen adres alleen omdat u de persoon als potentiële klant ziet. De beoordeling onder de Telecommunicatiewet staat naast de AVG. Een geslaagde belangenafweging voor gerechtvaardigd belang vervangt een vereiste toestemming voor het communicatiekanaal niet.
De regels voor telefonische verkoop verschillen bovendien van die voor e-mail. Sinds 1 juli 2026 gelden aangescherpte Nederlandse telemarketingregels; behandel een oude klantrelatie dus niet als een universele belgrond. Controleer daarvoor de actuele ACM-uitleg over telemarketing. De praktische uitwerking van direct marketing onder de AVG moet steeds op de feitelijke campagne en het gebruikte kanaal aansluiten.
Onderzoek en statistiek zijn geen vrijbrief
Artikel 5 lid 1 onder b geeft een bijzondere positie aan verdere verwerking voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en statistische doeleinden, overeenkomstig artikel 89 lid 1. Dat betekent niet dat ieder project met het etiket onderzoek toegestaan is. Er blijven eisen gelden aan rechtmatigheid, passende waarborgen en eventuele bijzondere gegevens. Ook moet duidelijk zijn of het werk werkelijk onder het genoemde doel valt, in plaats van onder een commerciële beoordeling van individuele personen.
Beoordeel of het doel kan worden bereikt met gegevens waarmee betrokkenen niet of niet meer identificeerbaar zijn. Artikel 89 verlangt waarborgen, onder meer om minimale gegevensverwerking te verzekeren; pseudonimisering kan daarbij passen als het doel daarmee kan worden bereikt. Een dashboard met voldoende afgeschermde totalen kan iets anders zijn dan een voorspellend profiel dat wordt teruggeschreven naar individuele klantdossiers. De uitkomst en het latere gebruik bepalen mede welke verwerking u moet beoordelen.
Anoniem gemaakte resultaten kunnen buiten de AVG vallen, maar het verwerken van identificeerbare brongegevens om die resultaten te maken is zelf een handeling die moet worden gerechtvaardigd. Controleer ook kleine groepen en de mogelijkheid om gegevens met andere bronnen te combineren. Een intern label “anoniem” of het verwijderen van namen is onvoldoende. Leg uit waarom herleiding redelijkerwijs niet mogelijk is, of behandel de informatie verder als persoonsgegevens.
Gegevens delen binnen een groep of met een leverancier
Een concern vormt niet automatisch één onbeperkte gegevensruimte. Onderzoek welke juridische entiteit het oorspronkelijke doel bepaalde en welke entiteit de nieuwe verwerking gaat uitvoeren. Delen kan een verstrekking aan een andere verantwoordelijke zijn, gezamenlijke verantwoordelijkheid opleveren of plaatsvinden in een verwerkersrelatie. Die rolverdeling beïnvloedt de vereiste afspraken, maar vervangt de toets van doelbinding en rechtmatigheid niet. Een intern zakelijk belang is geen zelfstandig antwoord op alle vragen.
Hetzelfde geldt wanneer een leverancier bestaande klantgegevens wil gebruiken om een eigen product te ontwikkelen. Vraag wat hij precies verwerkt, voor wiens doel en met welke verdere ontvangers. Een algemene bepaling over verbetering van diensten moet worden beoordeeld aan de hand van de werkelijkheid. Geef geen volledige productiegegevens af voor een demonstratie als een beperkter of fictief gegevensbestand volstaat. De dataminimalisatietoets helpt bepalen welke gegevens de gekozen, rechtmatige toepassing daadwerkelijk nodig heeft.
Wat de FSV-zaak wel en niet laat zien
De AP publiceerde op 12 april 2022 haar bericht over de boete voor de Fraude Signalering Voorziening. Het bericht vermeldt ongeveer 3,7 miljoen euro voor zes overtredingen, waaronder het ontbreken van een vooraf specifiek omschreven doel. Ook rechtmatigheid, juistheid, bewaartermijnen, beveiliging en de betrokkenheid van de FG speelden mee. Het volledige bedrag was dus geen afzonderlijke boete voor doelbinding alleen.
De relevante les voor een nieuw project is dat een ruime taakomschrijving geen uitgewerkt verwerkingsdoel vervangt. Wie later moet reconstrueren waarom een bestand is aangelegd, loopt ook vast bij toegang, bewaartermijnen en informatie aan betrokkenen. Gebruik zo’n zaak als aanleiding om de eigen besluitvorming te controleren. Trek er geen algemene conclusie uit dat elke fout hetzelfde sanctiebedrag oplevert of dat doelbinding altijd het enige doorslaggevende probleem is.
Leg het besluit vast en voer het werkelijk door
Een bruikbaar besluit bevat het oorspronkelijke doel, het voorgestelde gebruik, de betrokken gegevens en de gekozen juridische route. Beschrijf de feiten achter de verenigbaarheidsfactoren of de voorwaarden van toestemming of specifieke wetgeving waarop u steunt. Vermeld de noodzakelijke beperkingen, de verantwoordelijke voor uitvoering en het moment waarop herbeoordeling nodig is. Zo kunnen projectmedewerkers zien wat is toegestaan zonder zelf ontbrekende juridische aannames te moeten invullen.
Pas daarna de gegevensstromen, toegangsrechten en bewaartermijnen aan. Een rechtmatig nieuw doel betekent niet dat alle oude gegevens onbeperkt bewaard mogen blijven. Verwijder niet automatisch bewijs dat voor een ander zelfstandig en rechtmatig doel nog nodig is, maar scherm dat materiaal passend af. Controleer ook of een gegevensbeschermingseffectbeoordeling nodig is door de waarschijnlijk hoge risico’s van het nieuwe gebruik. Dit is een afzonderlijke beoordeling naast verenigbaarheid.
Artikelen 13 lid 3 en 14 lid 4 verlangen, wanneer de informatieplicht van toepassing is, informatie over het andere doel en relevante aanvullende gegevens vóór de verdere verwerking. Werk de privacyverklaring bij en bepaal hoe de betrokken personen de wijziging daadwerkelijk ontvangen. Een versie in het archief is nuttig als bewijs, maar niet hetzelfde als informeren. Besteed extra aandacht aan wijzigingen die personen redelijkerwijs niet verwachten.
Bij technische uitvoering helpt privacy by design om het besluit te vertalen naar toegestane datasets en standaardinstellingen. Een beheersysteem kan besluiten, verantwoordelijken en wijzigingen samenbrengen; vergelijk software voor AVG-beheer daarom op dat werkproces. Geen programma kan uitsluitend uit een doelomschrijving afleiden dat de nieuwe verwerking juridisch toelaatbaar is. De organisatie blijft verantwoordelijk voor de afweging en de daadwerkelijke naleving.
Veelgestelde vragen
Is een verenigbaar doel hetzelfde als gerechtvaardigd belang?
Nee. Verenigbaarheid gaat over de relatie tussen oorspronkelijk en verder gebruik. Gerechtvaardigd belang is een mogelijke rechtsgrond met eigen voorwaarden, waaronder noodzakelijkheid en een afweging van belangen en rechten. De ene beoordeling vervangt de andere niet. Een organisatie kan een reëel belang bij een project hebben en toch bestaande gegevens niet op de voorgestelde manier mogen hergebruiken.
Mag ik elk nieuw doel toevoegen aan de privacyverklaring?
U mag niet door alleen de tekst te veranderen een onrechtmatige verwerking starten. Bepaal eerst of het doel en de juridische route houdbaar zijn en welke maatregelen nodig zijn. Informeer daarna vóór het nieuwe gebruik, waar de informatieplicht geldt. Als nieuwe toestemming nodig is, moet die daadwerkelijk worden verkregen; een aankondiging van de wijziging is geen vervanging daarvoor.
Moeten alle gegevens weg zodra het eerste doel eindigt?
Beoordeel welke gegevens nog nodig zijn voor een ander zelfstandig rechtmatig doel, zoals een toepasselijke wettelijke bewaarplicht. Dat rechtvaardigt geen onbeperkt actief gebruik voor eerdere of nieuwe commerciële doelen. Verwijder of anonimiseer gegevens waarvoor geen rechtmatige noodzaak meer bestaat en beperk de resterende toegang. Het besluit hoort per gegevenscategorie en doel uitlegbaar te zijn, niet alleen voor het bestand als geheel.