Verdere verwerking i.r.t. andere doelen

→ Bovenliggende principe → Meer in normenkader èn aspect → Alle normen → Alle normenkaders → ISOR (Information Security Object Repository)

Stelling

De verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, is alleen mogelijk wanneer:

1. De verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld en de verwerkingsverantwoordelijke bij de beoordeling van de verenigbaarheid onder meer rekening houdt met^{AVG art. 6 lid 4}:
   1. Ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld en de doeleinden van de voorgenomen verdere verwerking;
   2. Het kader waarin de persoonsgegevens zijn verzameld, met name wat betreft de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke;
   3. De aard van de persoonsgegevens, met name of bijzondere categorieën persoonsgegevens worden verwerkt^{AVG art. 9} en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt^{AVG art. 10};
   4. De mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;
   5. Het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. Of:
2. De verdere verwerking plaatsvindt op basis van de toestemming van betrokkene. Of:
3. Wanneer de verdere verwerking berust op een wettelijke bepaling waarbij een specifieke uitzondering geldt.

• "Verdere verwerking" ziet in de AVG op alle verwerkingen van persoonsgegevens voor een ander doel dan waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. Dit kan verwerking door een en dezelfde verwerkingsverantwoordelijke zijn, maar kan ook de basis zijn voor verstrekking van gegevens aan een andere verwerkingsverantwoordelijke.
• Om na te gaan of een doel van verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld, moet de verwerkingsverantwoordelijke, nadat hij aan alle voorschriften inzake rechtmatigheid van de oorspronkelijke verwerking heeft voldaan, onder meer rekening houden met^{AVG overweging 50}:
  • Een eventuele koppeling tussen die doeleinden en de doeleinden van de voorgenomen verdere verwerking;
  • Het kader waarin de gegevens zijn verzameld; met name de redelijke verwachtingen van de betrokkenen op basis van hun verhouding met de verwerkingsverantwoordelijke betreffende het verdere gebruik ervan;
  • De aard van de persoonsgegevens;
  • De gevolgen van de voorgenomen verdere verwerking voor de betrokkenen, en:
  • Passende waarborgen bij zowel de oorspronkelijke als de voorgenomen verdere verwerkingen.
• De verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (doelbinding).
• Verdere verwerking voor zuiver commerciële doelstellingen, zoals het gericht kunnen aanbieden van reclame, kan niet hierop worden gebaseerd. Dat kan alleen met uitdrukkelijke toestemming van de betrokkene.
• Mogelijkheid #1 voor verdere verwerking is 'verenigbaarheid'. De verwerkingsverantwoordelijke mag gegevens verder verwerken voor een ander doel mits dat andere doel verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verzameld^{AVG art. 5 lid 1b}. De verwerkingsverantwoordelijke moet dit zelf vaststellen. Ook verdere verwerking ten behoeve van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden blijft mogelijk op voorwaarde dat passende waarborgen voor de bescherming van de persoonsgegevens van de betrokkenen, bijvoorbeeld pseudonimisering^{AVG overweging 159, over de scope van 'wetenschappelijk of historisch onderzoek'}.
• Mogelijkheid #2 voor verdere verwerking is gebaseerd op de toestemming van de betrokkene, ook wanneer deze niet verenigbaar is met het doel van de oorspronkelijke verwerking van persoonsgegevens. De aanvaardbaarheid van verdere verwerking op basis van toestemming is in zekere zin een vanzelfsprekendheid. Met de toestemming komt immers tot uitdrukking dat betrokkene zelf de inbreuk op de persoonlijke levenssfeer, die plaatsvindt bij de verwerking van persoonsgegevens, niet bezwaarlijk acht. De toestemming dient wel expliciet en vrijelijk te worden gegeven^{AVG art. 7 en 8}. De verwerkingsverantwoordelijke hoeft in geval van toestemming niet te toetsen aan het vereiste van verenigbaarheid.
• Mogelijkheid #3 voor verdere verwerking is gebaseerd op de wet- en regelgeving die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de bedoelde doelstellingen. De verdere verwerking hoeft ook in dat geval niet verenigbaar te zijn met het oorspronkelijke doel waarvoor de gegevens zijn verzameld en de verwerkingsverantwoordelijke hoeft dan ook niet te toetsen aan het vereiste van verenigbaarheid^{AVG art. 6, tweede deel lid 4}. De verdere verwerking door de verwerkingsverantwoordelijke is dan gebaseerd op de lidstaatrechtelijke bepaling (een specifieke wettelijke bepaling dus). Gaat het om de nationale veiligheid? Dan valt volgens de Mvt verder verwerken onder het regime van Wpg/Wjsg of de Wet op de inlichtingen en veiligheidsdiensten (Wiv). In andere gevallen moet de verwerkingsverantwoordelijke het verder verwerken toetsen (en motiveren/documenteren) aan de criteria om verenigbaarheid vast te stellen zoals weergegeven onder U.01.02.02.
• Als de verdere verwerking wordt verricht op basis van mogelijkheid 3, doordat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of als de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag, dan dient de verwerking een grondslag te hebben in het wettelijke recht. De AVG schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang, dan wel voor een taak in het kader van de uitoefening van het openbaar gezag.
• Het moet ook het Nederlands recht zijn dat het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van de AVG, waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en van specificaties voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. Ook dient in het wettelijke recht te worden vastgesteld of de verwerkingsverantwoordelijke, die is belast met een taak van algemeen belang dan wel met een taak in het kader van de uitoefening van het openbaar gezag, een overheidsinstantie of een andere publiekrechtelijke persoon moet zijn, of een privaatrechtelijke persoon moet zijn, zoals een beroepsvereniging, indien zulks is gerechtvaardigd om redenen van algemeen belang, waaronder gezondheidsdoeleinden zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten^{AVG overweging 45}.
• De verwerking van persoonsgegevens dient ook als rechtmatig te worden beschouwd als zij noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere natuurlijke persoon essentieel is. Verwerking van persoonsgegevens op grond van het vitale belang voor een andere natuurlijke persoon is in beginsel alleen toegestaan als de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Sommige typen persoonsgegevensverwerking kunnen zowel gewichtige redenen van algemeen belang als de vitale belangen van de betrokkene dienen, bijvoorbeeld wanneer de verwerking noodzakelijk is voor humanitaire doeleinden, onder meer voor het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties, met name bij natuurrampen of door de mens veroorzaakte rampen^{AVG overweging 46}.
• Specifieke uitzonderingsgronden zijn de volgende:^{AVG art. 23}:

1. De nationale veiligheid;
2. Landsverdediging;
3. De openbare veiligheid;
4. De voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
5. Andere belangrijke doelstellingen van algemeen belang van de EU of van een lidstaat, met name een belangrijk economisch of financieel belang van de EU of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
6. De bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures;
7. De voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;
8. Een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de in de punten a), tot en met e) en punt g) bedoelde gevallen;
9. De bescherming van de betrokkene of van de rechten en vrijheden van anderen;
10. De inning van civielrechtelijke vorderingen.

Bovenliggende principe(s)

Deze norm realiseert het principe Doelbinding gegevensverwerking via de conformiteitsindicator rechtvaardiging verdere verwerking.

Grondslag

Datum waarop document het laatst is gepubliceerd (http://standaarden.overheid.nl/owms/4.0/doc/eigenschappen/dcterms.modified)

Datum waarop de laatste versie is geïmplementeerd of de laatste wijziging is aangebracht.