Je mag alleen persoonsgegevens verzamelen wanneer daar een geldige reden (in de AVG wordt dit ‘grondslag’ genoemd) voor is. Verder heb je als verantwoordelijke een ‘verantwoordingsplicht’. Dit betekent dat je de gekozen reden goed moet uitleggen.
- Er moet een ondubbelzinnige toestemming van de betrokkene zijn voor gegevensverwerking. Er moet een vrije keuze zijn (bijvoorbeeld een vinkje aanzetten bij sturen van een nieuwsbrief). Let op: voor de toestemming van werknemers gelden extra waarborgen in verband met de gezagsverhouding tussen werknemer en werkgever.
- De persoonsgegevens zijn noodzakelijk voor de uitvoering van een overeenkomst (bijvoorbeeld van een reservering of het aangaan van een arbeidsovereenkomst.
- De persoonsgegevens zijn noodzakelijk voor het nakomen van een wettelijke verplichting (voeren van een administratie).
- De verwerking van persoonsgegevens zijn noodzakelijk voor het vervullen van een publiekrechtelijke taak. Dit is van toepassing op overheidsorganisaties die een publieke taak uitoefenen voor het algemeen belang of openbaar gezag.
- De verwerking van de persoonsgegevens zijn noodzakelijk voor de behartiging van een gerechtvaardigd belang van de betrokkene. Dit kan bijvoorbeeld gaan om een bedrijfsbelang of vanwege de veiligheid. Het belang moet duidelijk zijn en noodzakelijk. Je moet wel nagaan of het doel van de verwerking in verhouding staat tot de inbreuk voor de betrokkene en of je het doel niet op een minder nadelige manier kunt bereiken.