Normity

Grondslagen zijn de zes juridische bases waarop je persoonsgegevens mag verwerken volgens artikel 6 AVG. Zonder geldige grondslag is verwerking onrechtmatig. De zes grondslagen zijn: toestemming, uitvoering overeenkomst, wettelijke verplichting, vitaal belang, publieke taak en gerechtvaardigd belang. Per verwerking moet je één grondslag aanwijzen.

Toestemming betekent dat de betrokkene vrijwillig, specifiek, geïnformeerd en ondubbelzinnig instemt met de verwerking. Toestemming moet intrekbaar zijn, en je moet dat net zo makkelijk kunnen maken als geven. Toestemming werkt alleen als de betrokkene écht een vrije keuze heeft — bij werknemersrelaties bijvoorbeeld meestal niet.

Deze grondslag geldt wanneer verwerking noodzakelijk is voor een contract met de betrokkene, zoals NAW-gegevens voor levering van een product. De verwerking moet objectief noodzakelijk zijn — niet alleen handig voor de organisatie. Ook de precontractuele fase (offerte, intake) valt hieronder.

Gerechtvaardigd belang geldt wanneer jij of een derde een legitiem belang hebt dat zwaarder weegt dan de privacy van de betrokkene. Denk aan fraudebestrijding, interne administratie of direct marketing aan bestaande klanten. Een belangenafweging is verplicht en moet worden vastgelegd. Overheden mogen deze grondslag niet gebruiken bij de uitvoering van hun wettelijke taken.

Deze grondslag geldt wanneer een EU- of nationale wet je verplicht om bepaalde gegevens te verwerken. Voorbeelden: loonadministratie (Wet op de loonbelasting), cliëntidentificatie (Wwft), zorgdossiers (Wgbo). De wettelijke grondslag moet specifiek genoeg zijn en duidelijk aanwijzen welke verwerking verplicht is.

De juiste grondslag hangt af van doel en context. Begin bij de specifieke verwerking: waarom verwerk je deze gegevens? Welke partij heeft de verwerking nodig? Is er sprake van een contract, wet, publieke taak of eigen belang? Toestemming is doorgaans de laatste keuze — niet de eerste. Documenteer per verwerking welke grondslag geldt.

Een verkeerde grondslag maakt de verwerking onrechtmatig. Dat kan leiden tot klachten bij de Autoriteit Persoonsgegevens, datalekken, schadeclaims of boetes (tot 20 miljoen euro of 4% van de wereldwijde jaaromzet). Bovendien mag je niet zomaar 'overstappen' — als je eerst toestemming vroeg, kun je niet later 'gerechtvaardigd belang' claimen.

Nee — voor bijzondere persoonsgegevens (gezondheid, ras, religie, biometrie, vakbond) geldt artikel 9 AVG met eigen uitzonderingen. Er zijn tien specifieke grondslagen, waaronder uitdrukkelijke toestemming, arbeidsrecht, preventieve geneeskunde en zwaarwegend algemeen belang. Bijzondere gegevens verwerken zonder zo'n specifieke grondslag is verboden.