Doeleinden; rechtmatigheid
ISOR:Doeleinden- rechtmatig /
Naar navigatie springen
Naar zoeken springen
| ||||||||||||||||||
Stelling
De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaanAVG Art. 6 lid 1:
- De betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
- De verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
- De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Deze rechtsgrond moet zijn vastgesteld bij het Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing isAVG Art. 6 lid 3;
- De verwerking is noodzakelijk om vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
- De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Deze rechtsgrond moet zijn vastgesteld bij het Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing isAVG Art. 6 lid 3;
- De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. Dit onderdeel (punt 6) geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun wettelijke taken.
Toelichting
- Voor de private sector zijn doorgaans de onderdelen 1, 2, 4 en 6 een basis voor verwerking van persoonsgegevens. Ook onderdeel 3 kan een basis zijn voor verwerking van persoonsgegevens in de private sector wanneer er sprake is van een wettelijke verplichting voor een private partijAVG overweging 46.
- Voor de overheid is met name verwerking op basis van een wettelijke verplichting (onderdeel 3) en verwerking in het belang van uitvoering van een taak van algemeen belang (onderdeel 5) relevant. Deze beide rechtsgrondslagen voor de overheid moeten worden vastgesteld bij het wettelijke recht dat op de verwerkingsverantwoordelijke van toepassing isAVG Art. 6 lid 3. Voorwaarde voor rechtmatige verwerking in het kader van een wettelijke verplichting is dat de verwerking noodzakelijk is om te voldoen aan de wettelijke verplichting. De wettelijke verplichting tot verstrekking van persoonsgegevens is doorgaans zeer precies vastgelegd in sectorspecifieke regelgeving. Dit is echter niet noodzakelijkerwijs het geval. Denkbaar is ook dat verwerking van persoonsgegevens een basis vindt in een ruimer geformuleerde zorgplicht. In dat geval heeft de verwerkingsverantwoordelijke een grotere eigen verantwoordelijkheid inzake het beoordelen van de noodzakelijkheid van de verwerking in het licht van het voldoen aan de wettelijke verplichting. Op dit punt is het wettelijk kader, zoals dat gold onder de WBP, niet veranderdAVG overweging 46.
- Met betrekking tot de rechtsgrond 'uitvoering van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag' (hierna ook kortweg: 'publieke taak') moet het doel van de verwerking noodzakelijk zijn voor de vervulling van die taak. Naar zijn aard is de publieke taak dynamisch en veranderlijk door de tijd heen. De grenzen van de publieke taak zijn niet altijd op voorhand scherp te trekken. De publieke taak zelf zal echter altijd moeten blijken uit de sectorspecifieke regelgeving die op de verwerkingsverantwoordelijke van toepassing is. Niet noodzakelijk is dat in de sectorspecifieke regelgeving ook expliciet is opgenomen dat ten behoeve van de vervulling van de wettelijke taak gegevens verwerkt mogen worden. Met de wettelijke grondslag voor de publieke taakAVG Art. 6 lid 1 is tevens een grondslag gegeven voor de verwerking van persoonsgegevens. Het doel van de gegevensverwerking is daarbij naar zijn aard wel gebonden aan de uitoefening van die publieke taak en de ruimte voor gegevensverwerking vindt hierin zijn begrenzing. De publiekrechtelijke taak zelf zal moeten blijken uit de voor de verwerkingsverantwoordelijke relevante wettelijke bepalingenAVG overweging 46.
- De publieke taak noch de gegevensverwerking hoeft uitputtend te zijn geregeld in een wet in formele zin. Voldoende is dat de hoofdlijnen kenbaar zijn uit de wet. Deze lezing strookt ook met het uitgangspunt van het EVRM (https://www.europa-nu.nl/id/vh7dovnw4czu/europees_verdrag_tot_bescherming_van_de) inzake beperking van grondrechten, waarbij de beperking van het privéleven voorzienbaar moet zijn bij wetAVG Art. 8 lid 2. Het begrip 'voorzienbaar bij wet' wordt hierbij opgevat als een materieel wetsbegrip, dat niet beperkt is tot wetten in formele zinAVG overweging 41. In de kern gaat het er om dat voor het individu duidelijk moet zijn, dat zijn persoonsgegevens met betrekking tot een specifieke publieke taak worden verwerkt. Dit kan ook, zoals nu in sommige gevallen wordt aangenomen, volgen uit een samenstel van wettelijke regels die tezamen een publieke taak aanduiden. Het begrip publieke taak moet dus breed worden gelezen, mede in het licht van de overwegingen bij de AVG, maar die publieke taak moet wel voldoende duidelijk blijken uit nationaal recht. AVG Art. 6, lid 1e, is geen zelfstandige rechtsbasis voor gegevensverwerking, gelet op het derde lid van deze bepaling.
- Als van het doel van de verwerking de rechtmatigheid wordt vastgesteld en als de verwerking betrekking heeft op het algemeen belang volgens punt 5): "noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke", dan kan die rechtsgrond specifieke bepalingen bevatten om de toepassing van de regels van de AVG aan te passen, met inbegrip van de algemene voorwaarden inzake:
- De rechtmatigheid van verwerking door de verwerkingsverantwoordelijke;
- De types verwerkte gegevens;
- De betrokkenen;
- De entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt;
- De doelbinding;
- De opslagperioden, en:
- De verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX van de AVG.
- Met betrekking tot onderdelen 3 en 5 geldt dat het Nederlands recht moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doelAVG Art. 6.
- Bij onderdeel 6 is voor de overheid van belang dat dit onderdeel niet geldt voor overheidsinstanties in het kader van de uitoefening van hun taak. Overheidsinstanties zullen bij het uitoefenen van hun taak geen gebruik kunnen maken van de grondslag 'gerechtvaardigd belang', maar zullen voor dit gebruik moeten kunnen aangeven dat de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Dit geldt niet voor zover de overheidsinstantie 'typisch bedrijfsmatige handelingen' verricht waarbij persoonsgegevens worden verwerkt, zoals de verwerking van persoonsgegevens die noodzakelijk is voor de beveiliging van overheidsgebouwen. Voor handelingen die buiten de uitoefening van de wettelijke taak vallen mag wel een grondslag worden aangenomen in het gerechtvaardigd belang van de organisatie. De overheid onderscheidt zich hierin niet wezenlijk van een private partijAVG overweging 47.
Bovenliggende principe(s)
Deze norm realiseert het principe Doelbinding gegevensverwerking via de conformiteitsindicator doeleinden.
Grondslag