Blogs

AVG: toestemming voor het verwerken van persoonsgegevens

14/09/20 Bekijk reacties Verwachte leestijd: 5 minuten

Vrijwel alle organisaties verwerken persoonsgegevens. Gaat u maar na: vrijwel alle bedrijven houden een klantenbestand bij, doen hun salarisadministratie of verwerken gegevens van websitebezoekers. Deze activiteiten spreken eigenlijk voor zich. Maar mógen die bedrijven dit ook doen? Schenkeveld Advocaten vertelt u er meer over.

Algemene Verordening Gegevensbescherming

Op grond van de Algemene Verordening Gegevensbescherming (hierna: AVG) is het alleen toegestaan om persoonsgegevens te verwerken als daar een goede reden voor bestaat. Zo’n reden wordt ook wel ‘grondslag’ genoemd. De AVG geeft zes mogelijke grondslagen. Zonder een wettelijke grondslag is de verwerking van persoonsgegevens in principe onrechtmatig.

In dit blog zal ik stilstaan bij een van de wettelijke grondslagen: de grondslag ‘toestemming’. Eerst bespreek ik wat in de AVG precies onder toestemming wordt verstaan, en vervolgens hoe u in een concreet geval om toestemming kunt vragen.

Toestemming volgens de AVG

Toestemming wordt in de AVG in artikel 4 onder 11 gedefinieerd als:

“Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.”

Uit deze definitie kunnen de volgende elementen worden afgeleid: vrijelijk, specifiek, geïnformeerd en ondubbelzinnig. Ik zal deze elementen hieronder bespreken.

Vrijelijk

Om te beginnen moet de toestemming vrijelijk gegeven worden. Maar wat betekent dat?

  • De betrokkene mag niet gedwongen worden om toestemming te geven. Met andere woorden: de toestemming mag geen voorwaarde zijn voor iets anders.
  • De betrokkene mag zich ook niet in een afhankelijke positie bevinden ten opzichte van de organisatie die om toestemming vraagt (denk bijvoorbeeld aan de verhouding werknemer – werkgever).
  • De betrokkene moet zijn/haar toestemming kunnen weigeren of intrekken zonder dat dat negatieve gevolgen heeft.

Specifiek

Daarnaast moet de toestemming specifiek zien op de bedoelde verwerking. Dit betekent dat in de toestemmingsvraag het specifieke verwerkingsdoel moet worden genoemd. Worden de persoonsgegevens voor meerdere doelen verwerkt? Dan moet voor elk van deze doelen apart toestemming worden gevraagd. Ook als het doel gaandeweg verandert, moet opnieuw toestemming worden gevraagd.

Een voorbeeld van een niet specifieke toestemming is: “Ik geef toestemming om mijn persoonsgegevens te verwerken op de wijze zoals beschreven in de privacyverklaring.”

Een voorbeeld van een specifieke toestemming is: “Ja, ik meld mij graag aan voor de nieuwsbrief.”

Geïnformeerd

Een betrokkene kan pas toestemming geven, als hij/zij in heldere taal duidelijk is geïnformeerd over de persoonsgegevens die worden verzameld, het doel van die verwerking en het recht om de toestemming weer in te trekken.

Organisaties zijn op grond van de AVG verplicht om een privacyverklaring op te stellen. In die privacyverklaring informeren zij betrokkenen over de inhoud en het doel van de verwerkingen van de persoonsgegevens.

Let op: voor het verkrijgen van geïnformeerde toestemming is het verwijzen naar uw privacyverklaring niet genoeg! U moet ook bij de toestemmingsvraag de inhoud en het doel van de verwerking toelichten. U mag het dan wel kort houden en daarbij verwijzen naar de uitgebreide toelichting in uw privacyverklaring.

Ondubbelzinnig

Tot slot moet de toestemming ondubbelzinnig worden gegeven. Dit betekent dat uit de toestemmingshandeling (bijvoorbeeld het aanvinken van een venster) duidelijk moet blijken waarvoor de betrokkene toestemming geeft. Zo mag een knop waarmee iemand zich aanmeldt voor een lezing, niet ook de knop zijn waarmee hij/zij toestemming geeft om hem/haar de nieuwsbrief te sturen. Daarvoor moet een aparte knop of een apart aanvinkvakje worden gemaakt, waarbij de betrokkene expliciet, ondubbelzinnig toestemming geeft om hem/haar met dat soort berichten te benaderen. Het gebruik van vooraf aangevinkte vakjes is daarbij niet toegestaan.

Verantwoordingsplicht

Verwerkt u persoonsgegevens op basis van de grondslag toestemming? Dan moet u kunnen aantonen dat u die toestemming op de juiste manier heeft gevraagd én gekregen. Dit wordt ook wel de verantwoordingsplicht genoemd: u moet kunnen aantonen dat u aan de privacyregelgeving voldoet. Het is dus van belang dat u vooraf op de juiste manier om toestemming vraagt én dit goed documenteert.

Hoe vraagt u om toestemming?

De AVG schrijft niet voor hoe en in welke vorm u toestemming moet vragen. U mag dus in principe zelf weten hoe u toestemming vraagt, als u maar kunt aantonen dat u op de juiste manier toestemming heeft gevraagd én gekregen.

Afhankelijk van het soort toestemming, het type betrokkene (klanten, werknemers of websitebezoekers) en de branche waarin u werkt kunt u grofweg kiezen tussen een schriftelijke verklaring (die moet worden ingevuld en ondertekend) of een online verklaring, waarbij u gebruik kunt maken van knoppen, links of aanvinkvakjes. Zorg er in dat laatste geval wel voor dat u de vakjes niet vooraf aanvinkt.

Let op: bij kinderen jonger dan 16 jaar is ook de toestemming van een van de ouders of voogd nodig.

Vragen?

Heeft u hier vragen over? Neemt u dan gerust contact op met een van onze advocaten privacyrecht.

Plaats zelf een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *

Terug naar alle blogs