22 januari 2020 - Zoals u ondertussen misschien wel weet onderscheidt de AVG zes verschillende rechtvaardigingsgronden voor de verwerking van persoonsgegevens, oftewel er zijn zes mogelijke voorwaarden die toelaten dat u persoonsgegevens mag verwerken. De laatste grondslag, het gerechtvaardigd belang (artikel 6f AVG) is het meest interessant. Deze grondslag is in het algemeen niet bruikbaar voor overheden; die zullen zich moeten beroepen op een wettelijke verplichting of een publieke taak. De hamvraag: hoe werkt dat gerechtvaardigd belang nou eigenlijk?
Vorig jaar was bij het IAPP Europe Data Protection Congress in Brussel de workshop over het bepalen van een gerechtvaardigd belang het populairst. Het werd al snel pijnlijk duidelijk dat men eigenlijk geen idee heeft over hoe het gerechtvaardigd belang toegepast moet worden. En dat is gek, want voor commerciële bedrijven is dat misschien wel de belangrijkste grondslag voor de verwerking van persoonsgegevens. Veel mensen zijn van mening dat toestemming het meest voor de hand liggend is voor bedrijven, maar dit is toch echt een illusie.
Gerechtvaardigd belang: wat is dat?
Maar nu weer even terug bij het gerechtvaardigd belang. Om te beginnen kijken we naar de definitie uit de AVG (zie tekstbox). Hieruit blijkt dat de verwerking noodzakelijk moet zijn voor de behartiging van het gerechtvaardigd belang van de verantwoordelijke (het bedrijf/organisatie) en dat deze belangen zwaarder moeten wegen dan het belang van de bescherming van de persoonsgegevens van de betrokkene (klant). Daarbij is ook nog opgenomen dat als het om een kind gaat, deze belangen automatisch nog zwaarder wegen.
De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
Dit betekent eigenlijk dat er vier voorwaarden zijn waar aan u moet voldoen om u te beroepen op het gerechtvaardigd belang, namelijk:
- Het identificeren van een (gerechtvaardigd) belang
- Laten zien dat verwerking noodzakelijk is om het belang te behartigen
- Afwegen of dit belang in verhouding staat tot de impact die het heeft op de fundamentele rechten en vrijheden van betrokkenen (balanstoets)
- Transparantie en recht tot bezwaar
Identificatie gerechtvaardigd belang
Het eerste onderdeel is de identificatie van het gerechtvaardigd belang. Bedrijven hebben over het algemeen het genereren van winst als dominant doel. Hieronder liggen meerdere belangen die daaraan bijdragen: opbouwen klantrelaties, verbeteren klantenservice, optimaliseren van producten en diensten, marketing, tegengaan van fraude etc. Dit zijn gerechtvaardigde belangen, waarbij persoonsgegevens vaak een essentiële rol spelen voor de realisatie daarvan. Niet elk belang is echter gerechtvaardigd – deze moet aan de volgende eisen voldoen:
- Is het belang rechtmatig? (in overeenstemming met toepasselijk EU- en nationaal recht). Deze lijkt logisch, het belang dat u nastreeft moet wel passen binnen de kaders van onze wetten.
- Is het belang voldoende duidelijk en specifiek verwoord? Het belang mag niet te vaag omschreven worden, dus is het essentieel dat u dit zo concreet mogelijk beschrijft.
- Is er sprake van een ‘echt’ en dus niet ‘speculatief’ belang? Het belang moet zich in het hier en nu bevinden. U mag dus geen persoonsgegevens gaan verwerken omdat u hier mogelijk in de toekomst baat bij denkt te zullen hebben.
Noodzakelijkheid
De volgende onderbouwing die u moet geven is de noodzakelijkheid van de persoonsgegevens voor de behartiging van het eerder vastgestelde belang. Hierbij moet de nadruk liggen op het uitleggen hoe het gebruik van de persoonsgegevens leidt tot het belang dat u nastreeft – en dat het niet mogelijk is om dit doel met minder persoonsgegevens te realiseren.
Balanstoets
De volgende stap is de balanstoets. Als verantwoordelijke moet u afwegen of de rechten en vrijheden van betrokkenen niet zwaarder wegen dan het verwerkingsbelang van uw organisatie. Zoals met meerdere zaken uit de AVG maakt zo’n open formulering het moeilijk om een eenduidig antwoord te vinden. Belangrijk om in uw overweging mee te nemen is de ‘reasonable expectation of privacy’, oftewel – zou een betrokkene redelijkerwijs kunnen verwachten dat deze gegevens voor het door u gekozen doel verwerkt kunnen worden? Die afweging wordt maar op één manier gemaakt: uw boerenverstand.
Transparantie en recht tot bezwaar
Als u de bovenstaande stappen doorlopen hebt en tot de conclusie gekomen bent dat u een gerechtvaardigd belang hebt bij de verwerking, is het nog wel noodzakelijk om betrokkenen daarover te informeren. De meest logische plek om dit te doen is binnen uw privacyverklaring (op de website van uw organisatie). Daarnaast hebben betrokkenen ook het recht om bezwaar te maken tegen uw gerechtvaardigd belang. U moet ze die kans ook geven (bijvoorbeeld door het eenvoudig te maken om zich uit te schrijven voor uw nieuwsbrief). Indien de betrokkene hiervoor kiest, betekent dat u voor dat individu de verwerking zal moeten stoppen.
Conclusie
De grondslag gerechtvaardigd belang is een bijzonder bruikbare grondslag, vooral voor (commerciële) bedrijven. Het is in veel gevallen mogelijk om u te beroepen op deze grondslag, en kost minder werk dan het gebruik van toestemming. Het enige wat rest is dat u aan kunt tonen dat u het belang en de noodzakelijkheid van de verwerking hebt onderbouwd, en deze belangen hebt afgewogen tegen de impact die het maakt op de betrokkenen. Als u hier dan ook nog duidelijk over communiceert, dan hebt u alles netjes volgens de AVG geregeld.
