Voor iedere verwerking van persoonsgegevens moet een grondslag zijn. Gegevens mogen niet worden verwerkt tenzij er ten minste één wettelijke basis is om dit te doen:
- De betrokkene heeft toestemming gegeven voor de verwerking van persoonsgegevens voor een of meer specifieke doeleinden.
- Verwerking is noodzakelijk voor de uitvoering van een contract waar betrokkene deel van is of om op verzoek van de betrokkene stappen te ondernemen voordat hij een contract sluit.
- Verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting waaraan de voor de verwerking verantwoordelijke is onderworpen.
- Verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te behartigen.
- De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van officiële autoriteit van de voor de verwerking verantwoordelijke.
- Verwerking is noodzakelijk met het oog op de rechtmatige belangen die door de voor de verwerking verantwoordelijke of door een derde worden behartigd, tenzij de belangen of fundamentele rechten en vrijheden van de betrokkene, die bescherming van persoonsgegevens vereisen, prevaleren boven deze rechtmatige belangen, met name wanneer de betrokkene een kind is.
Toestemming
Om persoonsgegevens te kunnen verwerken op basis van toestemming is een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting van de betrokkene vereist. In aanvulling daarop is in de AVG onder andere vereist dat:
- De verwerkingsverantwoordelijke moet kunnen aantonen dat de betrokkene (geïnformeerd en actief) toestemming heeft gegeven;
- De betrokkene te allen tijde het recht heeft een gegeven toestemming in te trekken.
Zie over toestemming als verwerkingsgrondslag in de zin van de AVG uitgebreider de ‘Richtsnoeren inzake toestemming’ van de Groep gegevensbescherming artikel 29.
Ook Dataminimalisatie en Privacy by Design zijn terug te voeren op deze wetgeving.