Je hebt een webshop. Klanten plaatsen een bestelling, jij slaat hun naam, e-mailadres en bestelhistorie op. Netjes, doelgericht, AVG-conform. Maar dan meldt je marketingteam dat die besteldata ook uitstekend geschikt is voor gedragsprofilering: welke producten bekijkt iemand vaker? Wanneer haakt een klant af? Het lonkt. De gegevens liggen er al. Waarom zouden ze stilliggen?

Dit is de herbestemmingsvalkuil waar veel ondernemers, webshophouders en zzp’ers in stappen. Doelbinding, het principe dat gegevens alleen worden gebruikt voor het doel waarvoor ze zijn verzameld, is één van de meest onderschatte en meest overtreden beginselen van de AVG. Niet omdat mensen willens en wetens de fout ingaan, maar omdat het onderscheid tussen “we hebben de data toch al” en “we mogen de data hier ook voor gebruiken” ogenschijnlijk klein is. Juridisch is het dat allerminst.

Artikel 5 lid 1 sub b AVG: wat staat er eigenlijk?

De AVG omschrijft doelbinding in artikel 5 lid 1 sub b als volgt: persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld, en vervolgens niet verder verwerkt op een manier die onverenigbaar is met die doeleinden. Dat klinkt logisch, maar de juridische spanning zit in de woorden ‘onverenigbaar’ en ‘welbepaald’.

‘Welbepaald’ betekent dat een vaag doel als ‘ter verbetering van onze dienstverlening’ of ‘voor marketingdoeleinden’ juridisch niet volstaat. Juist ondernemers die hun privacyverklaring snel invullen met algemene omschrijvingen denken hiermee speelruimte te kopen. In de praktijk werkt het averechts: een vage doelomschrijving biedt geen dekking voor specifiek hergebruik, en een toezichthouder zal die vaagte niet in jouw voordeel uitleggen. De Autoriteit Persoonsgegevens (AP) en het European Data Protection Board (EDPB) benadrukken juist dat doelen concreet en begrijpelijk omschreven moeten worden, zodat een betrokkene weet waar hij aan toe is.

‘Onverenigbaar’ is het sleutelwoord bij herbestemming. Niet élk nieuw gebruik is verboden, maar je moet aantonen dat het nieuwe doel verenigbaar is met het oorspronkelijke. Hoe doe je dat? Daarvoor biedt artikel 6 lid 4 AVG vijf toetsingscriteria.

De vijf compatibiliteitscriteria van artikel 6 lid 4 AVG

Voordat je bestaande gegevens voor een nieuw doel inzet, doorloop je deze vijf vragen:

  • Verband tussen doelen: Is er een duidelijk verband tussen het oorspronkelijke doel en het nieuwe gebruik? Besteldata gebruiken om een retourbevestiging te sturen heeft een evident verband. Diezelfde data gebruiken om een psychografisch klantprofiel op te bouwen, heeft dat verband niet.
  • Context van verzameling: Wat verwachtte de betrokkene redelijkerwijs op het moment van invullen? Iemand die zijn adres achterlaat voor bezorging, verwacht geen e-mails over zijn koopgedrag.
  • Aard van de gegevens: Gevoelige gegevens, denk aan gezondheidsdata, financiële situatie of politieke voorkeur, verdienen extra terughoudendheid. Hoe gevoeliger, hoe minder snel hergebruik gerechtvaardigd is.
  • Gevolgen voor de betrokkene: Welke impact heeft het nieuwe gebruik op de persoon? Profilering kan leiden tot discriminerende aanbiedingen of prijsdiscriminatie. Dat weegt zwaar.
  • Passende waarborgen: Zijn er technische of organisatorische maatregelen die de risico’s beperken, zoals pseudonimisering of versleuteling? Dat kan de balans enigszins kantelen, maar vervangt de andere criteria niet.

Pas als je deze vijf criteria samen positief kunt beantwoorden, mag je spreken van een verenigbaar nieuw gebruik. Scoort één criterium negatief, dan heb je een nieuwe wettelijke grondslag nodig, of is het hergebruik simpelweg niet toegestaan.

Drie concrete scenario’s: correct versus incorrect

Scenario 1: Webshop-orderdata voor gedragsprofilering

Een Nederlandse kledingwebshop verzamelt naam, adres en bestelhistorie voor de afhandeling van orders. Na een jaar wil de eigenaar die data combineren met klikgedrag om kooppatronen te analyseren en gepersonaliseerde aanbiedingen te sturen. Probleem: de klant heeft zijn gegevens achtergelaten voor levering, niet voor profilering. Het verband tussen doelen is zwak, de gevolgen (gepersonaliseerde prijsstelling) zijn potentieel nadelig, en de context van verzameling gaf hier geen aanleiding toe. Zonder expliciete toestemming voor profilering is dit gebruik in strijd met doelbinding. Correcte aanpak: een apart toestemmingsmoment bij het aanmaken van een account, met een specifieke uitleg over wat profilering inhoudt en waarvoor het wordt gebruikt.

Scenario 2: Contactformulier-gegevens naar CRM-segmentatie

Een B2B-softwarebedrijf heeft een contactformulier voor technische vragen. De naam en het e-mailadres die bezoekers achterlaten, worden automatisch doorgesluisd naar een CRM-systeem waar leads worden gesegmenteerd op basis van bedrijfsgrootte en interesse. De oorspronkelijke context was een éénmalige vraag beantwoorden. CRM-segmentatie voor verkoopdoeleinden is daar niet mee verenigbaar. De betrokkene verwachtte een technisch antwoord, geen verkooptraject. Correcte aanpak: het contactformulier bevat een vinkje (vooraf niet aangevinkt) waarbij de bezoeker aangeeft akkoord te gaan met opname in het CRM voor commerciële opvolging, met een duidelijke uitleg van wat dat betekent.

Scenario 3: Sollicitatiegegevens bewaard voor toekomstige vacatures

Een organisatie ontvangt een sollicitatie voor een specifieke functie. De kandidaat wordt afgewezen, maar de HR-afdeling wil het cv bewaren voor mogelijke toekomstige vacatures. Dit is een klassiek geval van doelbindingspanning. Het oorspronkelijke doel was toetsing voor één specifieke rol. Bewaring voor toekomstige functies vereist een nieuw doel en een nieuwe grondslag. Correcte aanpak: de sollicitant krijgt na afwijzing expliciet de vraag of hij akkoord gaat met bewaring in een talentenpool, inclusief hoe lang en voor welk type functies. Zonder die toestemming moeten de gegevens worden verwijderd.

Handhaving in de praktijk: wat toezichthouders zeggen

De AP heeft meerdere malen standpunten ingenomen over doelbinding. In haar richtsnoeren en onderzoeken benadrukt de AP dat organisaties moeten kunnen aantonen dat zij actief hebben getoetst of een nieuw gebruik verenigbaar is. ‘We dachten dat het wel mocht’ is geen verweer. Het EDPB heeft in haar Opinion 03/2022 over hergebruik van data voor compatibele doeleinden de vijf criteria van artikel 6 lid 4 verder uitgewerkt en benadrukt dat de bewijslast bij de verwerkingsverantwoordelijke ligt.

Europese toezichthouders hebben organisaties beboet voor het koppelen van gebruikersdata uit verschillende diensten zonder dat betrokkenen hier expliciet in toestemden. De gemeenschappelijke lijn: data-eenheden die technisch beschikbaar zijn, mogen niet als vanzelfsprekend worden gecombineerd. Beschikbaarheid is geen rechtvaardiging.

Doelbinding borgen begint vóór je privacyverklaring. Het begint bij de manier waarop je gegevens verzamelt. Concrete maatregelen:

  • Gebruik aparte, niet-vooraf-aangevinkte toestemmingsvinkjes voor elk afzonderlijk doel dat verder gaat dan de directe transactie of dienstverlening.
  • Documenteer per verwerkingsactiviteit in je verwerkingsregister het primaire doel, de wettelijke grondslag én de reikwijdte van toegestaan gebruik. Zo kun je bij een nieuw idee altijd teruglezen wat je hebt vastgelegd.
  • Stel een intern protocol op voor ‘herbestemmingsverzoeken’: zodra iemand in je organisatie bestaande data voor een nieuw doel wil gebruiken, doorloopt dat protocol de vijf compatibiliteitscriteria vóórdat er ook maar één query wordt gedraaid.
  • Gebruik technische scheiding waar mogelijk: data die is verzameld voor een specifiek doel, staat niet automatisch beschikbaar voor andere systemen.

Wat je privacyverklaring concreet moet bevatten

Je privacyverklaring is niet alleen een intern beheersdocument, het is ook het communicatiemiddel waarmee je betrokkenen informeert. Over doelbinding moet je verklaring minimaal het volgende bevatten:

Het primaire doel, concreet omschreven: Niet ‘voor de uitvoering van onze diensten’, maar: ‘Wij verwerken jouw naam en e-mailadres uitsluitend om de door jou geplaatste bestelling te verwerken en af te leveren.’ Hoe specifieker, hoe sterker je positie.

Uitsluiting van onverenigbaar hergebruik: Een modelzin die je kunt opnemen: ‘Wij gebruiken jouw gegevens niet voor andere doeleinden dan omschreven in deze verklaring, tenzij wij je hierover apart informeren en, waar vereist, jouw toestemming vragen.’

Procedure bij een nieuw doel: ‘Indien wij jouw persoonsgegevens willen gebruiken voor een doel dat niet verenigbaar is met het oorspronkelijke doel, informeren wij je hierover voorafgaand aan dat gebruik en leggen wij de grondslag voor dat nieuwe gebruik afzonderlijk vast.’

Dit zijn geen lege juridische volzinnen. Ze zijn het bewijs dat je als verwerkingsverantwoordelijke actief nadenkt over doelbinding en betrokkenen de transparantie biedt waar de AVG om vraagt.

Het verschil tussen borgen en communiceren

Er is een belangrijk onderscheid tussen doelbinding intern borgen en doelbinding extern communiceren. Interne governance betekent dat je processen, registers en protocollen hebt die voorkomen dat medewerkers of systemen data herbestemmen zonder toetsing. Externe transparantie betekent dat je privacyverklaring klopt met wat je intern doet en betrokkenen in begrijpelijke taal uitlegt wat ze mogen verwachten. Beide zijn verplicht. Een prachtige privacyverklaring over doelbinding die intern niet wordt nageleefd, is bij een AP-onderzoek een groter probleem dan een imperfecte verklaring die wel overeenkomt met de werkelijkheid.

Vijf vragen vóór je bestaande data hergebruikt

Gebruik deze controlelijst elke keer dat iemand in je organisatie met het idee komt om bestaande gegevens voor iets nieuws in te zetten:

  • Voor welk specifiek doel zijn deze gegevens oorspronkelijk verzameld, en staat dat zo in mijn verwerkingsregister?
  • Wat verwachtte de betrokkene redelijkerwijs op het moment van invullen? Had hij enige aanleiding dit nieuwe gebruik te voorzien?
  • Zijn er gevoelige gegevens bij betrokken die extra bescherming vereisen?
  • Wat zijn de mogelijke nadelige gevolgen voor de betrokkene als dit nieuwe gebruik plaatsvindt?
  • Heb ik een geldige wettelijke grondslag voor dit nieuwe gebruik, of heb ik expliciete toestemming nodig?

Kun je op vraag 5 geen bevestigend antwoord geven, stop dan. Geen enkel businessargument maakt onrechtmatig hergebruik van persoonsgegevens acceptabel onder de AVG.

Doelbinding is geen formaliteit in je privacyverklaring. Het is een actief principe dat vraagt om concrete doelomschrijvingen, een intern toetsingsproces bij hergebruik en transparante communicatie naar betrokkenen. De fout die de meeste organisaties maken is niet dat ze bewust de wet overtreden, maar dat ze niet stilstaan bij de vraag of de data die ze al hebben ook gebruikt mag worden voor iets nieuws.

Zorg dat je privacyverklaring precies omschrijft waarvoor je gegevens verzamelt. Sluit onverenigbaar hergebruik expliciet uit en beschrijf de procedure als je ooit een nieuw doel overweegt. Combineer dat met een intern verwerkingsregister en een helder protocol voor herbestemmingsverzoeken. Dan heb je niet alleen een AVG-conforme privacyverklaring, maar ook een organisatie die doelbinding in de praktijk naleeft.