Wanneer spreek je van toestemming geven?

Je komt het steeds vaker tegen, bedrijven die je berichtjes sturen of bellen omdat je toestemming zou hebben gegeven. Veel mensen zijn zich niet bewust dat ze toestemming hebben gegeven of weten eigenlijk niet waarvoor dit dient. In deze blog leggen we je uit wanneer je spreekt van toestemming geven in relatie tot privacy wet- en regelgeving.

Gronden voor het verwerken van persoonsgegevens

Bedrijven mogen niet zomaar je persoonsgegevens verwerken. Om persoonsgegevens te mogen verwerken, moeten persoonsgegevens worden verwerkt op grond van een legitieme wettelijke basis. Toestemming geven voor het verwerken van persoonsgegevens is slechts een van de rechtsgrondslagen. Artikel 6 van de AVG-wetgeving noemt nog vijf andere rechtvaardigingen, de verschillende wettelijke grondslagen voor het verwerken van persoonsgegevens zijn:

• Toestemming geven voor de verwerking.
• Het moeten verwerken voor het uitvoeren van een overeenkomst.
• Wettelijk verplicht zijn om persoonsgegevens te verwerken.
• Persoonsgegevens verwerken wegens een vitaal belang.
• Persoonsgegevens verwerken wegens een algemeen belang of openbaar gezag.
• Persoonsgegevens verwerken wegens een gerechtvaardigd belang.

Grondslag toestemming

In de AVG staan een aantal eisen waaraan toestemming moet voldoen. Voldoet de toestemming niet aan deze eisen? Dan is de toestemming niet geldig. Bedrijven mogen jouw persoonsgegevens dan niet verwerken op grond van het geven van toestemming. Gelet op de richtlijn van de Groep gegevemsbescherming geeft aan dat toestemming moet voldoen aan de volgende eisen:

• Vrijelijk gegeven.
• Ondubbelzinnig
• Geïnformeerd.
• Specifiek

Vrijelijk gegeven, niemand mag onder druk gezet worden om toestemming te geven. Bijvoorbeeld door iemand te benadelen als diegene geen toestemming geeft. Hierbij moet ook gelet worden op machtsverhoudingen. Werknemers kunnen een vraag van hun werkgever bijvoorbeeld moeilijk weigeren.

Ondubbelzinnig, er moet sprake zijn van een duidelijke actieve handeling om toestemming te geven. Bijvoorbeeld een (digitale) schriftelijke of een mondelinge verklaring. Het moet in elk geval heel helder zijn dat er toestemming is gegeven. Een bedrijf mag er niet van uitgaan dat iemand impliciet toestemming geeft. Het gebruik van vooraf aangevinkte vakjes is dus niet toegestaan.

Geïnformeerd, een persoon moet voordat hij toestemming geeft voldoende informatie krijgen (of makkelijk toegang hebben tot) over verschillende aspecten. Deze zijn in ieder geval de identiteit van de organisatie, het doel van elke verwerking waarvoor toestemming gevraagd wordt, welke persoonsgegevens verzamelt en gebruikt worden en het recht dat mensen hebben om de toestemming weer in te trekken. Een organisatie moet de informatie voor het vragen van toestemming in een toegankelijke vorm aanbieden. Ook moet deze begrijpelijk zijn, zodat iemand een weloverwogen keuze kan maken. Dat betekent dat organisaties duidelijke en eenvoudige taal moeten gebruiken.

Specifiek, toestemming moet steeds gelden voor een specifieke verwerking en een specifiek doel. Heeft een organisatie meerdere doeleinden om gegevens te verwerken? Dan moeten de betrokkene hierover informeren en voor elk doel afzonderlijk toestemming vragen. Het doel mag niet gaandeweg veranderen.

Aantoonbare toestemming

Het verkrijgen van toestemming is niet slechts een formele stap in het proces van gegevensverzameling; het is een essentieel element voor het waarborgen van privacy. Maar het gaat verder dan alleen het verkrijgen van een ‘ja’. Organisaties moeten in staat zijn om overtuigend aan te tonen dat toestemming op de juiste manier is verkregen. Dit vereist gedetailleerde registratie van het toestemmingsproces, inclusief de specifieke informatie die aan de gebruiker is verstrekt, het tijdstip van toestemming en de wijze waarop deze is verkregen. Dit bewijs dient niet alleen als juridische bescherming voor de organisatie, maar het bevestigt ook het respect voor de privacyrechten. Het aantoonbaar hebben van geldige toestemming is dus niet alleen een wettelijke verplichting, maar het vormt ook de hoeksteen van een ethisch en transparant gegevensverwerkingsbeleid.

Blijf up-to-date over nieuws en andere interessante informatie!

Bij Juristenblog.nl proberen we je zo adequaat mogelijk te informeren over veel aspecten van het privacyrecht. Vond je deze blog interessant? Houd dan ook zeker onze andere blogartikelen in de gaten!