Wanneer mag je persoonsgegevens verwerken?

1. De AVG geeft aan dat er een geldige reden moet zijn om persoonsgegevens te mogen verwerken. Deze geldige redenen worden ook wel ‘grondslagen’ genoemd. Voordat de Voedselbank gegevens verwerkt, moet er dus worden beoordeeld of hier een geldige reden voor is.
Allereerst is het goed om stil te staan bij de begrippen ‘persoonsgegevens’ en ‘verwerking’.

2. Persoonsgegevens zijn alle informatie over een persoon die daardoor direct of indirect kan worden geïdentificeerd. De vraag is dan ook of je aan de hand van de gegevens een specifieke persoon kunt aanwijzen. Als we kijken naar NAW-gegevens dan kan een specifieke persoon aan de hand van deze gegevens direct worden geïdentificeerd. Maar ook wanneer je, zonder al te veel inspanning, door een combinatie van gegevens een specifieke persoon kunt aanwijzen, is er sprake van een persoonsgegeven. Bv.

3. Een verwerking is vrijwel alles wat je kunt doen met deze gegevens. De AVG noemt onder andere het verzamelen, vastleggen, structureren, raadplegen, opslaan, wijzigen, opvragen, gebruiken, delen, afschermen en verwijderen van gegevens. Dit betekent dat iedere keer wanneer je aan de slag gaat met de persoonsgegevens, je deze gegevens ‘verwerkt’.

4. Om te beoordelen of je de persoonsgegevens mag verwerken, moet hier dus een geldige reden (grondslag) voor zijn. Bij de Voedselbank kunnen vier geldige redenen aan de orde zijn. Deze vier geldige redenen zijn: 1) toestemming, 2) noodzakelijk voor de uitvoering van een overeenkomst, 3) noodzakelijk om te voldoen aan een wettelijke verplichting, en 4) een gerechtvaardigd belang. Hieronder zullen ze worden besproken.

5. Toestemming. De Voedselbank mag gegevens verwerken als we hiervoor toestemming hebben gekregen van de persoon in kwestie. In principe hoeft de toestemming niet schriftelijk te worden gegeven, maar omdat de Voedselbank moet kunnen aantonen dat er toestemming is gegeven, is het advies de toestemming op schrift te zetten. Dit betekent dat iemand het beste toestemming kan geven via een formulier, waaronder deze persoon zijn naam en handtekening plaatst, zodat duidelijk is dat de juiste persoon toestemming heeft gegeven. Om te kunnen spreken van geldige toestemming gelden een paar voorwaarden:

De toestemming moet vrijelijk zijn gegeven. Dit betekent dat iemand niet onder druk mag worden gezet om toestemming te geven. Iemand mag bijvoorbeeld niet worden benadeeld als hij of zij geen toestemming geeft. Als er sprake is van een machtsverhouding, bijvoorbeeld in de werkgever-werknemer verhouding, moet rekening worden gehouden met het feit dat een werknemer moeilijk een vraag van zijn/haar werkgever kan weigeren;
De toestemming moet ondubbelzinnig zijn. Dit betekent dat er een duidelijke actieve handeling moet zijn. Bijvoorbeeld via een digitale/schriftelijke handeling. Het moet volledig duidelijk zijn dat er toestemming is gegeven (dus niet ‘wie zwijgt, stemt toe’). Vooraf aangevinkte vakjes zijn dus niet toegestaan;
De persoon in kwestie moet vooraf geïnformeerd zijn. Dit betekent dat zij moeten weten aan wie zij toestemming geven, met welk doel de gegevens worden verwerkt, welke gegevens er worden verwerkt en het recht dat zij hebben om de toestemming op elk moment weer in te trekken. Voordat toestemming wordt gevraagd moet deze informatie in duidelijke en eenvoudige taal en in een toegankelijke vorm worden aangeboden;
De toestemming moet specifiek zijn. Dit betekent dat de toestemming steeds moet gelden voor een specifieke verwerking en voor een specifiek doel. Als er meerdere doeleinden zijn om gegevens te verwerken, dan moet de persoon in kwestie worden geïnformeerd over alle doeleinden en moet voor elk doel afzonderlijk toestemming worden gevraagd.

6. De verwerking is noodzakelijk voor de uitvoering van een overeenkomst. Dit betekent dat persoonsgegevens mogen verwerkt wanneer dit noodzakelijk is om de overeenkomst uit te kunnen voeren. Let op: het moet hier wel gaan om een overeenkomst met degene van wie de persoonsgegevens worden verwerkt.

7. De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting. Als een (overheids)instantie gegevens opvraagt bij de Voedselbank, dan mag de Voedselbank aan deze instantie vragen om de wettelijke verplichting aan te tonen. Zo kan de Voedselbank controleren of zij inderdaad de gegevens moet verstrekken. De Voedselbank zelf kan geen beroep doen op een wettelijke verplichting.

8. Gerechtvaardigd belang. De Voedselbank kan in sommige gevallen een gerechtvaardigd belang hebben om persoonsgegevens te verwerken. Dit betekent dat de Voedselbank een belang heeft bij het verwerken van de specifieke gegevens. Dit belang moet altijd worden afgewogen tegenover het belang van de persoon in kwestie. De Voedselbank heeft bijvoorbeeld een gerechtvaardigd belang bij het intern beschikbaar stellen van zakelijke e-mailadressen aan andere vrijwilligers. Dit zodat vrijwilligers elkaar kunnen benaderen wanneer dit nodig is. Dit belang zal zwaarder wegen dan de privacyrechten van de vrijwilligers. Het vragen van toestemming is dan niet meer nodig.

Tekst dd 10 april 2022