Toestemming vragen volgens AVG, valt niet mee

Voor sommige verwerkingen van persoonsgegevens is toestemming nodig van de betrokken personen. Ondanks alle goede bedoelingen gaat dat niet altijd zoals het moet. In deze blog leg ik uit wat daar zoal bij komt kijken. In de blog “Goede en slechte voorbeelden bij vragen om toestemming” licht ik een aantal concrete toestemmingsvragen door.

Je kent ze wel, die e-mails van allerlei partijen die je vragen om toestemming te geven om jouw gegevens te gebruiken, bv. om nieuwsbrieven te sturen. De invoering van de Algemene Verordening Gegevensbescherming (AVG) heeft deze storm veroorzaakt. Wie persoonsgegevens verwerkt moet in sommige gevallen expliciet om toestemming te vragen.

Zowel degene die verantwoordelijk is voor de verkregen persoonsgegevens (de “verwerkingsverantwoordelijk”) als de persoon wiens gegevens worden verwerkt (de “betrokkene”) kan van alles vinden van die vragen om toestemming. Wat voor de een heel prettig is, kan de ander juist heel vervelend vinden, en omgekeerd. Tel daarbij op dat er nog onvoldoende jurisprudentie is die scherpe grenzen trekt, en het feest kan beginnen.

In deze blog laat ik zien dat je met gezond verstand en zorgvuldig lezen van de AVG een heel eind komt.

Hoe het moet

Als het noodzakelijk is om voor een verwerking van persoonsgegevens toestemming te vragen, wat moet je dan doen?

De AVG definieert toestemming als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt” (artikel 4 lid 11).

Over de interpretatie van al die termen zegt de AVG niet veel. Daarvoor moeten we zijn bij de  “European Data Protection Board” (EDPB). Dit is een groep van privacy experts die namens Europa nadenkt over zulke dingen en daarover (bijna) bindende adviezen geeft.

De volgende voorwaarden zijn belangrijk bij het vragen van toestemming:

1. De toestemming wordt in vrijheid gegeven: jij als persoon wiens gegevens worden verwerkt moet een keuze hebben. Het mag niet zo zijn dat de je je gedwongen voelt om een keuze te maken, omdat er anders nadelige gevolgen dreigen. Ook mag de toestemming niet gekoppeld zijn aan niet onderhandelbare voorwaarden. Toestemming weigeren of intrekken mag geen nadelige gevolgen hebben.
2. De toestemming is specifiek: met welke verwerking(en) je instemt moet duidelijk zijn. Het doel (of de doelen) moet beschreven en afgebakend zijn. Per afzonderlijke verwerking moet je wel of geen toestemming kunnen geven volgens het “opt-in” beginsel.
3. Je wordt goed geïnformeerd: het moet voor jou duidelijk zijn wie de verwerker is, wat het doel is van elke verwerking, welke gegevens voor welke verwerking worden gebruikt, hoe je toestemming voor een verwerking kunt intrekken, en of er geautomatiseerde beslissingen worden genomen op basis van jouw gegevens. Ook mogelijke risico’s van doorgifte van gegevens aan derden buiten de Europese Economische Ruimte moeten worden benoemd.
4. De toestemming is ondubbelzinnig: toestemming moet worden gegeven door een actieve handeling of verklaring waaruit de toestemming duidelijk blijk. Op voorhand de checkbox “Ik ga akkoord” aanvinken mag niet. “Algemene Voorwaarden” laten accepteren voldoet niet als toestemming.

Daarmee is de theorie helder, maar de praktijk blijkt weerbarstig. En er is nog weinig jurisprudentie waarin grensgevallen worden beoordeeld. Ook heeft de Autoriteit Persoonsgegevens (de nationale toezichthouder op de AVG) nog geen richtlijnen gepubliceerd die duidelijk maken wat wel en niet voldoet.

Hoe erg is dat?

Als je als verwerkingsverantwoordelijke niet op de juiste manier om toestemming hebt gevraagd, dan heb je feitelijk geen toestemmingen. Dus ben je in overtreding als je die gegevens toch verwerkt. Als het erop aankomt, bv. bij een klacht of een beveiligingsincident, en de Autoriteit Persoonsgegevens of de rechter komt eraan te pas, dan kun je verwachten dat alle “toestemmingen” als niet gegeven worden verklaard. Heb je die persoonsgegevens ook nog gedeeld met derden, dan wordt het nog lastiger. Ik ben benieuwd hoe de autoriteiten hierover zullen oordelen. Krijg je een waarschuwing, of meteen een boete? En mag je opnieuw toestemming vragen, en mag je intussen doorgaan met verwerken? Dat moet nog blijken.

Goede en slechte voorbeelden

Er zijn partijen die helder en zuiver communiceren over toestemming voor verwerking. Hulde! Helaas zijn er ook partijen die de AVG bewust of onbewust compleet negeren, of de plank helemaal misslaan. Er zijn zelfs partijen die toegang tot hun website blokkeren voor mensen uit de EU, want dan hoeven ze niet aan de AVG te voldoen. Tja.

Ook zijn er partijen die goede voorbeelden geven en adviseren wat je wel en niet moet doen. Zoek maar eens op “toestemming vragen AVG. Let er wel op dat in sommige artikelen de wet en de interpretatie van de wet door elkaar kunnen lopen.

Komt het nog goed?

De tijd zal het leren. In de blog “Goede en slechte voorbeelden bij vragen om toestemming” zal ik een aantal praktijkvoorbeelden doorlichten aan de hand van de voorwaarden die aan toestemming worden gesteld. Dat levert in ieder geval stof tot nadenken.