Om persoonsgegevens te mogen verwerken, vereist de GDPR een grond voor deze verwerking. Enkel dan kan een verwerking rechtmatig plaatsvinden. De GDPR voorziet zes gronden:
- de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
- de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
- de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
- de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
- de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
- de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
Wanneer de verwerking van de persoonsgegevens niet gebaseerd kan worden op één van de voorgaande gronden, dan is de verwerking onrechtmatig. Dit houdt in dat in voorkomend geval de persoonsgegevens niet mogen verwerkt worden.
De eerste grond, toestemming, is de duidelijkste, de eenvoudigste en tegelijk de zwakste verwerkingsgrond. Het is duidelijk wanneer iemand toestemming heeft gegeven en het behoeft dan ook geen verdere argumentatie over de rechtmatigheid van de verwerking wanneer de toestemming verkregen werd. Toch is dit de zwakste rechtsgrond, aangezien toestemming ook steeds ingetrokken kan worden. Door uw verwerking louter te baseren op toestemming, bent u als verwerker overgeleverd aan de grillen van de betrokkene.
Wij geven dan ook als advies om uw verwerking te baseren op één van de andere verwerkingsgronden. In de meeste gevallen zal een gerechtvaardigd belang of de uitvoering van een overeenkomst het best beargumenteerbaar zijn. De verwerking baseren op de toestemming van de betrokkene doet u best enkel wanneer er geen andere verwerkingsgrond voorhanden is.