Gerechtvaardigd belang is een van de grondslagen voor het verwerken van persoonsgegevens. Artikel 6, lid 1, onder f, AVG stelt drie voorwaarden: er is een gerechtvaardigd belang van de organisatie of een derde, de verwerking is daarvoor noodzakelijk en de belangen of grondrechten en fundamentele vrijheden van de betrokken persoon wegen niet zwaarder. Alle drie moeten zijn vervuld. Een nuttig bedrijfsdoel is dus het begin van de beoordeling, niet de uitkomst.
Deze gids helpt u een concrete verwerking te beoordelen en de beslissing vast te leggen. Het resultaat is een navolgbare belangenafweging: welk belang u nastreeft, waarom minder ingrijpende mogelijkheden onvoldoende zijn en hoe u de gevolgen voor mensen beperkt. De hypothetische voorbeelden zijn geen algemene vrijstelling voor een sector. De omstandigheden van uw eigen verwerking blijven bepalend.
Wanneer deze grondslag in beeld komt
Begin met het doel en de feitelijke handelingen. Een organisatie kan voor verschillende verwerkingen verschillende grondslagen nodig hebben. Het uitvoeren van een bestelling, het bewaren van wettelijk verplichte administratie en het onderzoeken van mogelijk misbruik zijn niet vanzelf één verwerking met dezelfde grondslag. Gebruik het overzicht van de grondslagen van artikel 6 AVG om de relevante route te bepalen voordat u gegevens verzamelt.
Gerechtvaardigd belang is geen noodoplossing voor een ongeldig toestemmingsproces. Als u iemand een echte keuze presenteert en de toestemming ontbreekt of wordt ingetrokken, kunt u niet zonder meer hetzelfde gebruik voortzetten met een achteraf verzonnen belangenafweging. Bepaal de passende grondslag vooraf en wees daar duidelijk over. De voorwaarden voor toestemming en die voor gerechtvaardigd belang beantwoorden verschillende vragen.
Overheidsinstanties mogen deze grondslag niet gebruiken voor verwerkingen in het kader van de uitoefening van hun taken. Voor bijzondere persoonsgegevens is een grondslag uit artikel 6 bovendien niet genoeg: er moet ook een toepasselijke uitzondering op het verbod van artikel 9 zijn. Voor strafrechtelijke gegevens gelden de aanvullende voorwaarden van artikel 10. De aanwezigheid van een gerechtvaardigd belang heft die eisen niet op.
Stap één: omschrijf een werkelijk en rechtmatig belang
Een belang moet voldoende concreet en actueel zijn om het te kunnen beoordelen. Veiligheid vergroten is bijvoorbeeld nog te algemeen wanneer het de volledige reden voor jarenlange bezoekersregistratie vormt. Beschrijf welk probleem bestaat, wie daarvan nadeel ondervindt en welk resultaat de verwerking moet bereiken. Onderscheid het gewenste resultaat van het gekozen middel: het belang is niet eenvoudigweg dat u een bepaald analyseprogramma wilt gebruiken.
Ook het belang van een derde kan onder artikel 6, lid 1, onder f, vallen. Maak dan duidelijk wie die derde is en wat diens belang inhoudt. Een algemeen beroep op voordelen voor de samenleving zegt weinig over de betrokken verwerking. Een organisatie die een concrete fraudevorm wil tegengaan, kan bijvoorbeeld toelichten welke personen of organisaties daarvan schade ondervinden en hoe de voorgenomen handeling dit probleem helpt aanpakken.
Een commercieel belang is niet bij voorbaat uitgesloten. Het belang moet wel rechtmatig zijn, en de vervolgstappen blijven noodzakelijk. De uitleg van de Autoriteit Persoonsgegevens over grondslagen biedt een praktisch vertrekpunt voor de drie voorwaarden. Lees de commerciële vraag daarnaast in het licht van de rechtspraak: geen van de uitspraken hieronder maakt iedere winstgevende verwerking toegestaan.
Wat VoetbalTV en KNLTB daadwerkelijk verduidelijken
In de VoetbalTV-uitspraak van 27 juli 2022 oordeelde de Afdeling bestuursrechtspraak dat de AP de andere door VoetbalTV aangevoerde belangen ten onrechte niet had meegewogen. De zaak betrof volgens de Afdeling niet uitsluitend een commercieel belang. De vraag of een uitsluitend commercieel belang op zichzelf gerechtvaardigd kan zijn, hoefde zij daarom niet te beantwoorden. De opgelegde boete kon niet in stand blijven.
Het arrest KNLTB, C-621/22, van 4 oktober 2024 gaat wel uitdrukkelijk in op commerciële belangen. Het Hof van Justitie bevestigt dat zo’n belang niet noodzakelijk in de wet hoeft te zijn vastgelegd en in beginsel gerechtvaardigd kan zijn, mits het rechtmatig is. Ook dan moet de verwerking noodzakelijk zijn en mogen de belangen en rechten van betrokkenen niet zwaarder wegen.
Het Hof gaf uitleg waarmee de nationale rechter de concrete zaak moest beoordelen. Het arrest is daarom geen algemene goedkeuring voor het verkopen van ledengegevens aan sponsoren. Voor uw organisatie is de bruikbare les dat een commerciële reden niet automatisch afvalt, maar ook niet automatisch wint. Onderzoek alternatieven en de verwachtingen van mensen voordat u gegevens beschikbaar stelt aan een andere partij.
Stap twee: beoordeel noodzakelijkheid en alternatieven
Beschrijf waarom de gekozen verwerking daadwerkelijk bijdraagt aan het belang. Als u misbruik wilt signaleren, moet duidelijk zijn welke gegevens een relevant signaal geven en hoe medewerkers daarop reageren. Gegevens verzamelen zonder bepaald gebruik, voor het geval ze later interessant blijken, toont geen noodzakelijkheid aan. Maak ook onderscheid tussen wat onmisbaar is en wat uitsluitend het werk van de organisatie gemakkelijker maakt.
Vergelijk mogelijkheden die het doel redelijkerwijs even doeltreffend kunnen bereiken met minder inbreuk op de rechten van betrokkenen. Kan een telling zonder identificatie volstaan? Is een korte bewaartermijn genoeg om een incident te onderzoeken? Kan controle plaatsvinden na een concreet signaal in plaats van voortdurend bij iedereen? Een serieus onderzochte mogelijkheid mag worden afgewezen, maar leg dan uit waarom zij het doel onvoldoende bereikt.
Noodzakelijkheid is geen uitnodiging om eerst een breed systeem te bouwen en daarna te stellen dat het systeem al die gegevens nodig heeft. De inrichting van het systeem staat zelf ter discussie. Een gekozen leverancier kan de beoordeling niet omdraaien door onnodige velden verplicht te maken. Neem de uitkomst mee in privacy by design, zodat de minst ingrijpende passende inrichting ook technisch uitvoerbaar wordt.
Pseudonimisering kan een beschermingsmaatregel zijn, maar maakt persoonsgegevens niet automatisch anoniem. Onderzoek wie de koppeling met een persoon kan herstellen en welke aanvullende informatie beschikbaar is. De uitleg over anonimiseren en pseudonimiseren helpt om deze mogelijkheden eerlijk te vergelijken. Als werkelijk anonieme informatie volstaat, vraagt identificeerbare verwerking een afzonderlijke verklaring van de noodzaak.
Stap drie: weeg de gevolgen voor de betrokkenen
De afweging gaat verder dan de vraag of er waarschijnlijk een datalek ontstaat. Ook ongewenste observatie, uitsluiting, verlies van controle, reputatieschade en druk in een afhankelijkheidsrelatie kunnen relevant zijn. Beschrijf de gevolgen van normaal gebruik en van voorzienbaar verkeerd gebruik. Een maatregel kan technisch goed beveiligd zijn en toch te ingrijpend voor de personen die ermee te maken krijgen.
Kijk naar de aard en gevoeligheid van de gegevens, de schaal, de duur en de betrokken groepen. Bij kinderen vraagt de AVG bijzondere aandacht voor hun belangen en rechten. Werknemers of mensen die voor een essentiële dienst afhankelijk zijn van de organisatie kunnen evenmin eenvoudig uitwijken. Hetzelfde gegeven kan daardoor in het ene proces weinig en in het andere veel impact hebben.
Redelijke verwachtingen zijn contextgebonden. Een klant kan verwachten dat een onderneming beperkt onderzoekt of een betaling correct is verwerkt. Daaruit volgt niet dat de klant ook langdurige gedragsanalyse of verstrekking aan onbekende handelspartners verwacht. Een passage in een lange privacyverklaring creëert niet zelfstandig een redelijke verwachting. Beoordeel de relatie, de situatie bij verzameling en wat de persoon op dat moment kon begrijpen.
Leg concrete waarborgen vast en beoordeel hun effect. Minder gegevens, korte toegang voor bevoegde medewerkers, controle op gebruik en een werkbare bezwaarprocedure kunnen relevant zijn. Een algemeen woord als beveiliging is onvoldoende om te begrijpen welke risico’s worden beperkt. Neem alleen maatregelen mee die daadwerkelijk worden uitgevoerd. Een toekomstige verbetering kan een voorwaarde voor de start zijn, maar niet alvast als bestaand voordeel meetellen.
Een uitgewerkt voorbeeld: onderzoek naar accountmisbruik
Stel dat een webdienst herhaaldelijk meldingen ontvangt over overgenomen accounts. De organisatie overweegt toegangsgegevens tijdelijk te analyseren om verdachte aanmeldingen te herkennen en accounts te beschermen. Het belang wordt concreet omschreven als bescherming van gebruikers en de dienst tegen aantoonbaar accountmisbruik. Het verzamelen van aanvullende gegevens voor commerciële segmentatie valt buiten dat doel en krijgt geen automatische dekking door de veiligheidsreden.
Bij de noodzakelijkheid vergelijkt de organisatie signalen en alternatieven. Zij onderzoekt of kort bewaarde technische gegevens en een extra verificatiestap kunnen volstaan, in plaats van de volledige inhoud van gebruikersactiviteiten te volgen. Zij legt uit welke gegevens nodig zijn om patronen te onderscheiden en hoe lang een signaal relevant blijft. Medewerkers krijgen alleen toegang tot de informatie die zij voor de beoordeling nodig hebben.
De belangenafweging kijkt ook naar onterechte blokkades en gebruikers die afhankelijk zijn van hun account. Een mogelijkheid tot snelle menselijke beoordeling kan de gevolgen verminderen. De organisatie legt een bewaartermijn en criteria voor herbeoordeling vast en informeert gebruikers begrijpelijk. De conclusie kan positief zijn voor dit beperkte ontwerp, terwijl een veel bredere variant niet slaagt. Het voorbeeld toont waarom de beoordeling aan een specifieke inrichting moet zijn gekoppeld.
Direct marketing vraagt een afzonderlijke controle
Overweging 47 AVG noemt direct marketing als een activiteit die met het oog op een gerechtvaardigd belang kan worden verricht. Dat is geen vrijstelling van de drie voorwaarden. Onderzoek het kanaal, de relatie met de persoon, de herkomst van de gegevens en de inhoud van de benadering. Het samenvoegen van bestanden voor uitgebreide profilering kan een andere impact hebben dan een beperkte, verwachte benadering binnen een bestaande relatie.
Daarnaast gelden de regels voor elektronische communicatie. De ACM-uitleg over het voorkomen van spam beschrijft de toestemmingsregel en de voorwaarden voor de bestaande-klantuitzondering bij elektronische berichten. Een geslaagde AVG-afweging vervangt die kanaalregels niet. Controleer afzonderlijk of de uitzondering werkelijk van toepassing is en of de vereiste afmeldmogelijkheid wordt aangeboden.
Ga evenmin uit van één regel voor e-mail, telefoon en cookies. Voor telemarketing gelden actuele eigen voorwaarden; kopieer daarvoor niet zonder meer de bestaande-klantuitzondering voor elektronische berichten. Bij cookies of vergelijkbare toegang tot apparatuur spelen afzonderlijke toestemmingsregels. De gidsen over direct marketing en de AVG en toestemming voor cookies helpen deze beslissingen naast de grondslag voor de verdere verwerking te beoordelen.
Voor direct marketing geldt een onvoorwaardelijk recht van bezwaar tegen verwerking voor dat doel, inclusief daarmee samenhangende profilering. Na zo’n bezwaar mag de organisatie de gegevens niet meer voor die marketing gebruiken. Zij kan niet alsnog stellen dat haar commerciële belang zwaarder weegt. Een beperkt uitsluitingsbestand kan nodig zijn om nieuwe marketing te voorkomen, maar moet zelf een passende grondslag, afbakening en bescherming hebben.
Informeren en omgaan met een gewoon bezwaar
De informatie aan betrokkenen moet het gerechtvaardigde belang noemen waarop u zich beroept, naast de andere toepasselijke informatieverplichtingen. Een tekst die alleen verwijst naar artikel 6 zegt niet welk belang in deze verwerking speelt. Vertaal de interne afweging naar begrijpelijke informatie zonder onnodige technische details. De privacyverklaring voor een website kan daarvoor een structuur bieden, mits de inhoud bij uw feitelijke gebruik past.
Buiten direct marketing kan een persoon vanwege diens specifieke situatie bezwaar maken tegen een verwerking op deze grondslag. U moet de verwerking dan staken, tenzij u dwingende gerechtvaardigde gronden aantoont die zwaarder wegen dan de belangen, rechten en vrijheden van de persoon, of de verwerking verband houdt met het instellen, uitoefenen of onderbouwen van een rechtsvordering. Herhaal niet alleen de oorspronkelijke algemene afweging: beoordeel de aangevoerde situatie.
Breng het recht van bezwaar uiterlijk bij het eerste contact uitdrukkelijk en duidelijk onder de aandacht, gescheiden van andere informatie. Zorg dat medewerkers een bezwaar herkennen, ook wanneer de persoon het woord bezwaar niet gebruikt. De gewone antwoordregels van artikel 12 gelden: zonder onnodige vertraging en in beginsel binnen een maand na ontvangst, met een gemotiveerde verlenging alleen waar de wettelijke voorwaarden zijn vervuld.
Als u niet aan een verzoek voldoet, moet u zonder vertraging en uiterlijk binnen een maand de redenen en de mogelijkheid van een klacht bij de toezichthouder en een beroep bij de rechter meedelen. Een interne notitie dat de grondslag geldig is, vervangt die reactie niet. Controleer bovendien dat een genomen besluit wordt doorgevoerd in gekoppelde systemen en bij partijen die namens u verwerken.
Leg de afweging vast als een bruikbaar besluit
Een belangenafweging wordt vaak een LIA genoemd, naar legitimate interest assessment. De AVG schrijft niet één formulier met die titel voor. De verantwoordingsplicht vereist wel dat u de naleving kunt aantonen. Een beknopt, specifiek document kan nuttiger zijn dan een lang standaardformulier waarin elke vraag automatisch positief is beantwoord. Zorg dat een collega kan begrijpen hoe de feiten tot de conclusie leiden.
Beschrijf de verwerking, het belang, de onderzochte alternatieven, de gevolgen en de daadwerkelijk gekozen waarborgen. Noteer onzekerheden en voorwaarden waaronder de verwerking mag starten. Leg vast wie de feitelijke informatie heeft aangeleverd en wie binnen de organisatie de beslissing neemt. Maak ook een negatieve uitkomst mogelijk: als de belangen van betrokkenen zwaarder wegen of een minder ingrijpend alternatief volstaat, kan de beoogde verwerking niet op deze grondslag doorgaan.
Koppel het besluit aan het register van verwerkingsactiviteiten, de informatie aan betrokkenen en de instellingen van de betrokken systemen. Bij vergelijking van software voor AVG-beheer zijn vindbaarheid, versiebeheer en het kunnen vastleggen van afwijkende conclusies bruikbare aandachtspunten. Een tool of score bewijst niet dat de juridische afweging klopt. De inhoud en uitvoering blijven de verantwoordelijkheid van de organisatie.
Herzie de afweging wanneer relevante feiten veranderen, bijvoorbeeld bij nieuwe gegevenscategorieën, extra ontvangers, een langer gebruik of klachten die onverwachte gevolgen zichtbaar maken. Er is geen algemeen wettelijk jaarritme dat iedere LIA automatisch actueel houdt. Kies een passende periodieke controle, maar reageer ook tussentijds op wijzigingen. Bewaar eerdere versies zodat duidelijk blijft welk besluit gold voor de verwerking op een bepaald moment.
Veelgestelde vragen
Is een commercieel belang altijd gerechtvaardigd?
Het commerciële karakter sluit een belang niet automatisch uit. Het belang moet rechtmatig zijn en de verwerking moet ook de noodzakelijkheidstoets en belangenafweging doorstaan. Het KNLTB-arrest bevestigt de mogelijkheid, niet de rechtmatigheid van iedere commerciële verstrekking. Een organisatie moet haar eigen feitelijke gebruik kunnen onderbouwen voordat zij op deze grondslag begint.
Kan ik bijzondere persoonsgegevens verwerken met een LIA?
Een LIA kan een afweging voor artikel 6 documenteren, maar vervangt geen uitzondering op het verwerkingsverbod van artikel 9. Beoordeel dus afzonderlijk de regels voor bijzondere persoonsgegevens. Zonder toepasselijke aanvullende voorwaarde maakt zelfs een zorgvuldig beschreven zakelijk belang het gebruik van die gegevens niet rechtmatig.
Moet ik iedere betrokkene om toestemming vragen?
Niet wanneer gerechtvaardigd belang voor de betreffende verwerking rechtsgeldig kan worden gebruikt en geen afzonderlijke regel toestemming vereist. U moet wel voldoen aan transparantie, bezwaar en alle andere toepasselijke eisen. Als het gekozen kanaal bijvoorbeeld onder een toestemmingsregel voor elektronische communicatie valt, verdwijnt die regel niet doordat de AVG-afweging positief is.
Is een positief besluit definitief?
Nee. De conclusie geldt voor de feiten, het doel en de waarborgen die zijn beoordeeld. Een nieuwe koppeling of onverwacht gevolg kan de uitkomst veranderen. Ook een individueel bezwaar vraagt een eigen behandeling. Gebruik de vastgelegde afweging daarom als een besluit dat bij de praktijk moet blijven passen, niet als een permanente toestemming voor alle toekomstige toepassingen.