Toestemmingsvakjes die standhouden als bewijs

Artikel 6, lid 1 van de AVG noemt zes rechtsgronden, en toestemming is er maar één van. Welke past, hangt af van wat je met de gegevens doet, niet van het formulier zelf.

• Reageren op een vraag. De persoon heeft je iets gevraagd en verwacht een antwoord. Dit wordt doorgaans afgehandeld op grond van artikel 6, lid 1, onder b, stappen op verzoek van de persoon vóór een overeenkomst, of onder f, gerechtvaardigde belangen. Een toestemmingsvakje voegt hier weinig toe, en het heeft een nadeel: toestemming kan op elk moment worden ingetrokken (artikel 7, lid 3), waarna je moet stoppen met verwerken op die grond.
• Marketingmail of een nieuwsbrief. Iemand op een mailinglijst zetten gaat verder dan wat de persoon heeft gevraagd. Dit is het klassieke geval voor een apart, optioneel toestemmingsvakje. E-mailmarketing wordt ook geregeld door nationale regels die de ePrivacyrichtlijn implementeren, die in de meeste gevallen ook vooraf toestemming vereisen.
• Gegevens voor later bewaren. Het cv van een sollicitant bewaren voor toekomstige vacatures, of gegevens delen met een partner voor diens eigen gebruik, zijn afzonderlijke doeleinden. Elk heeft een eigen grondslag nodig, en toestemming is vaak de juiste.
• Bijzondere categorieën persoonsgegevens. Gezondheidsgegevens en de andere categorieën uit artikel 9 hebben naast een rechtsgrond een voorwaarde uit artikel 9, lid 2 nodig; uitdrukkelijke toestemming is er een van.

Artikel 4, punt 11 definieert toestemming als vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig. Artikel 7 voegt de voorwaarden toe. In formulierentermen:

• Het vakje staat standaard niet aangevinkt. Stilzwijgen, vooraf aangevinkte vakjes en inactiviteit zijn geen toestemming (overweging 32).
• Eén vakje per doel, los van het accepteren van je voorwaarden (artikel 7, lid 2).
• De dienst is niet afhankelijk van het aanvinken ervan als de gegevens niet nodig zijn voor de dienst (artikel 7, lid 4).
• De persoon kan toestemming even eenvoudig intrekken als die is gegeven, en wordt daarvan vooraf op de hoogte gesteld (artikel 7, lid 3).
• Je kunt aantonen dat de persoon toestemming heeft gegeven, en voor welke tekst (artikel 7, lid 1).

Het Europees Comité voor gegevensbescherming (EDPB) behandelt elke voorwaarde in detail, met voorbeelden, in de Richtsnoeren 05/2020 over toestemming.

Een goede toestemmingstekst noemt wie je bent, het specifieke doel en hoe iemand zijn toestemming kan intrekken. Hij leest als een zin waarmee een persoon instemt, niet als juridische tekst. Bijvoorbeeld:

Stuur me de maandelijkse nieuwsbrief van Acme Studio over nieuwe cursussen. Ik kan me op elk moment afmelden via de link in elke e-mail. Lees het privacybeleid.

Formuleringen die je beter vermijdt: “Ik ga akkoord met de voorwaarden en het privacybeleid” (gebundeld en zonder specifiek doel), “Ik geef toestemming voor de verwerking van mijn gegevens” (welke verwerking, waarvoor?), of alles waarbij het versturen van de aanvraag afhankelijk is van het aanmelden voor een mailinglijst.

Elk formulier heeft een AVG-toestemmingsinstelling in de privacyinstellingen, beschikbaar op elk abonnement, inclusief Free. Je schakelt het vastleggen van toestemming in, schrijft de toestemmingstekst (maximaal 2.000 tekens) en kiest of toestemming verplicht is.

• Gehoste formulieren tonen het vinkvakje automatisch, niet aangevinkt, met jouw tekst ernaast.
• Verplichte toestemming. Als toestemming verplicht is, wordt een inzending zonder aangevinkt vakje geweigerd met 422 consent_required voordat ze wordt opgeslagen of meetelt voor je quotum.
• Bewijs. Wanneer iemand het vakje aanvinkt, slaat Formward de op het formulier ingestelde toestemmingstekst op, samen met het tijdstip van de inzending. Beide worden getoond in de weergave van de inzending. De tekst is een momentopname: als je de tekst later wijzigt, behouden eerdere inzendingen de tekst die de afzenders zagen.
• Optionele toestemming. Als toestemming niet verplicht is en het vakje niet is aangevinkt, wordt de inzending geaccepteerd en wordt er geen toestemming voor vastgelegd.

Formward legt toestemming vast, maar beheert het intrekken ervan niet voor jou. Als iemand zijn toestemming intrekt, stop dan de verwerking die erop berustte (bij een nieuwsbrief meld je die persoon af in je mailingtool) en verwijder, als die persoon erom vraagt, zijn inzendingen.

Voeg bij een formulier dat je zelf host een vinkvakje toe met de naam _consent. Formward beschouwt on, true, 1 en yes als gegeven toestemming; een browser stuurt on voor een aangevinkt vakje en niets voor een niet-aangevinkt vakje.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Houd het label gelijk aan de toestemmingstekst in de instellingen van het formulier. Formward slaat de ingestelde tekst op, nooit tekst die door de browser is verzonden, dus die twee moeten overeenkomen zodat de registratie beschrijft wat de persoon daadwerkelijk zag. De waarde van _consent zelf wordt niet samen met de antwoorden opgeslagen.