Een inzageverzoek is het meest gebruikte recht uit de AVG en tegelijk het bewerkelijkste om af te handelen. De termijn is een maand, en die begint te lopen zodra het verzoek binnenkomt.
Kort samengevat
- Geen vormvereiste. Ook een mondeling verzoek telt.
- Een maand, met verlenging tot drie. Mits u de verlenging op tijd meldt.
- Kopie plus context. U verstrekt de gegevens en de informatie eromheen.
- Derden afschermen. De kopie mag anderen niet raken.
- De zoektocht is het echte werk. Weten waar de gegevens staan bepaalt of dit lukt.
Wie dit een paar keer heeft gedaan weet dat het juridische deel meestal niet het probleem is. Het probleem is dat persoonsgegevens verspreid staan over systemen, mailboxen en netwerkschijven, en dat niemand precies weet waar.
Hoe handelt u een inzageverzoek stap voor stap af?
Zes stappen, en de eerste is de belangrijkste omdat daar de klok begint te lopen.
- Registreer de ontvangst. Datum, kanaal, wie het verzoek doet en wat er precies wordt gevraagd. Bevestig de ontvangst aan de verzoeker.
- Stel de identiteit vast. Alleen bij redelijke twijfel, en vraag niet meer dan nodig.
- Bepaal de reikwijdte. Vraagt iemand alles, of gaat het om een specifiek dossier. Een gerichte vraag scheelt beide partijen werk.
- Verzamel de gegevens. Uit alle systemen waarin de betrokkene voorkomt, inclusief mail en gedeelde schijven.
- Schoon op en scherm af. Gegevens van derden onleesbaar maken, en vastleggen waarom.
- Verstrek en documenteer. Met de aanvullende informatie die de AVG voorschrijft, en leg vast wat u heeft geleverd.
Wat moet u precies verstrekken?
Meer dan alleen een uitdraai. De AVG vraagt om een kopie van de persoonsgegevens die u verwerkt, plus een set aanvullende informatie.
Die aanvullende informatie omvat: de doelen van de verwerking, de categorieën gegevens, de ontvangers of categorieën ontvangers, de bewaartermijn of de criteria om die te bepalen, de rechten die de betrokkene verder heeft, de herkomst van de gegevens als u ze niet bij hem heeft verzameld, en of er sprake is van geautomatiseerde besluitvorming.
Veel organisaties leveren netjes de gegevens en vergeten die context. Dat is een onvolledige afhandeling. Een praktische oplossing is een vaste begeleidende brief waarin die punten staan, met per verzoek alleen de specifieke invulling.
Wat verstrekt u niet?
Drie categorieën blijven buiten de kopie, en het is verstandig die vooraf te kennen.
Gegevens van andere mensen. Een dossier of mailwisseling bevat vrijwel altijd derden, en die schermt u af. Dat is geen keuze maar een verplichting: de kopie mag geen afbreuk doen aan de rechten en vrijheden van anderen.
Informatie die geen persoonsgegevens is. Interne beleidsstukken, prijsafspraken en algemene procedures vallen erbuiten, ook als ze in hetzelfde dossier zitten.
Persoonlijke werkaantekeningen die niet zijn gedeeld en alleen als geheugensteun dienen. Zodra zo’n aantekening wordt gedeeld of in een dossier wordt opgenomen, verandert dat beeld.
Speelt er een bijzondere situatie, bijvoorbeeld een medisch dossier of een lopend onderzoek, dan is de afweging ingewikkelder. Over de eerste situatie schreven wij in de AVG en het medisch dossier.
Waar zoekt u en hoe ver gaat u?
De reikwijdte van de zoektocht is in de praktijk de grootste kostenpost. U bent verplicht een redelijke inspanning te leveren, en dat is iets anders dan elke schijf van de organisatie doorspitten.
Begin bij de systemen waarin de betrokkene naar verwachting voorkomt: het klantsysteem, het personeelssysteem, de financiële administratie, het dossiersysteem. Neem daarna de mailboxen mee van de mensen die direct met deze persoon te maken hebben gehad. Wat u daarbuiten doet, hangt af van de vraag en van wat redelijkerwijs te verwachten is.
Leg vast waar u heeft gezocht. Komt er later een klacht omdat de betrokkene meent dat er meer moet zijn, dan is die vastlegging het enige waarmee u kunt laten zien dat u zorgvuldig te werk bent gegaan. Een lijst met doorzochte systemen en de datum volstaat.
Waar loopt de termijn stuk?
Zelden op de inhoud, bijna altijd op de organisatie. Vier klassiekers.
- Het verzoek blijft liggen. Binnengekomen bij een medewerker die niet weet wat het is.
- De verlenging wordt niet gemeld. U gebruikt de extra twee maanden zonder de betrokkene te informeren, en dan is de termijn formeel verstreken.
- De zoektocht duurt te lang. Omdat niet vastligt in welke systemen persoonsgegevens staan.
- Vakantie. De enige persoon die het kan is er drie weken niet.
Alle vier zijn te ondervangen met een vast ingangspunt, een vervanger en een actueel waarom u een register van verwerkingen bijhoudt. Dat register is niet alleen een verplichting maar ook uw plattegrond bij elk verzoek.
Wat als het verzoek onredelijk is?
Dat kan, en de AVG houdt daar rekening mee. Bij kennelijk ongegronde of buitensporige verzoeken, bijvoorbeeld doordat iemand hetzelfde verzoek herhaaldelijk indient, mag u een redelijke vergoeding vragen of weigeren te handelen.
De bewijslast ligt wel bij u, en die drempel is hoog. Een verzoek is niet buitensporig omdat het veel werk kost of omdat er een arbeidsconflict achter zit. Weigert u, dan legt u uit waarom en wijst u op de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Merkt u dat verzoeken structureel te veel tijd kosten, dan zit het probleem meestal in de vindbaarheid van gegevens en niet in de verzoeken zelf. Een AVG audit en nulmeting legt bloot waar die gegevens overal staan, en met juridisch privacy advies kunt u de lastige afwegingen per geval laten toetsen.
