Blog over toestemming als AVG-grondslag met afbeelding wetboek en pen
Toestemming als AVG-grondslag
Een onzekere!
Onder 'persoonsgegevens' verstaat de Algemene wet gegevensbescherming (AVG) alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Bijna elk 'gegeven' dat samenhangt met een persoon valt daaronder. Wat je daarmee kunt doen – bijvoorbeeld verzamelen, kopiëren of opslaan – is al snel te beschouwen als 'verwerking'. De AVG vereist dat je als verwerkingsverantwoordelijke voorafgaand aan die verwerkingen bepaalt op welke grondslag je een persoonsgegeven verwerkt. In dit blog wordt de toestemming behandeld, met de aandachtspunten die daarbij komen kijken.

Grondslagen
Art. 6 lid 1 AVG noemt de zes rechtmatigheidsgrondslagen:
a. Toestemming van de betrokkene
b. Een overeenkomst met de betrokkene
c. Wettelijke plicht
d. Vitaal belang van de betrokkene (voor medici)
e. Een overheidstaak
f. Een eigen gerechtvaardigd belang

Voor de gronden b. t/m f. geldt dat de verwerking van het persoonsgegeven voor dat doel noodzakelijk moet zijn (dus niet alleen maar handig).

Toestemming
Voor toestemming geldt dat noodzakelijkheidsvereiste niet. Wel moet de toestemming voor de verwerking zijn gegeven voor één of meer specifieke doeleinden, bijvoorbeeld om een nieuwsbrief te ontvangen. De persoon moet 16 jaar of ouder zijn of de toestemming moet worden verleend door degene die ouderlijke verantwoordelijkheid over het kind heeft (art 8 AVG).

De toestemming is gedefinieerd als "elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt" (art. 4 onder nr. 11 AVG).

Voorwaarden
Er geldt een aantal voorwaarden die er praktisch beschouwd op neerkomen dat:
- de toestemming vrijwillig moet zijn. Iemand moet dus kunnen weigeren zijn toestemming te geven, zonder benadeeld te worden.
- de toestemming specifiek moet zijn. Er moet in eenvoudige bewoording toestemming worden gevraagd, niet verhuld in lange teksten of als onderdeel van andere vragen. Er moet precies worden aangegeven wat er met de gegevens gebeurt en door wie (de verwerkingsverantwoordelijke).
- de betrokkene moet geïnformeerd zijn. Wie toestemming vraagt, moet de persoon uitleggen hoe en waarom hij de gegevens gebruikt en laten weten dat die persoon zijn toestemming ook weer in kan trekken.
 de toestemming moet ondubbelzinnig zijn. Er mag dus geen twijfel over bestaan dat de specifieke toestemming gegeven is voor het gebruik van die persoonsgegevens.

Zoals hier al naar voren kwam, moet de toestemming ook op elk door de betrokken persoon gewenst moment kunnen worden ingetrokken. Het intrekken moet net zo eenvoudig zijn als het geven van toestemming. Als je kiest voor toestemming als grondslag, moet je er dus rekening mee houden dat deze toestemming altijd kan vervallen, waarmee de verwerking moet eindigen en het (specifieke) gebruik dus moet stoppen. Dat maakt de toestemming een onzekere verwerkingsgrondslag.
Deze voorwaarden zijn terug te vinden in art. 7 AVG.

Bewijs
Als verwerkingsverantwoordelijke moet je kunnen aantonen dat de betrokkene toestemming heeft gegeven. Dat vereist een goede documentatie van ondertekende toestemmingsverklaringen of digitale gegevens, inclusief de wijze waarop de vraag naar toestemming is gesteld. De toestemming kan via een daarvoor opgesteld formulier (in tweevoud) of een pop-up met daarin uitsluitend de toestemmingsvraag, een ja/nee-keuzeoptie en een verwijzing naar de privacyverklaring.

Andere grondslag?
Als de verwerking na intrekking op grond van een andere grondslag kan worden gerechtvaardigd, moet de betrokken persoon over het gebruik van de gegevens onder die andere grondslag worden (of zijn) geïnformeerd.

September 2021
Disclaimer
De artikelen en blogposts van Legalance bieden algemene informatie en zijn nietbedoeld als advies. Er is niet beoogd volledigheid over een bepaald leerstuk nate streven. Ook kan de informatie verouderd, onvolledig en/of onjuist zijn doorwijzigingen in wet- en regelgeving, nieuwe rechtspraak of andere ontwikkelingen.Aan de hier aangeboden informatie kunnen dan ook geen rechten worden ontleend.De auteur daarvan kan niet aansprakelijk worden gehouden voor de gevolgen vanhet gebruik, op welke wijze dan ook, van deze informatie. De tekst-editor veroorzaakttaal- en opmaakfouten in de weergave.