Als organisatie mag u niet zomaar persoonsgegevens verwerken. U moet daarvoor een wettelijke grondslag hebben. Een grondslag kan zijn dat u de gegevens nodig heeft voor het maken van een offerte, of een factuur. De grondslag is dan “Noodzakelijk voor het uitvoeren van een overeenkomst”
De Algemene verordening gegevensbescherming (AVG) kent 6 van deze grondslagen.
Let op : kunt u de gegevensverwerking niet baseren op minimaal één van deze grondslagen? Dan heeft u niet het recht om de persoonsgegevens te verwerken.
Welke grondslagen zijn er?
De AVG kent 6 grondslagen voor het verwerken van persoonsgegevens:
- Toestemming van de betrokken persoon.
- De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst.
- De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting.
- De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen.
- De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
- De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.
U bent zelf verantwoordelijk om te beoordelen of u zich voor een verwerking van persoonsgegevens kunt baseren op één van de 6 grondslagen. Het gaat daarbij om de argumentatie achter uw grondslag.
Bijzondere en strafrechtelijke gegevens
Het verwerken van bijzondere en strafrechtelijke persoonsgegevens is verboden, tenzij u voldoet aan een aantal strengere eisen. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands gezondheid of pasfoto’s. Strafrechtelijke persoonsgegevens zijn bijvoorbeeld gegevens over strafrechtelijke veroordelingen.
Persoonlijk gebruik
Verwerking van persoonsgegevens voor puur persoonlijk gebruik is wel altijd toegestaan. Denk bijvoorbeeld aan een verjaardagskalender of een bestand met adressen van familie en vrienden.
Verantwoordingsplicht
Zorg ervoor dat u goed kunt onderbouwen dat u de verwerking van persoonsgegevens op minimaal 1 van de 6 AVG-grondslagenkunt baseren als de Autoriteit Persoonsgegevens daar om vraagt. Onder de AVG geldt namelijk de verantwoordingsplicht.