In de praktijk wordt regelmatig aangenomen dat persoonsgegevens mogen worden verwerkt zodra deze verwerking expliciet in een overeenkomst is opgenomen. “Het staat in het contract, dus het mag.” Deze redenering klinkt logisch, maar is juridisch onjuist. De Algemene Verordening Gegevensbescherming (AVG) stelt strengere eisen aan het gebruik van persoonsgegevens dan enkel een contractuele vermelding.
Het opnemen van een gegevensverwerking in een overeenkomst is op zichzelf geen geldige verwerkingsgrondslag. Voor iedere verwerking van persoonsgegevens moet een beroep kunnen worden gedaan op één van de grondslagen uit artikel 6 AVG. Een overeenkomst kan daarbij een rol spelen, maar uitsluitend onder specifieke voorwaarden.
Artikel 6 lid 1 sub b AVG: noodzakelijkheid staat centraal
Artikel 6 lid 1 sub b AVG bepaalt dat persoonsgegevens mogen worden verwerkt wanneer dit noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van stappen op verzoek van de betrokkene voorafgaand aan het sluiten van die overeenkomst.
Het sleutelbegrip hier is “noodzakelijk”. De verwerking moet objectief noodzakelijk zijn om:
- de overeenkomst met de betrokkene uit te voeren, of
- voorbereidende handelingen te verrichten op verzoek van de betrokkene.
Dat betekent dat niet iedere verwerking die verband houdt met een contract automatisch onder deze grondslag valt. De AVG vereist dat de verwerking essentieel is voor de kern van de afgesproken dienst of prestatie.
Niet alles wat handig is, is noodzakelijk
In de praktijk worden persoonsgegevens vaak verwerkt omdat dit efficiënt, commercieel aantrekkelijk of intern wenselijk is. Denk aan aanvullende analyses, marketingdoeleinden of uitgebreide klantprofielen. Dergelijke verwerkingen kunnen nuttig zijn, maar dat maakt ze nog niet noodzakelijk voor de uitvoering van de overeenkomst.
De toezichthouders hanteren hierbij een strikte toets: kan de dienst daadwerkelijk niet worden geleverd zonder deze specifieke verwerking? Als het antwoord “nee” is, dan kan artikel 6 lid 1 sub b AVG niet worden gebruikt als grondslag.
Wat moet je kunnen aantonen?
Wil een organisatie zich met succes beroepen op artikel 6 lid 1 sub b AVG, dan moet zij kunnen onderbouwen dat:
- er sprake is van een geldige overeenkomst met de betrokkene;
- de betreffende verwerking van persoonsgegevens essentieel is voor de uitvoering van die overeenkomst, en uitsluitend ziet op de kern van de dienst;
- er geen minder ingrijpende alternatieven bestaan waarmee hetzelfde doel kan worden bereikt.
Ontbreekt één van deze elementen, dan is deze grondslag niet van toepassing en moet een andere grondslag uit artikel 6 AVG worden gekozen, zoals toestemming of een gerechtvaardigd belang.
Contracten zijn geen vrijbrief
Het contractuele kader bepaalt de civielrechtelijke afspraken tussen partijen, maar vervangt niet de vereisten van de AVG. Een overeenkomst kan dus nooit dienen als “vrijbrief” om persoonsgegevens te verwerken zonder verdere toetsing.
Conclusie
Dat een gegevensverwerking in een overeenkomst is opgenomen, betekent niet automatisch dat deze verwerking rechtmatig is onder de AVG. Alleen wanneer de verwerking objectief noodzakelijk is voor de kern van de overeenkomst, kan een beroep worden gedaan op artikel 6 lid 1 sub b AVG. De cruciale vraag die organisaties zichzelf steeds moeten stellen blijft dan ook: kan deze dienst daadwerkelijk niet worden geleverd zonder deze persoonsgegevens te verwerken?
