Gerechtvaardigd belang volgens de AVG: de 3 toetsingsstappen

Het gerechtvaardigd belang is de rechtsgrond waarop veel bedrijven zich in marketing en verkoop baseren. Ze lijkt gemakkelijk, omdat er geen banner en geen handtekening nodig is. Maar het is ook de grondslag met het meeste eigen werk: u moet zelf toetsen, zelf afwegen en het resultaat kunnen aantonen. Dit artikel legt de regel uit, de drie toetsingsstappen en de typische struikelblokken.

Wat de regel zegt

Art. 6 lid 1 sub f AVG (in het Duits DSGVO) staat verwerking van persoonsgegevens toe als ze „noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde“. Dat geldt alleen als de belangen of de grondrechten van de betrokkene, die bescherming van zijn gegevens vereisen, niet zwaarder wegen. Overheidsinstanties kunnen zich bij de uitvoering van hun taken er niet op beroepen. De tekst vindt u in de AVG op EUR-Lex.

De grondslag is een van zes gelijkwaardige. Ze heeft geen voorrang op toestemming en is geen vangnet als de toestemming ontbreekt. Waar de wet voor een handeling toestemming eist, kan sub f die niet vervangen. Dat geldt vooral voor toegang tot het eindapparaat, meer daarover in Toestemming of gerechtvaardigd belang: zo beslist u.

De drie toetsingsstappen

Het Europese Hof van Justitie toetst de regel in drie stappen die alle vervuld moeten zijn. Het formuleerde dit onder meer zo in het arrest van 4 oktober 2024 (HvJ-EU, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Stap 1: het belang. Het moet rechtmatig, duidelijk benoemd en werkelijk aanwezig zijn. Het Hof heeft in het genoemde arrest verduidelijkt dat ook een commercieel belang een gerechtvaardigd belang kan zijn, zolang het niet in strijd is met het recht. Overweging 47 noemt direct marketing uitdrukkelijk als mogelijk gerechtvaardigd belang.

Stap 2: de noodzakelijkheid. Hier vraagt u of er een lichter middel is. Als u een doel met minder gegevens bereikt, moet u minder gegevens nemen. Als het bedrijf u volstaat, hebt u geen persoon nodig. Dat is het beginsel van minimale gegevensverwerking uit art. 5 lid 1 sub c AVG.

Stap 3: de afweging. U zet uw belang tegenover de belangen van de betrokkenen. Maatstaf zijn volgens overweging 47 de redelijke verwachtingen van de betrokkenen op grond van hun relatie met u. Wie klant is, rekent op een nieuwsbrief over soortgelijke producten. Wie slechts één keer een pagina heeft bezocht, rekent niet op een dossier. Hoe gevoeliger de gegevens en hoe dieper de inbreuk, des te eerder valt de afweging tegen u uit.

Voorbeelden uit marketing en verkoop

De volgende gevallen tonen de bandbreedte. Of ze in een concreet geval standhouden, hangt van de omstandigheden af. De indeling is geen toezegging.

• Postreclame aan bestaande klanten. Geldt vaak als verdedigbaar, omdat klanten ermee rekenen. Het mededingingsrecht moet daarnaast passen.
• Fraudebestrijding en IT-beveiliging. Overweging 47 noemt het voorkomen van fraude als gerechtvaardigd belang. Logs ter afwering van aanvallen baseren bedrijven er vaak op.
• Bedrijfstoewijzing op de website. Wie alleen de netwerkhouder van een IP-adres opzoekt, verwerkt weinig en heeft een duidelijk doel. Of een IP-adres in het concrete geval een persoonsgegeven is, legt IP-adres en AVG: is het een persoonsgegeven? uit.
• Profielen van individuele personen uit gekochte gegevens. Hier wordt de afweging zwaar, omdat betrokkenen er niet op rekenen.

Voor de benadering na een websitebezoek komt bij de AVG het mededingingsrecht. Wat daar per land geldt, staat in Koude acquisitie in B2B: wat is toegestaan in DE, AT en CH.

Documentatie: de bewijslast ligt bij u

Volgens art. 5 lid 2 AVG moet u de naleving van de beginselen kunnen aantonen. Voor sub f betekent dat in de praktijk:

1. Benoem het belang in één zin.
2. Leg vast waarom het niet met minder gegevens kan.
3. Schrijf de afweging met de belangrijkste argumenten op, met datum en verantwoordelijke.
4. Neem de verwerking op in uw register volgens art. 30 AVG, voor zover dat verplicht is.
5. Noem het gerechtvaardigd belang in de privacyverklaring. Art. 13 lid 1 sub d AVG eist bij deze grondslag de vermelding van de belangen.
6. Toets de afweging opnieuw wanneer doel, gegevens of techniek veranderen.

Bezwaar volgens art. 21

Wie zich op sub f baseert, moet een recht van bezwaar toekennen. Er zijn twee gevallen (art. 21 AVG):

• Algemeen bezwaar (lid 1). De persoon kan om redenen die verband houden met zijn bijzondere situatie bezwaar maken. U moet de verwerking dan beëindigen, tenzij u dwingende gerechtvaardigde gronden aantoont die zwaarder wegen.
• Bezwaar tegen direct marketing (lid 2 en 3). Hier is geen motivering nodig. Na een bezwaar mogen de gegevens niet meer voor reclame worden verwerkt.

Volgens lid 4 moet u uiterlijk bij de eerste communicatie uitdrukkelijk op dit recht wijzen, begrijpelijk en gescheiden van andere informatie.

Veelgestelde vragen

Hoef ik bij gerechtvaardigd belang de betrokkenen niet te informeren? Toch wel. De informatieplichten volgens art. 13 en 14 AVG gelden ook dan. Bij deze grondslag komt erbij dat u de gerechtvaardigde belangen moet noemen.

Volstaat het gerechtvaardigd belang voor cookies en trackingscripts? Voor toegang tot het eindapparaat meestal niet. Daar geldt in Duitsland § 25 TDDDG en in Oostenrijk § 165 Abs. 3 TKG 2021, beide eisen in beginsel toestemming. De AVG-grondslag betreft pas de daaropvolgende verwerking. Meer daarover in § 25 TDDDG: cookies en tracking in Duitsland.

Moet ik de afweging schriftelijk vastleggen? Een vaste vorm schrijft de AVG niet voor. Vanwege de bewijsplicht in art. 5 lid 2 is een schriftelijke documentatie echter de veilige weg.