Het gerechtvaardigd belang

Onderzoek naar een persoon zonder diens toestemming staat of valt met één juridische grondslag. Je kunt de persoon die je onderzoekt niet om toestemming vragen, want dan onderzoek je niets meer. Er is meestal geen contract tussen jullie, geen wettelijke plicht die het draagt, geen van de andere gronden waarop een verwerking van persoonsgegevens gebouwd kan worden. Wat overblijft is één deur in de AVG waar particulier onderzoek doorheen loopt, en dat is het gerechtvaardigd belang. Of die deur correct wordt geopend, bepaalt alles wat erachter gebeurt.

De AVG kent zes grondslagen om persoonsgegevens te verwerken. Voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde is de verwerking toegestaan, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene zwaarder wegen. Vijf van die zes gronden passen niet op onderzoek naar iemand die van niets weet. Toestemming vragen ondermijnt het onderzoek. Een overeenkomst met de onderzochte persoon is er niet. Een wettelijke plicht of een publieke taak rust op overheidsorganen, niet op een particulier bureau. Wat resteert is de grond onder artikel 6, lid 1, sub f: de verwerking is noodzakelijk voor een gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde. Dat laatste zinsdeel is voor particulier onderzoek het belangrijkste woord in het artikel.

In de meeste zaken is het belang dat het onderzoek draagt niet dat van het bureau, maar dat van de opdrachtgever of van een derde. Dat een derde zich op de grond kan beroepen, staat er met zoveel woorden. Een ouder heeft er belang bij dat een feitenonderzoek in een jeugdzorgtraject klopt. Een ex-partner heeft er belang bij dat de draagkracht voor de alimentatie op werkelijke inkomsten berust. Een kind dat thuiszit heeft er belang bij dat de school de juiste route heeft gevolgd. De eerste vraag bij elk onderzoek is daarom niet wat een bureau wil weten, maar welk concreet, bestaand en actueel belang de opdracht dient, en of dat belang met naam te noemen is. Je moet een duidelijk, bestaand en actueel belang hebben, geen hypothetisch belang. Een vaag of verondersteld belang draagt geen enkele verwerking.

Voordat er ook maar één gegeven wordt vastgelegd, worden er drie vragen in vaste volgorde beantwoord. De toets bestaat uit drie opeenvolgende stappen: de doelgerichtheidstoets, waarbij de vraag is of het belang legitiem en actueel is, de noodzakelijkheidstoets, waarbij de vraag is of de verwerking noodzakelijk is of dat het minder ingrijpend kan, en de afwegingstoets. De eerste stap toetst het belang zelf. De tweede stap is de subsidiariteit: is er geen lichter middel dat hetzelfde oplevert, want als dat er is, vervalt de noodzaak. De derde stap is de belangenafweging, de proportionaliteit, waarin het belang wordt afgewogen tegen de grondrechten en vrijheden van de onderzochte persoon. Daarbij telt de gevoeligheid van de gegevens en telt wat de betrokkene redelijkerwijs mocht verwachten. De AVG noemt één factor uitdrukkelijk: de afweging valt zwaarder uit wanneer de betrokkene een kind is. De drie stappen zijn cumulatief, ze moeten alle drie worden gehaald. En de afweging wordt schriftelijk vastgelegd voordat het werk begint, want de verantwoordingsplicht rust volledig op degene die de gegevens verwerkt.

Op dit punt is de lijn de afgelopen jaren verschoven. De Autoriteit Persoonsgegevens hield lang vast aan een strenge uitleg, waarin een zuiver commercieel belang nooit een gerechtvaardigd belang kon zijn omdat het niet in de wet stond. Het Hof van Justitie van de Europese Unie heeft die uitleg op 4 oktober 2024 in de KNLTB-zaak terzijde geschoven. Een commercieel belang van de verwerkingsverantwoordelijke kan een gerechtvaardigd belang vormen, voor zover het niet in strijd is met de wet. Het belang hoeft niet in de wet te zijn vastgelegd. Daarmee is de eerste stap ruimer geworden. De tweede en de derde stap staan echter onverkort overeind. Ook aan de andere twee cumulatieve vereisten moet zijn voldaan: de noodzakelijkheid van de verwerking moet worden getoetst, en er dient een belangenafweging plaats te vinden. Een gerechtvaardigd belang opent de deur. Wat erachter ligt, moet de verwerking alsnog doorstaan.

De grondslag is geen administratieve formaliteit die je afvinkt en vergeet. Juist in de zaken waar TDR werkt, gaat het om de gevoeligste gegevens die er zijn: jeugdzorg, financiën, gezondheid, en vaak om kinderen. In die domeinen valt de belangenafweging het lastigst uit en ligt de lat het hoogst. Wordt die afweging niet gemaakt en niet vastgelegd voordat het onderzoek begint, dan levert dat de advocaat van de wederpartij het aanknopingspunt om de bevindingen uit de procedure te houden. Een onderzoek dat niet kan uitleggen welk belang het draagt en waarom er geen lichter middel was, geeft zijn eigen resultaat uit handen.