EDPB zet een streep door het consent-or-pay model

De European Data Protection Board (EDPB) zet officieel een streep door het consent-or-pay model dat steeds vaker wordt gebruikt door grote platforms zoals Facebook. Dit model houdt in dat platformen aan bezoekers een keuze geven, waarbij zij ofwel toestemming moeten geven voor het gebruik van hun data voor marketingdoeleinden binnen de website, ofwel dat zij tegen betaling van een vergoeding ervoor kiezen dat er geen gebruik wordt gemaakt van hun data. Dit betreft daarmee een reactie op de verschillende consent regels die wij in het kader van cookies kennen.

Het EDPB stelt dat deze keuze tussen betalen of toestemming simpelweg niet voldoet aan het vereiste voor toestemming vanuit de AVG. De AVG stelt namelijk dat geldige toestemming alleen kan worden verkregen, indien de toestemming ondubbelzinnig, geïnformeerd, specifiek en vrijelijk gegeven is. Het tonen van een binaire keuze, waarbij de enige keuze naast toestemming het afkopen daarvan inhoudt, voldoet hier simpelweg niet aan. In deze context kan toestemming namelijk niet vrijelijk worden gegeven. Aan gebruikers moet een equivalent alternatief worden getoond, dat niet het betalen van een bepaald tarief inhoudt.

Andere aspecten die volgens het EDPB belangrijk zijn om in dit kader te evalueren zijn:

• Is er een machtsverschil tussen de betrokkene en de voor de verwerking verantwoordelijke;
• Het element van voorwaardelijkheid. Anders gezegd, of toestemming is vereist om toegang te krijgen tot goederen of diensten, ook al is de verwerking niet noodzakelijk voor de uitvoering van het contract;
• Is er een gelijkwaardig alternatief voor de dienst van de verwerkingsverantwoordelijke;
• Voldoende specifiek is een ander aspect wat van belang is en houdt in dat de gebruiker moet kunnen kiezen welke doelen van de verwerking zij accepteert. Daartoe moet toestemming ook voldoende specifiek worden gegeven ten aanzien van dit doel.

Tot slot merkt het EDPB nog op dat persoonsgegevens geen verhandelbare goederen betreffen en dat de verwerkingsverantwoordelijken moeten voorkomen dat het grondrecht op gegevensbescherming verandert in een kenmerk waarvoor betrokkenen moeten betalen.

In ieder geval is er voor de praktijk genoeg om verder over na te denken!

Heeft u vervolgens nog enige vragen naar aanleiding van het rapport van de EDPB? Neem dan gerust contact op en dan kunnen wij samen kijken naar de mogelijkheden.