Bij het bezoeken van een website of het maken van een bestelling via een website wordt men soms gevraagd, om toegang te krijgen tot bijkomende informatie of diensten, een online gebruikersaccount aan te maken.
Bij het aanmaken van een dergelijke gebruikersaccount vraagt de website de bezoeker of toekomstige klant om persoonsgegevens in te vullen, zoals naam, voornaam, adres, telefoonnummer, e-mailadres, geboortedatum, etc.
De vraag die men zich hierbij kan stellen is of dit eigenlijk allemaal wel zomaar kan, en op welke wettelijke grondslag?
Zoals men weet moeten persoonsgegevens rechtmatig, transparant, correct, etc. worden verwerkt door verwerkingsverantwoordelijken.
Bovendien mogen die gegevens maar enkel worden bewaard voor de duur van het beoogde doel.
Rechtsgrond
Soms wordt er gezegd dat het aanmaken van een gebruikersaccount gebaseerd is op de uitvoering van een overeenkomst, of ter voorbereiding van het sluiten van een overeenkomst.
Echter deze rechtsgrond zal niet altijd kunnen worden ingeroepen, omdat er andere manieren zijn om bijvoorbeeld informatie te geven inzake de status van een bestelling, zoals bijvoorbeeld via het door de bezoeker opgegeven e-mailadres bij de bestelling.
In andere gevallen zal men zeggen dat de vraag voor het aanmaken van een gebruikersaccount ingegeven is door een gerechtvaardigd belang van de verwerkingsverantwoordelijke, bijvoorbeeld de webshop.
Ook deze rechtsgrond zal in de meeste gevallen niet kunnen worden ingeroepen, gezien de zeer strikte eisen die worden gesteld aan het inroepen van deze rechtsgrond.
De enige mogelijk geldige rechtsgrond zal de toestemming van de bezoeker zijn. Echter deze rechtsgrond is een weinig stabiele rechtsgrond, omdat de bezoeker op ieder ogenblik zijn of haar toestemming kan intrekken.
Bovendien vereist de transparantie vereiste dat de bezoeker van de website ook heel duidelijk wordt geïnformeerd wat er met zijn gegevens zal gebeuren en waarom ze nodig zijn, hetgeen in de praktijk niet altijd gebeurt.
Minimalisatie van gegevens
De GDPR (AVG) vereist dat opgevraagde persoonsgegevens minimaal zijn, dus strikt noodzakelijk voor het beoogde doel.
Bijvoorbeeld als het doel de levering en opvolging van een bestelling via de webshop is, dan is de verplichting om zowel een e-mailadres als een GSM-nummer te vragen eigenlijk niet vereist. Het verstrekken van het e-mailadres volstaat dan immers.
Het vragen van dergelijke bijkomende persoonsgegevens, zoals het GSM-nummer gebeurt niet altijd in een keer, maar doorgaans via verschillende webpagina’s.
Tijdsbeperking van de opslag en ongebruikte accounts
Veel van de aangemaakte gebruikersaccounts worden in de praktijk slechts eenmaal gebruikt, namelijk om bijvoorbeeld de bestelling te plaatsen en op te volgen.
Weinig bezoekers van bijvoorbeeld online webshops zijn terugkerende klanten, die met een zekere regelmaat een bestelling zullen plaatsen.
Wat doe je dan als verwerkingsverantwoordelijke met deze in onbruik zijnde gebruikersaccounts?
Volgens de GDPR (AVG) bestaat er een opslagbeperking. Dit betekent dat opgevraagde persoonsgegevens slechts mogen worden bewaard zolang zij nodig zijn voor het initieel beoogde doel.
Voor een online webshop betekent dit de uitvoering van de bestelling. Van zodra de bestelling is uitgevoerd en de bestelde goederen of diensten werden geleverd, dan zijn deze gebruikersaccountgegevens strikt genomen niet meer noodzakelijk.
Bijgevolg moeten deze persoonsgegevens van de gebruikersaccounts worden verwijderd.
Conclusie
In de meeste gevallen zal een verwerkingsverantwoordelijke geen geldige rechtsgrond hebben om een bezoeker van een website te vragen of te verplichten een gebruikersaccount aan te maken.
Er zijn immers in de meeste gevallen alternatieven voor het beoogde doel dat de verwerkingsverantwoordelijke voor ogen heeft voor deze gebruikersaccount.
Bloep, 25 april 2026.