Wat een handtekening niet kan oplossen

De uitweg die logisch lijkt

De scène herhaalt zich in kantoren, praktijken en adviesbureaus — en ook op veel minder plechtige plekken. De schilder die foto's stuurt van het appartement van een klant. De loodgieter die een factuur doorstuurt met naam, adres en telefoonnummer. De taxichauffeur die het adres op zijn mobiel bewaart van wie hij elke ochtend ophaalt. De freelancer die via chat het ID stuurt van degene die hem heeft ingehuurd. Er is geen rechtszaakfilm voor nodig om gegevens van personen die niet jezelf zijn over een telefoon te laten circuleren.

En op al die plekken verschijnt, vroeg of laat, dezelfde elegante uitweg. Iemand stelt de vraag — is het wel correct om dit hierlangs te sturen? — en nog voordat het gesprek ongemakkelijk wordt, komt het gemakkelijke antwoord: laat de klant een toestemming ondertekenen. Als hij toestemming geeft, is het goed.

Het is een aantrekkelijke uitweg omdat het het ongemak wegneemt zonder te dwingen van tool te veranderen, zonder iets nieuws te hoeven leren, zonder kosten. Het heeft de vorm van zorgvuldigheid: een document, een handtekening, een datum. En toch lost het het probleem niet op dat het geacht werd op te lossen. Het verhult het slechts.

Een handtekening verplaatst de gegevens niet

Het is goed om bij het simpelste te beginnen, want dat is precies wat over het hoofd wordt gezien. Een toestemming is een papiertje. Het verandert niets aan waar het bericht naartoe reist, noch op welke server een kopie blijft staan, noch wie het kan lezen als er een passend bevel komt of als er een datalek is. Het document van de klant blijft via dezelfde infrastructuur gaan, in hetzelfde land, beheerd door hetzelfde bedrijf, met of zonder handtekening.

Het enige wat met de handtekening verandert, is de gemoedstoestand van de professional: hij gaat van twijfel naar een valse gemoedsrust die niet overeenkomt met enige echte verandering in het traject van de gegevens. De handtekening is een toestemming die men aan zichzelf geeft om precies hetzelfde te blijven doen.

De toestemming die niemand in de kamer kon geven

Hier zit de kern van de zaak. Denk aan een echtscheiding. De klant ondertekent de toestemming: akkoord, laat zijn gegevens gaan waar nodig. Maar via dat kanaal reizen niet alleen de gegevens van de klant. De naam van de tegenpartij reist mee. De gegevens van de minderjarige over wiens voogdij wordt gediscussieerd reizen mee. Het rapport van de expert, de getuigenis van een derde, het rekeningnummer van de echtgenoot reizen mee.

Geen van die personen heeft in het kantoor gezeten. Niemand heeft iets ondertekend. De professional heeft toestemming gekregen van de enige persoon die niet het hele probleem was, en is doorgegaan met het verwerken van de gegevens van al degenen die dat wel waren zonder hen iets te vragen — omdat hij hen niets kon vragen.

Hetzelfde geldt voor een personeelsdossier waarin andere werknemers worden genoemd, voor een medisch rapport dat over familieleden gaat, voor een verklaring waarin de leveranciers en klanten van de klant zelf zijn opgenomen. De informatie van een derde houdt niet op beschermd te zijn omdat de persoon die de informatie verstrekt een papiertje heeft ondertekend. Het was niet aan die persoon om daar toestemming voor te geven.

Dingen waar een handtekening niet bij kan

Er is een grens die we bijna nooit testen: een handtekening reikt slechts zover als wat van jou is. Wat van jou is, kun je afstaan. Wat van een ander is niet — hoe mooi je je handtekening ook zet.

Een vader kan geen toestemming ondertekenen om zijn zoon pijn te laten doen. Dat papiertje is niets waard, en niet omdat er een stempel ontbreekt: omdat die toestemming nooit in zijn hand lag om te geven. De toestemming van de klant werkt op dezelfde manier — het dekt het zijne en stopt daar.

En zelfs binnen die grens dekt het niet alles. Een handtekening maakt niet rechtmatig wat de wet niet toestaat, wie hem ook ondertekent. Toestemming is geen loper: het is een sleutel die slechts één deur opent —de eigen deur—, en zelfs die deur geeft geen toegang tot wat verboden is.

En het moet onomwonden gezegd worden, want het is het deel dat bijna nooit wordt uitgesproken: het vragen —of geven— van een handtekening om te maskeren wat de wet niet toestaat, is geen neutrale handeling die simpelweg geen effect heeft. Naargelang het geval is het proberen daarvan op zich al een nieuwe overtreding. Het lost het probleem niet op: het maakt het erger.

De handtekening die zich tegen je keert

En er is een wending waar we eerlijk naar moeten kijken. Het verzamelen van de toestemming laat de professional niet achter zoals hij was: het laat hem slechter achter.

Omdat dat papiertje bovenal het bewijs is dat iemand de juiste vraag stelde — is dit wel adequaat? — en deze beantwoordde met een placebo in plaats van met een oplossing. De dag dat er moet worden uitgelegd waarom de gegevens van een derde terechtkwamen waar ze niet hoorden, zal de ondertekende toestemming niet het schild zijn dat men zich voorstelde: het zal het document zijn dat bewijst dat het risico bekend was en men ervoor koos het te verhullen met een handtekening. De schijnbare zorgvuldigheid laat sporen na. De handtekening archiveert het probleem niet; het dateert het.

Het enige dat het echt oplost

Als een handtekening niets oplost, wat lost het dan wel op? Slechts één ding: dat de gegevens niet gaan naar waar ze niet heen mogen gaan.

Wanneer het kanaal geen kopie van het document aan een derde levert — omdat het rechtstreeks van het apparaat van de verzender naar dat van de ontvanger gaat, zonder een server ertussen die het opslaat — is er niets om te autoriseren, noch iemand om toestemming aan te vragen, noch een ongemakkelijk spoor dat later moet worden gerechtvaardigd. Het probleem wordt niet beheerd met een formulier: het verdwijnt omdat de architectuur het niet toelaat dat het ontstaat.

Dit is niet het eigendom van slechts één tool — het is een eigenschap van het ontwerp, en er is meer dan één manier om dat te hebben. Wat die tools onderscheidt van de rest is niet een beter geformuleerde belofte in de juridische disclaimer, maar dat ze niet nodig hebben dat iemand ondertekent om in orde te zijn.

Een handtekening is de beschaafde manier om toestemming te vragen. Maar men kan alleen toestemming vragen aan degene die voor je staat. En in bijna alle gevoelige gegevens die een professional verwerkt, zijn de personen wiens privacy echt op het spel staat niet in de kamer, zij zullen niet ondertekenen, en zij zouden geen reden hebben om erop te vertrouwen dat iemand in hun naam ondertekent. Daarom was de juiste vraag nooit «hoe krijg ik dit geautoriseerd?», maar «waarom heb ik autorisatie nodig voor iets waarvoor een goed gekozen kanaal me niet zou dwingen het te vragen?».