Wat vereist controle A.1.3.6?
De organisatie moet een mechanisme bieden waarmee betrokkenen bezwaar kunnen maken tegen de verwerking van hun persoonsgegevens.
Deze controle valt onder de doelstelling van de principaal-verplichtingen ten aanzien van persoonsgegevens (A.1.3). Het recht om bezwaar te maken is iets anders dan het intrekken van toestemming (behandeld in A.1.3.5 Toestemming wijzigen of intrekken ). Het intrekken van toestemming is alleen van toepassing wanneer toestemming de wettelijke grondslag is. Het recht om bezwaar te maken is breder van toepassing, ook wanneer de verwerking is gebaseerd op legitieme belangen of de uitvoering van een taak in het algemeen belang.
Wat staat er in de implementatierichtlijnen?
Bijlage B (sectie B.1.3.6) geeft richtlijnen voor het implementeren van een effectief bezwaarmechanisme:
- Proactieve melding — Het recht om bezwaar te maken moet bij de eerste communicatie aan de betrokkene worden meegedeeld en niet verborgen worden in algemene privacyinformatie.
- Duidelijke presentatie — Het recht moet duidelijk en afzonderlijk van andere informatie worden gepresenteerd, zodat het niet over het hoofd wordt gezien.
- Direct marketing — Indien het bezwaar betrekking heeft op direct marketing, dient het altijd zonder uitzondering gehonoreerd te worden. Er bestaat geen belangenafweging voor bezwaren tegen direct marketing.
- Overige bewerkingen — Bij bezwaren tegen de verwerking op basis van legitieme belangen of het algemeen belang mag de organisatie de verwerking alleen voortzetten als zij dwingende legitieme gronden kan aantonen die zwaarder wegen dan de belangen van de betrokkene.
- Beoordelingsproces Organisaties moeten een gedocumenteerd proces hebben voor het beoordelen van bezwaren, inclusief wie de beslissing neemt en welke factoren daarbij in overweging worden genomen.
- Zie ook A.1.3.3: Informatie bepalen voor persoonsgegevens voor gerelateerde vereisten
- Zie ook A.1.3.7: Toegang, correctie of verwijdering voor gerelateerde vereisten
Hoe verhoudt dit zich tot de AVG?
Controle A.1.3.6 komt grotendeels overeen met artikel 21 van de AVG :
- Artikel 21 (1) — Recht om bezwaar te maken tegen verwerking op basis van algemeen belang of legitieme belangen, inclusief profilering op basis van die gronden
- Artikel 21 (2) — Recht om bezwaar te maken tegen verwerking voor direct marketingdoeleinden
- Artikel 21 (3) — Verplichting om de verwerking te staken bij bezwaar tegen direct marketing
- Artikel 21 (4) — Het recht om bezwaar te maken moet expliciet onder de aandacht worden gebracht en duidelijk en afzonderlijk worden gepresenteerd.
- Artikel 21 (5) In de context van diensten van de informatiemaatschappij kan bezwaar worden gemaakt via geautomatiseerde middelen.
- Artikel 21 (6) — Recht om bezwaar te maken tegen verwerking voor wetenschappelijk, historisch onderzoek of statistische doeleinden
- Artikel 13(2)(b) en 14(2)(c) — Het recht om bezwaar te maken moet worden meegedeeld als onderdeel van de transparantie-informatie.
Hoe verhoudt dit zich tot de privacybeginselen van ISO 29100?
Deze controle ondersteunt het principe van toestemming en keuze uit ISO 29100. Hoewel het recht om bezwaar te maken verder gaat dan toestemming in de strikte juridische zin, gaat het er in wezen om te waarborgen dat personen met persoonsgegevens een zinvolle keuze behouden over hoe hun gegevens worden gebruikt. Het principe erkent dat individuen voortdurende zeggenschap moeten hebben, niet alleen op het moment van de eerste verzameling.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Welk bewijsmateriaal verwachten auditors?
Bij het beoordelen van de naleving van A.1.3.6 zullen auditors doorgaans letten op:
- Bezwaarmechanisme — Een gedocumenteerd, toegankelijk mechanisme waarmee betrokkenen bezwaren kunnen indienen (online formulier, e-mailadres of optie in de app).
- Proactieve communicatie — Bewijs dat het recht om bezwaar te maken bij de eerste communicatie wordt meegedeeld, duidelijk en afzonderlijk gepresenteerd.
- Directe marketingprocedures — Specifieke procedures voor het afhandelen van bezwaren tegen direct marketing, met bewijs van onmiddellijke naleving.
- Beoordelingskader — Een gedocumenteerd proces voor het beoordelen van bezwaren tegen verwerking op basis van legitieme belangen, inclusief de criteria voor de belangenafweging.
- Besluitregistraties — Verslagen van beslissingen over bezwaren, inclusief de motivering wanneer een bezwaar niet is gehonoreerd
- Opleiding van het personeel — Bewijs dat medewerkers die bezwaren behandelen de verschillende regels voor direct marketing versus andere verwerkingsmethoden begrijpen.
Welke besturingselementen zijn hierbij betrokken?
| Controleer: | Verhouding |
|---|---|
| A.1.3.5 Wijzig of trek toestemming in | Verwant maar toch verschillend: intrekking van toestemming is van toepassing op verwerking op basis van toestemming; bezwaar is van toepassing op legitieme belangen en het algemeen belang. |
| A.1.3.4 Informatie verstrekken aan PII-hoofdpersonen | Het recht om bezwaar te maken moet duidelijk worden vermeld in de verstrekte informatie. |
| A.1.3.10 Verzoeken afhandelen | Bezwaren vormen een categorie van verzoeken om persoonsgegevens die moeten worden afgehandeld volgens gedocumenteerde procedures. |
| A.1.2.3 Identificeer de wettelijke grondslag | De wettelijke grondslag bepaalt of het bezwaar een absoluut recht (directe marketing) of een belangenafweging met zich meebrengt. |
| A.1.3.8 Verplichtingen om derden te informeren | Indien een bezwaar wordt gegrond verklaard, moeten derden die de persoonsgegevens hebben ontvangen hiervan op de hoogte worden gesteld. |
| A.1.3.2 Verplichtingen jegens PII-principaals | Het recht om bezwaar te maken is een van de verplichtingen die moeten worden vastgesteld en gedocumenteerd. |
Wat is er veranderd ten opzichte van ISO 27701:2019?
Voor een stapsgewijze aanpak, zie de overgang van 2019 naar 2025.
In de editie van 2019 maakte deze eis deel uit van clausule 7.3.5 (Het bieden van een mechanisme om bezwaar te maken tegen de verwerking van persoonsgegevens). De editie van 2025 behoudt de kerneis onder A.1.3.6 met toelichting in B.1.3.6. De nadruk op het duidelijk en afzonderlijk presenteren van het recht, los van andere informatie, en het absolute karakter van bezwaren tegen direct marketing, blijven de bepalende kenmerken van deze controle. Zie de correspondentietabel in bijlage F voor de volledige mapping.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Waarom kiezen voor ISMS.online voor het afhandelen van bezwaren tegen de verwerking?
ISMS.online biedt u de tools om bezwaren tegen de verwerking systematisch en conform de regelgeving af te handelen:
- Portaal voor het indienen van bezwaren — Bied opdrachtgevers van PII een speciaal, gemakkelijk te vinden mechanisme voor het indienen van bezwaren, los van algemene vragen.
- Geautomatiseerde routering — Bezwaren tegen direct marketing worden gemarkeerd voor onmiddellijke actie, terwijl bezwaren op basis van legitiem belang worden doorgestuurd naar de juiste besluitnemer.
- Balancerend testkader — Gestructureerde sjablonen voor het uitvoeren en documenteren van de belangenafweging bij de beoordeling van bezwaren die geen verband houden met marketing.
- Auditspoor van beslissingen — Leg elk bezwaar, het beoordelingsproces en de uitkomst vast, met tijdstempels en de verantwoordelijke partijen, voor volledige transparantie.
- Triggers voor meldingen van derden — Wanneer een bezwaar wordt gehonoreerd, moet automatisch de noodzaak worden aangegeven om derden die de persoonsgegevens hebben ontvangen, hiervan op de hoogte te stellen, met een link naar uw A.1.3.8 Derden informeren procedures
Veelgestelde vragen
Wat is het verschil tussen bezwaar maken en toestemming intrekken?
Het intrekken van toestemming ( A.1.3.5 Toestemming wijzigen of intrekken ) is alleen van toepassing wanneer toestemming de wettelijke grondslag voor de verwerking vormt. Het recht om bezwaar te maken (A.1.3.6) is van toepassing wanneer de verwerking is gebaseerd op legitieme belangen of het algemeen belang. Voor direct marketing is het recht om bezwaar te maken absoluut, ongeacht de wettelijke grondslag. In de praktijk hebben organisaties beide mechanismen nodig: een procedure voor het intrekken van toestemming bij verwerking op basis van toestemming en een procedure voor bezwaar bij andere wettelijke grondslagen.
Kun je ooit een bezwaar weigeren?
Voor direct marketing geldt het volgende: nee. Een bezwaar tegen de verwerking van direct marketinggegevens moet altijd, zonder uitzondering, worden gehonoreerd. Voor verwerking op basis van gerechtvaardigde belangen of het algemeen belang kunt u de verwerking voortzetten als u dwingende gerechtvaardigde gronden kunt aantonen die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene, of als de verwerking noodzakelijk is voor de vaststelling, uitoefening of verdediging van rechtsvorderingen. De bewijslast ligt bij de organisatie en de beslissing moet worden gedocumenteerd.
Hoe moet het recht om bezwaar te maken “afzonderlijk” worden gecommuniceerd?
De richtlijnen en artikel 21(4) van de AVG vereisen dat het recht om bezwaar te maken expliciet onder de aandacht van de betrokkene wordt gebracht en duidelijk en afzonderlijk van andere informatie wordt gepresenteerd. In de praktijk betekent dit dat het niet verborgen mag zijn in een lange privacyverklaring. Het moet een eigen kopje, een eigen sectie of een eigen mededeling hebben. Bij het eerste contact moet het direct worden vermeld, in plaats van te worden doorverwezen via een link naar de algemene voorwaarden.
Onze handleiding met vereisten voor auditbewijs beschrijft de documentatie die auditors verwachten met betrekking tot de controle op de rechten van betrokkenen.
Functionarissen voor gegevensbescherming (DPO's) die deze verplichtingen beheren, kunnen onze handleiding voor DPO's raadplegen voor een volledig overzicht.
