Verwerken van persoonsgegevens mag alleen wanneer je daar een reden voor hebt, oftewel: een grondslag. De keuze voor een juiste grondslag blijkt vaak als lastig te worden ervaren. Je kunt er natuurlijk ook niet zomaar een uitkiezen: deze moet volgen uit de wet, daarover moet je informeren en je kunt niet zomaar wisselen van grondslag. Eerder schreven wij al over de grondslag toestemming en het gerechtvaardigd belang. Vandaag is er aandacht voor de grondslag die ten onrechte te weinig wordt ingezet, namelijk de grondslag dat het verwerken van de gegevens noodzakelijk is voor de uitvoering van een overeenkomst.
Om je te kunnen beroepen op deze grondslag, dient volgens de Algemene Verordening Gegevensbescherming (AVG) de verwerking noodzakelijk te zijn voor de uitvoering van een overeenkomst waarbij de betrokkene partij is. Een te snelle (of te letterlijke) lezing van dit artikel zorgt ervoor dat je je misschien afvraagt of er nu altijd een (papieren)overeenkomst dient te liggen, om gegevens te mogen verwerken op basis van deze grondslag. Goed nieuws: dat is niet zo. Deze grondslag geldt ook voor gegevensverwerking in de fase vóórdat er een overeenkomst is gesloten. Wanneer er bijvoorbeeld een offerte wordt opgesteld, maar ook wanneer een betrokkene slechts een contactformulier invult om in contact te komen over aangeboden diensten. Het is niet zeker of hier daadwerkelijk een contract uit zal voortkomen, maar toch is deze grondslag vaak van toepassing.
Noodzakelijk, of slechts handig?
Voor het midden en kleinbedrijf (mkb) is de grondslag dat de gegevens nodig zijn om een overeenkomst uit te voeren de meest voorkomende. Het mkb bestaat voor het grootste gedeelte uit (zakelijke) dienstverlening en detailhandel, waarbij (koop-) overeenkomsten aan de orde van de dag zijn. Bij de aankoop van een product via een webshop, is het onvermijdelijk om daartoe gegevens te verwerken. Om de bestelling te kunnen verwerken, de betaling te (laten) volbrengen én om de bestelling af te leveren op het juiste adres, zijn persoonsgegevens nodig. Let er echter op dat er soms ook gegevens worden verwerkt in een aankoopproces omdat deze simpelweg ‘handig’ zijn om te verzamelen. Handig is natuurlijk niet hetzelfde als noodzakelijk. Wanneer een webshop tijdens een aankoopproces bijvoorbeeld ook analytische data wil verwerken, omdat ze graag willen zien hoe die klant beweegt over de webshop, dient het bedrijf daar een andere grondslag voor te hebben, namelijk toestemming. Zónder die analytische data, kan de aankoop en bestelling namelijk ook worden afgehandeld. Kortom, het is belangrijk dat de overeenkomst niet uitgevoerd kan worden zonder die persoonsgegevens. Is het verwerken van de persoonsgegevens alleen maar handig, maar niet noodzakelijk, dan kan deze grondslag niet gebruikt worden.
Guidelines
De Europese privacytoezichthouders hebben (Engelstalige) guidelines gepubliceerd over de grondslag overeenkomst bij online services. Hieruit blijkt duidelijk dat ‘noodzakelijk’ strikt geïnterpreteerd dient te worden. Het feit dat een verwerking is gedekt in een contract, betekent niet automatisch dat de verwerking noodzakelijk voor de uitvoering van dat contract. Zelfs wanneer de verwerking wordt genoemd ín het contract, betekent dat nog niet dat het noodzakelijk is om de overeenkomt uit te laten voeren of tot stand te laten komen. Hier is een duidelijk verband met het beoordelen van de noodzakelijkheid en het beginsel van doelbinding. Het is belangrijk om het precieze doel van de overeenkomst vast te stellen, want dan pas kun je vaststellen of een verwerking noodzakelijk is voor de totstandkoming of uitvoering daarvan.
Zo zal je in veel contracten voor digitale services bepalingen tegenkomen die extra voorwaarden bevatten ten aanzien van adverteren en/of het inzetten van cookies, waarbij onvermijdelijk gegevens zullen worden verwerkt. Het enkele feit dat hierover is gecontracteerd, betekent echter niet dat ook die gegevens noodzakelijk zijn om het contract uit te voeren of tot stand te laten komen. In ieder geval niet in de zin van de AVG als grondslag van gegevensverwerking.
Conclusie
Bij de beoordeling van wat nu precies noodzakelijk is voor de uitvoering van de overeenkomst, kan de uitkomst zijn dat de beoogde verwerking verder gaat dan wat objectief noodzakelijk is voor de uitvoering van deze bepaalde overeenkomst. Dat betekent natuurlijk niet dat toekomstige verwerking op zichzelf onrechtmatig is. Zoals reeds vermeld, zijn er mogelijk andere grondslagen beschikbaar voordat de verwerking wordt gestart.
