Hoe kun je toestemming vragen voor verwerking onder de AVG?

Toestemming vragen in de zin van de AVG? Deze toestemming dient te voldoen aan vier voorwaarden. Het moet een vrije keuze zijn die specifiek en gericht op die verwerking wordt gegeven. De betrokkene dient geïnformeerd te worden over de verwerking en de toestemming dient ondubbelzinnig te zijn.

Hoe vraag je toestemming voor het verwerken van persoonsgegevens?

Toestemming als AVG grondslag voor het verwerken van persoonsgegevens dient aan vier waarborgen te voldoen. Dit blijk ook uit een recente uitspraak van het Europese Hof. Het EU-Hof kreeg hieromtrent Prejudiciële vragen van een Roemeense rechter.

Het EU-Hof is van oordeel dat “toestemming” van een klant niet kan worden aangetoond door middel van een overeenkomst waarbij het keuzevakje voor de toestemming voor de gegevensverwerking al vooraf is aangevinkt door de verkoper (Orange). In dit artikel meer over deze uitspraak en over hoe je onder de AVG toestemming dient te vragen,

Toestemming vragen onder de AVG: hoe zit het ook alweer?

Toestemming in de zin van de AVG dient te voldoen aan vier voorwaarden. Het moet allereerst een vrije keuze zijn. Die dient specifiek te zijn en gericht op die verwerking . De betrokkene dient geïnformeerd te worden over de verwerking. De toestemming dient ondubbelzinnig te zijn.

Artikel 4 van de AVG zegt hierover:

Toestemming van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt.

Vrije keuze

Het verlenen van toestemming moet een vrije keuze zijn. Het EU-Hof is van oordeel dat betrokkene niet mogen worden misleid over de mogelijkheid om de overeenkomst te sluiten zonder in te stemmen met de gegevensverwerking.

Specifiek

Een volgende vereiste is dat de wilsuiting specifiek moet zijn. Dit houdt in dat de wilsuiting precies op de verwerking van de persoonsgegevens gericht moet zijn. Het is niet de bedoeling dat toestemming slechts kan worden afgeleid uit een algemene wilsuiting. Het EU-Hof is van oordeel dat door het aanvinken van het beding door de verkoper het beding inzake toestemming voor de gegevensverwerking niet specifiek is gekozen.

Geïnformeerd

Een derde vereiste is dat de betrokkene geïnformeerd moet worden over de gegevensverwerking vóórdat er toestemming wordt verleent. De verwerkingsverantwoordelijke moet de betrokkene informeren over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt. Deze informatie dient in duidelijke en eenvoudige taal te worden geformuleerd. Het EU-Hof oordeelt dat het beding in deze zaak alleen vermeld dat er kopieën van identiteitskaarten worden bewaard voor identificatiedoeleinden. Dit zonder andere vermelding.

Ondubbelzinnig

Ten vierde dient er sprake te zijn van een ondubbelzinnige wilsuiting waaruit blijkt dat de betrokkene de gegevensverwerking aanvaardt. Deze wilsuiting dient te worden gegeven in de vorm van een verklaring of een actieve handeling. Het EU-Hof stelt vast dat de verkopers van Orange Romania het vakje, waarin is vermeld dat de klant is geïnformeerd en toestemming geeft voor de gegevensverwerking, standaard al hadden aangevinkt. Het EU-Hof is van oordeel dat er in beginsel niet op basis van een vooraf aangevinkt vakje kan worden aangetoond dat er toestemming is gegeven voor de gegevensverwerking.

Wie draagt de bewijslast voor de toestemming?

Het EU-Hof is van oordeel dat “toestemming” van een klant niet kan worden aangetoond door middel van een overeenkomst waarbij het keuzevakje voor de toestemming voor de gegevensverwerking al vooraf is aangevinkt door de verkoper (Orange). Op grond van art. 7 lid 1 AVG ligt de bewijslast voor het feit dat de betrokkene op geldige wijze toestemming heeft gegeven bij de verwerkingsverantwoordelijke. Het EU-Hof legt deze bewijslast dan ook bij Orange Romania.

Liever een andere grondslag voor verwerking

De verwerking van persoonsgegevens op basis van toestemming kun je beter vermijden. De verwerking kun je beter baseren op een of meer van de overige grondslagen voor verwerking. In dit artikel licht ik een en ander verder toe.