GDPR Consent — essentie, vereisten en het verkrijgen van toestemming

Wat is GDPR Consent?

GDPR Consent — is een rechtsgrond voor de verwerking van persoonsgegevens, zoals gedefinieerd in artikel 4(11) en artikel 7 van de Algemene Verordening Gegevensbescherming van de Europese Unie. De verordening trad in werking op 25 mei 2018 en verving de verouderde Richtlijn 95/46/EG, waarbij uniforme normen voor gegevensbescherming voor alle EU-lidstaten werden vastgesteld.

Volgens de GDPR moet toestemming vrijelijk worden gegeven — de gebruiker moet een echte keuze hebben zonder negatieve gevolgen bij weigering. Als weigering van toestemming leidt tot weigering van toegang tot een dienst die geen gegevensverwerking vereist, wordt dergelijke toestemming als gedwongen en ongeldig beschouwd. Artikel 7(4) bepaalt uitdrukkelijk dat gerelateerde contractuele voorwaarden de uitvoering van het contract niet afhankelijk kunnen stellen van het verkrijgen van toestemming voor de verwerking van gegevens die niet noodzakelijk zijn voor dit contract.

Geïnformeerdheid — het tweede sleutelelement: de betrokkene moet begrijpen welke gegevens precies worden verzameld, met welk doel, door wie ze zullen worden verwerkt en hoe lang ze worden bewaard. Het Europees Comité voor gegevensbescherming (EDPB) benadrukt in richtsnoer 05/2020 dat informatie in begrijpelijke taal moet worden verstrekt, zonder complexe juridische formuleringen. De praktijk leert dat toestemming ongeldig wordt verklaard als het privacybeleid dubbelzinnige of algemene formuleringen bevat.

Ondubbelzinnigheid betekent dat toestemming moet worden gegeven door een actieve handeling — het aanvinken van een vakje, het indrukken van een knop of het ondertekenen van een formulier. Niet-handelen, stilzwijgen of vooraf aangevinkte vakjes voldoen niet aan de eis van ondubbelzinnigheid. In het arrest in de zaak Planet49 GmbH (C-673/17) bevestigde het Hof van Justitie van de Europese Unie dat toestemming niet kan worden afgeleid uit het niet-handelen van de gebruiker.

Welke gegevens vallen onder de GDPR

Persoonsgegevens volgens de GDPR — alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon. Dit omvat niet alleen voor de hand liggende identificatiegegevens — naam, adres, e-mail, telefoon — maar ook IP-adressen, cookie-ID's, advertentie-ID's van apparaten (IDFA, GAID), biometrische gegevens, geolocatie en genetische informatie.

Artikel 9 GDPR onderscheidt bijzondere categorieën gegevens waarvan de verwerking zonder uitdrukkelijke toestemming verboden is: ras of etnische afkomst, politieke opvattingen, religieuze overtuigingen, lidmaatschap van vakbonden, genetische en biometrische gegevens, gezondheidsgegevens en gegevens over seksuele geaardheid. Voor dergelijke categorieën is de strengste vorm van toestemming vereist — afzonderlijk, gedetailleerd en niet af te leiden uit de algemene context.

Wanneer is GDPR Consent verplicht

GDPR Consent is vereist wanneer de gegevensverwerking niet kan worden gebaseerd op andere rechtsgronden: contractuele noodzaak (artikel 6(1)(b)), gerechtvaardigd belang (artikel 6(1)(f)) of nakoming van een wettelijke verplichting (artikel 6(1)(c)). In de praktijk is toestemming noodzakelijk voor marketingmailings, tracking voor advertentiedoeleinden, het verzamelen van niet-verplichte gegevens en het gebruik van cookies die niet strikt noodzakelijk zijn voor de werking van de dienst.

Volgens gegevens van het IAPP-EY Annual Governance Report (2024) gebruikt 67% van de bedrijven toestemming als voornaamste rechtsgrond voor gegevensverwerking in mobiele apps, ondanks de groeiende trend om waar mogelijk over te stappen op gerechtvaardigd belang. Dit komt doordat toestemming de meest transparante relatie met de gebruiker biedt, maar tegelijkertijd maximale verplichtingen oplegt op het gebied van registratie en beheer van toestemmingen.

De belangrijkste GDPR-vereisten voor toestemming

Artikel 7 GDPR stelt zes voorwaarden voor de geldigheid van toestemming, waaraan allemaal tegelijkertijd moet worden voldaan. Schending van ten minste één voorwaarde maakt de toestemming ongeldig en de gegevensverwerking onrechtmatig. Laten we elke voorwaarde in detail bekijken, rekening houdend met de EDPB-richtsnoeren en de jurisprudentie.

Vrijwilligheid van toestemming wordt geschonden wanneer er een machtsongelijkheid bestaat tussen de verwerkingsverantwoordelijke en de betrokkene. De EDPB geeft uitdrukkelijk aan dat werkgevers niet kunnen vertrouwen op de toestemming van werknemers vanwege de afhankelijkheid in arbeidsrelaties. Evenzo kunnen overheidsinstanties bij het verlenen van overheidsdiensten geen toestemming van burgers eisen.

Specificiteit vereist afzonderlijke toestemming voor elk verwerkingsdoel. Als een app gegevens verzamelt voor analyse, personalisatie van advertenties en verbetering van de dienst — voor elk doel is een afzonderlijk vakje vereist. Het combineren van meerdere doelen in één toestemming schendt de eis van specificiteit en maakt de toestemming ongeldig.

Bewijsbaarheid — de technologisch meest veeleisende voorwaarde. Artikel 7(1) bepaalt uitdrukkelijk dat de verwerkingsverantwoordelijke de bewijslast draagt voor het verkrijgen van toestemming. In de praktijk betekent dit de noodzaak om een logboek bij te houden van alle gebruikersacties: wie, wanneer, voor welke doeleinden toestemming heeft gegeven, welke versie van het privacybeleid werd getoond en hoe de gebruiker deze heeft ingetrokken.

Hoe implementeer je het verzamelen van toestemming in een mobiele app

De implementatie van GDPR Consent in een mobiele app vereist een alomvattende aanpak die juridische vereisten combineert met technische implementatie. Het belangrijkste instrument — Consent Management Platform (CMP), die de levenscyclus van toestemming beheert: weergave van het verzoek, registratie van de keuze, opslag van gegevens en synchronisatie met advertentie- en analyse-SDK's.

Gebruik van Google UMP SDK

Google biedt User Messaging Platform (UMP) SDK voor Android en iOS, die integreert met AdMob, Google Analytics en andere Google-diensten. De UMP SDK bepaalt automatisch de noodzaak om toestemming te tonen op basis van de geolocatie van de gebruiker en de GDPR-vereisten. Laten we de integratie in Kotlin voor Android bekijken:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Nadat het toestemmingsformulier is geladen, moet het aan de gebruiker worden getoond. De UMP SDK ondersteunt twee soorten formulieren: voor het verkrijgen van toestemming voor gepersonaliseerde advertenties en voor het beheren van de keuze in de toekomst. De verwerking van het resultaat moet rekening houden met alle mogelijke uitkomsten — de gebruiker kan toestemming geven, weigeren of het formulier zonder keuze sluiten.

Opslag en verificatie van toestemming

Om te voldoen aan de eis van bewijsbaarheid is het nodig om niet alleen het feit van toestemming op te slaan, maar ook de context van het verkrijgen ervan. De minimale set gegevens om op te slaan omvat: gebruikers- of apparaat-ID, tijdstempel met tijdzone, versie van het privacybeleid, specifieke verwerkingsdoeleinden en het gebruikte toestemmingsmechanisme.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Het Europees Comité voor gegevensbescherming (EDPB) benadrukt in aanbeveling 01/2023 dat toestemmingsregistraties moeten worden bewaard gedurende de gehele periode van gegevensverwerking en tot drie jaar na beëindiging ervan. Voor mobiele apps betekent dit de noodzaak van serveropslag van registraties, niet alleen lokaal, omdat de gebruiker de app opnieuw kan installeren of van apparaat kan wisselen.

Hoe verschilt GDPR van andere privacyregelgeving

GDPR — is niet de enige privacyregelgeving ter wereld, maar is een model geworden voor veel nationale wetten inzake gegevensbescherming. Inzicht in de verschillen tussen de GDPR en andere regelgeving is van cruciaal belang voor ontwikkelaars van internationale apps die werken met gebruikers uit verschillende rechtsgebieden.

CCPA (California Consumer Privacy Act) verschilt fundamenteel van de GDPR: het werkt volgens het opt-out-model, niet opt-in. Volgens de CCPA zijn bedrijven verplicht om de gebruiker het recht te geven de verkoop van zijn gegevens te weigeren, maar zijn ze niet verplicht om voorafgaande toestemming te verkrijgen voor het verzamelen. Met de goedkeuring van de CPRA (California Privacy Rights Act) in 2023 zijn de vereisten voor toestemming voor gevoelige gegevens echter dichter bij de GDPR komen te liggen.

ePrivacy-richtlijn (Richtlijn betreffende privacy in elektronische communicatie) vult de GDPR aan wat betreft cookies en elektronische marketing. In tegenstelling tot de GDPR, die alle persoonsgegevens reguleert, richt ePrivacy zich op communicatiegegevens. De eis om toestemming te verkrijgen voor niet-noodzakelijke cookies komt voort uit ePrivacy, niet uit de GDPR, hoewel het toestemmingsmechanisme hetzelfde is.

De LGPD van Brazilië kopieert vrijwel volledig de structuur van de GDPR met kleine wijzigingen: de toestemmingsleeftijd is verhoogd naar 18 jaar en de verwerking van gegevens van overleden personen vereist toestemming van de erfgenamen. De PIPL van China daarentegen voert strengere eisen in: verplichte gegevenslokalisatie, gegevensbeschermingseffectbeoordeling (DPIA) voor alle geautomatiseerde beslissingen en kennisgeving van gegevensoverdracht naar het buitenland.

Typische fouten bij het implementeren van GDPR Consent

Analyse van boetes en bevelen van Europese toezichthoudende autoriteiten over de periode 2018-2024 laat herhaalde schendingen zien bij de implementatie van toestemming. Volgens gegevens van Enforcement Tracker (CMS Law, 2024) heeft meer dan 40% van alle GDPR-gerelateerde boetes betrekking op het onjuist verkrijgen en beheren van toestemming. Laten we de meest voorkomende fouten bekijken.

Vooraf aangevinkte vakjes en passieve toestemming

De meest voorkomende fout — het gebruik van vooraf aangevinkte vakjes (pre-ticked checkboxes) om toestemming te verkrijgen. Het arrest van het Hof van Justitie van de EU in de zaak Planet49 GmbH (C-673/17) heeft ondubbelzinnig bepaald dat toestemming niet kan worden afgeleid uit het niet-handelen van de gebruiker. Desondanks blijven veel apps vooraf aangevinkte opties gebruiken, vooral voor cookiebanners, wat leidt tot directe boetes en bevelen.

De Franse Commissie voor informatica en vrijheden (CNIL) heeft in 2024 een groot RTB-advertentieholding beboet met 250 miljoen euro voor het gebruik van vooraf aangevinkte vakjes en onvoldoende transparante informatieverstrekking aan gebruikers. Dit is de hoogste boete op het artikel met betrekking tot toestemming, wat de prioriteit van toestemmingscontrole voor Europese toezichthouders aantoont.

Het combineren van doelen in één toestemming

Veel apps vragen om één algemene toestemming voor alle soorten verwerking: analyse, personalisatie, reclame, overdracht aan derden. Dit schendt rechtstreeks de eis van specificiteit (doelbinding). De EDPB benadrukt in richtsnoer 05/2020: als het ene doel kan worden bereikt zonder het andere, moet de gebruiker de mogelijkheid hebben om afzonderlijk toestemming te geven voor elk doel.

De Ierse gegevensbeschermingscommissie (DPC) heeft in haar beslissing in de zaak Meta Platforms Ireland (2023) aangegeven dat het combineren van personalisatie van advertenties en verbetering van de dienst in één toestemming een schending is. Meta werd verplicht om afzonderlijke toestemmingsmechanismen te implementeren voor verschillende verwerkingsdoeleinden in Facebook en Instagram.

Moeilijke of onmogelijke intrekking van toestemming

De GDPR vereist dat intrekking van toestemming net zo eenvoudig is als het verlenen ervan. Als de gebruiker toestemming heeft gegeven met één druk op de knop, kan intrekking niet het invullen van een formulier, het verzenden van een e-mail of het bellen met de klantenservice vereisen. In de praktijk verbergen veel apps het intrekkingsmechanisme diep in de instellingen of vereisen ze meerdere stappen om het uit te voeren.

Aanbevolen praktijk — het toevoegen van een apart scherm voor het beheren van toestemmingen in de app-instellingen met de mogelijkheid om elke toestemming afzonderlijk in te trekken met één schakelaar. De UMP SDK van Google biedt een ingebouwd mechanisme voor het opnieuw tonen van het toestemmingsformulier, dat de gebruiker op elk moment vanuit de app-instellingen kan oproepen.

Ontbreken van bewijs van het verkrijgen van toestemming

Veel ontwikkelaars vertrouwen op mondelinge toestemmingen of bewaren geen registraties van het verkrijgen van toestemming. Dit maakt het onmogelijk om te voldoen aan de eis van bewijsbaarheid (verantwoordingsplicht) op grond van artikel 5(2) GDPR. Bij een inspectie zal de toezichthoudende autoriteit niet alleen het privacybeleid opvragen, maar ook de logboeken van het verkrijgen van toestemming voor de gehele periode van gegevensverwerking.

De oplossing voor het probleem — het gebruik van een Consent Management Platform (CMP) met automatische logging van alle gebeurtenissen: weergave van het formulier, keuze van de gebruiker, versie van het document, tijdstempel. Populaire CMP's voor mobiele apps zijn onder meer Usercentrics, OneTrust en ConsentManager — ze ondersteunen allemaal automatische auditregistratie van toestemmingen.