Wat een handtekening niet kan oplossen

De uitweg die logisch lijkt

De scène herhaalt zich in kantoren, praktijken en adviesbureaus — en ook op veel minder formele plekken. De schilder die foto's stuurt van de flat van een klant, de loodgieter die een factuur doorstuurt met naam, adres en telefoonnummer, de taxichauffeur die op zijn mobiel het adres opslaat van degene die hij elke ochtend ophaalt, of de zzp'er die via de chat de identiteitskaart deelt van degene die hem heeft ingehuurd. Er is geen filmachtige rechtszaak nodig om gegevens van anderen via een telefoon te laten circuleren.

En op al die plekken verschijnt, vroeg of laat, dezelfde elegante uitweg. Iemand stelt de vraag — is het wel correct om dit hierlangs te sturen? — en nog voordat het gesprek ongemakkelijk wordt, komt het gemakkelijke antwoord: laat de klant een toestemming ondertekenen. Als hij toestemming geeft, is het goed.

Het is een aantrekkelijke uitweg omdat het het ongemak wegneemt zonder te dwingen van tool te veranderen, zonder iets nieuws te hoeven leren, zonder kosten. Het heeft de vorm van zorgvuldigheid: een document, een handtekening, een datum. En toch lost het het probleem niet op dat het geacht werd op te lossen. Het verhult het slechts.

Een handtekening verplaatst de gegevens niet

Het is goed om bij het simpelste te beginnen, want dat is precies wat over het hoofd wordt gezien. Een toestemming is een papiertje. Het verandert niets aan waar het bericht naartoe reist, noch op welke server een kopie blijft staan, noch wie het kan lezen als er een passend bevel komt of als er een datalek is. Het document van de klant blijft via dezelfde infrastructuur gaan, in hetzelfde land, beheerd door hetzelfde bedrijf, met of zonder handtekening.

Het enige wat met de handtekening verandert, is de gemoedstoestand van de professional: hij gaat van twijfel naar een valse gemoedsrust die niet overeenkomt met enige echte verandering in het traject van de gegevens. De handtekening is een toestemming die men aan zichzelf geeft om precies hetzelfde te blijven doen.

De toestemming die niemand in de kamer kon geven

Hier zit de kern van de zaak. Denk aan een echtscheiding. De klant ondertekent de toestemming: akkoord, laat zijn gegevens gaan waar nodig. Maar via dat kanaal reizen niet alleen de gegevens van de klant. De naam van de tegenpartij reist mee. De gegevens van de minderjarige over wiens voogdij wordt gediscussieerd reizen mee. Het rapport van de expert, de getuigenis van een derde, het rekeningnummer van de echtgenoot reizen mee.

Geen van die personen heeft in het kantoor gezeten. Niemand heeft iets ondertekend. De professional heeft toestemming gekregen van de enige persoon die niet het hele probleem was, en is doorgegaan met het verwerken van de gegevens van al degenen die dat wel waren zonder hen iets te vragen — omdat hij hen niets kon vragen.

Hetzelfde geldt voor een personeelsdossier waarin andere werknemers worden genoemd, voor een medisch rapport dat over familieleden gaat, voor een verklaring waarin de leveranciers en klanten van de klant zelf zijn opgenomen. De informatie van een derde houdt niet op beschermd te zijn omdat de persoon die de informatie verstrekt een papiertje heeft ondertekend. Het was niet aan die persoon om daar toestemming voor te geven.

Dingen waar een handtekening niet bij kan

Er is een grens die we bijna nooit testen: een handtekening reikt slechts zover als wat van jou is. Wat van jou is, kun je afstaan. Wat van een ander is niet — hoe mooi je je handtekening ook zet.

Een vader kan geen toestemming ondertekenen om zijn zoon pijn te laten doen. Dat papiertje is niets waard, en niet omdat er een stempel ontbreekt: omdat die toestemming nooit in zijn hand lag om te geven. De toestemming van de klant werkt op dezelfde manier — het dekt het zijne en stopt daar.

En zelfs binnen die grens dekt het niet alles. Een handtekening maakt niet wettig wat de wet niet toestaat, ongeacht wie tekent. Toestemming is geen loper: het is een sleutel die slechts één deur opent, de eigen deur, en zelfs die deur leidt niet naar wat verboden is.

En we moeten er geen doekjes om winden, want het is het deel dat bijna nooit wordt gezegd: een handtekening vragen —of geven— om te beschermen wat de wet niet toestaat, is geen neutrale handeling die gewoonweg geen effect heeft. Afhankelijk van het geval is de poging op zichzelf een nieuwe overtreding die het probleem verergert in plaats van het op te lossen.

De handtekening die zich tegen je keert

En er is een wending waar we eerlijk naar moeten kijken. Het verzamelen van de toestemming laat de professional niet achter zoals hij was: het laat hem slechter achter.

Omdat dat papiertje bovenal het bewijs is dat iemand de juiste vraag stelde — is dit wel adequaat? — en deze beantwoordde met een placebo in plaats van met een oplossing. De dag dat er moet worden uitgelegd waarom de gegevens van een derde terechtkwamen waar ze niet hoorden, zal de ondertekende toestemming niet het schild zijn dat men zich voorstelde: het zal het document zijn dat bewijst dat het risico bekend was en men ervoor koos het te verhullen met een handtekening. De schijnbare zorgvuldigheid laat sporen na. De handtekening archiveert het probleem niet; het dateert het.

Het enige dat het echt oplost

Als een handtekening niets oplost, wat lost het dan wel op? Slechts één ding: dat de gegevens niet gaan naar waar ze niet heen mogen gaan.

Wanneer het kanaal geen kopie van het document aan een derde levert — omdat het rechtstreeks van het apparaat van de verzender naar dat van de ontvanger gaat, zonder een server ertussen die het opslaat — is er niets om te autoriseren, noch iemand om toestemming aan te vragen, noch een ongemakkelijk spoor dat later moet worden gerechtvaardigd. Het probleem wordt niet beheerd met een formulier: het verdwijnt omdat de architectuur het niet toelaat dat het ontstaat.

Dit is een eigenschap van het ontwerp, niet van een enkel hulpmiddel, en er is meer dan één manier om die te hebben. Wat deze hulpmiddelen van de rest onderscheidt, is niet een beter geformuleerde belofte in de juridische kennisgeving, maar dat ze niet vereisen dat iemand tekent om aan de regels te voldoen.

Een handtekening is de beschaafde manier om toestemming te vragen. Maar men kan alleen toestemming vragen aan degene die voor je staat. En in bijna alle gevoelige gegevens die een professional verwerkt, zijn de personen wiens privacy echt op het spel staat niet in de kamer, zij zullen niet ondertekenen, en zij zouden geen reden hebben om erop te vertrouwen dat iemand in hun naam ondertekent. Daarom was de juiste vraag nooit «hoe krijg ik dit geautoriseerd?», maar «waarom heb ik autorisatie nodig voor iets waarvoor een goed gekozen kanaal me niet zou dwingen het te vragen?».