Kort antwoordNee, niet altijd. De AVG kent zes rechtsgronden om persoonsgegevens te verwerken, en toestemming is er maar één van. Voor een bestelling, een factuur of een klantendossier heb je meestal geen toestemming nodig, omdat je de gegevens gebruikt voor de overeenkomst of voor een wettelijke verplichting. Toestemming heb je wel nodig voor e-mailreclame aan nieuwe contacten en voor niet-noodzakelijke cookies.
Veel ondernemers denken dat ze voor alles een vinkje moeten laten aanklikken. Andere sturen dan weer een nieuwsbrief naar iedereen die ooit een offerte vroeg. Allebei klopt het niet. In dit artikel lees je wanneer je toestemming nodig hebt, wanneer niet, en waar een geldige toestemming aan moet voldoen.
Wat zijn persoonsgegevens?
Alle informatie over een persoon die je kan identificeren: een naam, een e-mailadres, een telefoonnummer, een adres, maar ook een IP-adres of locatiegegevens. Ook het e-mailadres van een contactpersoon bij een klant (voornaam.naam@bedrijf.be) is een persoonsgegeven. De AVG geldt dus ook als je enkel met bedrijven werkt.
De zes rechtsgronden van de AVG
Je mag persoonsgegevens enkel verwerken als je minstens één van deze rechtsgronden hebt (artikel 6.1 AVG). Je kiest er één per doel, en je vermeldt ze in je privacybeleid.
| Rechtsgrond | Wanneer | Voorbeeld bij een kmo |
|---|---|---|
| Toestemming | de persoon stemt vrij en duidelijk in, voor een specifiek doel | nieuwsbrief, niet-noodzakelijke cookies |
| Overeenkomst | nodig om een overeenkomst uit te voeren of op vraag van de persoon een offerte op te maken | een bestelling leveren, een opdracht uitvoeren |
| Wettelijke verplichting | een wet verplicht je om de gegevens te verwerken | facturen bijhouden voor je boekhouding |
| Vitaal belang | nodig om iemands leven of gezondheid te beschermen | gegevens doorgeven aan de hulpdiensten bij een ongeval |
| Taak van algemeen belang | een taak van algemeen belang of van openbaar gezag | zelden bij een private onderneming |
| Gerechtvaardigd belang | jouw belang weegt zwaarder dan het belang van de persoon | camerabewaking tegen diefstal, fraude voorkomen |
Beroep je je op een gerechtvaardigd belang, maak dan een korte afweging op papier: welk belang heb je, is de verwerking echt nodig, en wat verwacht de persoon redelijkerwijs? Dat hoeft geen rapport te zijn, maar als iemand je ernaar vraagt, moet je het kunnen tonen.
Wanneer heb je toestemming nodig?
In de praktijk vooral in twee situaties.
Reclame per e-mail. Artikel XII.13 van het Wetboek van economisch recht verbiedt reclame via e-mail zonder voorafgaande, vrije, specifieke en geïnformeerde toestemming. Het koninklijk besluit van 4 april 2003 maakt twee uitzonderingen. De eerste geldt voor je eigen klanten: je kreeg hun e-mailadres rechtstreeks bij een verkoop, je stuurt enkel reclame voor gelijkaardige producten of diensten van jezelf, en je gaf hun al bij het verzamelen van het adres de kans om zich daar gratis en eenvoudig tegen te verzetten. De tweede geldt voor onpersoonlijke adressen van bedrijven, zoals info@. Iemand die enkel een offerte vroeg, is nog geen klant: dat adres zet je dus niet zomaar in je nieuwsbrieflijst.
Cookies en trackers. Voor cookies die niet strikt noodzakelijk zijn (statistieken, advertenties, ingesloten video’s) heb je vooraf toestemming nodig, volgens artikel 10/2 van de wet van 30 juli 2018. Daarvoor dient je cookiebanner.
Waar moet een geldige toestemming aan voldoen?
Toestemming is volgens de AVG een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting, via een verklaring of een duidelijke actieve handeling (artikel 4.11). Artikel 7 voegt daar een paar regels aan toe. Concreet:
- Actief. Een vakje dat al aangevinkt staat, of “door verder te surfen ga je akkoord”, is geen toestemming.
- Per doel. Toestemming voor je nieuwsbrief is geen toestemming om gegevens door te geven aan een partner. Vraag ze apart.
- Los van andere zaken. Zit de vraag in een tekst die ook over andere dingen gaat, zoals je algemene voorwaarden, dan moet ze er duidelijk van te onderscheiden zijn.
- Vrij. Je maakt een dienst niet afhankelijk van toestemming voor iets dat je voor die dienst niet nodig hebt.
- Intrekbaar. Intrekken moet even eenvoudig zijn als toestemming geven, en je zegt dat vooraf.
- Aantoonbaar. Jij moet kunnen bewijzen dat iemand toestemde. Bewaar dus wanneer en hoe.
Een dubbele opt-in (iemand bevestigt zijn inschrijving via een link in een mail) is wettelijk niet verplicht. Ik raad het wel aan: je hebt meteen het bewijs, en je lijst blijft vrij van tikfouten en valse adressen.
Privacybeleid laten opstellenIk zet per doel de juiste rechtsgrond in je privacybeleid, en ik kijk mee naar je formulieren en je nieuwsbriefinschrijving. Vaste prijs van €180 excl. btw, je ontwerp krijg je binnen 2 tot 5 werkdagen. Privacybeleid laten opstellen
Ook zonder toestemming moet je informeren
Heb je geen toestemming nodig, dan moet je de persoon toch informeren: wie je bent, waarvoor je de gegevens gebruikt, op welke rechtsgrond, hoe lang je ze bewaart, met wie je ze deelt en welke rechten hij heeft. Dat is de informatieplicht van artikel 13 en 14 AVG, en dat doe je in je privacybeleid. Wat daar allemaal in moet, lees je in Privacybeleid voor je onderneming: ben je verplicht en wat moet erin?
Veelgestelde vragen
Moet ik toestemming vragen om een factuur te sturen?
Nee. De gegevens op een factuur heb je nodig om de overeenkomst uit te voeren, en je moet facturen bijhouden voor je boekhouding. Dat zijn twee rechtsgronden zonder toestemming. Vermeld het wel in je privacybeleid.
Mag ik mijn klanten een nieuwsbrief sturen zonder toestemming?
Onder voorwaarden wel: aan klanten van wie je het e-mailadres rechtstreeks kreeg bij een verkoop, enkel voor gelijkaardige producten of diensten van jezelf, als je hun bij het verzamelen al de kans gaf om dat gratis te weigeren, en met een eenvoudige manier om zich uit te schrijven in elke mail. Voor nieuwe contacten en voor andere producten heb je toestemming nodig.
Is een aangevinkt vakje bij het afrekenen geldige toestemming?
Nee. Toestemming vraagt een actieve handeling van de klant zelf. Laat het vakje leeg en laat de klant zelf aanvinken.
Wat als iemand zijn toestemming intrekt?
Dan stop je met die verwerking. Wat je vóór de intrekking deed, blijft rechtmatig. Gegevens die je op een andere rechtsgrond bijhoudt, zoals zijn facturen, mag je blijven bewaren.
Twijfel je welke rechtsgrond bij welk doel hoort? Dan zet ik het voor je op een rij in een privacybeleid op maat, aan een vaste prijs.
