Inhoudsopgave
Een inzageverzoek komt zelden aangekondigd en bijna nooit als formulier. Het komt als e-mail, soms als zin aan de balie – en vanaf dat moment loopt er een termijn
Artikel 15 AVG geeft iedereen het recht om van jou te horen of en welke gegevens je over hem verwerkt. Het verzoek is vormvrij, hoeft niet gemotiveerd te worden en hoeft het woord "inzage" niet te bevatten. Ook "Wat hebben jullie eigenlijk allemaal over mij opgeslagen?" is een verzoek, als het serieus is bedoeld.
Het werk erachter hangt minder af van het recht dan van jouw administratie. De lijst van wat erin hoort is overzichtelijk en in een uur gemaakt – als je weet waar de gegevens liggen. Liggen ze in vier systemen, dan wordt uit datzelfde uur een weekend. Dit artikel beschrijft de werkwijze; het is een oriëntatie, en over betwiste gevallen beslissen de toezichthouder of een jurist.
1. Wat er in de inzage hoort
Artikel 15 lid 1 verlangt twee dingen die vaak worden verward. Ten eerste de bevestiging of er überhaupt gegevens worden verwerkt. Ten tweede, als dat zo is, de inzage in die gegevens plus acht gegevens over de verwerking zelf:
- de verwerkingsdoeleinden,
- de categorieën van verwerkte gegevens,
- de ontvangers of categorieën van ontvangers – ook die in derde landen,
- de voorziene bewaartermijn of, als dat niet mogelijk is, de criteria daarvoor,
- het bestaan van de rechten op rectificatie, wissing, beperking en bezwaar,
- het recht om een klacht in te dienen bij een toezichthouder,
- de herkomst van de gegevens, als je ze niet bij de persoon zelf hebt verzameld,
- of er sprake is van geautomatiseerde besluitvorming inclusief profilering.
De eerste zeven zijn in een klein bedrijf voor elk verzoek gelijk – je schrijft ze één keer en hergebruikt ze. Alleen de gegevens zelf verschillen per persoon. Precies daarom loont een sjabloon: het vaste deel is het grootste.
Daar komt artikel 15 lid 3 bij: je verstrekt een kopie van de gegevens die worden verwerkt. Komt het verzoek elektronisch binnen, dan geef je de informatie in een gangbaar elektronisch formaat, tenzij anders is gevraagd. Voor bijkomende kopieën mag je een redelijke vergoeding op basis van de administratieve kosten vragen – voor de eerste niet.
Inzage geven is geen juridische taak, maar een kwestie van administratie.
2. De klok: één maand, met twee te verlengen
Artikel 12 lid 3 zet de termijn: onverwijld, en in elk geval binnen één maand na ontvangst van het verzoek. Die maand loopt vanaf de ontvangst, niet vanaf de dag waarop je het verzoek als zodanig herkende – een reden om e-mails aan het algemene adres niet wekenlang te laten liggen.
De termijn kan met nog eens twee maanden worden verlengd, als dat gezien de complexiteit en het aantal verzoeken nodig is. Die verlenging gebeurt niet vanzelf: je moet er binnen de eerste maand over informeren en de redenen voor de vertraging noemen. Wie de verlenging pas in de derde maand meedeelt, heeft de termijn overschreden en niet verlengd.
Als je op een verzoek geen gevolg geeft, eindigt de zaak niet in stilte. Artikel 12 lid 4 verlangt dat je onverwijld, uiterlijk binnen één maand, de redenen meedeelt en op twee wegen wijst: de klacht bij een toezichthouder en de gang naar de rechter. Er komt dus altijd een antwoord, ook het afwijzende.
De inzage is volgens artikel 12 lid 5 kosteloos. Alleen bij kennelijk ongegronde of – met name bij herhaling – buitensporige verzoeken mag je een redelijke vergoeding vragen of weigeren te handelen, en het bewijs daarvoor moet je leveren. Het tweede verzoek van dezelfde persoon na een halfjaar is nog niet buitensporig.
3. Wie vraagt daar eigenlijk?
De inzage gaat naar de betrokkene – en naar niemand anders. Inzage aan de verkeerde persoon is zelf een datalek, en wel een dat je zelf hebt veroorzaakt. Daarom staat de identiteitscontrole vóór het antwoord.
Artikel 12 lid 6 staat je toe om bij gegronde twijfel aanvullende informatie ter bevestiging van de identiteit te vragen. Overweging 64 vult aan dat alle redelijke middelen moeten worden gebruikt, vooral bij onlinediensten. Twee grenzen zijn daarbij van belang:
- Twijfel moet gegrond zijn. Komt het verzoek van het e-mailadres dat al jaren in je bestand staat, dan heb je in de regel geen aanleiding om een identiteitsbewijs te vragen.
- De controle mag geen gegevensverzameling worden. Overweging 64 zegt uitdrukkelijk dat gegevens niet alleen mogen worden bewaard om op mogelijke inzageverzoeken te kunnen reageren. Een kopie van een identiteitsbewijs die je daarna houdt, keert het doel van de bepaling om.
In de praktijk draagt een eenvoudige weg: antwoord via het kanaal waarlangs de persoon bij jou bekend is. Komt het verzoek van een onbekend adres, vraag dan terug via het vastgelegde nummer of adres. Dat is geen pesterij en het laat zich in één zin uitleggen.
Vraagt iemand namens een ander – familie, advocaat, bewindvoerder – dan heb je een bewijs van de volmacht nodig. Zonder dat antwoord je niet afwijzend maar navragend, en de termijn loopt door.
Gerelateerde artikelen
4. Wat er niet in de inzage hoort
De meest voorkomende fout is niet de te karige inzage maar de te royale. Artikel 15 lid 4 zegt: het recht om een kopie te krijgen mag geen afbreuk doen aan de rechten en vrijheden van anderen. Daaruit volgt een uitzonderingslijst die je vóór het versturen langsloopt.
| Geval | Wat je doet |
|---|---|
| Afspraak samen met een tweede persoon | eigen gegevens verstrekken, de naam van de tweede persoon onleesbaar maken |
| Interne notitie over een medewerker | inhoud over de vragende persoon wel, personeelsbeoordeling niet |
| E-mailverkeer met derden in de kopie | adressen van derden verwijderen |
| Aanbeveling door iemand anders | herkomst noemen voor zover het kan – de afweging vastleggen |
Belangrijk is de richting van de uitzondering: ze staat je niet toe de inzage in haar geheel te weigeren omdat er ergens een vreemde naam opduikt. Ze staat toe de passage achter te houden die rechten van anderen raakt. De rest gaat eruit.
En nog iets hoort er niet in: rechtvaardiging. Artikel 12 lid 1 verlangt een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm in duidelijke en eenvoudige taal. Een inzage die begint met drie alinea's over waarom de opslag noodzakelijk is, voldoet daar slechter aan dan een eenvoudige opsomming.
5. Vier systemen, één antwoord
Nu het eigenlijke werk. De inzage omvat alle gegevens die je over de persoon verwerkt – niet die uit één systeem. In het typische kleine bedrijf liggen ze op minstens vier plekken: in de agenda, in het klantenbestand, in de facturen en in de communicatie, dus in e-mails en berichten.
Daar komen de stille plekken bij: de spreadsheet voor de nieuwsbrief, het formulier op de website, het boekingsgereedschap, het factuurprogramma van de boekhouder, het schrift bij de balie. Elk van die plekken is afzonderlijk onschuldig. Samen leveren ze de vraag op die een inzage pas moeizaam maakt: weet je zeker dat je er geen bent vergeten?
Hier ligt de eerlijkste reden om afspraken, bestand en facturen in één systeem te voeren – niet de tijdwinst in het dagelijkse werk, maar de beantwoordbaarheid van die vraag. Waar alles op één plek ligt, is de inzage een export. Waar het verspreid ligt, is ze een zoektocht met onzeker einde. Voor een salon laat de salonsoftware zien hoe dat samenbrengen eruitziet, voor een autobedrijf de garagesoftware.
Ongeacht het gereedschap helpt een lijst die je vooraf schrijft: één regel per plek waar klantgegevens liggen, met een woord erbij over hoe je daar zoekt. Dezelfde lijst beantwoordt later de vraag wat er bij een softwarewissel werkelijk meekomt. Ze is toch al bijna gelijk aan het register uit artikel 30 AVG – je schrijft hem dus niet dubbel.
De werkwijze is kort: verzoek herkennen, ontvangst noteren, identiteit controleren, alle plekken langsgaan, gegevens van anderen verwijderen, in duidelijke taal antwoorden – binnen één maand, zo nodig met een gemotiveerde verlenging van twee. De voorbereiding die het verschil maakt, is de lijst van plekken. Welke gegevens daar überhaupt mogen staan, klaart Welke klantgegevens je mag bewaren; wat er daarna mee gebeurt, het Verwijderbeleid op één pagina.
Klantgegevens op één plek, niet in vier lijsten
Met alles in één systeem beantwoord je een inzageverzoek in minuten en verwijder je wat weg moet. Gehost in Duitsland.
