Een van de rechtsgronden die de GDPR verwerkingsverantwoordelijken geeft om de verwerking van persoonsgegevens te rechtvaardigen is het “gerechtvaardigd belang”.
Maar wat bedoelt men eigenlijk met de notie “gerechtvaardigd belang”, en wanneer kan een verwerkingsverantwoordelijke zich hierop baseren om de verwerking of de voorgenomen verwerking van persoonsgegevens op te baseren?
Om een “gerechtvaardigd belang” als rechtsgrond te kunnen inroepen als verwerkingsgrond moeten drie voorwaarden zijn vervuld:
- er moet een “gerechtvaardigd” belang aanwezig zijn;
- de noodzaak om persoonsgegevens te verwerken om dit “gerechtvaardigd” belang na te streven;
- de belangen inzake de rechten en vrijheden van het data subject is ondergeschikt aan het belang van de verwerkingsverantwoordelijke.
Deze bepaling mag dus niet worden aanzien als een “standaard” wettelijke basis voor het verwerken van persoonsgegevens, wanneer de verwerking nergens anders onder valt. Het kan enkel worden toegepast in zeldzame en onvoorziene situaties als een laatste rechtsgrond, en moet dus restrictief worden geïnterpreteerd.
Aanwezigheid van een gerechtvaardigd belang
De eerste stap die uitgevoerd dient te worden, alvorens verder te gaan met de volgende stappen, is of er al dan niet een “gerechtvaardigd” belang aanwezig is.
Maar wat is eigenlijk een gerechtvaardigd belang?
Om te kunnen spreken dat een belang “gerechtvaardigd” is moeten er cumulatief 3 criteria zijn vervuld:
- het belang moet wettelijk zijn,
- het belang moet precies en duidelijk zijn geïdentificeerd,
- het belang moet actueel zijn.
Dit betekent dat een belang alleen wettelijk is wanneer het niet in strijd is met nationaal of met EU recht. M.a.w. het inroepen van een gerechtvaardigd belang mag niet tot doel noch tot gevolg hebben dat wettelijke vereisten worden omzeild.
Het ingeroepen belang moet ook duidelijk gepreciseerd zijn, en mag dus niet bestaan uit vage beschrijvingen.
Bovendien mag het belang ook niet hypothetisch zijn, maar moet dus aanwezig zijn op de datum van de verwerking.
Tenslotte moet het gaan om een belang dat door de verwerkingsverantwoordelijke of een derde wordt nagestreefd.
De noodzaak om die persoonsgegevens te verwerken
Om het gerechtvaardigd belang na te kunnen streven moet er ook een noodzaak zijn om persoonsgegevens te verwerken. Dit betekent dat wanneer de verwerkingsverantwoordelijke tot eenzelfde resultaat kan komen zonder de verwerking van persoonsgegevens dit de voorkeur geniet.
M.a.w. wanneer er andere manieren zijn om hetzelfde resultaat te bereiken dan is er geen noodzaak om persoonsgegevens te verwerken.
Hoger belang
Het door de verwerkingsverantwoordelijke nagestreefde belang moet een hogere waarde hebben dan het belang op de bescherming van de privé-sfeer – de fundamentele rechten en vrijheden – van het data subject.
Dit is een afweging dat de verwerkingsverantwoordelijke dient te maken, waarbij rekening moet worden gehouden met o.a. :
- de belangen en fundamentele rechten en vrijheid van het data subject.
- de impact die de verwerking heeft op het data subject. Hierbij dient rekening te worden gehouden met zaken zoals de aard van de verwerking, de context van de verwerking en de gevolgen van de verwerking.
- de redelijke verwachtingen van het data subject.
- …
De notie belangen van het data subject moet hier ruim worden geïnterpreteerd. Het betreft niet enkel de financiële belangen, sociale belangen etc. van het data subject.
Bijvoorbeeld een lid van een sportclub kan er belang bij hebben dat zijn persoonsgegevens niet worden gecommuniceerd aan een concurrende sportclub die aangesloten is bij dezelfde sportfederatie.
In het geval van het lid van een sportclub kan het lid redelijkerwijze verwachten dat zijn sportclub of de sportfederatie waar deze sportclub is aangesloten zijn persoonsgegevens niet zal communiceren aan een concurrende sportclub die ook bij dezelfde sportfederatie is aangesloten.
Maatregelen die door de verwerkingsverantwoordelijke worden ingeroepen om aan te tonen dat haar belang hoger is dan dat van het data subject wiens persoonsgevens zij verwerkt of zal verwerken mogen ook niet worden verward met de wettelijke maatregelen die de verwerkingsverantwoordelijke krachtens de GDPR al moet implementeren of naleven, zoals de naleving van de basisprincipes en de verplichtingen (bv. de verplichting tot informatie, de verplichting tot beveiliging, …) die de GDPR aan verwerkingsverantwoordelijken oplegt.
Het moet dus gaan om maatregelen die verder gaan en boven de wettelijke verplichte maatregelen komen die verwerkingsverantwoordelijken al hebben.
Bloep, 4 september 2025.