Wettelijke grondslag voor het verwerken van persoonsgegevens

Zonder een wettelijke grondslag mag men onder de algemene verordening gegevensbescherming (AVG) niet zomaar persoonsgegevens verwerken. Daarom is het raadzaam om vooraf inzicht te hebben in het type persoonsgegevens dat u wilt verwerken.

Het AVG onderscheid drie typen persoonsgegevens: gewone, bijzondere en strafrechtelijke gegevens.

Gewone persoonsgegevens mag u verwerken wanneer u de gegevensverwerking op minimaal 1 van de 6 AVG-grondslagen kunt baseren.

De verwerking van bijzondere en strafrechtelijke gegevens is alleen dan toegestaan als u zich kunt beroepen op een specifieke wettelijke uitzondering én op 1 van de 6 grondslagen voor het verwerken van ‘gewone’ persoonsgegevens.

Wat is een persoonsgegeven?

Wil er sprake zijn van persoonsgegevens dan moeten de gegevens allereerst betrekking hebben op een persoon. Om de identiteit van een persoon vast te stellen, wordt doorgaans gebruik gemaakt van gegevens die een unieke, persoonlijke relatie tot die persoon hebben (identificatoren) zoals een naam, adres en geboortedatum. Deze gegevens zijn in combinatie met elkaar dusdanig uniek voor een bepaalde persoon dat een persoon met grote waarschijnlijkheid geïdentificeerd kan worden. 

Personen kunnen ook geïdentificeerd worden op basis van andere, minder directe identificatoren. Denk hierbij aan uiterlijke kenmerken, zoals foto’s en intranet, en online identificatoren zoals IP-adressen. Hoewel deze gegevens op zich ons meestal nog niet in staat stellen om een persoon te identificeren, kunnen zij door hun onderlinge samenhang of door koppeling aan andere gegevens alsnog leiden tot identificatie. We spreken daarom van ‘indirect identificerende gegevens.

De AVG is alleen van toepassing op de verwerking van gegevens over natuurlijke personen. Gegevens over organisaties (ondernemingen en dergelijke) zijn géén persoonsgegevens, omdat deze geen betrekking hebben op een natuurlijke persoon. Dit is anders wanneer de organisatie vereenzelvigd kan worden met een natuurlijke persoon. Zo zegt de omzet van een eenmanszaak iets over het inkomen van de eigenaar van de eenmanszaak. Wanneer u gegevens verwerkt van personen binnen een organisatie (bijvoorbeeld medewerkers), dan is er ook sprake van de verwerking van persoonsgegevens. De AVG is niet van toepassing op overleden personen, omdat dit volgens de wet geen natuurlijke personen meer zijn.