2.2 Hoe zorg ik ervoor dat de verwerking van persoonsgegevens rechtmatig gebeurt?

De verwerking van persoonsgegevens is alleen rechtmatig indien aan één van de zes rechtsgronden die vermeld worden in de AVG is voldaan.

Aan de start van het onderzoek is het belangrijk om grondig te overwegen welke van deze rechtsgronden het meest geschikt is. Het is ook mogelijk dat er meer dan één grondslag kan geïdentificeerd worden. In dit geval is het een goed idee om deze allemaal te documenteren.

Hieronder wordt een overzicht gegeven van de rechtsgronden voor de verwerking van persoonsgegevens die voor onderzoek in aanmerking komen:

• De betrokkenen kan expliciet toestemming geven voor de verwerking van zijn persoonsgegevens. Het is wel belangrijk om deze toestemming volgens de AVG te onderscheiden van een ethische toestemming. Het is mogelijk dat je omwille van ethische redenen toestemming nodig hebt van de deelnemers om aan een bepaald onderzoek deel te nemen (dit kan wettelijk verplicht zijn of ethisch aanbevolen). Hoewel beide gecombineerd kunnen worden is deze ethische toestemming niet noodzakelijk hetzelfde als de toestemming als rechtsbasis voor de AVG. Zo moet je er als onderzoeker rekening mee houden dat toestemming in het kader van de AVG aan een aantal voorwaarden moet voldoen om geldig te zijn (zie ook 4.2). Daarnaast kunnen de betrokkenen deze toestemming ook ten allen tijden terug intrekken. Dit heeft als gevolg dat er geen verdere verwerking van de reeds verzamelde persoonsgegevens meer kan plaatsvinden.
• Onderzoeksprojecten die persoonsgegevens verwerken worden ook vaak uitgevoerd in het algemeen belang, dit wil zeggen dat het onderzoek leidt tot een vermeerdering van de kennis en inzicht die de maatschappij (direct of indirect) ten goede komt. Dit betekent in beginsel dat de resultaten publiek kenbaar worden. Wanneer je onderzoek verricht op basis van door de overheid gefinancierde middelen (bv. FWO, BOF, H2020,…) is dit een sterke indicatie dat het onderzoek wordt gevoerd in het algemeen belang. De grondslag voor gegevensverwerking is niet algemeen belang indien de resultaten exclusief worden overgemaakt naar een andere partij en de verworven kennis louter bedoeld is voor private belangen.
• De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de instelling of van een derde. Hierbij moet aangetoond worden dat er een belangenafweging gemaakt werd tussen het gerechtvaardigd belang van de gegevensverzamelaars en de belangen van de personen wiens gegevens verwerkt worden.
• De verwerking van persoonsgegevens is noodzakelijk in het kader van een wettelijke verplichting van de instelling (bv. een decreet).
• De verwerking is noodzakelijk voor de uitvoering van een overeenkomst met diegene wiens gegevens worden verwerkt. Let op, dit gaat niet over de verwerkingsovereenkomst.