Het doel van een gegevensverwerking

De verantwoordelijke voor de verwerking mag persoonsgegevens enkel verwerken (m.a.w. verzamelen, gebruiken, beheren, meedelen) als hij voldoet aan een aantal voorwaarden.

Hij kan persoonsgegevens niet verzamelen en gebruiken zonder een precieze doelstelling te bepalen. De verantwoordelijke legt de doelstelling vast bij het begin, wat het verdere verloop van de gegevensverwerking bepaalt. Het is op basis van dit vastgelegde doel dat de verantwoordelijke zal beslissen:

  • welke gegevens hij mag verzamelen;
  • wat hij ermee zal doen;
  • of hij ze mag meedelen en aan wie hij ze mag meedelen.

Hij mag daarna op uw gegevens enkel die bewerkingen uitvoeren die hem helpen zijn doel te bereiken en die daarmee verenigbaar zijn. Verenigbaarheid wordt beoordeeld op basis van alle relevante factoren, in het bijzonder de redelijke verwachtingen van de betrokken persoon en de geldende wet- en regelgeving. Als de verantwoordelijke gegevens gebruikt voor andere doeleinden die onverenigbaar zijn met het oorspronkelijk doeleinde, dan is dat strafbaar. Bijvoorbeeld:

  • een fitnessclub die zijn ledenlijst verkoopt aan een bedrijf dat vermageringskuren aanbiedt;
  • een oogarts die de namen van zijn patiënten doorgeeft aan een bedrijf dat gespecialiseerd is in de verkoop van contactlenzen (Ter vergelijking: hij mag zijn dossiers wel doorgeven aan een confrater van wie hij de mening wil weten).

De verantwoordelijke mag niet zomaar eender welk doel voor ogen hebben. Het spreekt vanzelf dat het moet gaan om een gerechtvaardigd doel. Dit betekent dat de belangen van de verantwoordelijke voor de verwerking in evenwicht moeten zijn met de belangen van de betrokken persoon. Een doelstelling die de privacy van de betrokken persoon bovenmatig zou aantasten is niet gerechtvaardigd. Bijvoorbeeld: een bestand samenstellen met bijna-zestigers om hen op hun zestigste verjaardag documentatie toe te sturen over een begrafenisverzekering "omdat het tijd wordt hierover na te denken", is geen gerechtvaardigd doel. Het nadeel dat deze personen hierdoor ondervinden is ongetwijfeld groter dan het commerciële belang van de persoon die het bestand samenstelt.

Eens de verantwoordelijke een gerechtvaardigd doel heeft vastgelegd, moet hij daarbij nog minstens een van de volgende voorwaarden vervullen. Hij mag gegevens slechts verwerken als:

  • de betrokken persoon daarvoor zijn ondubbelzinnige, vrije en geïnformeerde toestemming geeft;
  • of als de verwerking noodzakelijk is voor de uitvoering van een overeenkomst die de betrokken persoon met de verantwoordelijke heeft afgesloten (bv. een bank die een hypothecaire lening heeft toegekend);
  • of als de wet dat eist. De werkgever is bijvoorbeeld verplicht om aan de sociale zekerheid bepaalde gegevens over zijn personeel mee te delen;
  • of als de verwerking van levensbelang is voor de betrokken persoon, bijvoorbeeld bij een bewusteloos slachtoffer van een ongeval over wie medische gegevens worden verzameld om hem te kunnen verzorgen;
  • of als de verwerking moet gebeuren om een taak van openbaar belang te vervullen. Zo heeft de post het recht een bestand te maken met de adreswijzigingen van haar klanten zodat ze de post na de verhuizing verder kan bezorgen;
  • of als de gegevensverwerking noodzakelijk is om een gerechtvaardigd belang te behartigen van de verantwoordelijke of een andere persoon, tenminste als de belangen van de betrokken persoon niet zwaarder doorwegen.