10/03/2022 Toestemming is volgens de Algemene Verordening Gegevensbescherming één van de zes mogelijke grondslagen voor verwerking van persoonsgegevens. Zoals vaak wordt benadrukt in juridische blogs, is toestemming lang niet altijd de meest geschikte grondslag. Voor veel verwerkingen in de dagelijks praktijk ligt een andere grondslag meer voor hand. Bijvoorbeeld de uitvoering van een overeenkomst waarbij de betrokkene partij is of een gerechtvaardigd belang van de verwerkingsverantwoordelijke.
Desondanks blijkt in de praktijk dat organisaties veel toestemming vragen. Kennelijk wordt dit als ‘veilige’ optie gezien. Echter, te gretig vertrouwen op toestemming brengt risico’s met zich mee. De strenge eisen aan toestemming kunnen een behoorlijke belasting opleveren. Bovendien kan toestemming ingetrokken of geweigerd worden.
Volgens de European Data Protection Board (EDPB) is het niet toegestaan bij problemen met de toestemming, over te stappen naar een andere grondslag. Dit zou “fundamentally unfair” zijn. Waarschijnlijk is dit een verwijzing naar het beginsel van behoorlijke gegevensverwerking (artikel 5 lid 1 sub a AVG). Kortom: de verwerkingsverantwoordelijke moet volgens de EDPB simpelweg van tevoren bepaald hebben welke grondslagen hij gebruikt. De keuze van de betrokkene om geen toestemming te geven of toestemming in te trekken, moet hij respecteren.
De Afdeling bestuursrechtspraak van de Raad van State lijkt in een uitspraak van vorig jaar een iets andere benadering te hebben gekozen. In die zaak had de minister van Landbouw, Natuur en Voedselkwaliteit aan een maatschap (een akkerbouwbedrijf) gevraagd om instemming met het versturen van gegevens over die maatschap naar een brancheorganisatie. Waarschijnlijk waren deze gegevens persoonsgegevens over de maten in de maatschap.
De maatschap beantwoordde de vraag met ‘Nee’. Desondanks vond de minister dat hij bepaalde gegevens naar de Brancheorganisatie Akkerbouw mocht sturen. De Afdeling was het daarmee eens en oordeelde dat deze verstrekking noodzakelijk was voor de uitvoering van een taak in het algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag (artikel 6 lid 1 sub e AVG).
Dit is in het licht van de benadering van de EDPB opmerkelijk. De uitspraak laat daarmee zien hoe de rechtspraak (in ieder geval de Afdeling) denkt over de verhouding tussen toestemming en de andere grondslagen voor gegevensverwerking.
Uiteindelijk is de minister in deze zaak toch in het ongelijk gesteld. Dit niet vanwege het ontbreken van een grondslag, maar vanwege strijd met het beginsel van doelbinding. Het verstrekken van de gegevens aan de brancheorganisatie was een verdere verwerking die niet verenigbaar is met de doeleinden waarvoor de minister de gegevens oorspronkelijk heeft verkregen. Overigens is opmerkelijk dat de Afdeling niet stilstond bij de vraag of voor deze verdere verwerking überhaupt een afzonderlijke grondslag dan de grondslag voor verzameling onderzocht moest worden en niet alleen de verenigbaarheidstoets moest worden uitgevoerd (artikel 6 lid 4 AVG).
Ondanks deze uitspraak van de Afdeling blijft staan dat veel privacy-experts nog steeds aannemen dat overstappen van toestemming naar een andere grondslag in beginsel niet mag. Weet u zeker dat toestemming het meest passend is voor de betreffende verwerking waarvoor u deze vraagt? Heeft u al nagedacht over wat u moet doen wanneer betrokkenen toestemming weigeren of intrekken? Neem contact op met Considerati voor praktisch advies!
Wilt u weten of toestemming het meest passend is voor de betreffende verwerking waarvoor u deze vraagt? Neem dan gerust contact met ons op via onderstaand formulier.