Wat is een rechtsgrond onder de AVG?

Wat is een rechtsgrond? Het is de juridisch geldige reden waarom een organisatie persoonsgegevens voor een bepaald doel mag verwerken. Onder de Algemene verordening gegevensbescherming (AVG) moet die reden zijn gekozen voordat de verwerking begint, aan betrokkenen worden uitgelegd en aantoonbaar bij de feiten passen ¹.

Snel antwoord

Wat is een rechtsgrond? De wettelijke rechtvaardiging voor één concrete verwerking van persoonsgegevens. Artikel 6 AVG kent zes gronden; toestemming is er maar één van. Begin bij doel en noodzaak, kies de grond die de werkelijkheid beschrijft, leg de redenering vast en vermeld de keuze duidelijk in de privacyinformatie voor betrokkenen ¹.

Laatst bijgewerkt: 28 augustus 2026

Zes routes, elk met een eigen grens

Artikel 6 AVG geeft zes rechtsgronden. Het zijn geen etiketten waaruit een organisatie de prettigste kiest. Elke grond heeft eigen voorwaarden, gevolgen en bewijs. De juiste vraag is daarom niet welke grond het veiligst klinkt, maar welke grond eerlijk verklaart waarom deze specifieke verwerking nodig is ¹.

“Handig” is bij geen van deze routes voldoende. Bij overeenkomst moet de kernprestatie zonder de verwerking niet uitvoerbaar zijn. Een wettelijke verplichting moet uit het recht volgen, niet uit intern beleid. Voor gerechtvaardigd belang zijn doel, noodzaak en belangenafweging alle drie nodig ³. Anders dan het huidige Britse recht kent de EU-regeling geen zevende route voor vooraf aangewezen erkende belangen; de gewone driestappentoets blijft altijd vereist.

Maak de rechtsorde zichtbaar in het besluitrecord wanneer een groepssjabloon uit het Verenigd Koninkrijk wordt hergebruikt: een veld met een vooraf aangewezen “erkend belang” mag in een EU-record niet als zelfstandige grond of verkorte toets blijven staan. Vertaal het doel naar de gewone route van artikel 6(1)(f), voer doel-, noodzaak- en belangenafweging opnieuw uit en leg vast wie de EU-uitkomst goedkeurde, zodat de grens een uitvoerbare controle wordt in plaats van een waarschuwing die een medewerker gemakkelijk overslaat.

Het doel komt vóór het antwoord

Een rechtsgrond behoort bij een afgebakend doel, niet bij een hele database; hetzelfde e-mailadres kan voor een bestelbevestiging op overeenkomst steunen, voor een wettelijk verplichte factuur op een juridische plicht en voor een nieuwsbrief op toestemming of een andere zorgvuldig getoetste route.

Schrijf daarom eerst één werkwoordelijk doel op. “Een bestelde kast bezorgen” is bruikbaarder dan “klantbeheer”. Noteer vervolgens welke gegevens daarvoor werkelijk nodig zijn, van wie ze komen, aan wie ze worden verstrekt en wat er gebeurt wanneer de verwerking niet plaatsvindt. Pas daarna kan de organisatie de zes gronden eerlijk toetsen.

De keuze moet vóór de verwerking zijn gemaakt; een organisatie kan niet eerst gegevens verzamelen en pas bij een klacht een passende grond zoeken. Ook een nieuwe toepassing van bestaande gegevens vraagt een nieuwe beoordeling van doel, verenigbaarheid en rechtsgrond.

Toets iedere grond tegen een uitsluitvraag die de echte grens zichtbaar maakt: zou de bestelling zonder dit adres uitvoerbaar zijn, welke bepaling verplicht precies tot de loonregistratie, welke publieke bevoegdheid is verleend en welk minder ingrijpend middel kan het beveiligingsdoel bereiken? Noteer niet alleen de gekozen route, maar ook waarom de twee meest waarschijnlijke alternatieven afvallen, omdat juist die vergelijking voorkomt dat een vaag doel achteraf naar een gemakkelijker label verschuift.

Wanneer één proces meerdere doelen combineert, bijvoorbeeld bezorging, fraudepreventie en latere reclame, behandel die doelen afzonderlijk. Verschillende noodzaak, grondslag, bewaartermijn en mogelijkheid tot bezwaar kunnen achter hetzelfde klantprofiel schuilgaan. Eén algemeen etiket maakt die verschillen voor medewerkers en betrokkenen onzichtbaar.

Toestemming en gerechtvaardigd belang zijn geen synoniemen

Toestemming draait om controle van de persoon. De keuze moet werkelijk vrij zijn; een werkgever kan daarom meestal niet aannemen dat een werknemer zonder nadeel kan weigeren. De vraag mag niet zijn verstopt in algemene voorwaarden en mag geen voorwaarde zijn voor iets waarvoor de verwerking niet nodig is. Bewaar wie waarmee instemde, wanneer, hoe en welke informatie toen werd getoond ².

Gerechtvaardigd belang draait om een aantoonbare afweging. Beschrijf eerst het concrete belang, beoordeel dan of verwerking werkelijk nodig is en weeg ten slotte dat belang tegen rechten, belangen en redelijke verwachtingen van de persoon. Onderzoek minder ingrijpende middelen en leg beschermingsmaatregelen vast. Een verrassende verwerking met grote gevolgen vraagt sterker bewijs dan een beperkte beveiligingsregistratie ^3,4.

Het verschil is ook operationeel. Toestemming vraagt een herleidbare positieve handeling en een route waarmee intrekking even eenvoudig wordt uitgevoerd. Gerechtvaardigd belang vraagt een gedateerde analyse en een bezwaarproces waarin de specifieke omstandigheden opnieuw worden beoordeeld. Bij intrekking stopt toekomstige verwerking die uitsluitend op toestemming rust; eerdere rechtmatige verwerking wordt niet met terugwerkende kracht onrechtmatig ¹.

Werk de keuze door in systemen voordat de verwerking begint: een toestemmingsrecord bewaart doel, tekstversie, tijdstip en kanaal, terwijl een gerechtvaardigd-belangrecord de onderzochte alternatieven, verwachte gevolgen, ingevoerde beperkingen en herbeoordelingstriggers bewaart. Test vervolgens met een weigering, een gedeeltelijke intrekking en een bezwaar of CRM, verzendplatform en leverancier dezelfde uitkomst bereiken, want een juridisch juiste grond wordt alsnog verkeerd toegepast wanneer één gekoppeld systeem de reactie van de persoon negeert.

Een gekozen AVG-grond beantwoordt bovendien niet iedere vraag over het communicatiekanaal. De ePrivacyrichtlijn en de Nederlandse regels waarmee die richtlijn is uitgevoerd kunnen voor elektronische marketing of toegang tot eindapparatuur een afzonderlijke toestemmingsvoorwaarde stellen ⁵. Beoordeel dus eerst de kanaalregel en daarna de grondslag voor persoonsgegevens.

Gevoelige gegevens vragen een tweede voorwaarde

Bij bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens, biometrische identificatie of informatie over religie, blijft een artikel 6-rechtsgrond nodig. Daarnaast moet een afzonderlijke uitzondering uit artikel 9 van toepassing zijn. Het ene antwoord vervangt het andere niet ¹.

Voor persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten geldt artikel 10. Verwerking moet onder toezicht van de overheid staan of zijn toegestaan door Unie- of lidstaatrecht dat passende waarborgen biedt. Een algemene verwijzing naar gerechtvaardigd belang is dus geen volledig dossier.

Leg beide juridische schakels vast. Noteer de artikel 6-grond, de aanvullende voorwaarde en de concrete wettelijke basis wanneer de gekozen route daarop berust. Controleer ook doelbinding, minimale gegevens, bewaartermijn, beveiliging en transparantie; een extra voorwaarde maakt een te breed proces niet vanzelf rechtmatig.

De grondslag bepaalt wat er daarna gebeurt

De keuze verandert de dagelijkse afhandeling van rechten. Trekt een klant nieuwsbrieftoestemming in, dan stopt die specifieke verzending en verwerkt het bewijsregister de intrekking. Maakt dezelfde klant bezwaar tegen fraudedetectie op basis van gerechtvaardigd belang, dan volgt geen automatische kopie van die procedure: de organisatie beoordeelt de gedocumenteerde redenen en de concrete gevolgen voor die klant.

Ook andere rechten hangen van grondslag en techniek af. Het recht op gegevensoverdraagbaarheid kan bijvoorbeeld relevant zijn voor geautomatiseerde verwerking op basis van toestemming of overeenkomst, maar niet voor iedere klantendatabase. Bij gerechtvaardigd belang is het recht van bezwaar een centraal vervolg. Privacyinformatie moet daarom doel en grond samen noemen, zodat een medewerker een verzoek naar de juiste werkinstructie stuurt.

Maak van de keuze een bruikbaar dossier

Een collega moet de grondslag later kunnen begrijpen zonder de oorspronkelijke beslisser te bellen. Eén regel “gerechtvaardigd belang” voldoet niet, omdat die niets zegt over doel, noodzakelijke gegevens, onderzochte alternatieven, gevolgen, beschermingsmaatregelen of de gebeurtenis die een herbeoordeling start.

Bij gerechtvaardigd belang hoort de volledige driestappentoets bij het dossier. Bij toestemming hoort het bewijs van de keuze en de getoonde informatie. Bij overeenkomst hoort een uitleg waarom de verwerking voor de kernprestatie nodig is. Bij wettelijke verplichting en publieke taak wordt de concrete Unie- of lidstaatregel genoemd ¹.

Voor Nederlandse organisaties is de Autoriteit Persoonsgegevens de bevoegde toezichthouder en het officiële contactpunt voor vragen of klachten. Bewaar de contactroute naast de verantwoordelijke voor het besluit, maar niet als inhoudelijke bron van de gedeelde Europese grondslag: die beoordeling blijft steunen op de AVG, EDPB-richtsnoeren en toepasselijke Unie- of lidstaatregels.

Actualiseer het verwerkingsregister en de privacyinformatie voordat doel, gegevens, doelgroep of leverancier wijzigt. Plan daarnaast herbeoordeling bij nieuwe techniek, ontvangers, klachten of onverwachte gevolgen. De praktische uitkomst blijft overzichtelijk: iedere verwerking heeft één afgebakend doel, één passende artikel 6-grond, eventuele aanvullende voorwaarden, zichtbare gevolgen voor rechten en een eigenaar die de keuze opnieuw kan verdedigen.