Gerechtvaardigd belang — Art. 6(1)(f) GDPR — is de meest nuttige en meest verkeerd begrepen wettelijke grondslag in de verordening. Marketeers grijpen er graag naar omdat het geen toestemmingsbanner vereist; toezichthouders controleren het streng omdat het geen vrijbrief mag worden. Dit artikel loodst je door wat het artikel echt zegt, de drietraps-test die toezichthouders verwachten, een praktijkvoorbeeld voor website-identificatie op bedrijfsniveau en waar de grenzen liggen.
Wat Art. 6(1)(f) echt zegt
Het artikel staat verwerking van persoonsgegevens toe wanneer dit "noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene zwaarder wegen". Vooral de woorden "noodzakelijk" en "zwaarder wegen" zijn cruciaal, en de derde pijler is ongeschreven maar essentieel: je gerechtvaardigde belang moet zelf rechtmatig zijn. Als één van deze drie faalt, faalt de grondslag.
De toezichthouder beslist niet voor jou. Jij voert de analyse uit, jij legt de analyse vast, en als je wordt gecontroleerd, overhandig je de analyse. Er is geen indiening, geen registratie en geen goedkeuring vooraf — maar er is ook geen verweer mogelijk als de belangenafweging niet daadwerkelijk is uitgevoerd.
De drietraps-belangenafweging
Europese gegevensbeschermingsautoriteiten hanteren hetzelfde drietraps-kader, ook wel de LIA (Legitimate Interests Assessment) genoemd. Elke stap moet succesvol worden doorlopen.
- Doel-toets — is het belang rechtmatig, specifiek en reëel? Een generiek "we willen meer verkopen" volstaat niet. "Het identificeren van bedrijven die onze B2B website bezoeken om de juiste beslisser te benaderen met relevante informatie" wel.
- Noodzakelijkheids-toets — is de verwerking de minst ingrijpende manier om het doel te bereiken? Als een minder invasieve methode zou werken (geaggregeerde analytics, opt-in nieuwsbrief, een formulier), dan moet die de voorkeur krijgen. Noodzakelijkheid betekent dat je het redelijkerwijs niet op een andere manier kunt doen.
- Afwegings-toets — wegen de belangen, rechten en vrijheden van de betrokkene zwaarder dan die van jou? Kijk naar hun redelijke verwachtingen, de aard van de gegevens, de gevoeligheid, de context waarin ze zijn verzameld en de waarborgen die je toepast.
Praktijkvoorbeeld: bezoekersidentificatie op bedrijfsniveau
Stel dat een B2B SaaS bedrijf in de EU de organisaties achter websitebezoeken wil herkennen — identificatie op bedrijfsniveau, zonder cookies, zonder persoonlijke identifiers. Hier zie je hoe een verdedigbare LIA er stap voor stap uitziet.
Stap 1 — Doel
Het doel is het identificeren van bedrijven die actief onderzoek doen naar een B2B dienst, om hen relevante, gerichte informatie te sturen (een gepersonaliseerde e-mail, een case study, een uitnodiging voor een gesprek van een kwartier). Het doel is rechtmatig, specifiek en reëel. Het is geen gegevensverzameling "voor het geval dat".
Stap 2 — Noodzakelijkheid
Kan het doel minder invasief worden bereikt? Geaggregeerde analytics vertelt je "hoeveel?" maar niet "wie?" — het kan het doel niet vervullen. Een generieke nieuwsbrief bereikt alleen abonnees, niet de bedrijven die nu actief onderzoeken. Een formulier vangt slechts een fractie van de bezoekers op. Bedrijfsidentificatie, waarbij het IP-adres wordt herleid naar een organisatie zonder persoonlijke identifiers te raken, is een proportioneel en noodzakelijk middel voor het gestelde doel.
Stap 3 — Afweging
Redelijke verwachtingen: zakelijke bezoekers die tijdens het werk een B2B website bezoeken, verwachten over het algemeen dat de website-exploitant weet dat een bedrijf (niet per se een individu) de site heeft bezocht. Aard van de gegevens: de geïdentificeerde entiteit is een rechtspersoon (een organisatie), geen natuurlijk persoon. Gevoeligheid: er zijn geen bijzondere categorieën gegevens bij betrokken. Context: de gegevens zijn verzameld op de eigen website van de verwerkingsverantwoordelijke in de normale bedrijfsvoering. Waarborgen: geen cookies, geen fingerprinting, geen cross-site tracking, geen profiel van de individuele bezoeker; een toegankelijke opt-out voor het geïdentificeerde bedrijf; een openbare privacyverklaring die precies uitlegt wat er gebeurt.
In deze balans weegt het belang van de verwerkingsverantwoordelijke om een beslisser te benaderen met relevante informatie in een normale B2B situatie zwaarder dan de belangen van de betrokkene. Een andere verwerking (zoals tracking op individueel niveau of het doorverkopen van data aan derden) zou de balans doen doorslaan — de analyse is specifiek voor wat je daadwerkelijk doet.
Hoe de documentatie er daadwerkelijk uitziet
Een verdedigbare LIA is een kort document met een datum — meestal twee tot vier pagina's — ondertekend door een verantwoordelijke persoon. Hieronder staat de structuur die de meeste Europese toezichthouders accepteren.
| Sectie | Inhoud | Lengte |
|---|---|---|
| Header | Naam en adres verwerker, DPO contact indien aanwezig, ingangsdatum | 1 regel elk |
| Doel | Specifiek, rechtmatig, reëel belang — één paragraaf | ~100 woorden |
| Noodzakelijkheid | Overogen alternatieven en waarom deze het doel niet bereiken | ~150 woorden |
| Afweging | Redelijke verwachtingen, aard, gevoeligheid, context, waarborgen | ~300 woorden |
| Waarborgen | Concrete maatregelen: opt-out, bewaring, geen persoonlijke identifiers, DPA met verwerkers | ~150 woorden |
| Review | Ondertekend door (naam, rol); volgende reviewdatum (jaarlijks) | 2 regels |
Wat verschilt per land
Art. 6(1)(f) is uniform in de hele EU, maar de ePrivacy-dimensie (in Duitsland § 25 TDDDG) bepaalt of je informatie mag plaatsen of lezen op de eindapparatuur — denk aan cookies, local storage of fingerprinting. Bedrijfsidentificatie zonder opslag aan de client-zijde valt buiten de toestemmingsplicht van § 25; het introduceren van een identifier aan de client-zijde brengt je direct naar het gebied van toestemming, ongeacht je Art. 6 grondslag.
Wanneer toestemming — en niet gerechtvaardigd belang — de juiste grondslag is
Gerechtvaardigd belang is geen universele vervanging voor toestemming. De juiste grondslag verschuift naar toestemming (Art. 6(1)(a)) in ten minste drie veelvoorkomende B2B situaties.
- Wanneer er informatie wordt opgeslagen op of gelezen van het apparaat van de bezoeker die niet strikt noodzakelijk is — een tracking cookie, een localStorage identifier, een fingerprint — vereist ePrivacy / § 25 TDDDG toestemming, ongeacht je Art. 6 grondslag.
- Verwerking van persoonsgegevens van natuurlijke personen voor behavioural advertising, cross-site profiling of doorverkoop aan derden. Dit valt ver buiten een proportioneel B2B contactbelang.
- Bijzondere categorieën gegevens (Art. 9) — gezondheid, politieke opvattingen, biometrie — vallen nooit onder gewoon gerechtvaardigd belang; een specifieke Art. 9 grondslag is vereist naast Art. 6.
Een operationele checklist
- Je hebt een schriftelijke, gedateerde LIA voor de specifieke verwerking.
- Je privacyverklaring legt in begrijpelijke taal uit dat je bedrijven (geen individuen) identificeert en waarom.
- Je hebt een toegankelijke opt-out en je respecteert deze — bedrijven worden binnen een vastgestelde termijn verwijderd en niet opnieuw geïdentificeerd.
- Je hebt een getekende DPA met elke verwerker die de data aanraakt.
- Je beoordeelt de LIA jaarlijks of wanneer de verwerking wezenlijk verandert.
Dit artikel is geschreven voor educatieve doeleinden en is geen juridisch advies. Raadpleeg een gekwalificeerde juridisch adviseur voor een bindende beoordeling van je eigen verwerkingen.
Gepubliceerd door
lead.box Team
Meer artikelen
Zie lead.box in actie op je eigen verkeer
Start gratis — geen kaart, geen salesgesprek nodig. Of boek een rondleiding van 20 minuten als je liever hulp krijgt.