Ga naar de hoofdinhoud
Praxikon

Artikel 6: Rechtmatigheid van de verwerkingAI-relevant

Praxikon houdt artikel 6 (Rechtmatigheid van de verwerking) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IIVan kracht sinds 25-05-2018

Wat regelt artikel 6?

Artikel 6 bepaalt wanneer een verwerking van persoonsgegevens rechtmatig is. Lid 1 noemt zes grondslagen, waarvan er minstens één van toepassing moet zijn: toestemming (a), uitvoering van een overeenkomst (b), een wettelijke verplichting (c), vitale belangen (d), een taak van algemeen belang of openbaar gezag (e) en gerechtvaardigd belang (f). Overheidsinstanties mogen zich bij de uitoefening van hun taken niet op het gerechtvaardigd belang beroepen (lid 1, laatste alinea). De leden 2 en 3 regelen dat de grondslagen c en e in Unierecht of lidstatelijk recht moeten zijn vastgelegd en dat lidstaten die nader mogen invullen. Lid 4 geeft de factoren waarmee u beoordeelt of gegevens voor een ander doel mogen worden gebruikt dan waarvoor ze zijn verzameld.

Kernbegrip: Grondslag: een van de zes voorwaarden uit lid 1 die een verwerking rechtmatig maakt; zonder grondslag is verwerking niet toegestaan

Raakt direct:verwerkingsverantwoordelijkeverwerkerbetrokkenelidstaat

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Een geldige rechtsgrondslag is vereist voor het verwerken van persoonsgegevens in AI-trainingsdata. AI Act Art. 10 verwijst indirect naar deze AVG-eis.

AI Act Art. 10 →

Officiële tekst

/
De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
De lidstaten kunnen specifiekere bepalingen handhaven of invoeren ter aanpassing van de manier waarop de regels van deze verordening met betrekking tot de verwerking met het oog op de naleving van lid 1, punten c) en e), worden toegepast; hiertoe kunnen zij een nadere omschrijving geven van specifieke voorschriften voor de verwerking en andere maatregelen om een rechtmatige en behoorlijke verwerking te waarborgen, ook voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX.
De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij: a) Unierecht; of b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is. Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met: a) ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking; b) het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft; c) de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10; d) de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; e) het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Bepaal vóór elke verwerking op welke grondslag uit lid 1 u steunt en leg dat vast. Kiest u gerechtvaardigd belang (lid 1 onder f), dan moet u uw belang afwegen tegen de belangen en grondrechten van de betrokkene, met extra gewicht als het om een kind gaat; overweging 47 noemt de redelijke verwachtingen van de betrokkene als maatstaf. Wilt u gegevens voor een nieuw doel gebruiken, bijvoorbeeld om er een AI-model mee te trainen, dan doorloopt u de verenigbaarheidstoets van lid 4, tenzij u nieuwe toestemming heeft of een wettelijke bepaling dat toestaat.

Verwerker

De grondslag hoort bij de verwerkingsverantwoordelijke; u kunt als verwerker niet zelf een grondslag kiezen. Gaat u de gegevens voor een eigen doel gebruiken, dan bent u voor dat deel geen verwerker meer en heeft u zelf een grondslag uit lid 1 nodig.

Functionaris gegevensbescherming

Controleer of voor elke verwerking een grondslag is vastgelegd en of die grondslag past bij de situatie: overweging 43 waarschuwt dat toestemming geen geldige grondslag is bij een duidelijke wanverhouding, bijvoorbeeld tussen overheid en burger. Bewaak de verenigbaarheidstoets van lid 4 bij elk voorstel om gegevens voor een ander doel te gebruiken.

Betrokkene

Een organisatie mag uw gegevens alleen verwerken als een van de zes grondslagen uit lid 1 van toepassing is. Steunt zij op gerechtvaardigd belang, dan mogen uw belangen en grondrechten niet zwaarder wegen (lid 1 onder f). Bij gebruik voor een ander doel moet de organisatie u volgens overweging 50 informeren over dat doel en over uw rechten, waaronder het recht om bezwaar te maken.

Compliance checklist

Gerelateerde overwegingen

(40)

Voor rechtmatige verwerking van persoonsgegevens is de toestemming van de betrokkene vereist of een andere gerechtvaardigde grondslag waarin de wet voorziet, hetzij in deze verordening, hetzij in ande...

(41)

Wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een door een parlement vastgestelde wetgevingshandeling nodig is, on...

(42)

Indien de verwerking plaatsvindt op grond van toestemming van de betrokkene, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking. Met na...

(43)

Om ervoor te zorgen dat toestemming vrijelijk wordt verleend, mag toestemming geen geldige rechtsgrond zijn voor de verwerking van persoonsgegevens in een specifiek geval wanneer er sprake is van een ...

(44)

Een verwerking die noodzakelijk is in het kader van een overeenkomst of een voorgenomen overeenkomst, dient rechtmatig te zijn....

(45)

Indien de verwerking wordt verricht omdat de verwerkingsverantwoordelijke hiertoe wettelijk is verplicht of indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang dan...

(46)

De verwerking van persoonsgegevens dient ook als rechtmatig te worden beschouwd indien zij noodzakelijk is voor de bescherming van een belang dat voor het leven van de betrokkene of dat van een andere...

(47)

De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rec...

(48)

Verwerkingsverantwoordelijken die deel uitmaken van een concern of een groep van instellingen die aan een centraal lichaam verbonden zijn, kunnen een gerechtvaardigd belang hebben bij de doorzending v...

(49)

De verwerking van persoonsgegevens voor zover die strikt noodzakelijk en evenredig is met het oog op netwerk- en informatiebeveiliging, d.w.z. dat een netwerk of informatiesysteem op een bepaald vertr...

(50)

De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doele...

Kruisverwijzingen

Art. 9: Verwerking van bijzondere categorieën van persoonsgegevensArt. 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feitenArt. 23: Beperkingen

Veelgestelde vragen

← Art. 5: Beginselen inzake verwerking van persoonsgegevensArt. 7: Voorwaarden voor toestemming →

Samenhang

Wat samenhangt met artikel 6 AVG

Thema’s waarin dit terugkomt

De tegenhanger in de andere wet

Rechtspraak

Richtsnoeren

Handhaving en boetes8 van 9

Wetgeving in beweging

Analyses