AVG: Moet je aan iedereen toestemming vragen?

De hoofdregel is dat wanneer je de gegevens rechtstreeks bij de betrokkene verzamelt dan moet u de betrokkene op het moment van de verkrijging van de persoonsgegevens informeren en toestemming worden gevraagd. Alleen dán is de verwerking gerechtvaardigd. Deze toestemming moet ook aan 3 voorwaarden voldoen:

1. De toestemming moet vrij zijn gegeven. Dat betekent dat er daadwerkelijk een keuze moet zijn om te weigeren, zonder dat er negatieve consequenties aan verbonden zijn. In een arbeidsrechtelijke situatie zal de keuze niet altijd vrij zijn, dat betekent dat in de arbeidssfeer je beroepen op de verzameling van gegevens omdat er toestemming is verkregen van de betrokkene niet voldoende is. Er moet ook een andere rechtvaardigingsgrond zijn.
2. De toestemming moet specifiek zijn. Dat betekent dat bij het krijgen van de toestemming ook duidelijk moet worden verteld wat de redenen zijn waarom je de persoonsgegevens wilt verwerken (het doel) maar ook alle andere zaken die van belang zijn om de betrokkene goed te informeren zodat hij weloverwogen een toestemming kan geven. Bijvoorbeeld hoe lang de gegevens bewaard worde of je van plan bent de gegevens door te geven aan een derde (wellicht zelfs in een ander land waar andere regels gelden zoals Amerika).
3. Tenslotte moet de gegeven toestemming ondubbelzinnig zijn. Er mag geen twijfel bestaan over het feit dat de betrokkene toestemming heeft gegeven.

Onevenredige inspanning

Worden de gegevens niet rechtstreeks bij de betrokkene verzameld dan kan het zijn dat u de betrokkene niet direct hoeft te informeren maar wel binnen een redelijke termijn. Tenzij het onmogelijk is om alle betrokkenen te informeren omdat dat bijvoorbeeld een onevenredige inspanning oplevert. Je moet dan wel duidelijk in je gegevensbeschermingsbeleid opnemen waarom de inspanning onevenredig is én je moet de informatie over de verwerking wel openbaar maken. Bijvoorbeeld via je website.