Privacy Gate DPG Media: nog geen geldige toestemming

U moet kunnen aantonen dat elke toestemmingskeuze in uw interface vrij, specifiek, geïnformeerd en herroepbaar is, en dat er een werkelijk alternatief zonder gedragsgerichte verwerking bestaat. Een interface alleen is daarvoor onvoldoende.

Een analyse van 27 september 2026 van geldige toestemming in consent-or-pay-modellen stelt dat een interface die datakeuzes centraliseert geen bewijs vormt dat die keuzes aan de wettelijke eisen voldoen. De European Data Protection Board en de Autoriteit Persoonsgegevens leggen uit dat toestemming vrij, ondubbelzinnig, geïnformeerd en specifiek moet zijn, en dat u moet kunnen aantonen dat deze voorwaarden zijn nagekomen. In onze inschatting betekent dit dat uitgevers die een keuze-interface gebruiken, zich niet mogen verlaten op de zichtbaarheid ervan als bewijs van compliance. De juridische geldigheid hangt af van de onderliggende ontwerp- en verwerkingskeuzes, niet van de interface zelf.

Wat maakt toestemming juridisch geldig?

De Autoriteit Persoonsgegevens beschrijft vier kernvereisten. Toestemming moet vrij zijn: u mag geen druk uitoefenen of ongunstige gevolgen dreigen voor wie weigert. Zij moet ondubbelzinnig zijn: de keuze moet duidelijk zijn en niet verborgen in standaardtekst. Zij moet geïnformeerd zijn: de persoon moet weten welke gegevens u verzamelt en waarvoor. En zij moet specifiek zijn: u kunt niet om toestemming voor 'alles' vragen, maar alleen voor concrete verwerkingsdoelen.

Bovendien moet u kunnen aantonen dat toestemming is verkregen. Een interface die keuzes toont, bewijst niet automatisch dat aan deze eisen is voldaan. U moet documenteren hoe elke keuze is gepresenteerd, welke informatie ernaast stond, en hoe de persoon die keuze kon wijzigen of intrekken.

Welke foutmodi dreigen bij consent-or-pay-modellen?

• Ongelijke alternatieven — betaalde versie biedt minder functionaliteit of snelheid dan de gratis versie met toestemming.
• Verborgen standaardkeuzes — toestemming is vooraf ingesteld op 'ja' en vereist actief weigeren.
• Onduidelijke doeleinden — de persoon weet niet welke gegevens voor welke diensten worden gebruikt.
• Geen werkelijk alternatief — reclame zonder gedragsgerichte verwerking wordt niet aangeboden of is onpraktisch.
• Onmogelijke intrekking — toestemming kan niet eenvoudig worden ingetrokken of vereist meerdere stappen.
• Geen documentatie van keuzes — u kunt niet aantonen welke toestemming is gegeven en wanneer.

Wat eist de EDPB van consent-or-pay-modellen?

De European Data Protection Board stelt in haar richtlijnen dat grote online platforms die gedragsgerichte reclame aanbieden in ruil voor toestemming in de meeste gevallen geen geldige toestemming verkrijgen. De reden is dat het alternatief — betalen — niet werkelijk gelijkwaardig is. Wie niet kan betalen, heeft geen echte keuze.

De EDPB eist daarom dat u een derde optie overweegt: reclame met minder of geen verwerking van persoonsgegevens, zonder extra kosten. Dit alternatief moet praktisch bereikbaar zijn, niet alleen theoretisch beschikbaar.

Welke controles moet u per werkstroom documenteren?

1. Definieer het verwerkingsdoel — leg vast welke gegevens voor welke dienst nodig zijn en wat de wettelijke grondslag is.
2. Toon gelijkwaardige alternatieven — beschrijf welke keuzes beschikbaar zijn en waarom ze gelijkwaardig zijn of waarom niet.
3. Bewaar de toestemmingsgegevens — registreer wanneer toestemming is gegeven, voor welk doel, en hoe deze kan worden ingetrokken.
4. Test de vrijheid van keuze — controleer of geen druk wordt uitgeoefend en of weigering geen ongunstige gevolgen heeft.
5. Documenteer de informatievoorziening — bewaar kopieën van de teksten die naast elke keuze stonden.

Hoe past dit in uw governance?

Een interface kan uw governance verbeteren door keuzes zichtbaarder en vindbaar te maken. Zij kan ook helpen om toestemmingen per doel gescheiden te houden. Dit is waardevol. Maar de interface is niet het eindpunt van uw compliance. Zij is een onderdeel van een breder stelsel waarin u ontwerp, doeleinden, alternatieven en toestemmingsstromen documenteert.

Zolang de EDPB aan bredere richtlijnen werkt, is het verstandiger om uw keuzes vast te leggen en regelmatig te toetsen aan de wettelijke criteria dan om de interface als afgeronde compliance te beschouwen. Wat tooling kan doen — keuzes centraliseren, logs bijhouden, intrekking verwerken — is duidelijk. Wat uw eigen professionele oordeel vereist, is de beoordeling of die keuzes werkelijk vrij zijn en of de alternatieven werkelijk gelijkwaardig.