6.11. De toestemming

Er blijven in deze context nog twee belangrijk privacyrechtelijke vraagstukken over. 1. Hoe moet de voorgeschreven toestemming in het agentensysteem worden omgegaan c.q. worden ingebouwd, 2. hoe moet worden gehandeld wanneer persoons- en transactiegegevens moeten worden overgedragen aan agenten die opereren onder andere rechtssystemen, dan die van de EU en EEA.

Los van het feit dat het eerste uitgangspunt voor het ontwerp van een privacyveilige agent anonimiteit en pseudo-identiteit is, blijft direct daarna het meest belangrijke ontwerpbeginsel het managen van de toestemming van de gebruiker/betrokkene, voor zover toestemming wettelijk vereist is Immers, de Richtlijn 95/46/EG vereist in artikel 7 (a) dat de persoonsgegevens slechts kunnen worden verwerkt als de betrokkene zijn of haar ondubbelzinnige toestemming heeft gegeven. Volgens de Richtlijn, betekent de toestemming van de betrokkene `any freely given specific and informed indication by which the data subject signifies his agreement to personal data relating to him being processed'. Zoals in hoofdstuk 2 is aangegeven, betekent dit dat de betrokkene zonder dwang precies aangeeft wat zijn wensen zijn met betrekking tot de te verwerken persoonsgegevens.1 Het is daarom essentieel dat gebruikers begrijpen wanneer en wat voor een verplichting zij aangaan en wat de gevolgen daarvan zijn. Zij dienen zich dan ook bewust te zijn van de bijzondere omstandigheden wanneer hun persoonsgegevens zonder hun toestemming of zonder dat er sprake is van een overeenkomst worden verwerkt. Vandaar dat in de interface tussen gebruiker en de agent dit prominent en duidelijk dient te zijn, bijvoorbeeld door in een 'pop-up window' consultatievragen van de agent aan de gebruiker te stellen over hoe te handelen met betrekking tot het geven van toestemming Dat betekent dat bij de testen van de ISA moet worden nagegaan of voldaan wordt aan de vier 'human computer interfaces' (HCI) (de 4 C's) vereisten2 , te weten:

De PISA-`demonstrator' is in Ottawa door het National Research Center onder 200 studenten op de 4 C's getest. De resultaten waren dat:

Terecht merkt Bygrave5 op dat als de toestemming via elektronische agents wordt uitgevoerd dat een dergelijke toestemming slechts geldig zal zijn wanneer dit conform de wettelijke vereisten conform de Richtlijn 95/46/EG geschiedt. Juridische analyse van dit vraagstuk in de context van agents leidt tot de conclusie dat het toestemmingsvereiste alleen wordt vervuld als er sprake is van het telkens per transactie of taak creëren van één specifieke eenmalige en tijdgebonden `task agent'. Zoals uit het vorenstaande blijkt voldoet het PISA-ontwerp van de `task agents' hieraan. De specifieke PISA-`task agent' (die door de monitor agent wordt gelogd) levert het bewijs van de vereiste ondubbelzinnige toestemming voor de verwerking van persoonsgegevens voor de transactie of opgelegde taak. Ingewikkelder is het feit dat de Richtlijn de verwerking van gevoelige of speciale categorieën van gegevens verbiedt dan wel aan strikte voorwaarden bindt, zoals gegevens over ras of etnische oorsprong, politieke standpunten, godsdienstige of filosofische opvattingen, vakbondslidmaatschap, de gezondheid of de seksuele geaardheid. Dit verbod bij de verwerking van deze gegevens kan worden opgeheven wanneer verwerking plaatsvindt na expliciete toestemming van de betrokkene. De vereiste toestemming kan tezamen met een biometrisch kenmerk van de gebruiker in een zodanige elektronische vorm worden verstrekt dat de onherroepelijkheid van die toestemming boven elke twijfel verheven is. Bovendien geldt als voorwaarde dat uit een begeleidende tijdsstempel die aan de expliciete toestemming van de gebruiker is gehecht, moet blijken dat de toestemming recent is, bijvoorbeeld niet ouder dan 24 uur.

Artikel 8 lid 2 van de Richtlijn 95/46/EG geeft aan wanneer het verbod vervat in lid 1 niet toepassing is, bijvoorbeeld als gegevens moeten worden verwerkt in het kader van de medische zorg. Voor het ontwerp van de PISA-applicant is het bepaalde in artikel 8 lid 2b van belang. Dit lid bepaalt dat lid 1 niet van toepassing is wanneer: "de verwerking noodzakelijk is met het oog op de uitvoering van de verplichtingen en de rechten van de voor de verwerking verantwoordelijke inzake arbeidsrecht, voor zover zulks is toegestaan bij de nationale wetgeving en deze adequate garanties biedt."

Opinion 114 van de Article 29 Working Party over de toestemming in een arbeidscontext stelt dat:

Per lidstaat kunnen er nog wel eens verschillen optreden. Het vereiste in de Franse wet op de gegevensbescherming7 met betrekking tot de 'uitdrukkelijke toestemming' voor de verwerking van gevoelige gegevens, is dat de toestemming schriftelijk dient te worden gegeven.8 Dat kan natuurlijk met software agents niet. De Franse `Commission nationale de l'Informatique et des Libertés' (CNIL) heeft bepaald dat met betrekking tot verwerking van gevoelige gegevens via het internet, de betrokkene met een 'tweemaal klikken' van de muis aangeeft uitdrukkelijk toe te stemmen (d.w.z. de eerste 'klik' bevestigt dat men bewust is van de voorgestelde verwerking en de tweede klik geeft aan dat men uitdrukkelijk toestemt).9 Verschillende DPA's binnen de EU hebben voorgesteld als blijk van toestemming een vierkantje aan te klikken of aan te kruisen.10 In privacyveilige agents wordt het toestemmingsmechanisme ondervangen door strikte 'transfer rules' in de agent in te bouwen en door met `Just-In-TimeClick-Through Agreements' (JITCA's) te werken. JITCA's zijn gebaseerd op de observatie dat de meest voorkomende manier om toestemming in computerapplicaties te krijgen, plaatsvindt door middel van een gebruikersovereenkomst. Na installatie van bijvoorbeeld software op een pc wordt op het scherm vaak een interfacevlak getoond met een virtuele knop met de woorden 'I agree'. Bij afronding van de installatie van software, moet de gebruiker als bewijs van instemming met de voorwaarden op deze knop klikken.11 Patrick en Kenny wijzen erop dat: "The main feature of a JITCA is not to provide a large, complete list of service terms but instead to confirm the understanding or consent on an asneeded basis. These small agreements are easier for the user to read and process and facilitate a better understanding of the decision being made in-context."12

Een JITCA is geen standaard contract vergelijkbaar met algemene voorwaarden, maar een korte omschrijving van de beslissing die genomen moet worden. In de loop van de onderhandelingen met de agents kunnen zeer veel JITCA's voorkomen. De EU Article 29 Working Party heeft in haar 'Opinion On More Harmonized Information Provisions' van 25 november 2004 een mededeling met een drie lagenstructuur voorgesteld waarin de informatie, die in artikel 10 van de Richtlijn 95/46/EG is voorgeschreven, is opgenomen.13 JITCA's voldoen aan de vereisten van de hierboven vermelde Opinion en kunnen dus beschouwd worden als te voldoen aan de toestemming vereisten ex artikel 7 (a) van de Richtlijn 95/ 46/EG.