Artikel 7 AVG: voorwaarden voor geldige toestemming

Artikel 7 AVG bepaalt wanneer toestemming een geldige verwerkingsgrondslag is: de toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn gegeven, u moet die toestemming kunnen aantonen, en de betrokkene moet haar even makkelijk kunnen intrekken als geven. Deze voorwaarden staan in artikel 7 en artikel 4 lid 11 AVG. Ontbreekt één van deze elementen, dan is de toestemming ongeldig en heeft u geen grondslag — met alle gevolgen van dien: de verwerking is onrechtmatig vanaf het begin.

Artikel 7 is de meest onderschatte bepaling. Organisaties vragen toestemming waar een andere grondslag beter past, of vragen haar op een manier die de toets niet doorstaat.

Key Takeaways

• Geldige toestemming is vrij, specifiek, geïnformeerd en ondubbelzinnig (art. 4 lid 11 + art. 7).
• U moet toestemming kunnen aantonen (art. 7 lid 1) — de bewijslast ligt bij u.
• Intrekken moet even eenvoudig zijn als geven (art. 7 lid 3); na intrekking stopt de verwerking.
• In Nederland ligt de kinderleeftijd op 16 jaar (art. 5 UAVG) voor toestemming bij online diensten.
• In een gezagsverhouding (werkgever-werknemer) is toestemming zelden vrij, en dus zelden geldig.

De vier vereisten van artikel 7

Vrij. De betrokkene moet een echte keuze hebben, zonder nadeel bij weigering. Toestemming koppelen aan een dienst (“geen toestemming, geen toegang”) maakt haar in de regel onvrij. Ook een machtsonevenwicht — zoals tussen werkgever en werknemer of overheid en burger — ondergraaft de vrijheid.

Specifiek. Toestemming geldt per doel. Eén vinkje voor marketing, analytics én delen met derden voldoet niet; elk doel vraagt een eigen keuze.

Geïnformeerd. Vooraf moet duidelijk zijn wie de verantwoordelijke is, voor welke doelen wordt verwerkt en dat de toestemming intrekbaar is. Verwijzen naar een lange, vage privacyverklaring volstaat niet.

Ondubbelzinnig. Er is een actieve, duidelijke handeling nodig — een vakje dat de gebruiker zelf aanzet. Een voorgevinkt hokje of stilzwijgen is geen toestemming; dat bevestigde het EU-Hof in de Planet49-zaak (C-673/17, 2019). Ook doorscrollen of het simpelweg blijven gebruiken van een website telt niet als een geldige handeling: de toestemming moet een bewuste, actieve keuze zijn en niet iets wat de gebruiker per ongeluk uitlokt.

Concrete formuleringen en goede versus foute voorbeelden staan in toestemming onder de AVG met voorbeelden. Toestemming is één van de zes rechtsgronden uit artikel 6; kies haar alleen waar geen andere grondslag past.

Een aparte, strengere variant is de uitdrukkelijke toestemming. Waar gewone toestemming een actieve handeling vereist, vraagt uitdrukkelijke toestemming een expliciete verklaring — een aangevinkt vakje met een ondubbelzinnige tekst, een ondertekende verklaring of een bevestiging in twee stappen. Deze zwaardere vorm is nodig bij de verwerking van bijzondere persoonsgegevens (art. 9 lid 2 onder a), bij geautomatiseerde besluitvorming (art. 22) en bij bepaalde internationale doorgiftes (art. 49). Het verschil is niet cosmetisch: gewone toestemming afleiden uit gedrag kan soms, uitdrukkelijke toestemming vereist altijd een bewuste, aparte bevestiging die u kunt tonen.

Aantoonbaarheid en intrekking

Twee eisen die organisaties vaak vergeten. Ten eerste de aantoonbaarheid (art. 7 lid 1): u moet kunnen laten zien dát, wanneer en waarvoor iemand toestemming gaf. Dat betekent een vastgelegd toestemmingslog met tijdstip, doel en de exacte tekst die de gebruiker zag. Zonder dat bewijs staat u met lege handen bij een controle.

Ten tweede de intrekking (art. 7 lid 3): intrekken moet even makkelijk zijn als geven. Kon iemand met één klik toestemmen, dan mag uitschrijven geen telefoontje of formulier vereisen. Na intrekking stopt u de verwerking; de verwerking vóór de intrekking blijft rechtmatig.

Nederlandse specifieke regels

Twee punten uit de Uitvoeringswet AVG (UAVG). Ten eerste de kinderleeftijd: artikel 5 UAVG legt de grens op 16 jaar. Voor het aanbieden van een online dienst rechtstreeks aan een kind onder de 16 heeft u toestemming of machtiging van de ouder nodig. De AP beboette TikTok in 2021 met €750.000 onder meer omdat de informatie voor Nederlandse kinderen niet in het Nederlands beschikbaar was — geïnformeerde toestemming was daardoor onmogelijk.

Ten tweede de arbeidsverhouding: door het gezag van de werkgever is toestemming van een werknemer zelden vrij. De AP hanteert de lijn dat u een verwerking op de werkvloer beter op een andere grondslag baseert, zoals de arbeidsovereenkomst of een gerechtvaardigd belang. Zie ook AVG voor werkgevers en personeel. De AP licht haar toestemmingslijn toe op haar officiële website; de EDPB publiceerde uitgebreide richtsnoeren over toestemming (Guidelines 05/2020).

Voor organisaties die op grote schaal toestemming vragen — nieuwsbrieven, cookies, onderzoek — is het bijhouden van een sluitend toestemmingslog een uitdaging. Een compliance-platform zoals Legiscope koppelt de toestemming aan de verwerking en houdt de aantoonbaarheid bij, zodat u bij een klacht of controle kunt laten zien dat de toestemming geldig was.

Toestemming intrekken en de gevolgen

Het recht op intrekking is de spiegel van het recht om toestemming te geven, en organisaties onderschatten de operationele gevolgen ervan. Artikel 7 lid 3 eist niet alleen dat intrekken mogelijk is, maar dat het even eenvoudig is als toestemmen. Enkele concrete eisen:

• Eén-kliksymmetrie. Kon iemand met één vinkje toestemmen, dan mag afmelden geen inlogprocedure, telefoontje of papieren formulier vereisen.
• Vooraf informeren. Vóór de toestemming moet u de betrokkene wijzen op het recht om die weer in te trekken. Doet u dat niet, dan is de toestemming al bij aanvang niet geldig geïnformeerd.
• Verwerking staken. Na intrekking stopt u de verwerking die op de toestemming rustte. U mag niet automatisch overstappen op een andere grondslag om dezelfde verwerking voort te zetten; dat ondermijnt de vrije keuze.

De vraag die hieronder ligt, is of toestemming eigenlijk wel de juiste grondslag was. Omdat toestemming intrekbaar is en aantoonbaar moet zijn, is zij bewerkelijk. Voor veel verwerkingen — een lopende dienstverlening, beveiliging, wettelijke plichten — past een andere rechtsgrond uit artikel 6 beter en robuuster. Reserveer toestemming voor situaties waarin de betrokkene werkelijk een vrije keuze heeft en waarin geen andere grondslag opgaat, zoals optionele marketing, cookies die toestemming vereisen, of deelname aan onderzoek. Gebruikt u toestemming waar zij niet nodig is, dan creëert u een intrekbare grondslag waar u er een stabiele had kunnen hebben — en loopt u het risico dat de verwerking stilvalt zodra iemand zich bedenkt.

FAQ

Wanneer is toestemming onder de AVG geldig?

Als zij vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven, als u haar kunt aantonen, en als de betrokkene haar even makkelijk kan intrekken als geven. Ontbreekt één element, dan is de toestemming ongeldig en mist u een grondslag voor de verwerking.

Moet ik kunnen bewijzen dat iemand toestemming gaf?

Ja. Artikel 7 lid 1 legt de bewijslast bij u. U moet kunnen aantonen dát iemand toestemde, wanneer, waarvoor en op basis van welke informatie. In de praktijk vereist dat een toestemmingslog met tijdstip, doel en de getoonde tekst.

Kan een werknemer geldig toestemming geven aan de werkgever?

Zelden. Door de gezagsverhouding is de keuze meestal niet vrij. De AP en de EDPB adviseren daarom om verwerkingen op de werkvloer op een andere grondslag te baseren, zoals de arbeidsovereenkomst of een wettelijke plicht.

Wat gebeurt er als iemand zijn toestemming intrekt?

U stopt de verwerking die op die toestemming was gebaseerd. De verwerking die vóór de intrekking plaatsvond, blijft rechtmatig. Intrekken moet even eenvoudig zijn als toestemmen; anders is de toestemming al bij aanvang ongeldig.

Zie ook: een model toestemmingsformulier.