Daarnaast is de rechtmatigheidsgrondslag 'uitdrukkelijke toestemming' (art 9 lid 2 sub a AVG) van toepassing voor de verwerking van de gegevens over de gezondheid van Persoon  in relatie tot de PGO. Het gaat immers om bijzondere persoonsgegevens waarvoor een verwerkingsverbod geldt, tenzij sprake is van een uitzondering zoals uitdrukkelijke toestemming. Dit betekent dat de Dienstverlener persoon  als verwerkingsverantwoordelijke de expliciete toestemming van de Persoon moet hebben alvorens de Persoon gebruik maakt van zijn PGO.

Op grond van de artikelen 7 AVG moet de Dienstverlener persoon als verwerkingsverantwoordelijke in relatie tot ‘toestemming’ voor de gegevensuitwisseling via de PGO het volgende kunnen aantonen:

a. dat en waarvoor de Persoon toestemming heeft verleend;

b. dat de toestemming vrijelijk, specifiek, geïnformeerd en ondubbelzinnig is gegeven, en  

c. wie de verwerkingsverantwoordelijke is, wat de specifieke doeleinden/ het specifieke doel van de verwerking is, wie de ontvangers van de persoonsgegevens zijn en het recht om de toestemming te allen tijde in te trekken. 

Hieruit volgt onder meer dat duidelijk moet zijn dat gebruik van de PGO betrekking heeft op de functie verzamelen en de functie delen.

In het kader van de overeenkomst is het doel van de verwerking van de persoonsgegevens de waarborging en realisering van een veilige, interoperabele en betrouwbare gegevensuitwisseling tussen de Persoon en Zorgaanbieder via de Dienstverlener Persoon en de Dienstverlener aanbieder overeenkomstig het bepaalde in het MedMij Afsprakenstelsel.   

Voor zover de verwerking van persoonsgegevens door de Deelnemer wordt gebaseerd op de rechtmatigheidsgrondslag 'toestemming' in de zin van artikel 6 lid 1 AVG is de verwerking voor een ander doel dan genoemd in artikel 5.5 van deze Overeenkomst toegestaan, mits de beginselen van de AVG op deze verdere verwerking wordt toegepast, de Persoon over deze verdere verwerking wordt geïnformeerd alsmede over de rechten die de Persoon tegen deze verdere verwerking kan uitoefenen. Voor zover de verwerking van de persoonsgegevens wordt gebaseerd op de rechtmatigheidsgrondslag 'noodzakelijk voor de uitvoering van de overeenkomst' in de zin van artikel 6 lid 1 sub c AVG, is verdere verwerking van de persoonsgegevens door de Deelnemer alleen toegestaan indien de evenredigheidstoets van artikel 6 lid 4 AVG succesvol is doorlopen.   

Alleen de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt (art 8 AVG) kan een PGO aanmaken voor een minderjarige van 0 tot 12 jaar. De reden is dat de ouder op grond van de WGBO inzage recht heeft in alle gegevens van de minderjarige tot 12 jaar. Degene met ouderlijke verantwoordelijkheid is degene die de uitdrukkelijke toestemming geeft volgens de eisen zoals omschreven onder jur.aanmak.004 en verder.

Bij een minderjarige van 12 tot 16 jaar is de Dienstverlener persoon als verwerkingsverantwoordelijke verplicht om redelijke inspanningen uit te voeren om in dergelijke gevallen te controleren of de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt, toestemming heeft gegeven of machtiging tot toestemming heeft verleend.  . Stichting MedMij toetst of deze redelijke inspanning zijn uitgevoerd en kan hiervoor richtlijnen opstellen.