Verwerkingsgrondslagen AVG: de 6 wettelijke grondslagen

Een van de meest gemiste basisregels van de AVG is dat je voor elke verwerking van persoonsgegevens een grondslag nodig hebt. Geen grondslag betekent geen recht om de gegevens te verwerken, hoe goed je bedoelingen ook zijn. Toch beginnen veel bedrijven gegevens te verzamelen zonder zich af te vragen op welke basis dat eigenlijk mag.

De AVG kent precies 6 grondslagen. Voor elke verwerking moet je er minstens 1 kunnen aanwijzen. Dit artikel legt ze stuk voor stuk uit, met voorbeelden, en helpt je de juiste te kiezen. Het sluit aan op AVG voor het MKB en op je register van verwerkingen, waarin je per verwerking de grondslag vastlegt.

Waarom een grondslag verplicht is

De grondslag is het fundament onder elke verwerking. Zonder grondslag is de verwerking onrechtmatig, ongeacht hoe nuttig of onschuldig die lijkt. Dat maakt het kiezen van de juiste grondslag de eerste stap, nog voor je gegevens verzamelt.

Verwerken zonder grondslag valt in de zwaarste boetecategorie, met een maximum van 20 miljoen euro of 4 procent van de omzet. Zie AVG-boetes. De grondslag is dus niet alleen een formaliteit, maar de kern van rechtmatige verwerking.

De 6 grondslagen op een rij

De AVG noemt 6 grondslagen. In de praktijk gebruikt het MKB er een paar veel, en andere zelden. Hier staan ze alle 6, met een korte uitleg.

De eerste 3 en de laatste gebruikt het MKB het meest. Vitaal en algemeen belang spelen zelden in een gewone bedrijfsvoering. Hieronder lichten we de meest gebruikte toe.

Toestemming

Bij toestemming geeft de betrokkene zelf akkoord voor een specifieke verwerking. Het klinkt eenvoudig, maar de eisen zijn streng: toestemming moet vrij, specifiek, geinformeerd en ondubbelzinnig zijn, en de betrokkene moet die net zo makkelijk kunnen intrekken als geven.

Toestemming is minder geschikt als basis dan vaak gedacht, juist omdat ze intrekbaar is en aan strenge eisen voldoet. Voor nieuwsbrieven en cookies is ze gangbaar, zie cookies en toestemming, maar voor verwerkingen die je hoe dan ook moet doen, kies je beter een andere grondslag.

Overeenkomst en wettelijke verplichting

Twee grondslagen die het MKB veel gebruikt, zijn de uitvoering van een overeenkomst en een wettelijke verplichting. Ze zijn stevig, omdat ze niet afhangen van de wil van de betrokkene.

Voor veel alledaagse verwerkingen is een van deze 2 de juiste basis. Je verwerkt het adres van een klant niet op basis van toestemming, maar omdat je de overeenkomst moet uitvoeren. En je bewaart facturen omdat de wet dat verplicht, niet omdat de klant het goedvindt. Deze grondslagen zijn daarom vaak passender dan toestemming.

Gerechtvaardigd belang

De zesde grondslag, gerechtvaardigd belang, is de meest flexibele en tegelijk de lastigste. Je mag gegevens verwerken voor een eigen belang, mits dat belang zwaarder weegt dan de privacy van de betrokkene. Die afweging moet je zelf maken en kunnen onderbouwen.

Gerechtvaardigd belang past bijvoorbeeld bij fraudepreventie of netwerkbeveiliging. Het is krachtig, omdat het geen toestemming vereist, maar het vraagt wel een onderbouwde afweging die je vastlegt. Gebruik het niet als gemakkelijke restcategorie, want bij twijfel kan de toezichthouder de afweging toetsen.

De grondslagen in de praktijk

De cijfers laten zien dat het in kaart brengen van je grondslagen overzichtelijk is: voor een MKB-bedrijf kost het circa 8 uur om per verwerking de juiste grondslag te bepalen en vast te leggen. Tegenover een boete tot 20 miljoen euro of 4 procent van de omzet voor verwerken zonder grondslag is dat een kleine, verstandige investering. Herzie je grondslagen elke 12 maanden, want verwerkingen veranderen.

Hoe je de juiste grondslag kiest

Het kiezen van een grondslag begint bij de vraag waarom je de gegevens verwerkt. Het doel bepaalt de grondslag, niet andersom. Loop je verwerkingen langs en bepaal per stuk de basis.

1. Beschrijf de verwerking. Welke gegevens, voor welk doel?
2. Zoek de meest passende grondslag. Vaak is dat overeenkomst of wettelijke verplichting.
3. Gebruik toestemming bewust. Alleen waar het echt past, en houd rekening met intrekken.
4. Onderbouw gerechtvaardigd belang. Maak en bewaar de afweging.
5. Leg het vast in je register. Noteer per verwerking de gekozen grondslag.

Voor een MKB-bedrijf is dit goed zelf te doen. De grootste winst zit in het bewust kiezen: niet alles op toestemming baseren, maar per verwerking de juiste, stevigste grondslag.

Conclusie

Voor elke verwerking van persoonsgegevens heb je een geldige grondslag nodig, en de AVG kent er 6. Het MKB gebruikt vooral toestemming, overeenkomst, wettelijke verplichting en gerechtvaardigd belang. De kunst is om per verwerking bewust de meest passende te kiezen, en niet alles op toestemming te baseren, want die is intrekbaar en streng. Leg je keuze per verwerking vast in je register. Met circa 8 uur breng je je grondslagen in kaart, een kleine investering tegenover een boete tot 20 miljoen euro of 4 procent van de omzet. Lees verder in AVG voor het MKB en privacy by design.

De grondslagen naast elkaar in cijfers

De praktijk leert dat het meeste misgaat door onnadenkendheid, niet door onwil. Bedrijven verzamelen gegevens en denken pas later na over de grondslag, of baseren standaard alles op toestemming omdat dat het meest voor de hand lijkt te liggen. Juist die reflex is riskant, want toestemming is intrekbaar en streng. Trekt een klant zijn toestemming in voor een verwerking die je eigenlijk op basis van de overeenkomst had moeten doen, dan sta je met lege handen.

Voor een MKB-bedrijf met 20 medewerkers is het in kaart brengen van de grondslagen een overzichtelijke klus van circa 8 uur. Je loopt je verwerkingen langs, kiest per stuk de stevigste passende grondslag en legt die vast in je register. Die circa 8 uur staat tegenover een boete tot 20 miljoen euro of 4 procent van de omzet voor verwerken zonder grondslag.

Het loont om dit elke 12 maanden te herzien, want verwerkingen veranderen: je begint met een nieuwe dienst, koppelt een nieuw systeem of stopt met een oude verwerking. Door de grondslagen actueel te houden, blijf je aantoonbaar in orde. Reageer daarbij op verzoeken van betrokkenen binnen 1 maand, want ook dat hangt samen met de grondslag waarop je verwerkt.

Tot slot een praktische volgorde: reserveer circa 8 uur om je verwerkingen langs te lopen, plan een herziening na 12 maanden, en houd er rekening mee dat je verzoeken van betrokkenen binnen 1 maand moet afhandelen. Met die drie data in je agenda blijft het onderwerp beheersbaar in plaats van dat het blijft liggen.

Veelgestelde vragen

Wat is een verwerkingsgrondslag?

De wettelijke basis waarop je persoonsgegevens mag verwerken. Zonder grondslag is de verwerking onrechtmatig. De AVG kent er 6, en voor elke verwerking moet je er minstens 1 kunnen aanwijzen.

Welke grondslagen zijn er?

Toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, algemeen belang en gerechtvaardigd belang. Het MKB gebruikt vooral de eerste 3 en de laatste.

Is toestemming altijd de beste keuze?

Nee. Toestemming is intrekbaar en moet aan strenge eisen voldoen. Voor verwerkingen die je hoe dan ook moet doen, zoals het uitvoeren van een contract, is een andere grondslag vaak passender.

Wat is gerechtvaardigd belang?

Een grondslag waarbij je verwerkt voor een eigen legitiem belang, mits dat zwaarder weegt dan de privacy van de betrokkene. Je moet die afweging zelf maken, onderbouwen en vastleggen.

Waar leg ik de grondslag vast?

In je register van verwerkingsactiviteiten, per verwerking. Zo kun je aantonen op welke basis je elke verwerking uitvoert, wat de toezichthouder kan opvragen.

Dit artikel is informatief en geen juridisch advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur of de Autoriteit Persoonsgegevens.