Joanne van Eenennaam
AVG, IT-recht, verbintenissen, ondernemingsrecht
05 november 2018
WiseMen |
- Privacy
- Marketing
Is er leven na de toestemmingsintrekking?
Direct vrijblijvend advies? Bel of mail
Verwerking van persoonsgegevens is volgens de Algemene Verordening Gegevensbescherming (AVG) alleen toegestaan op basis van een gerechtvaardigde grondslag. Een van de mogelijke grondslagen is toestemming van de betrokkene. Toestemming kan echter worden ingetrokken.
Intrekking van toestemming
De intrekking laat de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan, onverlet. Wel moeten de verwerkingen die waren gebaseerd op toestemming, worden gestaakt. Als er geen andere rechtsgrond is voor voortzetting van verwerking, moeten de desbetreffende persoonsgegevens bovendien worden gewist.
Artikel 29-Werkgroep (WP29)
Dit is ook in lijn met de gedachte van de Artikel 29-Werkgroep (hierna: de WP29), dat toestemming “controle en een werkelijke keuze” kan bieden “met betrekking tot het accepteren of afwijzen van de aangeboden voorwaarden of het afwijzen ervan zonder nadeel” (uit de Guidelines on consent under Regulation 2016/679).
De vraag rijst onder welke omstandigheden de verwerkingsverantwoordelijke persoonsgegevens die worden verwerkt op basis van toestemming, na intrekking van die toestemming toch mag blijven verwerken.
Doeleinde en grondslag
Goed begrip van deze kwestie vergt uitleg over de begrippen ‘doeleinde’ en ‘grondslag’.
Doeleinden zijn de redenen waarom persoonsgegevens worden verwerkt. Verwerking van persoonsgegevens mag alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden.
Grondslagen zijn de juridische rechtvaardigingen die de AVG biedt om dit ook daadwerkelijk te mogen doen voor een of meer van die doeleinden.
Hierbij moet overigens tevens rekening worden gehouden met het doelbindingsbeginsel in de AVG: persoonsgegevens mogen in beginsel niet worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor deze aanvankelijk zijn verzameld.
Voortzetten na intrekking
De Memorie van Toelichting (MvT) bij de Wbp vermeldde dat de verantwoordelijke verwerkingen gebaseerd op toestemming, na de intrekking van de toestemming niet mag voortzetten op basis van een andere grondslag. Dit zou namelijk in strijd zijn met het beginsel dat persoonsgegevens moeten worden verwerkt op behoorlijke en zorgvuldige wijze.
Rechtmatig, behoorlijk en transparant
De AVG kent een vergelijkbaar beginsel: persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (artikel 5 lid 1 sub a AVG).
Kortom, het is al snel onbehoorlijk om de verwerking waarvoor toestemming is gevraagd, in een later stadium te baseren op bijvoorbeeld een gerechtvaardigd belang omdat de toestemming is ingetrokken of wanneer blijkt dat de toestemming niet geldig is.
Echter, de WP29 lijkt in de aangehaalde Guidelines enige ruimte open te laten om de verwerking voort te zetten na intrekking van de toestemming. In ieder geval is daarvoor vereist de betrokkene te informeren over de wijziging van de grondslag:
“In cases where the data subject withdraws his/her consent and the controller wishes to continue to process the personal data on another lawful basis, they cannot silently migrate from consent (which is withdrawn) to this other lawful basis. Any change in the lawful basis for processing must be notified to a data subject in accordance with the information requirements in Articles 13 and 14 and under the general principle of transparency.”
De WP29 benadrukt verder dat de desbetreffende persoonsgegevens na intrekking van de toestemming moeten worden gewist, “ervan uitgaande dat er geen ander doel is dat het bewaren van deze gegevens rechtvaardigt”. In een voetnoot in dit verband vermeldt de WP29:
“In that case, the other purpose justifying the processing must have its own separate legal basis. This does not mean the controller can swap from consent to another lawful basis (…).”
Derhalve kunnen, op enig moment tijdens de verwerking op basis van toestemming, andere doeleinden voor verwerking ontstaan, die verschillen van de doeleinden waarvoor aanvankelijk toestemming is verkregen. Als de verwerking voor die nieuwe doeleinden kan worden gebaseerd op een eigen grondslag, mogen de desbetreffende persoonsgegevens, ondanks de intrekking, bewaard blijven voor dat andere doeleinde.
Ook in de eerdere Opinion over toestemming (geschreven onder de Privacyrichtlijn) liet de WP29 enige ruimte voor voortzetting van de verwerking na intrekking van de toestemming:
“It would be different if there were a change of circumstances, for example if a new legal basis were to appear in the course of the processing, such as a new law regulating the database concerned. If this new ground can validly apply to the data processing, the processing can go on. However, in practice such circumstances are not frequent. In principle, consent can be considered to be deficient if no effective withdrawal is permitted.”
Tussenconclusie
Samenvattend lijkt voortzetten van verwerking gebaseerd op toestemming nadat de toestemming is ingetrokken, mogelijk te zijn in grofweg de volgende gevallen:
- Er is een ander doeleinde ontstaan voor verwerking van de persoonsgegevens, dat verschilt van het doeleinde waarvoor toestemming is gevraagd, waarbij de verwerking voor dat nieuwe doeleinde kan worden gebaseerd op een eigen grondslag. Voorbeeld: de verwerkingsverantwoordelijke heeft contactgegevens verkregen op basis van toestemming voor het toezenden van reclame. Vervolgens besluit de verwerkingsverantwoordelijke deze contactgegevens of een deel daarvan ook te gebruiken voor marktonderzoeksdoeleinden. Als de verwerking voor dat nieuwe doeleinde gebaseerd kan worden op een andere grondslag dan de oorspronkelijke toestemming (of uiteraard op een nieuwe, afzonderlijke toestemming voor dit nieuwe doeleinde), hoeft intrekking van de oorspronkelijke toestemming niet te leiden tot verwijdering in het bestand voor onderzoeksdoeleinden. In dit voorbeeld moet overigens ook de drempel van het doelbindingsbeginsel gehaald zijn (zie hierboven).
- Er heeft een wijziging van omstandigheden plaatsgevonden die rechtvaardigt dat verwerking wordt voortgezet ondanks de intrekking. Het enige voorbeeld dat de WP29 in dit verband geeft is het zich voordoen van een nieuwe grondslag voor de verwerking (bijvoorbeeld een wettelijke regeling) tijdens de verwerking, waarbij kennelijk het doeleinde voor verwerking wel gelijk blijft.
Betrokkene tijdig informeren
Op basis van het beginsel van rechtmatigheid, behoorlijkheid en transparantie, blijft in ieder geval vereist de betrokkene tijdig te informeren dat verwerking zal worden verricht voor een ander doeleinde en/of zal worden gebaseerd op een andere grondslag. De betrokkene kan dan beslissen van zijn rechten gebruik te maken, zoals het recht op bezwaar tegen de verwerking.
Persoonsgegevens verkregen voor verschillende doeleinden
Uiteraard is het mogelijk dat persoonsgegevens aanvankelijk zijn verkregen voor verschillende doeleinden, slechts voor één van die doeleinden toestemming is gevraagd en de verwerkingen voor andere doeleinden zijn gebaseerd op een andere grondslag. Er kan bijvoorbeeld gevraagd zijn om toestemming voor gebruik van een e-mailadres voor het verzenden van reclame, terwijl het e-mailadres ook verzameld wordt om vragen van de betrokkene beantwoorden, gebaseerd op de grondslag ‘uitvoering overeenkomst met de betrokkene’. Intrekking van de toestemming voor de reclame hoeft dan uiteraard niet per definitie te leiden tot staken van het contact dat noodzakelijk is voor de overeenkomst en tot wissing van het e-mailadres.
Iets anders is toestemming vragen voor verwerkingen die ook gebaseerd kunnen worden op een andere grondslag (bijvoorbeeld uitvoering van de overeenkomst met de betrokkene). Dat is niet verstandig. Immers, na intrekking van de toestemming kan onduidelijkheid ontstaan over de vraag of verwerking mag worden voortgezet onder een andere grondslag. De verwerkingsverantwoordelijke die ook bij weigeren van toestemming de verwerking zou verrichten, maar dan op basis van een andere grondslag, handelt mogelijk zelfs in strijd met voormeld beginsel van rechtmatigheid, behoorlijkheid en transparantie. De betrokkene wordt hiermee namelijk in wezen de illusie gegeven van controle (zie deze pagina over consent van de Britse Information Commissioner’s Office).
Conclusie
Voor verwerkingsverantwoordelijken is van belang reeds bij het verzamelen van de persoonsgegevens, goed vast te leggen voor welke doeleinden dit gebeurt en op welke grondslagen de persoonsgegevens verwerkt zullen worden.
Het rechtmatig mogen voortzetten van verwerking van persoonsgegevens gebaseerd op toestemming na intrekking van de toestemming, is niet onmogelijk, maar wel een uitzondering op de hoofdgedachte achter de grondslag toestemming. Verwerkingsverantwoordelijken moeten daarom zorgvuldig te werk gaan en de betrokkene tijdig te informeren.
Advies!
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
