GDPR – Toestemming

Het verwerken van persoonsgegevens is over het algemeen verboden, tenzij het uitdrukkelijk is toegestaan door de wet, of de betrokkene heeft ingestemd met de verwerking. Terwijl toestemming een van de meer bekende rechtsgronden voor de verwerking van persoonsgegevens is, is het slechts een van de zes gronden genoemd in de Algemene Verordening Gegevensbescherming (AVG). De andere zijn: contract, wettelijke verplichtingen, vitale belangen van de betrokkene, algemeen belang en gerechtvaardigd belang zoals vermeld in Artikel 6(1) AVG.

De basisvereisten voor de effectiviteit van een geldige juridische toestemming zijn gedefinieerd in Artikel 7 en verder gespecificeerd in overweging 32 van de AVG. Toestemming moet vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Om vrij gegeven toestemming te verkrijgen, moet deze op vrijwillige basis worden gegeven. Het element “vrij” houdt in dat de betrokkene een echte keuze heeft. Elk element van ongepaste druk of invloed dat het resultaat van die keuze zou kunnen beïnvloeden, maakt de toestemming ongeldig. Daarbij houdt de juridische tekst rekening met een zekere onbalans tussen de verwerkingsverantwoordelijke en de betrokkene. Bijvoorbeeld, in een werkgever-werknemer relatie: De werknemer kan zich zorgen maken dat zijn weigering om toestemming te geven ernstige negatieve gevolgen kan hebben voor zijn arbeidsrelatie, daarom kan toestemming slechts in enkele uitzonderlijke omstandigheden een rechtmatige grondslag voor verwerking zijn. Bovendien geldt een zogenaamd “koppelingsverbod” of “verbod op koppeling of binding”. De uitvoering van een contract mag dus niet afhankelijk worden gesteld van de toestemming voor verdere verwerking van persoonlijke gegevens die niet nodig zijn voor de uitvoering van dat contract.

Om ervoor te zorgen dat de toestemming geïnformeerd en specifiek is, moet de betrokkene ten minste worden geïnformeerd over de identiteit van de verwerkingsverantwoordelijke, welk soort gegevens zullen worden verwerkt, hoe ze zullen worden gebruikt en het doel van de verwerkingsactiviteiten als een waarborg tegen ‘functiecreep’. De betrokkene moet ook geïnformeerd worden over zijn of haar recht om te allen tijde toestemming in te trekken. Het intrekken moet net zo eenvoudig zijn als het geven van toestemming. Waar relevant, moet de verwerkingsverantwoordelijke ook informeren over het gebruik van de gegevens voor geautomatiseerde besluitvorming, de mogelijke risico’s van gegevensoverdrachten vanwege de afwezigheid van een adequaatheidsbesluit of andere passende waarborgen.

De toestemming moet gebonden zijn aan een of meerdere specifieke doeleinden die dan voldoende moeten worden uitgelegd. Als de toestemming de verwerking van speciale categorieën van persoonsgegevens moet legitimeren, moet de informatie voor de betrokkene hier uitdrukkelijk naar verwijzen.
Er moet altijd een duidelijk onderscheid zijn tussen de informatie die nodig is voor de geïnformeerde toestemming en informatie over andere contractuele zaken.

Last but not least moet toestemming ondubbelzinnig zijn, wat betekent dat het een verklaring of een duidelijke, actieve handeling vereist. Toestemming kan niet impliciet zijn en moet altijd worden gegeven via een opt-in, een verklaring of een actieve handeling, zodat er geen misverstand kan bestaan dat de betrokkene toestemming heeft gegeven voor de specifieke verwerking. Dat gezegd zijnde, is er geen vormvereiste voor toestemming, ook al wordt schriftelijke toestemming aanbevolen vanwege de verantwoordelijkheidsverplichting van de verwerkingsverantwoordelijke. Het kan daarom ook in elektronische vorm worden gegeven. In dit verband is de toestemming van kinderen en adolescenten met betrekking tot diensten van de informatiemaatschappij een bijzonder geval. Voor degenen jonger dan 16 jaar is er een aanvullende toestemming of goedkeuring vereist van de houder van de ouderlijke verantwoordelijkheid. Er is een flexibiliteitsclausule met betrekking tot de leeftijdsgrens. Lidstaten kunnen in hun nationale wetgeving voorzien in een lagere leeftijd, op voorwaarde dat die leeftijd niet lager is dan 13 jaar. Wanneer een aanbod expliciet niet tot kinderen is gericht, is het vrijgesteld van deze regel. Dit geldt echter niet voor aanbiedingen die zich zowel tot kinderen als volwassenen richten.

Zoals men kan zien, is toestemming geen wondermiddel als het gaat om de verwerking van persoonsgegevens. Vooral gezien het feit dat de Europese gegevensbeschermingsautoriteiten duidelijk hebben gemaakt “dat als een verwerkingsverantwoordelijke ervoor kiest om op toestemming te vertrouwen voor enig deel van de verwerking, zij bereid moeten zijn om die keuze te respecteren en dat deel van de verwerking te stoppen als een individu zijn toestemming intrekt.” Strikt geïnterpreteerd betekent dit dat de verwerkingsverantwoordelijke niet mag overstappen van de rechtsgrondslag toestemming naar gerechtvaardigd belang zodra de betrokkene zijn toestemming intrekt. Dit geldt zelfs als er oorspronkelijk een geldig gerechtvaardigd belang bestond. Daarom zou toestemming altijd als laatste optie gekozen moeten worden voor de verwerking van persoonsgegevens.