Toestemming voor het verwerken van persoonsgegevens

De AVG maakt verschil tussen gewone en bijzondere persoonsgegevens. Voor gewone persoonsgegevens moet je gewone toestemming vragen, voor bijzondere persoonsgegevens heb je uitdrukkelijke toestemming nodig.

Gewone toestemming krijg je als volgt:

• zorg ervoor dat de toestemming vrijwillig is gegeven (dus niet: anders kun je deze website niet bezoeken)

• de persoon moet een handeling verrichten, anders is er geen toestemming (dus niet: vooraf de optie toestemming aanvinken)

• leg goed uit waarvoor je de persoonsgegevens gebruikt (dus niet: wij gebruiken uw persoonsgegevens voor diverse verwerkingen)

• gebruik duidelijke en eenvoudige taal  

• maak duidelijk dat de toestemming op ieder moment weer makkelijk kan worden ingetrokken  

• registreer de toestemming met datum, zodat je bewijs hebt van de toestemming, bijvoorbeeld in een verwerkingsregister

Je krijgt uitdrukkelijke toestemming als je naast de stappen voor gewone toestemming de personen de mogelijkheid geeft per specifiek doel te beslissen of ze er toestemming voor willen geven of niet. Laat ze bijvoorbeeld een vinkje zetten of een hokje aankruisen voor de volgende tekst: hierbij geef ik uitdrukkelijke toestemming voor het gebruik van de gevraagde bijzondere persoonsgegevens voor x. Vul dan steeds 1 doel in waarvoor je de persoonsgegevens wilt gebruiken bij x.

Het is een misverstand om te denken dat je altijd toestemming moet vragen voor het verwerken van persoonsgegevens. De AVG biedt namelijk nog meer grondslagen dan alleen maar toestemming. De AVG maakt ook hier weer onderscheid tussen gewone persoonsgegevens en bijzondere persoonsgegevens. Heb je een wettelijke grondslag om persoonsgegevens te verwerken, dan neem je die op in je privacyverklaring.

Je hebt geen toestemming nodig voor het verwerken van gewone persoonsgegevens als:

• dit nodig is voor een overeenkomst (voorbeeld: je hebt een naam en adres nodig om een pakketje te bezorgen)

• het wettelijk verplicht is (voorbeeld: een werkgever moet loonaangifte kunnen doen)

• je er iemands leven ermee redt of beschermt (zeldzaam)

• het wettelijk mag (uitsluitend voor overheden)  

• het belang ervan voor je organisatie groter is dan het belang van de privacybescherming (bijvoorbeeld: voor marketingdoeleinden hoef je geen toestemming te vragen om profielen te maken met bekende gegevens van je klanten)

Je hebt geen toestemming nodig voor het verwerken van bijzondere persoonsgegevens als:

• je ze nodig hebt op grond van het arbeids- of sociale zekerheidsrecht

• je er iemands leven mee redt of beschermt

• het je ledenlijst is en je een vakbond, politieke organisatie of religieuze instelling bent

• de persoons zelf de gegevens openbaar heeft gemaakt

• je ze nodig hebt in een rechtszaak

• je ze als (bedrijfs)arts nodig hebt

• het wettelijk mag (uitsluitend voor overheden)

• als het nodig is voor wetenschappelijk of historisch onderzoek

Je kunt kinderen onder de 16 niet rechtstreeks om toestemming vragen. Daarvoor moet je toestemming vragen aan de persoon die de ouderlijke verantwoordelijkheid draagt. Meestal zijn dit de ouders.