Artikel 6: Rechtmatigheid van de verwerkingAI-relevant

Een kredietbureau mag gegevens over schuldsanering niet langer bewaren dan het openbare register. Een besluit van de toezichthouder op een klacht is volledig toetsbaar door de rechter.

Een voertuigidentificatienummer is een persoonsgegeven voor wie redelijkerwijs middelen heeft om het aan de houder te koppelen. Fabrikanten hebben een wettelijke verplichting om deze nummers aan onafhankelijke reparateurs te verstrekken.

Nationale regels over werknemersgegevens zijn alleen specifiekere regels in de zin van artikel 88 als zij aan de eisen van lid 2 voldoen. Anders blijven zij buiten toepassing, tenzij zij een grondslag vormen als bedoeld in artikel 6 lid 3.

De AVG geldt ook als een civiele rechter het overleggen van een personeelsregister als bewijs beveelt. De rechter moet de belangen van de betrokkenen afwegen en dataminimalisatie toepassen, bijvoorbeeld via pseudonimisering.

Klantgegevens kopiëren naar een testdatabase kan verenigbare verdere verwerking zijn, maar die gegevens mogen daar niet langer staan dan nodig is voor het testen en herstellen van fouten.

Gegevens waaruit indirect gevoelige informatie blijkt, zoals de naam van een partner die seksuele geaardheid onthult, vallen onder artikel 9. Online publicatie van belangenverklaringen ging verder dan nodig.

Strafpunten voor verkeersovertredingen zijn strafrechtelijke gegevens. Een wet die deze gegevens zonder specifiek belang voor iedereen openbaar maakt of voor hergebruik aan bedrijven verstrekt, is in strijd met de AVG.

Camerabewaking in de gemeenschappelijke delen van een appartementengebouw kan zonder toestemming op gerechtvaardigd belang rusten, mits aan de voorwaarden van die grondslag is voldaan.

De Grote Kamer vindt geen schending van artikel 8 EVRM bij heimelijke camerabewaking van kassamedewerkers, gezien het redelijke vermoeden van ernstige diefstal en de beperkte duur en reikwijdte.

Een website met een Facebook-knop is gezamenlijk verwerkingsverantwoordelijke, maar alleen voor het verzamelen en doorsturen van bezoekersgegevens. Consumentenorganisaties mogen namens betrokkenen procederen.

De Grote Kamer vindt een schending van artikel 8 EVRM door het lezen van berichten van een werknemer. Nationale rechters moeten onder meer toetsen of vooraf is gewaarschuwd, of er een legitieme reden was en of minder ingrijpende middelen mogelijk waren.

De grondslag gerechtvaardigd belang verplicht niet tot verstrekking van gegevens aan een derde die een schadeclaim wil instellen, maar staat zo'n verstrekking op basis van nationaal recht ook niet in de weg. Het Hof zette hier de drie cumulatieve voorwaarden voor die grondslag uiteen.

Een dynamisch IP-adres is een persoonsgegeven voor een websitebeheerder die over wettelijke middelen beschikt om de gebruiker via de internetprovider te laten identificeren. Nationaal recht mag de grondslag gerechtvaardigd belang niet bij voorbaat uitsluiten.

Lidstaten mogen aan de grondslag gerechtvaardigd belang geen extra voorwaarden toevoegen, zoals de eis dat de gegevens uit openbare bronnen komen. De bepaling heeft rechtstreekse werking.

Noodzakelijk is een autonoom Unierechtelijk begrip. Een centraal register van buitenlandse Unieburgers is alleen noodzakelijk als het uitsluitend de benodigde gegevens bevat en de wetstoepassing doelmatiger maakt.

Behandelt hoe betaaldienstverleners onder PSD2 persoonsgegevens mogen verwerken, met aandacht voor de grondslag, gegevens van derden en bijzondere categorieen.

Behandelt cameratoezicht onder de AVG, waaronder de uitzondering voor huishoudelijk gebruik, de grondslag, biometrische gegevens, informatieplichten en bewaartermijnen.

Verduidelijkt wanneer een verwerking echt noodzakelijk is voor de uitvoering van een overeenkomst met de betrokkene bij onlinediensten, en wanneer een andere grondslag nodig is.

Beoordeelt monitoring van werknemers met nieuwe technologie en benadrukt dat toestemming op het werk zelden vrij is en dat toezicht noodzakelijk en evenredig moet zijn.

Werkt de belangenafweging bij gerechtvaardigd belang uit, met aandacht voor de aard van het belang, de gevolgen voor betrokkenen en aanvullende waarborgen.

Werkt het beginsel van doelbinding uit, met de eis van welbepaalde doeleinden en de factoren om te toetsen of verdere verwerking verenigbaar is.

Amazon verwerkte persoonsgegevens voor op interesses gebaseerde advertenties op grond van gerechtvaardigd belang, wat geen geldige grondslag bleek. Daarnaast schoot Amazon tekort in informatie aan gebruikers en in het honoreren van rechten zoals inzage, rectificatie en verwijdering.

De bestuursrechter in eerste aanleg bevestigde de boete op 18 maart 2025. In hoger beroep vernietigde de Cour administrative op 12 maart 2026 het besluit en stuurde de zaak terug naar de CNPD, omdat de CNPD niet had onderzocht of Amazon opzettelijk of nalatig handelde en niet had afgewogen welke maatregel het meest passend was. De kern van de vastgestelde inbreuken bleef overeind; de grieven over artikel 21 vielen volgens het hof buiten het onderzoek.

Leidinggevenden in het servicecenter in Neurenberg legden jarenlang uitgebreide notities vast over het privéleven van honderden werknemers, waaronder ziekte, vakanties, familieproblemen en geloof. Die gegevens werden gebruikt voor profielen en beslissingen over het dienstverband.

Datum is de datum van de persverklaring; H&M heeft volgens berichtgeving geen bezwaar gemaakt, zodat de boete vaststaat.

De tennisbond verstrekte in 2018 tegen betaling persoonsgegevens van leden aan twee sponsors, die de leden daarna benaderden met reclame. De AP oordeelde dat hiervoor geen geldige grondslag was en dat het voor een deel van de leden ging om verdere verwerking die niet verenigbaar was met het oorspronkelijke doel.

Besluit van 20 december 2019, bekendgemaakt op 3 maart 2020. Na het arrest van het Hof van Justitie (C-621/22, 4 oktober 2024) spraken AP en KNLTB in oktober 2025 af de procedure te beëindigen; de AP verlaagt de boete naar 250.000 euro, verminderd met de kosten van een voorlichtingscampagne. Een definitief nieuw boetebesluit was aangekondigd voor uiterlijk juni 2026 maar is niet gevonden.

Bij het aanmaken van een Google-account op een Android-telefoon was de informatie over de verwerking versnipperd en onduidelijk. De toestemming voor gepersonaliseerde advertenties was niet voldoende geïnformeerd en niet specifiek en ondubbelzinnig.

De Conseil d'État verwierp het beroep van Google op 19 juni 2020; de boete staat vast.