Grondslagen persoonsgegevens

Organisaties mogen persoonsgegevens alleen verwerken als ze hiervoor een grondslag hebben. Er zijn zes mogelijke grondslagen:

1. Taak van algemeen belang

Bij deze grondslag verwerken organisaties persoonsgegevens omdat dit noodzakelijk is op basis van wetgeving of voor de uitoefening van het openbaar gezag. Voor overheidsorganisaties is deze grondslag vaak van toepassing omdat ze een bij wet geregelde taak uitvoeren (publieke taak).

2. Overeenkomst

Bij deze grondslag verwerken organisaties persoonsgegevens omdat dit noodzakelijk is voor de uitvoering van een overeenkomst. Denk hierbij aan een arbeidsovereenkomst, koop- of huurovereenkomst.

3. Wettelijke verplichting

Bij deze grondslag verwerken organisaties persoonsgegevens omdat dit noodzakelijk is om gehoor te geven aan een wettelijke verplichting. Denk hierbij aan het aanleveren van persoonsgegevens bij de belastingdienst of het CBS of het bijhouden van een register van arbeidsongevallen.

4. Vitale belangen

Bij deze grondslag verwerken organisaties persoonsgegevens omdat het noodzakelijk is om de vitale belangen van een persoon te beschermen. Bijvoorbeeld bij een ongeval of (natuur)rampen.

5. Gerechtvaardigd belang

Bij deze grondslag verwerken organisaties persoonsgegevens omdat dit noodzakelijk is voor een gerechtvaardigde belang van de organisatie. Hier moet een zorgvuldige afweging worden gemaakt of het gerechtvaardigd belang van de organisatie zwaarder weegt dan de inbreuk op de privacy van de persoon.

6. Toestemming

Bij deze grondslag mogen organisaties persoonsgegevens verwerken omdat ze hier toestemming voor hebben van de persoon van wie de gegevens zijn.

De grondslag toestemming moet een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting zijn. Het moet voldoen aan de volgende voorwaarden:

• Vooraf, vrij en actief gegeven. ‘Als u niet reageert, gaan wij ervan uit dat u akkoord gaat’ is geen rechtmatige toestemming.
• Personen zijn vooraf in duidelijke en eenvoudige taal geïnformeerd.
• Als het gaat om gegevens van kinderen jonger dan 16 jaar, is toestemming van de ouders/verzorgers nodig.
• Personen moeten de toestemming net zo makkelijk weer kunnen intrekken als het is gegeven.

Er mag geen sprake zijn van een machtsverhouding. Tussen de overheid en burger of werkgever en werknemer is daar al snel sprake van.