De European Data Protection Board (EDPB) heeft richtlijnen aangenomen over de grondslag ‘gerechtvaardigd belang’. Dit is één van de zes grondslagen in de AVG om persoonsgegevens te mogen verwerken.
Persoonsgegevens mogen slechts onder drie voorwaarden verwerkt worden op deze grondslag:
1. er is daadwerkelijk een gerechtvaardigd belang;
2. de verwerking van persoonsgegevens is noodzakelijk om dit belang te behartigen;
3. het gerechtvaardigd belang weegt zwaarder dan de belangen van betrokkenen.
De EDPB geeft uitleg bij het toepassen van deze stappen en voorbeelden van situaties waarin het (al dan niet) mogelijk is om een beroep te doen op gerechtvaardigd belang.
Deze richtlijnen analyseren de criteria die zijn vastgelegd in artikel 6(1)(f) AVG waaraan verwerkingsverantwoordelijken moeten voldoen om op rechtmatige wijze de verwerking van persoonsgegevens uit te voeren die “noodzakelijk is voor de doeleinden van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde”.
Artikel 6(1)(f) AVG is een van de zes rechtsgrondslagen voor de rechtmatige verwerking van persoonsgegevens zoals bedoeld in de AVG. Artikel 6(1)(f) AVG mag niet worden beschouwd als een “laatste redmiddel” voor zeldzame of onverwachte situaties waarin andere rechtsgrondslagen niet van toepassing worden geacht, noch mag het automatisch worden gekozen of mag het gebruik ervan ten onrechte worden uitgebreid op basis van de perceptie dat artikel 6(1)(f) AVG minder beperkend is dan andere rechtsgrondslagen.
Om verwerking te baseren op artikel 6(1)(f) AVG, moeten drie cumulatieve voorwaarden worden vervuld:
• Ten eerste, het nastreven van een gerechtvaardigd belang door de verwerkingsverantwoordelijke of door een derde;
• Ten tweede, de noodzaak om persoonsgegevens te verwerken voor de doeleinden van het gerechtvaardigde belang/de gerechtvaardigde belangen die worden nagestreefd; en
• Ten derde hebben de belangen of fundamentele vrijheden en rechten van de betrokkenen geen voorrang op het/de gerechtvaardigde belang(en) van de verwerkingsverantwoordelijke of van een derde.
Met betrekking tot de derde voorwaarde moet de verwerkingsverantwoordelijke zijn gerechtvaardigde belang(en) of die van een derde afwegen tegen de “belangen of fundamentele rechten en vrijheden van de betrokkenen”. Deze “evenwichtsoefening” tussen de fundamentele rechten, vrijheden en belangen die op het spel staan, moet worden uitgevoerd voor elke verwerking die is gebaseerd op gerechtvaardigd belang als wettelijke basis en moet worden uitgevoerd vóór de uitvoering van de relevante verwerkingshandeling(en).
Om te bepalen of een bepaalde verwerking van persoonsgegevens kan worden gebaseerd op artikel 6(1)(f) AVG, moeten verwerkingsverantwoordelijken zorgvuldig beoordelen en documenteren of aan deze drie cumulatieve voorwaarden is voldaan. Deze beoordeling moet worden uitgevoerd voordat de relevante verwerkingshandelingen worden uitgevoerd.
Met betrekking tot de voorwaarde met betrekking tot het nastreven van een gerechtvaardigd belang, kunnen niet alle belangen van de verwerkingsverantwoordelijke of een derde als gerechtvaardigd worden beschouwd; alleen die belangen die rechtmatig, nauwkeurig geformuleerd en aanwezig zijn, kunnen geldig worden ingeroepen om te vertrouwen op artikel 6(1)(f) AVG als rechtsgrond. Het is ook de verantwoordelijkheid van de verwerkingsverantwoordelijke om de betrokkene te informeren over de gerechtvaardigde belangen die worden nagestreefd wanneer die verwerking is gebaseerd op artikel 6(1)(f) AVG.
Een belang kan als “gerechtvaardigd” worden beschouwd als aan de volgende cumulatieve criteria is voldaan:
– Het belang is rechtmatig, d.w.z. niet in strijd met het EU- of lidstaatrecht.27 Hoewel het concept van “gerechtvaardigd belang” in de zin van artikel 6(1)(f) AVG niet beperkt is tot belangen die in de wet zijn vastgelegd en door de wet zijn bepaald, vereist het dat het beweerde gerechtvaardigde belang rechtmatig is.
– Het belang is duidelijk en nauwkeurig geformuleerd. De reikwijdte van het nagestreefde gerechtvaardigde belang moet duidelijk worden geïdentificeerd om ervoor te zorgen dat het op de juiste manier wordt afgewogen tegen de belangen of fundamentele rechten en vrijheden van de betrokkene.
– Het belang is reëel en actueel, en niet speculatief. Zoals verduidelijkt door het HvJ-EU, moet het gerechtvaardigde belang aanwezig en effectief zijn op de datum van de gegevensverwerking en mag het op die datum niet hypothetisch zijn.
Met betrekking tot de voorwaarde dat de verwerking van persoonsgegevens noodzakelijk is voor de doeleinden van de nagestreefde gerechtvaardigde belangen, moet worden vastgesteld of de nagestreefde gerechtvaardigde belangen niet redelijkerwijs even effectief kunnen worden bereikt met andere middelen die minder beperkend zijn voor de fundamentele rechten en vrijheden van de betrokkenen, ook rekening houdend met de beginselen die zijn vastgelegd in artikel 5(1) AVG. Indien dergelijke andere middelen bestaan, mag de verwerking niet worden gebaseerd op artikel 6(1)(f) AVG.
Met betrekking tot de voorwaarde dat de belangen of fundamentele rechten en vrijheden van de betrokkene bij de gegevensverwerking niet prevaleren boven de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, houdt die voorwaarde een afweging in van de tegengestelde rechten en belangen in kwestie die in beginsel afhankelijk is van de specifieke omstandigheden van de relevante verwerking. De verwerking mag alleen plaatsvinden als de uitkomst van deze afweging is dat de nagestreefde gerechtvaardigde belangen niet worden overschreven door de belangen, rechten en vrijheden van de betrokkenen.
Een juiste beoordeling van artikel 6(1)(f) AVG is geen eenvoudige oefening. In plaats daarvan vereist de beoordeling — en met name de afweging van tegengestelde belangen en rechten — volledige overweging van een aantal factoren, zoals de aard en bron van de relevante legitieme belangen, de impact van de verwerking op de betrokkene en diens redelijke verwachtingen over de verwerking, en het bestaan van aanvullende waarborgen die onterechte impact op de betrokkene kunnen beperken. De huidige richtlijnen bieden richtlijnen over hoe een dergelijke beoordeling in de praktijk moet worden uitgevoerd, inclusief in een aantal specifieke contexten (bijv. fraudepreventie, direct marketing, informatiebeveiliging, enz.) waarin deze rechtsgrondslag kan worden overwogen.
De richtlijnen leggen ook de relatie uit die bestaat tussen artikel 6(1)(f) AVG en een aantal rechten van betrokkenen onder de AVG.