De GDPR biedt verwerkingsverantwoordelijken meerdere redenen om de rechtmatigheid van hun verwerkingen of voorgenomen verwerkingen van persoonsgegevens op te baseren.
Een van deze redenen is de noodzaak om te voldoen aan een wettelijke verplichting.
Sommige verwerkingsverantwoordelijken zullen daarop een beroep doen wanneer ze geen andere grondslag voor hun verwerkingen weten te vinden.
Maar wat bedoelt de GDPR eigenlijk met het begrip “noodzakelijk om te voldoen aan een wettelijke verplichting”, en kan om het even welke wettelijke regel daarvoor in aanmerking worden genomen?
De wettelijke verplichting
Art. 6, 1c van de GDPR zegt het reeds, een rechtsgrond kan zijn “de noodzaak om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust”.
De bepaling zelf noemt reeds enkele elementen op, zoals:
- er moet een noodzaak aanwezig zijn om persoonsgegevens te verwerken;
- die op de verwerkingsverantwoordelijke rust, en dus niet op de betrokkene;
- het moet gaan om een wettelijke verplichting.
Wat zeggen verschillende instanties over deze bepaling?
GBA
De GBA publiceerde reeds een uiteenzetting over de bepaling, en daarin kan men het volgende lezen.
Art. 6,1c kan enkel worden ingeroepen indien de wet de verwerkingsverantwoordelijke een verplichting oplegt om persoonsgegevens te verwerken. Met andere woorden men heeft als verwerkingsverantwoordelijke geen andere keuze.
Deze rechtsgrond kan een nationale, regionale of supra-nationale rechtsregel zijn, evenals een uitvoeringsbesluit ter verduidelijking van deze nationale of regionale rechtsregels.
Bovendien moeten die rechtsregels waarop de wettelijke verplichting is gebaseerd het doel van de verwerking bevatten, een vereiste die ook in de GDPR zelf wordt vermeld.
Met andere woorden indien de ingeroepen wettelijke verplichitng geen doel bevat van de verwerking die op de verwerkingsverantwoordelijke rust, dan is het geen rechtsgrond waarop de verwerking kan worden gebaseerd.
EDPB
Ook de EDPB heeft een artikel dat melding maakt van de voorwaarden om art. 6, 1c te kunnen inroepen als rechtsgrond voor de verwerking van persoonsgegevens.
De rechtsgrond kan worden ingeroepen wanneer de nationale of de EU wetgeving aan een organisatie de verwerking oplegt, waaraan vier voorwaarden zijn verbonden.
Het gaat om de volgende voorwaarden:
- de wettelijke verplichting waaraan de verwerkingsverantwoordelijke is onderworpen moet bestaan in het nationale – of in het Unie recht;
- die wettelijke bepalingen moeten een duidelijke en specifieke verplichting inhouden om de persoonsgegevens te verwerken;
- die wettelijke bepalingen moeten ten minste de doeleinden van de verwerking omschrijven;
- de verplichting moet zijn opgelegd aan de verwerkingsverantwoordelijke en niet aan de betrokkene zelf.
Wanneer aan deze 4 voorwaarden niet kan worden voldaan dan kan de verwerking van persoonsgegevens niet worden gebaseerd op een wettelijke verplichitng.
Conclusie
Verwerkingsverantwoordelijken kunnen zich enkel beroepen op art. 6, 1c om persoonsgegevens te verwerken indien aan een aantal voorwaarden wordt voldaan, namelijk:
- er moet in het Unie recht of in het nationale recht een expliciete verplichting bestaan die de verwerking van persoonsgegevens oplegt aan de verwerkingsverantwoordelijke, en niet aan de betrokkene;
- de ingeroepen wettelijke bepalingen vermelden expliciet de doeleinden van de verwerking, en de wettelijke bepalingen zouden bijkomende voorwaarden kunnen specificeren zoals het type persoonsgegevens die kunnen worden verwerkt en de betrokkenen van wie persoonsgegevens kunnen worden verwerkt, etc. ;
- de verwerkingsverantwoordelijke is onderworpen aan deze nationale of Unie rechtsregels.
Als aan deze voorwaarden niet wordt voldaan, dan kan de vewerkingsverantwoordelijke zich niet baseren op een wettelijke verplichting om de verwerking of voorgenomen verwerking van persoonsgegevens te rechtvaardigen.
Bloep, 1 februari 2026.