Toestemming: vereisten

Maak je gebruik van toestemming, bijvoorbeeld omdat je geen wettelijke grondslag hebt om bijzondere persoonsgegevens te mogen verwerken? Dan moet de toestemming onder de AVG aan de volgende eisen voldoen:

Vrij

Iemand moet vrij zijn om toestemming te geven, maar ook om deze te weigeren of in te trekken. Dat betekent dat er geen negatieve gevolgen mogen zijn voor degene aan wie je de toestemming vraagt. Vooral wanneer hij geen toestemming wil geven of deze toestemming later weer intrekt. Bijvoorbeeld druk vanuit de leidinggevende, niet mee mogen doen aan een sportwedstrijd, of alsnog een borgsom moeten betalen.

Specifiek

Degene wiens toestemming je vraagt, geeft specifiek toestemming voor het verwerken van zijn persoonsgegevens voor een vooraf bepaald doel. Het mag voor hem niet lastig zijn om erachter te komen waarvoor hij nu precies toestemming geeft.

Geïnformeerd

Voordat je iemand vraagt om toestemming, moet je die persoon duidelijk informeren over de verwerking van zijn persoonsgegevens. Dat informeren moet in begrijpelijke taal zijn, zodat mensen ook echt weten waar ze ‘ja’ tegen zeggen. Doe het zo open en transparant mogelijk, op een overzichtelijke manier. Informeer mensen in ieder geval over:

• de identiteit van jouw organisatie: wie ben je en wat doe je;
• het doel van elke verwerking waarvoor je toestemming vraagt;
• welke persoonsgegevens je verzamelt en gebruikt;
• het recht dat iemand heeft om de toestemming weer in te trekken.

En vraag je de toestemming tegelijk met het verzoek om een overeenkomst te accepteren? Dan mag de toestemming niet ‘verstopt’ zitten in een onderdeel van het contract.

Ondubbelzinnig

Iemand moet actief toestemming geven. Bijvoorbeeld een (digitale) schriftelijke of een mondelinge verklaring. Het moet in elk geval volstrekt helder zijn dát er toestemming is verleend.

Een vooraf aangevinkt vakje (opt-out) telt niet en je mag ook niet impliciet afleiden dat iemand vast wel toestemming bedoeld had te geven omdat hij bijvoorbeeld gebruik is gaan maken van de dienst. ‘Wie zwijgt, stemt toe’ is daarom geen geldige toestemming.