Einde inhoudsopgave
Privacyrecht is code (R&P nr. ICT1) 2010/6.11
6.11. De toestemming
drs. J.J.F.M. Borking, datum 26-05-2010
- Datum
26-05-2010
- Auteur
drs. J.J.F.M. Borking
- JCDI
JCDI:ADS575268:1
- Vakgebied(en)
Civiel recht algemeen (V)
Voetnoten
Voetnoten
Korff, 2007, p. 13: 'According to article 2 (t) of the Directive 2002/58/EC 'consent' by the user or subscriber corresponds to the data subject's consent in the Directive 95/46/EC. Recital 17 adds that 'consent' may be given by any appropriate method enabling a freely given specific and informed indication of the user's wishes, including by ticking a box when visiting a Internet website.'
Van Blarkom, Borking, & Olk, 2003, p. 260-265 voor een uitvoerige beschrijving van de beginselen van HCI.
Mulder & Borking, 2006, p. 256.
Huizenga, 2006, p. 18.
Bygrave, 2001, p. 288.
La loi n 78-17 relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978/modification la loi du 6 aout 2004.
Ook in de Bondsrepubliek Duitsland bevat de Federale Wet op de gegevensbescherming in artikel 4 a lid 1 de bepaling dat de toestemming schriftelijk moet geschieden. Maar in artikel 2 lid 3 van de Duitse handtekeningenwet mag er ook sprake zijn van een elektronische handtekening, tenzij specifieke omstandigheden een andere vorm toestaan.
Borking, 2005.
Camenish, Leenes & Sommer, 2008, p. 368.
Patrick, 2002, p. 1. Over de juridische haalbaarheid is net als over de shrink wrap agreement veel gediscussieerd. The Cyberspace Law Committee of the American Bar Association heeft zes richtlijnen voor JITCA's gepubliceerd.
Patrick & Kenny, 2003, p. 107-124.
http//: ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2004/wp100_en.pdf.
Er blijven in deze context nog twee belangrijk privacyrechtelijke vraagstukken over. 1. Hoe moet de voorgeschreven toestemming in het agentensysteem worden omgegaan c.q. worden ingebouwd, 2. hoe moet worden gehandeld wanneer persoons- en transactiegegevens moeten worden overgedragen aan agenten die opereren onder andere rechtssystemen, dan die van de EU en EEA.
Los van het feit dat het eerste uitgangspunt voor het ontwerp van een privacyveilige agent anonimiteit en pseudo-identiteit is, blijft direct daarna het meest belangrijke ontwerpbeginsel het managen van de toestemming van de gebruiker/betrokkene, voor zover toestemming wettelijk vereist is Immers, de Richtlijn 95/46/EG vereist in artikel 7 (a) dat de persoonsgegevens slechts kunnen worden verwerkt als de betrokkene zijn of haar ondubbelzinnige toestemming heeft gegeven. Volgens de Richtlijn, betekent de toestemming van de betrokkene `any freely given specific and informed indication by which the data subject signifies his agreement to personal data relating to him being processed'. Zoals in hoofdstuk 2 is aangegeven, betekent dit dat de betrokkene zonder dwang precies aangeeft wat zijn wensen zijn met betrekking tot de te verwerken persoonsgegevens.1 Het is daarom essentieel dat gebruikers begrijpen wanneer en wat voor een verplichting zij aangaan en wat de gevolgen daarvan zijn. Zij dienen zich dan ook bewust te zijn van de bijzondere omstandigheden wanneer hun persoonsgegevens zonder hun toestemming of zonder dat er sprake is van een overeenkomst worden verwerkt. Vandaar dat in de interface tussen gebruiker en de agent dit prominent en duidelijk dient te zijn, bijvoorbeeld door in een 'pop-up window' consultatievragen van de agent aan de gebruiker te stellen over hoe te handelen met betrekking tot het geven van toestemming Dat betekent dat bij de testen van de ISA moet worden nagegaan of voldaan wordt aan de vier 'human computer interfaces' (HCI) (de 4 C's) vereisten2 , te weten:
'Comprehension' — Begrijpt of weet de gebruiker wat van hem wordt verwacht?
`Consciousness' — Is de gebruiker zich bewust of geïnformeerd wanneer de opties van het agentsysteem door hem kunnen c.q. moeten worden gebruikt?
'Control' — Is de gebruiker in staat om wat hij doet en heeft gedaan binnen het systeem te controleren en te corrigeren? En
'Consent' — Is de gebruiker in staat ondubbelzinnig en vrij toestemming te verlenen en met de resultaten van de onderhandelingen in te stemmen?3
De PISA-`demonstrator' is in Ottawa door het National Research Center onder 200 studenten op de 4 C's getest. De resultaten waren dat:
"The prototype worked fairly well (72%) and was easy to navigate (76%), but it had poor visual appeal (42%); The Users understood the concept of a personal assistant (digital butler) who could provide services (92%); Users understood (>90%) the major functions (create, modify, track, results)."4
Terecht merkt Bygrave5 op dat als de toestemming via elektronische agents wordt uitgevoerd dat een dergelijke toestemming slechts geldig zal zijn wanneer dit conform de wettelijke vereisten conform de Richtlijn 95/46/EG geschiedt. Juridische analyse van dit vraagstuk in de context van agents leidt tot de conclusie dat het toestemmingsvereiste alleen wordt vervuld als er sprake is van het telkens per transactie of taak creëren van één specifieke eenmalige en tijdgebonden `task agent'. Zoals uit het vorenstaande blijkt voldoet het PISA-ontwerp van de `task agents' hieraan. De specifieke PISA-`task agent' (die door de monitor agent wordt gelogd) levert het bewijs van de vereiste ondubbelzinnige toestemming voor de verwerking van persoonsgegevens voor de transactie of opgelegde taak. Ingewikkelder is het feit dat de Richtlijn de verwerking van gevoelige of speciale categorieën van gegevens verbiedt dan wel aan strikte voorwaarden bindt, zoals gegevens over ras of etnische oorsprong, politieke standpunten, godsdienstige of filosofische opvattingen, vakbondslidmaatschap, de gezondheid of de seksuele geaardheid. Dit verbod bij de verwerking van deze gegevens kan worden opgeheven wanneer verwerking plaatsvindt na expliciete toestemming van de betrokkene. De vereiste toestemming kan tezamen met een biometrisch kenmerk van de gebruiker in een zodanige elektronische vorm worden verstrekt dat de onherroepelijkheid van die toestemming boven elke twijfel verheven is. Bovendien geldt als voorwaarde dat uit een begeleidende tijdsstempel die aan de expliciete toestemming van de gebruiker is gehecht, moet blijken dat de toestemming recent is, bijvoorbeeld niet ouder dan 24 uur.
Artikel 8 lid 2 van de Richtlijn 95/46/EG geeft aan wanneer het verbod vervat in lid 1 niet toepassing is, bijvoorbeeld als gegevens moeten worden verwerkt in het kader van de medische zorg. Voor het ontwerp van de PISA-applicant is het bepaalde in artikel 8 lid 2b van belang. Dit lid bepaalt dat lid 1 niet van toepassing is wanneer: "de verwerking noodzakelijk is met het oog op de uitvoering van de verplichtingen en de rechten van de voor de verwerking verantwoordelijke inzake arbeidsrecht, voor zover zulks is toegestaan bij de nationale wetgeving en deze adequate garanties biedt."
Opinion 114 van de Article 29 Working Party over de toestemming in een arbeidscontext stelt dat:
"Specific difficulties might occur to qualify a data subject's consent as freely given in anemployer context, due to the relationship of subordination between de employer and employee.
Valid consent in such a context means that the employee must have a real opportunity to withhold his consent without suffering any haan, or to withdraw it subsequently if he changes his mind."6
Per lidstaat kunnen er nog wel eens verschillen optreden. Het vereiste in de Franse wet op de gegevensbescherming7 met betrekking tot de 'uitdrukkelijke toestemming' voor de verwerking van gevoelige gegevens, is dat de toestemming schriftelijk dient te worden gegeven.8 Dat kan natuurlijk met software agents niet. De Franse `Commission nationale de l'Informatique et des Libertés' (CNIL) heeft bepaald dat met betrekking tot verwerking van gevoelige gegevens via het internet, de betrokkene met een 'tweemaal klikken' van de muis aangeeft uitdrukkelijk toe te stemmen (d.w.z. de eerste 'klik' bevestigt dat men bewust is van de voorgestelde verwerking en de tweede klik geeft aan dat men uitdrukkelijk toestemt).9 Verschillende DPA's binnen de EU hebben voorgesteld als blijk van toestemming een vierkantje aan te klikken of aan te kruisen.10 In privacyveilige agents wordt het toestemmingsmechanisme ondervangen door strikte 'transfer rules' in de agent in te bouwen en door met `Just-In-TimeClick-Through Agreements' (JITCA's) te werken. JITCA's zijn gebaseerd op de observatie dat de meest voorkomende manier om toestemming in computerapplicaties te krijgen, plaatsvindt door middel van een gebruikersovereenkomst. Na installatie van bijvoorbeeld software op een pc wordt op het scherm vaak een interfacevlak getoond met een virtuele knop met de woorden 'I agree'. Bij afronding van de installatie van software, moet de gebruiker als bewijs van instemming met de voorwaarden op deze knop klikken.11 Patrick en Kenny wijzen erop dat: "The main feature of a JITCA is not to provide a large, complete list of service terms but instead to confirm the understanding or consent on an asneeded basis. These small agreements are easier for the user to read and process and facilitate a better understanding of the decision being made in-context."12
Een JITCA is geen standaard contract vergelijkbaar met algemene voorwaarden, maar een korte omschrijving van de beslissing die genomen moet worden. In de loop van de onderhandelingen met de agents kunnen zeer veel JITCA's voorkomen. De EU Article 29 Working Party heeft in haar 'Opinion On More Harmonized Information Provisions' van 25 november 2004 een mededeling met een drie lagenstructuur voorgesteld waarin de informatie, die in artikel 10 van de Richtlijn 95/46/EG is voorgeschreven, is opgenomen.13 JITCA's voldoen aan de vereisten van de hierboven vermelde Opinion en kunnen dus beschouwd worden als te voldoen aan de toestemming vereisten ex artikel 7 (a) van de Richtlijn 95/ 46/EG.