In één zin. AVG artikel 6 vereist dat elke verwerking van persoonsgegevens berust op precies één van zes limitatief opgesomde rechtsgronden — en de AP toetst niet alleen of u er een kiest, maar of de gekozen grondslag daadwerkelijk passend is.
Belangrijkste punten
- Zes rechtsgronden: toestemming, overeenkomst, wettelijke plicht, vitaal belang, taak algemeen belang, gerechtvaardigd belang.
- Bijzondere gegevens (art. 9) vereisen aanvullende grondslag.
- Foute rechtsgrondkeuze = boete categorie IV (basis 750 K EUR).
- VoetbalTV-zaak: gerechtvaardigd belang kan NIET louter commercieel zijn (later genuanceerd).
- AP-richtsnoeren grondslag werkgever-werknemer 2024.
1. Toestemming (art. 6 lid 1 sub a)
Vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting (art. 4 lid 11). Voorwaarden art. 7: aantoonbaar, intrekbaar zonder nadeel, niet voorwaarde voor dienst tenzij noodzakelijk. Pre-ticked boxes verboden (Planet49-arrest HvJ EU 2019). De volledige tekst van artikel 6 AVG staat op EUR-Lex. Werkgever-werknemer relaties: doorgaans geen geldige toestemming wegens machtsverhouding (AP-richtsnoer 2024).
2. Uitvoering overeenkomst (art. 6 lid 1 sub b)
Noodzakelijk voor uitvoering overeenkomst met betrokkene OF precontractuele maatregelen op verzoek betrokkene. Strikt noodzakelijk — niet “handig”. Voorbeeld: adres voor pakketbezorging = ja; advertentieprofiel “voor betere ervaring” = nee. Booking.com werd onder andere beboet op verkeerde grondslagkeuze.
3. Wettelijke verplichting (art. 6 lid 1 sub c)
Verwerking noodzakelijk om aan wettelijke plicht te voldoen waaraan verantwoordelijke onderworpen is. Verplichting moet duidelijk in EU-recht of Nederlands recht zijn vastgelegd. Voorbeelden: salarisadministratie (Wet LB), Wwft-cliëntenonderzoek banken, KvK-registratie, fiscale bewaarplicht.
4. Vitaal belang (art. 6 lid 1 sub d)
Bescherming vitale belangen betrokkene of andere natuurlijke persoon. In praktijk zeldzaam: spoedeisende medische hulp aan bewusteloze persoon, contact tracing pandemie, vermisten. Niet bruikbaar voor reguliere verwerking. Considerans 46: voor gevallen waar geen andere grondslag mogelijk is.
5. Taak algemeen belang of openbaar gezag (art. 6 lid 1 sub e)
Voor overheid en organisaties met publieke taak. Grondslag vereist nationale of EU-rechtsbasis (UAVG-artikelen, sectorale wetten). Voorbeelden: vergunningsverlening gemeente, politietaken (Wpg), onderwijs (WPO/WVO), sociale zekerheid (UWV). Private bedrijven met publieke taak (CBR, NS) kunnen ook deze grondslag gebruiken.
6. Gerechtvaardigd belang (art. 6 lid 1 sub f)
Verwerking noodzakelijk voor gerechtvaardigd belang verantwoordelijke of derde, mits belangen of grondrechten betrokkene niet zwaarder wegen. Drietraps test:
- Belangentest: is er een gerechtvaardigd belang?
- Noodzakelijkheidstest: is verwerking noodzakelijk?
- Afweging: prevaleert het belang boven privacy?
Niet beschikbaar voor overheid bij uitvoering taken (lid 1 laatste zin).
| Toepassing | Geschikte grondslag |
|---|---|
| Salaris betalen | Overeenkomst (b) of wet © |
| Nieuwsbrief versturen | Toestemming (a) |
| Fraudepreventie | Gerechtvaardigd belang (f) |
| Camerabewaking pand | Gerechtvaardigd belang (f) |
| Belastingaangifte | Wettelijke plicht © |
| Vaccinatieregister GGD | Algemeen belang (e) |
| Levering bestelling | Overeenkomst (b) |
| Cookies marketing | Toestemming (a) + Tw 11.7a |
7. VoetbalTV-zaak: gerechtvaardigd belang genuanceerd
AP-boete VoetbalTV (2020, 575 K EUR) op grond dat puur commercieel belang geen “gerechtvaardigd” belang zou zijn. Rechtbank Midden-Nederland (2020) en Raad van State (2022) vernietigden grotendeels: commercieel belang KAN gerechtvaardigd zijn, mits afweging zorgvuldig gemaakt is. AP heeft beleid in 2023 aangepast.
8. Bijzondere gegevens (art. 9) en strafrechtelijke gegevens (art. 10)
Bijzondere categorieën (etniciteit, religie, vakbond, gezondheid, seksleven, genetisch, biometrisch) zijn verboden tenzij art. 9 lid 2 uitzondering geldt: uitdrukkelijke toestemming, arbeidsrecht, vitaal belang, gerechtsprocedures, openbaar belang gezondheidszorg. UAVG art. 22-30 specificeert nationale uitzonderingen. Strafrechtelijke gegevens (art. 10): alleen overheid of UAVG art. 32 uitzondering.
9. Gronden in werkgever-werknemer relatie
Het AP-richtsnoer werkgevers (2024) en EDPB Opinion 249: werkgever kan zelden toestemming gebruiken (geen vrije keuze werknemer). Geschikte gronden meestal: arbeidsovereenkomst (b), wettelijke plicht zoals belastingaangifte ©, gerechtvaardigd belang zoals fraudedetectie (f). Monitoringssoftware vereist DPIA en strikte noodzakelijkheidstest — zie de gids AVG voor werkgevers en personeelsgegevens.
10. Verandering van grondslag
Wisselen van grondslag tijdens verwerking is principieel verboden (EDPB Guidelines 5/2020). Wanneer toestemming wordt ingetrokken, mag verwerking niet “voortgezet” worden op grond van gerechtvaardigd belang. Implicatie: kies de juiste grondslag vóór verzameling en documenteer in privacy notice (art. 13).
11. Documentatie en transparantie
Privacy verklaring (art. 13) moet per verwerking de rechtsgrond specificeren. Bij gerechtvaardigd belang ook het belang vermelden. In register verwerkingsactiviteiten (art. 30) per verwerking de grondslag noteren met onderbouwing. AP vraagt deze onderbouwing standaard op.
12. Sancties bij verkeerde grondslag
Verkeerde of ontbrekende rechtsgrondkeuze valt onder art. 83 lid 5 (hoogste boetecategorie). AP-boetes voor grondslag-tekortkomingen: Uber 290 M EUR (2024 — geen geldige doorgiftegrondslag), VoetbalTV 575 K EUR (2020, deels vernietigd), Booking 475 K EUR (2021), TomTom 275 K EUR (2025).
“De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan (…)” (art. 6 lid 1 AVG)
13. Gerechtvaardigd-belang-balans: stappenplan
De EDPB Guidelines 1/2024 over gerechtvaardigd belang schrijven een schriftelijke LIA voor (Legitimate Interest Assessment):
- Belang identificeren: specifiek en concreet (niet “betere service”).
- Noodzakelijkheid: minder ingrijpend alternatief overwogen?
- Balans: redelijke verwachtingen betrokkene, kwetsbare groepen, mogelijkheid bezwaar.
- Waarborgen: pseudonimisering, opt-out, transparantie verhogen.
- Documentatie: in register verwerkingen + privacy notice.
CJEU C-621/22 (KNLTB, oktober 2024): commercieel belang van tennisbond bij verkoop ledendata is “gerechtvaardigd” maar afweging onvoldoende — boete CNIL bevestigd. Bevestigt dat ook na VoetbalTV de balanseis strikt blijft.
14. UAVG-aanvullingen op art. 6
UAVG art. 22-32 specificeren nationale uitzonderingen voor bijzondere gegevens (art. 9 AVG): art. 23 (medische context), art. 24 (wetenschappelijk onderzoek), art. 27 (publicatieregister), art. 30 (werkgever-werknemer). UAVG art. 33-34 regelt strafrechtelijke gegevens (art. 10 AVG): toegestaan voor banken bij Wwft-onderzoek, verzekeraars bij fraudeonderzoek. Voor BSN (art. 87 AVG): UAVG art. 46 — alleen bij wettelijke verplichting.
FAQ
Mag ik meerdere rechtsgronden tegelijk gebruiken?
In principe één rechtsgrond per verwerking. EDPB stelt dat “cumulatie” toegestaan is wanneer twee gronden onafhankelijk toepasselijk zijn, maar dit moet expliciet gedocumenteerd worden. In de praktijk: kies de sterkste grond.
Is toestemming altijd de veiligste keuze?
Nee. Toestemming is fragiel: intrekbaar, vereist bewijs, ongeschikt bij machtsverhouding. Vaak is overeenkomst (b) of gerechtvaardigd belang (f) robuuster. AP weigerde toestemming als grondslag in werkgevercontext meerdere malen.
Wat is een gerechtvaardigd belang?
Een legitieme zakelijke of maatschappelijke reden die zwaarder weegt dan de privacy van de betrokkene. Voorbeelden: fraudepreventie, IT-beveiliging, directe marketing aan bestaande klanten, intern beheer. Vereist drietrapstest en documentatie.
Heb ik voor cookies altijd toestemming nodig?
Voor analytische en marketing cookies: ja, op grond van Telecommunicatiewet art. 11.7a (lex specialis) plus AVG art. 6 lid 1 sub a — zie de gids over AVG-toestemming voor cookies. Strikt functionele cookies (winkelwagen, login) zijn uitgezonderd.
Wat gebeurt er als ik de verkeerde rechtsgrond kies?
De AP behandelt dit als verwerking zonder geldige grondslag — schending art. 6, boetecategorie IV (basis 750 K EUR), maximum 20 M EUR of 4% omzet. Daarnaast civiele claims betrokkenen op grond van art. 82 AVG.
Kan ik gerechtvaardigd belang gebruiken voor direct marketing?
Ja, considerans 47 AVG erkent direct marketing expliciet als gerechtvaardigd belang — mits beperkt tot bestaande klantrelaties (soft opt-in), met duidelijke opt-out, en zonder profiling van kwetsbare groepen. Voor e-mail aan niet-klanten: toestemming verplicht onder Telecommunicatiewet art. 11.7. Voor cookies marketing: altijd toestemming. Alle regels staan in de gids AVG en direct marketing.
Hoe documenteer ik mijn rechtsgrondkeuze?
Geldt artikel 6 ook voor bijzondere gegevens?
Voor bijzondere gegevens (art. 9) en strafrechtelijke gegevens (art. 10) is een art. 6-grondslag noodzakelijk maar niet voldoende — er moet aanvullend een uitzondering uit art. 9 lid 2 of art. 10 worden gevonden. Voor gezondheidsgegevens in zorg: art. 6 lid 1 sub c (Wgbo) + art. 9 lid 2 sub h. Voor HR-ziekteverzuim: art. 6 lid 1 sub c (Arbowet) + art. 9 lid 2 sub b.
Zie ook: de Uitvoeringswet AVG (UAVG) en het recht op dataportabiliteit.