Doelbinding AVG: het principe praktisch uitgelegd

Doelbinding onder de AVG betekent dat u persoonsgegevens alleen mag verzamelen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en die gegevens daarna niet verder mag verwerken op een manier die daarmee onverenigbaar is. Dat staat in artikel 5 lid 1 onder b AVG. In de praktijk: u legt vóór het verzamelen vast waarvoor u gegevens gebruikt, u beschrijft dat doel concreet (niet “voor bedrijfsdoeleinden”), en wilt u de gegevens later voor iets anders gebruiken, dan moet u eerst toetsen of dat nieuwe doel verenigbaar is met het oorspronkelijke.

Doelbinding is samen met dataminimalisatie het hart van de AVG: bijna elke handhavingszaak van de Autoriteit Persoonsgegevens (AP) draait uiteindelijk om gegevens die voor iets anders werden gebruikt dan waarvoor ze zijn verzameld.

Key Takeaways

• Doelbinding (art. 5 lid 1b AVG) eist dat het doel vooraf vaststaat, concreet is omschreven en gerechtvaardigd.
• Verder gebruik voor een ander doel mag alleen als het verenigbaar is — of met nieuwe toestemming of een wettelijke grondslag.
• De verenigbaarheidstoets weegt onder meer de samenhang tussen de doelen, de context, de aard van de gegevens en de gevolgen voor de betrokkene.
• De Belastingdienst-FSV-affaire (AP-boete €3,75 miljoen, 12 april 2022) is het canonieke Nederlandse voorbeeld van geschonden doelbinding.
• Doelen leggen we vast in het verwerkingsregister; dat is het bewijs dat u doelbinding serieus neemt.

Wat art. 5 lid 1b AVG precies eist

Het beginsel bestaat uit twee delen. Het eerste deel is de doelspecificatie: het doel moet welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn op het moment van verzamelen. Welbepaald betekent voldoende concreet om te kunnen beoordelen of een latere verwerking er nog binnen valt. “Verbetering van onze dienstverlening” is te vaag; “het versturen van een bevestigingsmail na een bestelling” is welbepaald.

Het tweede deel is het verbod op onverenigbaar verder gebruik: gegevens die u voor doel A verzamelde, mag u niet zomaar voor doel B inzetten. Let op de formulering: de AVG verbiedt niet elk verder gebruik, alleen onverenigbaar gebruik. Verenigbaar verder gebruik is toegestaan zonder nieuwe grondslag — maar u moet die verenigbaarheid wel kunnen onderbouwen.

Doelbinding hangt direct samen met de andere beginselen uit artikel 5 AVG: zonder scherp doel kunt u dataminimalisatie en bewaartermijnen niet bepalen, en zonder rechtsgrond uit artikel 6 mag u überhaupt niet verwerken.

Belangrijk is het onderscheid tussen het doel en de rechtsgrond. Het doel is het waarvoor — bijvoorbeeld “een factuur versturen”. De rechtsgrond is het waarom het mag — bijvoorbeeld een wettelijke plicht of een overeenkomst. Eén verwerking kan meerdere doelen dienen, maar dan hoort elk doel een eigen omschrijving en een eigen grondslag te hebben. Organisaties die doelen en grondslagen door elkaar halen, komen vroeg of laat in de knel: ze kunnen niet aantonen waarom een bepaald gegeven wordt verwerkt, en dat is precies het aanknopingspunt waarop de AP een dossier opent.

De verenigbaarheidstoets bij verder gebruik

Wilt u gegevens voor een nieuw doel gebruiken, dan doorloopt u de verenigbaarheidstoets van artikel 6 lid 4 AVG. Vier factoren wegen mee:

Zijn er passende waarborgen zoals versleuteling of pseudonimisering getroffen? Dat telt mee in het voordeel van verenigbaarheid. Valt de uitkomst negatief uit, dan heeft u een aparte grondslag nodig: nieuwe toestemming of een wettelijke verplichting. Let op: verwerkt u op basis van toestemming of een wettelijke plicht, dan is de verenigbaarheidstoets niet beschikbaar — dan geldt strikt het oorspronkelijke doel.

Handhaving: de Belastingdienst-FSV-affaire

Het scherpste Nederlandse voorbeeld is de Fraude Signalering Voorziening (FSV) van de Belastingdienst. De AP legde op 12 april 2022 een boete van €3,75 miljoen op omdat honderdduizenden burgers jarenlang in een zwarte lijst stonden zonder duidelijk, rechtmatig doel en zonder dat de gegevens verenigbaar werden gebruikt. Signalen die voor het ene doel binnenkwamen, werden hergebruikt om mensen als risico te bestempelen — precies het onverenigbaar verder gebruik dat doelbinding verbiedt. De affaire toont ook waarom de AP doelbinding zo streng handhaaft in de publieke sector: de gevolgen voor betrokkenen waren ingrijpend.

De AP publiceert haar besluiten en boetebeleid op de website van de Autoriteit Persoonsgegevens. Wie doelbinding schendt, riskeert niet alleen een boete maar ook een verwerkingsverbod.

Doelbinding operationeel maken

Doelbinding is geen juridische abstractie; het is een registratiediscipline. Drie stappen:

1. Omschrijf elk doel concreet per verwerking en leg het vast in het register. Vermijd containerbegrippen.
2. Koppel elk doel aan één rechtsgrond. Meerdere doelen onder één vinkje toestemming is een klassieke fout — zie de vereisten in artikel 7 AVG.
3. Bepaal per doel een bewaartermijn. Als het doel is bereikt, vervalt de grondslag om de gegevens te bewaren; zie bewaartermijnen onder de AVG.

Bij honderden verwerkingen wordt dit handmatig snel onbeheersbaar. Een compliance-platform zoals Legiscope koppelt elk doel aan een grondslag en een bewaartermijn in één register, zodat verder gebruik traceerbaar blijft. De EDPB benadrukt in haar richtsnoeren dat aantoonbaarheid — kunnen laten zien dat u doelbinding toepast — even belangrijk is als het beginsel zelf.

Veelvoorkomende schendingen van doelbinding

In de dagelijkse praktijk struikelen organisaties telkens over dezelfde patronen. Herkent u er een, dan is een correctie urgent.

• Klantgegevens hergebruiken voor marketing. U verzamelde een e-mailadres om een bestelling te bevestigen en gebruikt het vervolgens voor nieuwsbrieven. Voor bestaande klanten kan dit onder de zogeheten soft opt-in vallen, maar zonder die uitzondering is het onverenigbaar verder gebruik. Zie de regels bij directmarketing onder de AVG.
• HR-gegevens inzetten voor prestatiemeting. Toegangspasjes of camerabeelden die voor beveiliging zijn verzameld, gebruiken om werktijden of productiviteit te controleren, is een klassiek geval van functiecreep.
• Analytics-data koppelen aan identificeerbare profielen. Gegevens die voor geaggregeerde statistiek waren bedoeld, alsnog herleiden tot individuen, doorbreekt zowel doelbinding als de belofte aan de betrokkene.
• Data delen binnen een concern zonder aparte grondslag. Een moederbedrijf dat klantgegevens van een dochter overneemt voor een ander doel, verwerkt onverenigbaar tenzij de verenigbaarheidstoets slaagt.

De rode draad: elke keer dat gegevens “toch nog even” voor iets anders worden ingezet dan waarvoor ze zijn verzameld, moet de verenigbaarheidstoets erlangs. Legt u die toets en de uitkomst niet vast, dan kunt u bij een controle van de AP niet aantonen dat het verder gebruik rechtmatig was — en dan telt het als een schending, ongeacht uw goede bedoelingen. Doelbinding is daarmee net zozeer een documentatieplicht als een gedragsnorm: de afweging zelf is uw bewijs.

FAQ

Wat is het verschil tussen doelbinding en dataminimalisatie?

Doelbinding bepaalt waarvoor u gegevens mag gebruiken; dataminimalisatie bepaalt hoeveel gegevens u daarvoor mag verzamelen. Ze werken samen: pas als het doel scherp is, kunt u beoordelen welke gegevens toereikend, ter zake dienend en niet bovenmatig zijn.

Mag ik gegevens hergebruiken voor een ander doel?

Alleen als het nieuwe doel verenigbaar is met het oorspronkelijke, getoetst aan de vier factoren van artikel 6 lid 4 AVG. Is het onverenigbaar, dan heeft u een nieuwe grondslag nodig — meestal aparte toestemming. Verwerkte u oorspronkelijk op basis van toestemming, dan is verenigbaar verder gebruik zonder nieuwe toestemming niet mogelijk.

Geldt doelbinding ook bij verwerking op grond van gerechtvaardigd belang?

Ja. Ook bij gerechtvaardigd belang moet het doel vooraf welbepaald zijn en bindt het uw verdere verwerking. Het verschil is dat de verenigbaarheidstoets bij deze grondslag wél openstaat, anders dan bij toestemming of een wettelijke plicht.

Hoe streng handhaaft de AP op doelbinding?

Streng, vooral bij de overheid en bij zwarte lijsten. De FSV-affaire (€3,75 miljoen) en meerdere besluiten over gegevensuitwisseling tonen dat de AP onverenigbaar verder gebruik als een kernschending behandelt, met boetes en verwerkingsverboden als gevolg.