Geldige toestemming is een van de zes grondslagen uit de AVG, en tegelijk de grondslag waarop de meeste organisaties ten onrechte leunen. Vier eisen bepalen of hij standhoudt.
Kort samengevat
- Vier eisen. Vrij, specifiek, geïnformeerd en ondubbelzinnig.
- Intrekbaar op elk moment. En net zo eenvoudig als het geven ervan.
- U draagt de bewijslast. Kunt u het niet aantonen, dan is er geen toestemming.
- In een gezagsverhouding werkt het niet. Denk aan werkgever en werknemer.
- Geen terugvaloptie. Wordt de toestemming ingetrokken, dan kunt u niet alsnog overstappen.
Toestemming voelt als de nette keuze: u vraagt het immers netjes. Juridisch is het juist de kwetsbaarste constructie, omdat de betrokkene hem op elk moment kan wegnemen en u dan met lege handen staat.
Wanneer is er sprake van geldige toestemming?
De AVG omschrijft toestemming als elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling de verwerking aanvaardt. Die vier woorden zijn allemaal harde eisen.
Vrij betekent een reële keuze zonder nadeel bij weigeren. Koppelt u een dienst aan toestemming die voor die dienst niet nodig is, dan is de toestemming niet vrij gegeven.
Specifiek betekent per doel. Eén vinkje voor vijf verschillende verwerkingen voldoet niet; de betrokkene moet ze los kunnen accepteren of weigeren.
Geïnformeerd betekent dat de betrokkene weet wie u bent, waarvoor u de gegevens gebruikt, dat hij kan intrekken en wat de gevolgen daarvan zijn. In gewone taal, niet in een verwijzing naar een document van vijftien pagina’s.
Ondubbelzinnig betekent een actieve handeling. Een voorgevinkt vakje voldoet niet, stilzwijgen voldoet niet, en doorgaan met scrollen voldoet ook niet.
Waarom werkt toestemming niet bij medewerkers?
Omdat de vrijheid ontbreekt. Tussen werkgever en werknemer bestaat een gezagsverhouding, en dan is de kans reëel dat iemand toestemming geeft omdat hij denkt dat weigeren consequenties heeft. Dat maakt de toestemming niet vrij, en daarmee niet geldig.
Dat betekent niet dat u niets mag. Het betekent dat u een andere grondslag kiest. Voor de meeste verwerkingen rond personeel is dat de uitvoering van de arbeidsovereenkomst of een wettelijke verplichting. Voor bijvoorbeeld cameratoezicht is dat gerechtvaardigd belang, met de bijbehorende afweging; zie ook wat wij schreven over cameratoezicht.
Uitzonderingen zijn er wel, en die hebben één ding gemeen: er hangt geen nadeel aan weigeren. Een foto op de website, deelname aan een vrijwillige activiteit of een lunchvoorkeur zijn gevallen waarin toestemming wel kan werken.
Wat betekent intrekken in de praktijk?
De betrokkene mag zijn toestemming op elk moment intrekken, en dat moet net zo eenvoudig zijn als het geven ervan. Kon iemand met één klik toestemmen, dan kan hij niet worden verplicht tot een brief.
Na intrekking stopt u met de verwerking. Wat u al rechtmatig heeft verwerkt blijft rechtmatig, maar vooruit werken mag niet meer. En dit is het punt dat organisaties verrast: u kunt op dat moment niet alsnog overstappen op een andere grondslag om de verwerking voort te zetten. De grondslag kiest u vooraf, en dat is een keuze waar u aan vastzit.
Richt het intrekken daarom in als een normaal proces, niet als een uitzondering. Een afmeldlink, een knop in het account of een duidelijk vermeld mailadres, en een route die ervoor zorgt dat de intrekking ook echt in alle systemen landt.
Hoe toont u aan dat er toestemming is?
De AVG legt de bewijslast expliciet bij u. Dat betekent dat u vier dingen moet kunnen laten zien.
- Wie. Welke persoon toestemming gaf.
- Wanneer. Datum en tijdstip.
- Waarvoor. Voor welk specifiek doel.
- Welke tekst. De formulering die op dat moment werd getoond.
Dat laatste wordt bijna altijd vergeten. Een vinkje in een database bewijst dat iemand iets heeft aangeklikt, maar niet waarvoor. Bewaar daarom de versie van de tekst, of leg per versie vast in welke periode die actief was.
Wat als de toestemming niet blijkt te deugen?
Dan is de verwerking onrechtmatig geweest, en dat werkt terug. Dat is een ongemakkelijke conclusie, maar het is wel de juiste, en het verklaart waarom de keuze voor deze grondslag zo nauw luistert.
Wat u in zo’n geval doet, is niet alsnog een andere grondslag verzinnen. U stopt met de verwerking, beoordeelt of er gegevens moeten worden verwijderd, en beoordeelt daarna opnieuw of de verwerking op een andere grondslag rechtmatig kan worden voortgezet. Dat laatste is dan een nieuwe verwerking met een nieuwe informatieplicht, niet een reparatie van de oude.
Toestemming bij kinderen
Voor online diensten die rechtstreeks aan kinderen worden aangeboden ligt de leeftijdsgrens in Nederland op zestien jaar. Is het kind jonger, dan heeft u toestemming van de ouder of voogd nodig, en u moet redelijke inspanningen leveren om te controleren dat die toestemming ook echt is gegeven.
In het onderwijs speelt dit voortdurend, bijvoorbeeld bij digitale leermiddelen en bij beeldmateriaal. Daar geldt bovendien dat de school vaak geen toestemming nodig heeft omdat er een andere grondslag is, en dat toestemming vragen voor iets wat u toch al mag verwarrend werkt.
Twijfelt u of toestemming in uw situatie de juiste grondslag is, dan is dat een vraag die vooraf gesteld moet worden en niet nadat het formulier live staat. Met juridisch privacy advies toetst u die keuze, en in ons artikel over de grondslagen van de AVG staan de alternatieven op een rij. Voor een breder beeld van uw verwerkingen is een AVG audit en nulmeting het vertrekpunt.
