Doelbinding en verdere verwerking

Inhoudsopgave

• Juridisch kader
  • Doelbinding
  • Verdere verwerking
• Modelbepalingen
• Handvatten voor het opstellen van de wettekst en memorie van toelichting
  • Doelbinding
  • Niet-verenigbare verdere verwerking
• Voorbeelden en literatuur
   

Juridisch kader

Artikel 5, eerste lid, onder b, AVG bepaalt als beginsel dat persoonsgegevens alleen mogen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, en niet verder verwerkt mogen worden op een wijze die met die doeleinden onverenigbaar is. De AVG laat ruimte om in nationale wetgeving het doel van een verwerking vast te leggen en om een verdere verwerking voor een ander doel mogelijk te maken. Deze pagina bevat handvatten voor het wettelijk vastleggen van het doel van een verwerking en het (on)mogelijk maken van een verdere verwerking voor andere doeleinden.

Terug naar boven

Doelbinding

Het doel waarvoor persoonsgegevens worden verwerkt, moet helder zijn. Dat zorgt ervoor dat voor burgers duidelijk en voorspelbaar is onder welke voorwaarden hun persoonsgegevens worden gebruikt. Als persoonsgegevens voor een bepaald doel worden verzameld, hoeven burgers er niet op bedacht te zijn dat hun gegevens (door een andere organisatie) voor een heel ander doel worden gebruikt. Om die reden vormt het doelbindingsbeginsel één van de kernbeginselen van het gegevensbeschermingsrecht.

Persoonsgegevens mogen alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Het doeleinde is de reden waarvoor persoonsgegevens worden verwerkt. ‘Welbepaald’ betekent dat het doel duidelijk en specifiek is geformuleerd. Zo gedetailleerd dat een betrokkene kan voorzien welke verwerkingen daaronder vallen en dat daaraan getoetst kan worden of de gegevens nodig zijn voor dat doel of niet (z2014-00841, p. 4). De context van de gegevensverwerking is hierbij van groot belang. 

‘Gerechtvaardigd’ houdt in dat het doel in overeenstemming is met wet- en regelgeving. Een nauwkeurige bepaling van de verwerkingsdoeleinden is cruciaal voor bescherming van persoonsgegevens: de andere waarborgen voor bescherming (zoals de noodzaakstoets), en dus de rechtmatigheid van de verwerking, worden immers beoordeeld aan hand van het vastgestelde doel (z2021-08378, p. 17).

Terug naar boven

Verdere verwerking

De AVG sluit niet uit dat eenmaal voor een bepaald doel verzamelde persoonsgegevens later verder verwerkt worden voor een ander, nieuw doel. Aan verdere verwerking van persoonsgegevens voor een ander doel worden wel strikte eisen gesteld.  

Verenigbare verdere verwerking 

Persoonsgegevens mogen alleen voor een ander doel verder worden verwerkt wanneer die verdere verwerking ‘verenigbaar’ is met het oorspronkelijke verzameldoel. Kort gezegd, er moet een concreet, logisch en nauw verband bestaan tussen het oorspronkelijke doel en de verdere verwerking voor een ander doel. De verdere verwerking moet voor de betrokkene ook voorzienbaar zijn. 

Verenigbaarheidstoets: Artikel 6, vierde lid, AVG bevat een niet-limitatieve lijst van criteria aan de hand waarvan de verenigbaarheid kan worden bepaald. Deze zien o.a. op: het verband tussen het oorspronkelijke en nieuwe doel, de context waarin de gegevens zijn verzameld, de relatie tussen verwerkingsverantwoordelijke en betrokkene, de aard van de gegevens, mogelijke gevolgen voor betrokkene en het bestaan van passende waarborgen. Het is aan de verwerkingsverantwoordelijke om, aan de hand van deze criteria en de andere voorwaarden, genoemd in artikel 6, vierde lid, AVG, de afweging te maken of verdere verwerking (al dan niet) ‘verenigbaar’ is. Zie voor voorbeelden van (niet) verenigbare verwerking: Europese Commissie, pagina Data protection. 

Ook regelt de AVG dat er doeleinden zijn waarvoor verdere verwerking van persoonsgegevens is toegelaten. Als verenigbaar wordt in beginsel beschouwd: verdere verwerking voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of voor statistische doeleinden (artt. 5, eerste lid, onder b, en 89 AVG).

Als de verwerking verenigbaar is met het oorspronkelijke doel dan kan die op dezelfde grondslag worden gebaseerd (zie overwegingen 39 en 50 AVG en art. 8, tweede lid, EU-Handvest grondrechten). 

Niet verenigbare verdere verwerking

Een verdere verwerking  die niet verenigbaar is met het oorspronkelijke doel, is alleen toegestaan op grond van toestemming van de betrokkene of een wettelijke grondslag. Aan zo’n wettelijke grondslag stelt artikel 6, vierde lid, AVG, specifieke eisen. De maatregel moet:

• een noodzakelijke en evenredige maatregel zijn in een democratische samenleving (zie de pagina noodzakelijkheids- en evenredigheidstoets); en
• strekken ter waarborging van een van de doelstellingen genoemd in artikel 23, eerste lid, AVG, zoals nationale veiligheid of de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures (zie de pagina rechten van de betrokkene). 

Gezien het fundamentele belang van het beginsel van doelbinding worden uitzonderingen daarop strikt geïnterpreteerd. Een te ruime uitleg zou deze belangrijke waarborg voor de burger ondermijnen. De nieuwe doeleinden moeten zelf eveneens welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn. Van belang is ook dat de nieuwe grondslag alleen voor nieuwe, nog te verzamelen gegevens, geldt.

Terug naar boven

Modelbepalingen

• [De verwerking] [heeft tot doel / geschiedt met het oog op / is ten behoeve van / is ter uitvoering van / vindt plaats in het kader van] [doel / (een goede uitvoering van) wettelijke taak / wetsartikel].  
  
  OF
   
• [Persoonsgegevens] kunnen [verwerkt / verstrekt] worden voor zover dit noodzakelijk is voor [doel / (een goede uitvoering van) wettelijke taak / wetsartikel]. 

Terug naar boven

Handvatten voor het opstellen van de wettekst en memorie van toelichting 

Terug naar boven

Doelbinding

Wettekst

Algemeen

• Regel het doel bij voorkeur in een wet in formele zin (W16.22.00186/II), zeker wanneer het gaat om de verwerking van bijzondere categorieën van persoonsgegevens of gegevens van strafrechtelijke aard.
• Wanneer een precieze omschrijving op dat niveau niet mogelijk is, of wanneer enige flexibiliteit noodzakelijk is, kan worden volstaan met een beschrijving op hoofdlijnen en een delegatiegrondslag om uitwerking bij lagere regelgeving mogelijk te maken (z2019-26635, p. 4-5; EDPS Guidance for co-legislators, nr. 21-22).
• Het is mogelijk om meerdere doeleinden in de regeling op te nemen en daarbij te differentiëren naar verwerkingsverantwoordelijken, soorten persoonsgegevens en type verwerkingen.

Doelomschrijving

• Omschrijf het verwerkingsdoel zo nauwkeurig mogelijk. Zie op dit punt, de richtsnoeren van het EDPS, Guidance for co-legislators, nr. 20. Baken zo veel mogelijk af wat wel en niet onder het doel valt – zozeer dat de aard en de omvang van de bedoelde persoonsgegevens kan worden afgebakend en de noodzaak kan worden getoetst (z2019-14661, p. 1 en 3). Vermijd een open formulering zoals “ten behoeve van [doel X] en andere doeleinden” (W13.23.00326/III).
• Een vage of ruime doelomschrijving voldoet niet aan het vereiste van een welbepaald doel. Welbepaaldheid van het doel wordt beoordeeld vanuit het perspectief van degenen op wie de verwerking van toepassing is: zij moeten uit de omschrijving kunnen afleiden welke verwerkingen met het oog op het doel logischerwijs noodzakelijk zijn (voorzienbaarheid).
• De AP achtte bijvoorbeeld te ruim geformuleerd:
  • “uitvoering van deze wet” (z2019-14661, p. 1 en 3);
  • “statistiek, monitoring en evaluatie van bestaand beleid en de voorbereiding van toekomstig beleid” (z2019-14661, p. 3-4) en “voor statistiek, informatievoorziening en beleidsvorming met betrekking tot het nieuw in te voeren hoofdstuk in de wet” (z2020-09495, p. 7-8);
  • “ten behoeve van verificatie in het kader van de uitoefening van een beroep of bedrijf” (z2018-17236, p. 1-2);
  • “versterking van de integriteit van het financiële stelsel/andere ernstige vormen van criminaliteit” en “uitoefenen van toezicht op een goede werking van de markt” (z2021-08378, p. 17-18);
  • “het identificeren van toezichtrisico’s” (2024-264200, p. 2);
  • “wetenschappelijk onderzoek” (z2023-00797, p. 4-5).
• Ook de RvS heeft meerdere keren gewezen op te ruime of onvoldoende duidelijke doelomschrijvingen, zoals:
  • “het doen van een ondersteuningsaanbod aan de UHP KOT ouders of hun uithuisgeplaatste kinderen” (W16.22.0205/II);
  • “het beheer en de vereffening van de boedel” (W16.21.0372/II);
  • "voor zover [deze] dienstig zijn voor de uitoefening van hun wettelijke taken", specificeer welke wettelijke taken (W06.19.0406/III);
  • “een zorgvuldig en samenhangend beleid ter zake te kunnen voeren en de stelselverantwoordelijkheid te kunnen waarborgen” (W16.20.0365/II).
  • Verduidelijking kan worden bereikt door termen in de regeling te definiëren of in de toelichting te omschrijven (W16.21.0056/II).

Doelbinding en verdere verwerking

• Neem het beginsel van doelbinding niet letterlijk over uit de AVG; dat beginsel geldt als rechtsreeks op grond van de verordening zelf (z2019-13010, p. 3). Doelbinding is overigens geen aanvullende, passend en specifieke waarborg, het is generiek en maakt geen onderscheid tussen persoonsgegevens (W05.24.00027/I).
• In sommige gevallen kan het, gelet op de gevoeligheid van gegevens of risico’s bij de verwerking daarvan, wenselijk zijn om in de tekst van de regeling expliciet vast te leggen dat verder gebruik is uitgesloten (W13.20.0254/III). Zie bovengenoemde voorbeelden onder Algemeen.
• Omgekeerd kan in de wettelijke grondslag worden gepreciseerd voor welke doeleinden verdere verwerking als (rechtmatig en) verenigbaar met het oorspronkelijke doel wordt beschouwd.

Terug naar boven

Memorie van Toelichting

• Ga in de toelichting in op de vraag in hoeverre de gegevensverwerking voldoet aan (de beginselen van) de AVG, waaronder het beginsel van doelbinding (W06.20.0297/III).
• Doelomschrijving: beschrijf in de toelichting wat het doel van de gegevensverwerking precies is en hoe dit doel is afgebakend. Vermeld niet alleen welke verwerkingen onder het doel vallen, maar ook wat er nadrukkelijk niet onder valt. Gebruik waar mogelijk concrete en sprekende voorbeelden. Wanneer een meer specifieke omschrijving niet mogelijk is, onderbouw in de toelichting waarom dat niet kan. Zorg dat de formulering in de toelichting aansluit bij de tekst van de regeling. Er mag geen verschil van betekenis ontstaan tussen beide (z2020-09495, p. 6).
• Doelbinding en verdere verwerking: geef aan – voor zover dat al in beeld is – wanneer een verdere verwerking nog verenigbaar is met het oorspronkelijke doel, en wanneer niet meer (W16.24.00299/II).
• Maak verder duidelijk dat en waarom het doel gerechtvaardigd is, in het licht van artikel 8 Handvest (en art. 8 EVRM). Dit vergt een belangenafweging waarin de noodzaak en evenredigheid van de inbreukmakende maatregel worden toegelicht ten opzichte van het nagestreefde doel (zie ook de pagina noodzakelijkheids- en evenredigheidstoets). 

Terug naar boven

Niet-verenigbare verdere verwerking

Wettekst

• Om te bepalen of een verdere verwerking een nieuwe grondslag vergt, weeg eerst af of de verwerking, gelet op de criteria van artikel 6, vierde lid, AVG, niet-verenigbaar is met het oorspronkelijke doel. Zo ja, analyseer welke gegevens door wie en waarvoor verder verwerkt moeten worden en welke grondslagen er hiervoor reeds bestaan. Bepaal op grond daarvan of een nieuwe grondslag nodig is.
• Betrek daarbij de vraag of de verwerking/wettelijke grondslag een noodzakelijke en evenredige maatregel vormt ter waarborging van een van de in artikel 23, eerste lid, AVG bedoelde doelstellingen. Benoem welk concreet belang met de verdere verwerking wordt gewaarborgd.
• Vermeld de nieuwe doelen in de wettekst en let daarbij op de aandachtspunten onder 2.1. Het is niet nodig om in de tekst van de regeling op te nemen dat het om een (niet-verenigbare) verdere verwerking gaat. Ook hier is delegatie mogelijk, mits die concreet en nauwkeurig is afgebakend. Een te ruime afwijkingsbevoegdheid brengt het risico mee dat de uitzondering in de praktijk de hoofdregel wordt, waardoor de doelbinding zijn waarborgfunctie verliest (W16.19.0159/II, onder 6).
• Let uitdrukkelijk op eventuele wettelijke geheimhoudingsplichten. Als gegevens onder een geheimhoudingsbepaling vallen, moet daarop een expliciete wettelijke uitzondering worden gemaakt; anders is verwerking niet toegestaan (zie ook overweging 50 AVG).

Terug naar boven

Memorie van Toelichting

Maak in de toelichting duidelijk:

• dat verdere verwerking van persoonsgegevens aan de orde is en op welke grond de verdere verwerking zal plaatsvinden (z2023-302596, p. 3);
• hoe de verwerking voor het nieuwe doel zich verhoudt tot de verwerking voor het oorspronkelijke doel. Zorg daarbij voor eenduidigheid van terminologie;
• ter bescherming van welke doelstelling als bedoeld in artikel 23, eerste lid, AVG, de verwerking noodzakelijk is en onderbouw waarom dat het geval is (W16.21.0056/II, z2021-11575, p. 2);
• waarom deze maatregel noodzakelijk en evenredig is in een democratische samenleving (zie de pagina noodzakelijkheids- en evenredigheidstoets);
• dat is stilgestaan bij de subsidiariteitseis, en beschrijf welke alternatieven zijn onderzocht en waarom deze niet voldoende waren.

Terug naar boven

Voorbeelden en literatuur

Terug naar boven

Laatst gewijzigd op: 19-12-2025