Rechtsgrond voor verwerking

Elke verwerking van persoonsgegevens heeft een rechtsgrond nodig, ook wel grondslag genoemd. De GDPR (artikel 6) somt er zes op en de lijst is gesloten: je verwerking moet op minstens één ervan steunen, anders is ze onrechtmatig, hoe nuttig of onschuldig ze ook lijkt.

De zes grondslagen

• Toestemming van de betrokkene.
• Uitvoering van een overeenkomst waarbij de betrokkene partij is.
• Wettelijke verplichting die op jou rust.
• Vitaal belang, bij leven of dood.
• Taak van algemeen belang of openbaar gezag.
• Gerechtvaardigd belang, na een belangenafweging.

De juiste grondslag kiezen

Je kiest de grondslag vooraf, per doel, en je vermeldt ze in je privacybeleid. Achteraf van grondslag wisselen mag niet zomaar. Kies dus bewust: steun je op toestemming, dan moet de betrokkene die ook weer kunnen intrekken; steun je op een overeenkomst, dan moet de verwerking echt noodzakelijk zijn om die uit te voeren.

Voorbeeld webshop

Bij een webshop steunt de verwerking van bestel- en leveringsgegevens op de overeenkomst, het bijhouden van facturen op een wettelijke verplichting, een nieuwsbrief op toestemming, en fraudepreventie vaak op gerechtvaardigd belang. Eén onderneming gebruikt dus meerdere grondslagen naast elkaar.

Praktijktip: maak een tabel met per verwerking het doel en de gekozen grondslag. Die tabel sluit naadloos aan op je verwerkingsregister.