Wanneer legitieme belangenbeoordelingen van toepassing zijn en wat daarna te doen

Een legitieme belangenbeoordeling is van toepassing wanneer een SaaS-team legitieme belangen wil gebruiken als rechtsgrond voor een specifieke verwerking van persoonsgegevens. De vraag is niet of de term in de privacyverklaring kan staan. De vraag is of het team een echt belang heeft benoemd, heeft aangetoond dat de verwerking noodzakelijk is, het belang heeft afgewogen tegen rechten en vrijheden van betrokkenen, en passende waarborgen heeft vastgelegd.

Artikel 6(1)(f) GDPR staat verwerking toe wanneer die noodzakelijk is voor legitieme belangen van de verwerkingsverantwoordelijke of een derde, tenzij belangen of grondrechten van de betrokkene zwaarder wegen. Voor een operationeel team betekent dit een beslisworkflow: trigger, eigenaar, activiteit, doeltest, noodzakelijkheidstest, belangenafweging, besluit en bewijs.

Wanneer de beoordeling wordt geactiveerd

De beoordeling hoort plaats te vinden voordat de verwerking start. In SaaS komt dit vaak op bij accountbeveiliging, fraudepreventie, misbruikdetectie, productbetrouwbaarheidsanalytics, customer success, analyse van supporttickets, beperkt B2B-marketinggebruik, interne administratie, leveranciersintegraties, wijzigingen in bewaartermijnen en AI-ondersteunde reviews.

Ze geldt ook wanneer een bestaande workflow verandert. Een supportproces kan beoordeeld zijn voor klantenservice, maar niet voor het trainen van een interne classifier. Een securitylog kan gerechtvaardigd zijn voor incident response, maar niet automatisch voor langdurige gedragsanalyse. Als doel, gegevens, leverancier, bewaartermijn of gebruikersverwachting verandert, is het oude antwoord mogelijk onvoldoende.

Wanneer dit niet de juiste route is

Legitieme belangen zijn niet automatisch juist omdat toestemming lastig is. Als contract, wettelijke verplichting, toestemming of een andere rechtsgrond beter past, begin daar. Bij bijzondere gegevens, gegevens van kinderen, werknemersmonitoring, indringende profilering, geautomatiseerde beslissingen of onverwacht hergebruik is extra zorg nodig en kan artikel 6(1)(f) ongeschikt zijn.

Een LIA vervangt ook geen DPIA. Als de verwerking waarschijnlijk een hoog risico voor mensen oplevert, kan een gegevensbeschermingseffectbeoordeling naast de LIA nodig zijn.

Wat daarna te doen

Beschrijf de verwerking nauwkeurig. "Het platform verbeteren" is te breed. "Geaggregeerde supportticket-thema's gebruiken om documentatie te prioriteren" is toetsbaar. Schrijf daarna het legitieme belang in gewone taal: wie profiteert, waarom het belang echt en actueel is, en hoe de verwerking dit ondersteunt.

Toets vervolgens noodzakelijkheid. Zijn persoonsgegevens echt nodig? Kan het team aggregeren, velden beperken, bewaartermijnen verkorten, pseudonimiseren of toegang beperken? Als een minder ingrijpende optie hetzelfde doel bereikt, is het oorspronkelijke ontwerp zwakker.

Voer daarna de belangenafweging uit: aard van gegevens, relatie met de gebruiker, context van verzameling, redelijke verwachtingen, mogelijke impact, schaal, gevoeligheid en kwetsbare personen. Waarborgen tellen alleen als het echte controles zijn met eigenaren en bewijs.

Bruikbaar bewijs

Bewijs kan bestaan uit een dataflow-notitie, productticket, leveranciersreview, privacyverklaring-update, screenshot van toegangscontrole, bewaartermijnregel, DPIA-screening, risicoacceptatie of implementatieticket. Als de LIA leunt op korte bewaartermijn of beperkte toegang, link dan naar configuratie of toegangsmodel.

Veelgemaakte fouten

Veelgemaakte fouten zijn starten met de gewenste rechtsgrond, een te breed belang opschrijven, redelijke verwachtingen negeren, waarborgen behandelen als beloftes en reviewtriggers vergeten wanneer doel, gegevens, leverancier, bewaartermijn, AI-gebruik of doelgroep verandert.

FAQ

Wat is het praktische doel?

Artikel 6(1)(f) omzetten in een gedocumenteerde operationele beslissing: belang, noodzakelijkheid, afweging, waarborgen, eigenaar en review.

Wanneer geldt dit voor SaaS-teams?

Wanneer het team legitieme belangen wil gebruiken voor een persoonsgegevensworkflow, zoals beveiliging, fraude, serviceanalytics, support of beperkte B2B-communicatie.

Wat moet eerst worden gedocumenteerd?

Activiteit, doel, belang, noodzakelijkheid, afwegingsfactoren, waarborgen, eigenaar, goedkeuring en reviewtrigger.

Sources

• General Data Protection Regulation, Article 6 and Recital 47
• EDPB: Guidelines 1/2024 on processing based on Article 6(1)(f)
• ICO: How do we apply legitimate interests in practice?