Verzoeken van betrokkenen

Wat het doet

Mensen hebben rechten op grond van artikelen 15 tot 22 AVG: inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar. Een verzoek kan binnenkomen per e-mail, per brief, via een formulier of in een chat met de klantendienst. De verwerkingsverantwoordelijke heeft één maand om te antwoorden (artikel 12, lid 3), met een verlenging van nog twee maanden voor complexe of talrijke verzoeken. Wat de wet precies vraagt, lees je in onze praktische gids over inzageverzoeken.

Elk verzoek krijgt van ons een dossier, een termijn en een duidelijke route naar een antwoord. De jurist beslist of een uitzondering geldt, wat je afschermt en wat je antwoordt.

Functies

Registratie in het klantenportaal

Jouw team registreert een verzoek in het klantenportaal zodra het binnenkomt: datum van ontvangst, kanaal, ingeroepen recht en wie de verzoeker is. Die datum telt, want de termijn van één maand loopt vanaf dan.

Identiteitscontrole en verduidelijking

In het dossier staat hoe je de identiteit van de verzoeker hebt gecheckt (artikel 12, lid 6 laat je extra informatie vragen bij redelijke twijfel) en welke verduidelijking je vroeg. Verzoeken die kennelijk ongegrond of buitensporig zijn (artikel 12, lid 5) leggen we voor aan de jurist, die beslist.

Termijn bewaken

Elk verzoek toont de termijn en wat nog openstaat. Is een verlenging terecht, dan leggen we de redenen vast en bereiden we de kennisgeving aan de betrokkene voor. Die moet binnen de eerste maand vertrekken en gaat eerst langs jou ter goedkeuring.

Gegevensexport bij inzageverzoeken

Bij een inzageverzoek verzamelen we de gegevens uit gekoppelde dossiers in een export die de jurist nakijkt. Die kijkt wat moet worden afgeschermd om de rechten van anderen te beschermen (artikel 15, lid 4), welk materiaal onder het beroepsgeheim valt en welke informatie buiten het verzoek valt. Het antwoord moet ook de informatie uit artikel 15, lid 1 bevatten, zoals doeleinden, ontvangers en bewaartermijnen. Daarvoor kan de vermelding in je verwerkingsregister dienen.

Wissing over alle dossiers

Bij een verzoek op grond van artikel 17 (recht op vergetelheid) volgen we de gegevens van de betrokkene door al je gekoppelde dossiers en stellen we per dossier wissing of anonimisering voor. Wissing is niet absoluut. Artikel 17, lid 3 somt uitzonderingen op, zoals naleving van een wettelijke verplichting en het instellen, uitoefenen of onderbouwen van een rechtsvordering. Ook bewaartermijnen uit andere wetten kunnen eisen dat je gegevens bewaart. De jurist beslist per dossier en de redenen worden vastgelegd.

Antwoord en dossier

We stellen het antwoord op, de jurist leest mee en keurt het goed voor het vertrekt. Het verzoek, de stappen en het antwoord zitten in één dossier. Dat is je bewijs als de betrokkene klacht indient bij de toezichthouder.

Wat je mag verwachten

• Een verzoekdossier met termijn, identiteitscheck, beslissingen en antwoord.
• Een nagekeken export voor inzage- en overdraagbaarheidsverzoeken.
• Een overzicht van wat gewist werd, wat bleef staan en de wettelijke reden om te bewaren.
• Een lijst van verzoeken en hun status voor de periodieke review door de DPO.

Voorbeeld van begin tot eind

Een fitnessketen in Kortrijk krijgt een mail van een voormalig lid dat alle gegevens wil zien en gewist wil hebben. De onthaalbalie registreert het dezelfde dag in het portaal, en de termijn is zichtbaar. In het dossier staat dat de identiteit werd bevestigd met het geregistreerde e-mailadres en het lidnummer. We verzamelen de gegevens van het lid uit de gekoppelde dossiers: contract, betalingen, logs van de toegangskaart, nieuwsbriefvoorkeuren en twee klachtentickets. De jurist keurt de export na, schermt de naam van een ander lid in een klacht af en beslist dat facturen bewaard blijven zolang de boekhoudwetgeving dat eist. Voor de rest stellen we wissen of anonimiseren voor, wat de jurist goedkeurt. Het antwoord, met de informatie die artikel 15 vraagt en uitleg over wat bleef staan en waarom, gaat binnen de maand de deur uit.

Het logboek van verzoeken toont ook patronen, zoals veel verzoeken via één kanaal of één terugkerende klacht. De DPO kan dat bij het management aankaarten als teken dat een proces bijsturing nodig heeft.

Waar we het inzetten

We handelen deze verzoeken af als onderdeel van onze DPO as a Service. Het speelt ook na een datalek, als getroffen mensen vragen wat je over hen bijhoudt en of het weg kan. Zie ook de 72-urenregel. Vertrouwelijke inhoud wordt op onze eigen hardware afgeschermd voordat een cloud-AI het ziet. Kan die check niet draaien, dan gaat er niets weg. Ons platform wordt in de EU gehost.