Selecteer een pagina

Persoonsgegevens mogen uitsluitend worden verwerkt als de verwerking een rechtmatige grondslag heeft. Je moet bepalen welke rechtmatige grondslag voor de verwerking van toepassing is. Als je de gegevensverwerking niet kunt baseren op minimaal één van deze grondslagen heb je niet het recht om de persoonsgegevens te verwerken.

In AVG artikel 6, lid 1 worden 6 wettelijke grondslagen voor het verwerken van persoonsgegevens benoemd:

  1. Toestemming van de betrokken persoon.
  2. De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst.
  3. De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting.
  4. De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen.
  5. De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
  6. De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.

Je bent zelf verantwoordelijk om te beoordelen of je je voor een verwerking van persoonsgegevens kunt baseren op één van de 6 grondslagen.

Bijzondere en strafrechtelijke gegevens

Het verwerken van bijzondere en strafrechtelijke persoonsgegevens is verboden, tenzij je voldoet aan een aantal strengere eisen. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands gezondheid. Strafrechtelijke persoonsgegevens zijn bijvoorbeeld gegevens over strafrechtelijke veroordelingen.

Persoonlijk gebruik

Verwerking van persoonsgegevens voor puur persoonlijk gebruik is wel altijd toegestaan. Denk bijvoorbeeld aan een verjaardagskalender of een bestand met adressen van familie en vrienden.

Verantwoordingsplicht

Zorg ervoor dat je goed kunt onderbouwen dat je de verwerking van persoonsgegevens op minimaal 1 van de 6 AVG-grondslagen kunt baseren als de Autoriteit Persoonsgegevens daar om vraagt. Onder de AVG geldt namelijk de verantwoordingsplicht.

Een organisatie mag niet zomaar persoonsgegevens verwerken. Je moet daarvoor een wettelijke grondslag hebben. De Algemene Verordening gegevensbescherming (AVG) kent 6 grondslagen.

Alleen als je de gegevensverwerking kunt baseren op minimaal één van deze grondslagen heb je het recht om de persoonsgegevens te verwerken.

Eén van die 6 grondslagen is ‘toestemming’. De AVG schrijft niet precies voor in welke vorm je toestemming moet vragen. Maar de manier waarop je toestemming vraagt moet wel voldoen aan een aantal specifieke eisen.

  • Vrijelijk gegeven: je mag iemand niet onder druk zetten om toestemming te geven. Bijvoorbeeld door iemand te benadelen als hij of zij geen toestemming geeft. Let daarbij op machtsverhoudingen: een werknemer kan een vraag van zijn werkgever bijvoorbeeld moeilijk weigeren.
  • Ondubbelzinnig: er moet sprake zijn van een duidelijke actieve handeling. Bijvoorbeeld een (digitale) schriftelijke of een mondelinge verklaring. Het moet in elk geval volstrekt helder zijn dát er toestemming is verleend. Je mag niet uit gaan van het principe ‘wie zwijgt, stemt toe’. Het gebruik van voor-aangevinkte vakjes is dus niet toegestaan.
  • Geïnformeerd: je moet mensen informeren over:
    1) de identiteit van de organisatie;
    2) het doel van elke verwerking waarvoor je toestemming vraagt;
    3) welke persoonsgegevens je verzamelt en gebruikt;
    4) het recht dat zij hebben om de toestemming weer in te trekken. Je moet de informatie in een toegankelijke vorm aanbieden. Ook moet deze begrijpelijk zijn zodat iemand een weloverwogen keuze kan maken. Dat betekent dat je duidelijke en eenvoudige taal moet gebruiken.
  • Specifiek: toestemming moet steeds gelden voor een specifieke verwerking en een specifiek doel. Indien de organisatie bij de verwerking meerdere doeleinden heeft, dient de betrokkene hierover geinformeerd te worden. En de betrokkene moet voor elk doel afzonderlijk toestemming gevraagd worden. Het doel mag niet gaandeweg veranderen.
  • Het moet voor mensen net zo makkelijk zijn om de toestemming weer in te trekken als dat het was om de toestemming te geven.
  • Je moet kunnen aantonen dat je geldige toestemming hebt verkregen.

Voldoet de toestemming niet aan deze eisen? Dan is de toestemming niet geldig. Je mag de persoonsgegevens dan niet verwerken.

Toestemming bij kinderen

De AVG geeft kinderen jonger dan 16 jaar extra bescherming. Want kinderen kunnen de risico’s van een gegevensverwerking niet of minder goed inschatten. Daarom moeten zij toestemming hebben van de persoon die de ouderlijke verantwoordelijkheid draagt.

Verantwoordingsplicht

Als je je wilt baseren op de grondslag toestemming moet je er voor zorgen dat je kunt aantonen dat je die toestemming op de juiste manier hebt gevraagd en gekregen. Onder de AVG heb je namelijk een verantwoordingsplicht.

Nee, bedrijven mogen in veel gevallen ook persoonsgegevens verzamelen en verwerken zonder dat een gebruiker daarvoor toestemming geeft. Toestemming is bijvoorbeeld niet nodig als de persoonsgegevens nodig zijn om de dienst te leveren waar je als gebruiker om vraagt.

Nee, het versturen van een e-mail om gebruikers te wijzen op een aangepaste privacybeleid is in veel gevallen niet nodig.

Op zich is het netjes dat bedrijven per e-mail aangeven dat ze hun privacyverklaring hebben aangepast, maar ze hoeven daarvoor niet per se een e-mail te versturen.

Als er geen grote wijzigingen hebben plaatsgevonden, volstaat een melding op de website ook.

Veel bedrijven zijn onzeker over de uitleg van de AVG-regels en versturen daarom voor de zekerheid een mail met uitleg over hun privacybeleid.

Aan de andere kant willen veel bedrijven laten zien dat ze zorgvuldig om gaan met persoonsgegevens.

Daarnaast zijn er veel bedrijven e-mails over hun privacybeleid versturen omdat ze zien dat andere bedrijven dat ook doen.

Qua marketing is het niet handig om uit voorzorg of voor de goede sier klanten hernieuwd om toestemming te vragen, als dat niet echt nodig is. Bedrijven die hun contacten onnodig mailen met de vraag of ze dat mogen blijven doen, lopen het risico dat het antwoord nee is. Als een gebruiker het mailtje negeert of verwijdert, mag het bedrijf die persoon na 25 mei niet meer benaderen.

Als een bedrijf voor de AVG al voldeed aan de eisen om e-mail te mogen sturen, mogen ze daar vanaf 25 mei gewoon mee doorgaan zonder gebruikers daarvan op de hoogte te stellen of opnieuw om toestemming te vragen.

Bedrijven die al voldeden aan de bestaande wet en gebruikers niet opnieuw om toestemming vragen, mogen ook na 25 mei gewoon e-mails blijven sturen.

 

Load More