De GDPR laat toe om persoonsgegevens te verwerken wanneer deze verwerking noodzakelijk is ter uitvoering van een overeenkomst, of wanneer de betrokkene erom verzoekt vòòr de afsluiting van een overeenkomst.

Deze bepaling bevat reeds 2 elementen, namelijk:

• de verwerking moet noodzakelijk zijn voor de uitvoering van de overeenkomst;
• wanneer er nog geen overeenkomst is, op verzoek van de betrokkene met het oog op de totstandkoming van een overeenkomst.

Noodzakelijk voor de uitvoering van de overeenkomst

De noodzakelijkheid voor de uitvoering van een overeenkomst vereist in de eerste plaats reeds het bestaan van een overeenkomst.

De geldigheid van een overkomst wordt echter niet bepaald door de GDPR, maar wel door het nationale recht.

Dit betekent dat bijvoorbeeld in de regel (niet ontvoogde) minderjarigen geen geldige overeenkomsten kunnen aangaan, en er dan ook geen overeenkomst zal zijn wanneer deze personen een dergelijke verbintenis zouden aangaan.

Verder moeten verwerkingsverantwoordelijken indien zij een beroep op deze GDPR regel zouden doen, ook rekening houden met alle andere regels waarin de GDPR voorziet zoals bijvoorbeeld transparantie, specificiteit, doelbinding, minimale verwerking, etc.

Een verwerking is o.a. enkel noodzakelijk wanneer het duidelijk en ondubbelzinnig is vermeld geweest.

Indien echter de reden voor de verwerking vaag is omschreven dan kan men zeggen dat de verwerking helemaal niet voldoet aan de bepaling van de GDPR inzake specificiteit.

Bovendien moeten verwerkingsverantwoordelijken ook duidelijk aan de betrokkene melden dat de verwerking eigenlijk kadert in de uitvoering van de overeenkomst die werd afgesloten. Wanneer de verwerkingsverantwoordelijke daarbij vaag blijft, dan voldoet dit ook niet aan de GDPR bepaling inzake transparantie.

Dus wat noodzakelijk maakt is een op feiten gebaseerde beoordeling, en vereist:

• de aanwezigheid van een objectief streven om persoonsgegevens te verwerken;
• dat er realistisch gezien geen indringendere alternatieven zijn, waarbij de verwerking van persoonsgegevens niet noodzakelijk is.

Met andere woorden verwerkingen van persoonsgegevens die nuttig zijn voor de verwerkingsverantwoordelijke maar objectief gezien niet noodzakelijk zijn voor de uitvoering van de overeenkomst of voor het nemen van pré-contractuele stappen tot het sluiten van een overeenkomst op vraag van de betrokkene, vallen daar niet onder.

Het is dus duidelijk dat de verwerking van persoonsgegevens meer vereist dan een loutere clausule in een overeenkomst waarin men aangeeft dat de verwerking noodzakelijk is voor de uitvoering van de overeenkomst.

Samengevat

De GDPR regel, voor de uitvoering van een overeenkomst of in voorbereiding tot het sluiten van een overeenkomst, kan enkel worden ingeroepen indien:

• er een overeenkomst aanwezig is;
• die overeenkomst is geldig tot stand gekomen volgens de nodige wettelijke regels;
• wat zijn de essentiële elementen van de overeenkomst;
• de verwerking is objectief noodzakelijk voor de uitvoering van de overeenkomst;
• wat konden de betrokken partijen van de overeenkomst verwachten.

Wanneer er aan deze (cumulatieve) voorwaarden niet is voldaan, dan moet de verwerkingsverantwoordelijke een andere rechtsgrond inroepen om de verwerking op te baseren.

Deze testen dienen telkens opnieuw te worden gedaan wanneer tijdens de looptijd van de overeenkomst de essentiële elementen van de overeenkomst wijzigen.

Bloep, 15 februari 2026.