Inzageverzoeken van betrokkenen

Het juridisch kader

Artikel 15 AVG geeft een persoon het recht om van de verwerkingsverantwoordelijke te horen of persoonsgegevens over hem worden verwerkt. Is dat zo, dan heeft hij recht op inzage in die gegevens en op de volgende informatie:

• de verwerkingsdoeleinden en de categorieën van gegevens;
• de ontvangers of categorieën van ontvangers, met name in derde landen;
• de beoogde bewaartermijn of de criteria om die te bepalen;
• het bestaan van de rechten op rectificatie, wissing, beperking en bezwaar, en het recht om klacht in te dienen bij de toezichthouder;
• de bron van de gegevens, als ze niet bij de betrokkene werden verzameld;
• het bestaan van geautomatiseerde besluitvorming, inclusief profilering, met nuttige informatie over de onderliggende logica.

De verwerkingsverantwoordelijke moet ook een kopie geven van de persoonsgegevens die worden verwerkt (artikel 15, lid 3). Het Hof van Justitie heeft geoordeeld dat een kopie een getrouwe en begrijpelijke weergave van de gegevens is, en dat je uittreksels of documenten moet geven als dat nodig is om de gegevens begrijpelijk te maken (zaak C-487/21). Het Hof oordeelde ook dat de betrokkene de identiteit van de concrete ontvangers kan opvragen, en niet alleen categorieën (zaak C-154/21).

Termijn en vorm

De verwerkingsverantwoordelijke antwoordt zonder onredelijke vertraging en uiterlijk binnen één maand na ontvangst van het verzoek (artikel 12, lid 3). Die termijn kan met twee maanden worden verlengd als verzoeken complex of talrijk zijn, maar je moet de betrokkene binnen de eerste maand over de verlenging en de redenen inlichten. Een elektronisch verzoek beantwoord je in een gangbare elektronische vorm, tenzij de betrokkene iets anders vraagt.

Kosten, identiteit en weigering

De eerste kopie is gratis. Voor extra kopieën mag je een redelijke vergoeding vragen op basis van administratieve kosten (artikel 15, lid 3). Twijfel je redelijkerwijs over de identiteit, dan mag je extra informatie vragen (artikel 12, lid 6), maar je mag niet meer verzamelen dan nodig. Je mag weigeren of een vergoeding vragen als verzoeken kennelijk ongegrond of buitensporig zijn, met name door hun repetitieve karakter, en je moet dat aantonen (artikel 12, lid 5). Het recht op inzage mag de rechten en vrijheden van anderen niet nadelig beïnvloeden (artikel 15, lid 4), en daarom mag je gegevens van derden afschermen. Andere beperkingen volgen uit het Belgische recht, zoals het beroepsgeheim.

Een verzoek hoeft artikel 15 niet te noemen en geen formulier te gebruiken. Een geschreven bericht waarin iemand vraagt welke gegevens je over hem bijhoudt, volstaat, via welk kanaal ook.

In de praktijk

Een Belgische webwinkel krijgt een e-mail van een voormalige klant: "Stuur me alsjeblieft alles wat jullie over mij hebben." De e-mail komt op 3 maart binnen op een algemeen adres en wordt twee dagen later doorgestuurd naar de privacycontactpersoon. De termijn van één maand is op 3 maart beginnen te lopen.

De webwinkel checkt de identiteit door het e-mailadres te vergelijken met het klantenaccount, zonder een identiteitskaart te vragen. Ze doorzoekt het webshopsysteem, de nieuwsbrieftool, de tickets van de klantendienst, de betalingsdienstaanbieder en de leveringspartner. Ze vindt bestelgeschiedenis, supportgesprekken, marketingvoorkeuren en een frauderisicoscore. Ze geeft dat in een gestructureerd bestand, samen met de informatie uit artikel 15, lid 1: doeleinden, ontvangers zoals de betalingsdienstaanbieder en de vervoerder, en bewaartermijnen. Interne notities van een collega die een andere klant vermelden, laat ze weg, en in het supportgesprek verbergt ze de naam van die klant. De frauderisicoscore roept de vraag op of je details over de logica kunt geven zonder beveiligingsmaatregelen bloot te geven. Dat beslist de jurist geval per geval.

Had de klant ook wissing gevraagd, dan had de webwinkel de facturen bewaard voor de termijn die de boekhoud- en fiscale wetgeving vraagt, de rest gewist en de klant dat laten weten.

Processen die werken

Verzoeken slagen of mislukken op proces: één ontvangstpunt voor alle kanalen, een log met de datum van ontvangst, een lijst van systemen die je moet doorzoeken, een vaste structuur voor het antwoord en iemand die goedkeurt. Onze functie voor de afhandeling van verzoeken is daarrond gebouwd, en je verwerkingsregister levert veel van de informatie voor artikel 15, lid 1.

Veelgestelde vragen

Mogen we vragen waarom iemand de gegevens wil?

Nee. De betrokkene hoeft geen reden te geven. Een verzoek in de context van een geschil blijft een geldig verzoek, tenzij het misbruik is in de enge zin van artikel 12, lid 5.

Staat de termijn van één maand stil als we om een identiteitsbewijs vragen?

Niet automatisch. Vraag snel, dan kan de termijn redelijkerwijs gelden vanaf het moment dat je de informatie hebt om de persoon te identificeren. Gebruik het verzoek om identificatie wel niet om tijd te winnen.

Moeten we e-mails en back-ups doorzoeken?

Persoonsgegevens in e-mails vallen onder het verzoek. Back-ups vallen er in principe ook onder, maar de inspanning die dat vraagt en het doel van het verzoek kunnen een gerichter onderzoek rechtvaardigen. Leg vast welke keuzes je maakt.

Wat bij een stroom van verzoeken?

Verleng met maximaal twee maanden als verzoeken complex of talrijk zijn en laat de persoon dat weten. Weigeren wegens buitensporige verzoeken kan, maar vraagt een gedocumenteerde grondslag.

Hoe dit samenhangt

De afhandeling van verzoeken hoort bij DPO as a Service. De vermeldingen in je register en je bewaartermijnen bepalen hoe snel je kunt antwoorden, en je kunt verzoeken opvolgen in het klantenportaal.