Hoe gaat u om met verzoek tot inzage persoonsgegevens?

Recht op privacy

Uitgangspunt, zoals vastgelegd in de Grondwet en de AVG, is dat iedereen recht op privacy heeft. Bedrijven verzamelen nog steeds een heleboel gegevens, want data zijn immers goud. Let op.  Toch moet u hierbij opletten, want betrokkenen oefenen steeds vaker een van hun privacyrechten uit.

Rechten van betrokkenen. In de AVG zijn in deze zin rechten gegeven aan de betrokkenen. Zo heeft de betrokkene het recht om diens persoonsgegevens in te zien, te (laten) wijzigen, verwijderen, overdragen en als er iets niet goed gaat, hierover een klacht in te dienen, bij u of direct bij de Autoriteit Persoonsgegevens (AP). Een van de belangrijkste rechten die een betrokkene heeft, is het inzagerecht. Iedereen in uw organisatie kan bij u opvragen welke persoonsgegevens u verwerkt.

Boete op niet juiste afhandeling. Uber Technologies Inc. en Uber BV (Uber) kregen vorig jaar een boete van de AP van € 10 miljoen (22 juli 2024). Zo’n 170 chauffeurs hadden een klacht ingediend over het inzagerecht. Uber had het onnodig ingewikkeld gemaakt om een verzoek in te dienen en handelde de verzoeken vervolgens niet correct af.

Strikte termijnen. Zo moet er binnen 30 dagen worden gereageerd. Binnen deze termijn hoeven niet meteen alle gegevens te worden aangeleverd, tenzij dit zonder al te veel inspanning wel kan. Als dit niet kan, dan kunt u eenmalig om extra tijd van twee maanden verzoeken. Ook is het belangrijk om de informatie af te bakenen. Het is tijdrovend en kostbaar om alle data in de organisatie boven water te halen. Tip.  Het loont om eerst met de verzoeker contact op te nemen. Wellicht zit er iets anders achter, een klacht of frustratie, en kan dit eenvoudig anders worden opgelost.

Identiteitscheck. Er mag niet zomaar een kopie van een identiteitsbewijs worden gevraagd. De AP heeft hiervoor een boete opgelegd aan DPG Media van € 525.000 (14 januari 2022). Aangezien er zo veel gegevens op een paspoort staan, is een kopie opvragen een te zwaar middel, aldus de AP. Dit mag alleen indien er een wettelijke verplichting is. DPG Media stuurt nu een verificatiemail naar de verzoeker. Een andere manier om te identificeren is de bedrijfssystemen controleren voor een klant- of relatienummer. Mocht er toch een kopie van het paspoort nodig zijn, laat dan de privacygevoelige gegevens afschermen.

Wat aan te leveren?

In eerste instantie is het voldoende een overzicht van de persoonsgegevens en de systemen aan te leveren. Dit mag een Excel-bestand zijn. Het antwoord dient gegeven te worden op de wijze zoals het verzoek binnenkwam. Als daarom wordt verzocht, moeten de persoonsgegevens in kopie worden aangeleverd. Let op dat u hierbij wel de nodige beveiligingsmaatregelen in acht neemt. Interne notities en persoonlijke aantekeningen kunnen hier ook onder vallen, maar de inzage moet wel beperkt worden, voor zover noodzakelijk, ter bescherming van de rechten en vrijheden van anderen. De privacy van hen mag u niet schenden.

Wie betaalt de kosten? Het verstrekken van de persoonsgegevens is onder normale omstandigheden kosteloos, dus dat betekent dat alle gemaakte kosten helaas niet verhaald kunnen worden op de verzoekende persoon. Het is anders wanneer de persoon extra kopieën opvraagt. In dat geval mag er een redelijke vergoeding van maximaal een paar honderd euro worden gevraagd.