Zoals voor velen reeds bekend treedt op 25 mei 2018 de Algemene verordening gegevensbescherming (AVG) in werking. De AVG brengt een aantal aanvullende verplichtingen met zich mee op het gebied van verwerking van persoonsgegevens ten opzichte van de huidige wet- en regelgeving. Een van de veranderingen die de AVG met zich meebrengt is een wijziging van het toestemmingsvereiste voor de gegevensverwerking van personen.

Wet bescherming persoonsgegevens
Er zijn een aantal grondslagen waarop persoonsgegevens mogen worden verwerkt, zoals een wettelijke verplichting of uitvoering van de overeenkomst. Een andere veelgebruikte categorie is verwerking van persoonsgegevens op basis van toestemming van de betrokkene.

Daarnaast kan ook sprake zijn van bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens die betrekking hebben op godsdienst of op de gezondheid van een persoon. Voor het verwerken van deze gegevens is het van belang dat er uitdrukkelijke toestemming wordt gegeven. Voor het verwerken van deze gegevens is het op grond van de AVG van belang dat er uitdrukkelijke toestemming wordt gegeven. Dit is een zwaardere vorm dan de ondubbelzinnige toestemming uit de Wbp. Aan uitdrukkelijke toestemming wordt voldaan indien men in woord, schrift of gedrag uitdrukking heeft gegeven aan zijn of haar wil om toestemming te verlenen voor het verwerken van zijn of haar bijzondere persoonsgegevens conform een bepaald doel.

De AVG
Op basis van de AVG worden er strengere eisen gesteld aan het verkrijgen van toestemming op basis waarvan persoonsgegevens mogen worden verwerkt. De definitie van toestemming is in de AVG bijgeschaafd tot:

“elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een duidelijke actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt” – artikel 4 lid 11 AVG.

Actieve handeling
De verordening vereist dat er bij toestemming sprake dient te zijn van een verklaring of een duidelijke, actieve handeling. Een stilzwijgend akkoord was voorheen al uitgesloten, maar de AVG benadrukt deze uitsluiting nogmaals. Het is met name gebruikelijk dat men in algemene voorwaarden wordt geïnformeerd over de gegevensverwerking en dat door de uitvoering van de hoofdovereenkomst wordt geacht dat er toestemming is verleend. Deze werkwijze is niet meer toegestaan op grond van de AVG.

Specificiteit
Het begrip ‘specifiek’ in de toestemmingsbepaling uit de AVG houdt in dat de toestemming moet gaan over een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen. De informatie over het doel van de verwerking kunt u overigens niet opnemen in de algemene voorwaarden, maar dient te worden verstrekt via een aparte toestemmingsclausule, waarin de betrokkene expliciet bevestigt dat hij of zij hiermee akkoord gaat.

De toestemmingsvraag dient in een begrijpelijke en gemakkelijke vorm te zijn opgesteld, met eenvoudig taalgebruik.

Ook dient de mogelijkheid om de toestemming alsnog in te trekken even eenvoudig te zijn als het geven van de toestemming.

Vrije wilsuiting
Naast de vorenstaande vereisten dient verder sprake te zijn van een vrije wilsuiting. Dit betekent dat de betrokkene een echte keuze heeft en geen nadelige gevolgen mag ondervinden indien hij de toestemming weigert of intrekt. Een voorbeeld van het niet vrij geven van toestemming is in het geval dat toestemming is vereist om een overeenkomst aan te gaan, terwijl het verstrekken van de gegevens niet noodzakelijk kunnen worden geacht voor het uitvoeren van de overeenkomst.

Daarnaast is van belang dat de betrokkene bewust de keuze maakt om toestemming te geven. Bijvoorbeeld wanneer op een website wordt gevraagd bij online verkoop of u ook de nieuwsbrief wilt ontvangen, mag deze checkbox niet standaard zijn aangevinkt. Daarmee verschuift de methode om toestemming te vragen van opt-out naar opt-in.

Het is dus van belang dat u de manier waarop u toestemming vraagt, krijgt en registreert evalueert binnen uw organisatie en indien nodig deze wijze aanpast. Indien u vragen heeft over de verplichtingen die de AVG u oplegt, zoals het binnen uw organisatie aanscherpen van het toestemmingsvereiste, neem dan contact op met ons team Privacy.

November 2017