Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
14 oktober 2021
Joanne van Eenennaam |
- Privacy
- Joanne van Eenennaam
Toestemming als grondslag?
Wanneer voldoet toestemming niet als grondslag voor de verwerking van persoonsgegevens?
Inleiding
Veel bedrijven en organisaties weten niet zeker wanneer ze wel of geen toestemming nodig hebben om persoonsgegevens over hun klanten of werknemers (“betrokkenen”) te mogen verwerken.
De onzekerheid zorgt ervoor dat wie persoonsgegevens verwerkt al snel geneigd zal zijn om altijd toestemming te vragen. Op zich is dat een begrijpelijke reflex: wie toestemming om bepaalde persoonsgegevens te verwerken heeft verkregen waant zich al snel juridisch veilig, omdat bij veel bedrijven en organisaties de misvatting leeft dat toestemming in alle gevallen voldoende is om te voldoen aan wettelijke vereisten omtrent de verwerking van privacygevoelige gegevens.
Er zijn twee veel voorkomende situaties waarin de vraag of om toestemming moet worden gevraagd vaak opkomt.
- De verwerkingsverantwoordelijke kan om toestemming vragen als grond voor de verwerking van iemands persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (AVG).
- De aanbieder van een digitale dienst die cookies op iemands randapparatuur wil plaatsen vraagt om toestemming in het kader van de zogeheten “Cookiewet”, die is neergelegd in de Telecommunicatiewet (Tw).
Dit artikel behandelt de vraag in welke gevallen toestemming niet voldoet als grondslag voor de verwerking van persoonsgegevens onder de AVG.
Waarvoor dient het vragen van toestemming om persoonsgegevens te verwerken?
De Algemene Verordening Gegevensbescherming (AVG) legt meerdere beginselen op aan de verwerking van persoonsgegevens. Eén van die beginselen – neergelegd in artikel 5 lid 1 sub a AVG – is dat de verwerking van persoonsgegevens behoorlijk, rechtmatig en transparant dient te zijn. De verwerking van persoonsgegevens moet dus rechtmatig zijn. De vraag rijst wat de verwerking van een persoonsgegeven rechtmatig maakt. Het antwoord op die vraag is dat de verwerking van een persoonsgegevens alleen rechtmatig is als sprake is van een grondslag voor die verwerking. De grondslagen zijn opgesomd in artikel 6 AVG.
De regels voor bijzondere persoonsgegevens, zoals gegevens over ras, gezondheid en seksuele geaardheid, zijn nog strenger. Voor de verwerking van bijzondere persoonsgegevens zijn gaan de verwerkingsgronden uit artikel 6 AVG niet op, maar gelden uitzonderingen op het verbod om deze gegevens te verwerken. Het is in beginsel verboden om bijzondere persoonsgegevens te verwerken, tenzij een beroep op één van de uitzonderingsgronden uit artikel 9 AVG kan worden gedaan. Het is wel zo dat uitdrukkelijke toestemming van de betrokkene ook één van de uitzonderingsgronden op het verbod op de verwerking van bijzondere persoonsgegevens is.
Kortom, de verwerking van een persoonsgegeven dient rechtmatig te zijn en de verwerking van een persoonsgegeven is rechtmatig wanneer de verwerking op één van de grondslagen uit de AVG kan worden gebaseerd. Toestemming van de betrokkene is één van de grondslagen, dus toestemming kán dienen als een middel om tot een rechtmatige verwerking van persoonsgegevens te komen. Het zal echter niet in alle gevallen volstaan toestemming te vragen om een persoonsgegeven te verwerken.
Welke vereisten stelt de AVG aan toestemming?
Het is een risicovolle misvatting aan te nemen dat het vragen van toestemming van een betrokkene altijd voldoende is om te voldoen aan het beginsel van rechtmatigheid. De AVG hanteert namelijk een strikte definitie van toestemming.
Toestemming wordt gedefinieerd als vrije, specifieke, op informatie berustende en ondubbelzinnige wilsuiting.
Hierin ligt een potentiële valkuil voor degenen die van plan zijn om toestemming te vragen. Afhankelijk van de situatie waarin de wilsuiting is gedaan kan discussie ontstaan over de vraag of de betrokkene daadwerkelijk in staat is geweest om toestemming te geven op een manier die voldoet aan de criteria van vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting.
Situaties waarin een betrokkene doorgaans geen vrije, specifieke, geïnformeerde en ondubbelzinnig toestemming kan geven zijn bijvoorbeeld situaties waarin een ongelijke machtsverhouding bestaat tussen de verantwoordelijke en de betrokkene. Een concreet voorbeeld dat in de praktijk vaak speelt is dat de betrokkene een werknemer is die door de werkgever -van wie de werknemer in sterke mate afhankelijk is- om toestemming wordt gevraagd voor de verwerking van zijn of haar persoonsgegevens.
Het zal niet het geval zijn dat in iedere werkgever-werknemer relatie de werknemer daadwerkelijk zoveel druk ervaart dat hij of zij het geven van toestemming niet zou durven weigeren. Vanuit het perspectief van de werkgever als verantwoordelijke onder de AVG is het echter vele malen verstandiger en praktischer om in plaats van een voor een werkgever onzekere verwerkingsgrondslag als toestemming een meer voor de hand liggende grondslag aan te wijzen. Alternatieve grondslagen onder de AVG zijn bijvoorbeeld ‘uitvoering van een overeenkomst met de werknemer’, of ‘de gerechtvaardigde belangen van de werkgever’.
Wordt als grondslag uitvoering van de arbeidsovereenkomst met de werknemer genomen, dan dient uiteraard in die arbeidsovereenkomst daadwerkelijk bepalingen zijn opgenomen die betrekking hebben op de benodigde verwerking van persoonsgegevens. Ontbreekt een aanknopingspunt in de arbeidsovereenkomst met de werknemer dan zal het gerechtvaardigde belang van de werkgever bij de verwerking van het persoonsgeven de meest voor de hand liggende grondslag zijn.
Welke verwerkingsgrondslagen bestaan naast toestemming van de betrokkene?
Naast toestemming van de betrokkene kent de Algemene Verordening Gegevensbescherming (AVG) andere vijf verwerkingsgronden voor persoonsgegevens.
Noodzakelijk voor het uitvoeren van een overeenkomst met de betrokkene
De betrokkene heeft waarschijnlijk al de kans gehad zich te kunnen buigen over de verwerking van zijn persoonsgegevens bij het aangaan van een overeenkomst met de verantwoordelijke voor de uitvoering waarvan het noodzakelijk zal zijn om de persoonsgegevens van de betrokkene te verwerken. De betrokkene zal de overeenkomst in zijn eigen belang hebben gesloten, bovendien zal een overeenkomst gesloten onder dwang juridisch gezien geen stand houden.
Let op! Het dient te gaan om de uitvoering van een overeenkomst met de betrokkene zelf, niet een overeenkomst gesloten met een andere partij waarvan bij de uitvoering de persoonsgegevens van de betrokkene kunnen worden verwerkt.
Noodzakelijk voor het voldoen aan een wettelijke verplichting van de verantwoordelijke
Op grond van andere wet- of regelgeving dan de AVG kan het voorkomen dat een verantwoordelijke niet zozeer zelf de wens of het belang heeft om bepaalde persoonsgegevens te verwerken, maar daartoe wettelijk verplicht is. Een voorbeeld is wet- en regelgeving omtrent het bijhouden van bepaalde administratie of archieven.
Vitale belangen van de betrokkene
Vitale belangen zijn zogenaamde “kwesties van leven en dood”. Bevindt een persoon zich in nood dan is het niet in het belang van de betrokkene of degenen die hem proberen te redden als zij zich af moeten vragen of misschien toestemming of een andere grondslag nodig hebben om tijdens een reddingspoging zijn of haar persoonsgegevens te verwerken.
Noodzakelijk om een taak van openbaar gezag uit te oefenen
Overheidsinstanties en organisaties die door de overheid wettelijk zijn belast met een taak van openbaar gezag ontlenen rechtmatigheid van de verwerking van persoonsgegevens uit de onderliggende wetgeving. De AVG is niet bedoeld om in de weg te staan aan de uitoefening van openbaar gezag, zo lang die taak van openbaar gezag is neergelegd in wetgeving waar democratische controle op wordt uitgeoefend.
Gerechtvaardigde belangen van de verwerkingsverantwoordelijke
De gerechtvaardigde belangen van de verantwoordelijke zijn een brede categorie die als het ware als vangnet kunnen dienen wanneer geen van de ander verwerkingsgrondslagen in een gegeven situatie voor de hand liggen, maar het verwerken van persoonsgegevens ook niet achterwege kan blijven. Een succesvol beroep op de grondslag van gerechtvaardigde belangen zal vereisen dat de invulling van welk belang de verantwoordelijke precies heeft bij de verwerking van de persoonsgegevens kan worden verklaard en toegelicht. Daarbij zal de verantwoordelijk moeten kunnen aantonen dat dit belang ook daadwerkelijk prevaleert boven het belang van de betrokkene op de bescherming van de persoonlijke levenssfeer.
De betrokkene heeft het recht om bezwaar te maken tegen gebruik van deze grondslag. De betrokkene kan dan aanvoeren dat de verantwoordelijke geen gerechtvaardigd belang heeft bij het verwerken van zijn of haar persoonsgegevens, of dat de belangen van de betrokkene zwaarder wegen. Over deze belangenafweging kan bijvoorbeeld door de Autoriteit Persoonsgegevens of door een rechter een oordeel worden geveld.
Waar dient te worden aangeven welke van verwerkingsgrondslagen zijn gekozen?
Onder de AVG is de verwerkingsverantwoordelijke verplicht om aan te geven op welke grondslagen de verwerking van persoonsgegevens rust. Indien voor de verwerking een derde wordt ingeschakeld, dient deze vermelding onder andere plaats te vinden in een verwerkersovereenkomst tussen een verantwoordelijke en de verwerker die hij inschakelt ingevolge artikel 28 AVG. Ook bestaat er een actieve informatieplicht jegens betrokkene uit artikel 13 AVG e.v. als de persoonsgegevens direct bij de betrokkene worden verkregen. Hiervoor kan bijvoorbeeld de zogeheten privacyverklaring (in het Engels: ‘privacy statement’) worden gebruikt, de privacyverklaring is een veelgebruikt middel waarin de grondslag voor verwerking kan worden benoemd.
De Autoriteit Persoonsgegevens adviseert om de keuze voor een bepaalde grondslag te onderbouwen en ook die onderbouwing steeds te vermelden. Immers bestaat voor de verwerkingsverantwoordelijk de zogenaamde verantwoordingsplicht, op basis waarvan hij te allen tijde de rechtmatigheid van de verwerkingen moet kunnen demonstreren.
Conclusie
De AVG kent meerdere beginselen voor de verwerking van persoonsgegevens. Eén van die beginselen is dat de verwerking van persoonsgegevens alleen kan worden toegestaan als dat op een rechtmatige behoorlijke en transparante wijze gebeurt. De verwerking van een persoonsgegeven is alleen rechtmatig als voor die verwerking een wettelijke grondslag kan worden aangedragen. Toestemming van de persoon wiens persoonsgegevens worden verwerkt kan een grondslag zijn, maar het verkrijgen van toestemming voldoet niet altijd als geldige grondslag.
De AVG hanteert een strenge definitie van toestemming. Toestemming in de zin van de AVG is vrije, specifieke, geïnformeerde en ondubbelzinnig wilsuiting. Afhankelijk van de specifieke situatie kan toestemming van de betrokkene juist minder voor de hand liggen dan een andere verwerkingsgrondslag. In situaties waarin de mate waarin de betrokkene in staat was om vrije, specifieke geïnformeerde en ondubbelzinnige toestemming in de zin van de AVG te geven ter discussie zou kunnen komen te staan is het verstandiger een andere grondslag voor de rechtmatige verwerking van persoonsgegevens te hanteren.
Vragen
Weet u welke categorieën van persoonsgegevens uw organisatie verwerkt? Zou u desgevraagd in staat zijn om toe te lichten op welke grondslagen die persoonsgegevens zijn verwerkt? Heeft u toestemming gevraagd, maar twijfelt u in hoeverre die toestemming wel een rechtsgeldige grondslag biedt voor verwerking van persoonsgegevens?
Advies
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
Juridisch medewerker
Femke Prinsen
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht
