De rechten van betrokkenen onder de AVG: welke zijn er?

De rechten van betrokkenen zijn de kern van de AVG. Ze geven mensen zeggenschap over hun eigen gegevens, en ze bepalen wat uw organisatie in de praktijk moet kunnen leveren.

Kort samengevat

• Acht rechten. Van informatie en inzage tot bezwaar en bescherming tegen geautomatiseerde besluiten.
• Een maand, verlengbaar met twee. Maar de verlenging moet u wel binnen de eerste maand melden.
• Niet elk recht geldt altijd. De grondslag bepaalt welke rechten in beeld zijn.
• Kosteloos is de hoofdregel. Uitzonderingen moet u kunnen onderbouwen.
• Het proces is belangrijker dan de kennis. De meeste fouten zijn organisatorisch, niet juridisch.

Organisaties bereiden zich meestal voor op de inhoud van deze rechten en niet op de logistiek eromheen. Dat is de verkeerde volgorde. Een verzoek dat drie weken op een algemene mailbox blijft liggen, is een probleem geworden voordat iemand de juridische vraag heeft gesteld.

Welke rechten van betrokkenen kent de AVG?

Acht in totaal, en het loont om ze uit elkaar te houden.

1. Recht op informatie. U vertelt uit uzelf wat u verwerkt en waarom, meestal in een privacyverklaring.
2. Recht op inzage. De betrokkene mag opvragen welke gegevens u van hem verwerkt en een kopie krijgen.
3. Recht op rectificatie. Onjuiste gegevens corrigeert u, onvolledige gegevens vult u aan.
4. Recht op gegevenswissing. Ook bekend als het recht op vergetelheid, en het geldt in een aantal specifieke situaties.
5. Recht op beperking. De gegevens blijven bestaan maar u doet er tijdelijk niets mee, bijvoorbeeld zolang een geschil loopt over de juistheid.
6. Recht op dataportabiliteit. De betrokkene krijgt zijn gegevens in een gangbaar formaat, zodat hij ze kan meenemen.
7. Recht van bezwaar. Tegen verwerking op grond van gerechtvaardigd belang of een taak van algemeen belang, en altijd tegen direct marketing.
8. Recht bij geautomatiseerde besluitvorming. Bescherming tegen besluiten die uitsluitend door een systeem worden genomen en die de betrokkene aanmerkelijk treffen.

Dat laatste recht wordt belangrijker naarmate er meer met algoritmes wordt gewerkt. Dat geldt ook voor situaties waarin medewerkers zelf tools inzetten, bijvoorbeeld bij de vraag of zij persoonsgegevens in ChatGPT of Copilot mogen invoeren.

Welk recht geldt wanneer?

Dit is het onderdeel dat het vaakst verkeerd gaat. Niet elk recht geldt bij elke verwerking, en dat hangt af van de grondslag.

Het recht op dataportabiliteit geldt alleen als u verwerkt op grond van toestemming of van een overeenkomst, en alleen bij geautomatiseerde verwerking. Verwerkt u op grond van een wettelijke verplichting, dan geldt dit recht niet.

Het recht van bezwaar geldt bij gerechtvaardigd belang en bij een taak van algemeen belang. Bij een wettelijke verplichting kan de betrokkene geen bezwaar maken, simpelweg omdat u geen keuze heeft.

Het recht op wissing kent zes gronden en is geen algemeen recht om te verdwijnen. Moet u de gegevens bewaren op grond van de wet, dan gaat die plicht voor. Wat u dan wel doet, is uitleggen waarom u niet wist en welk deel u eventueel wel opruimt.

Welke termijnen gelden er?

De hoofdregel is een maand na ontvangst van het verzoek. Die termijn mag u met twee maanden verlengen als het verzoek complex is of als u er veel tegelijk krijgt, maar dan moet u de betrokkene binnen die eerste maand laten weten dat u verlengt en waarom.

Handelt u niet, dan kan de betrokkene een klacht indienen bij de Autoriteit Persoonsgegevens. Hoe zo’n procedure verloopt beschreven wij in een klacht bij de AP. Dat het geen theoretisch risico is, blijkt uit een dwangsom vanwege een inzageverzoek: bij een uitblijvend antwoord kan de rechter een dwangsom opleggen.

Reken er in uw proces op dat de klok gaat lopen op het moment dat het verzoek uw organisatie binnenkomt, en niet op het moment dat het bij de juiste persoon terechtkomt. Dat verschil is in de praktijk vaak twee weken.

Hoe richt u de afhandeling in?

Vijf dingen regelt u vooraf, en dan wordt een verzoek routinewerk in plaats van een incident.

• Een vast ingangspunt. Een mailadres dat wordt gelezen, met een vervanger bij afwezigheid.
• Herkenning. Leer receptie, klantenservice en HR wat een verzoek is, want mensen gebruiken de juridische termen niet.
• Een register. Datum van ontvangst, aard van het verzoek, deadline, wie het oppakt.
• Vindbaarheid van gegevens. Weet in welke systemen persoonsgegevens staan. Zonder uw waarom u een register van verwerkingen bijhoudt wordt elk inzageverzoek een zoektocht.
• Standaardteksten. Voor ontvangstbevestiging, verlenging en afwijzing met onderbouwing.

Waar gaat het in de praktijk mis?

Drie dingen zien wij het vaakst. Verzoeken die te laat worden herkend, omdat ze binnenkomen bij een medewerker die niet weet wat hij in handen heeft. Verlengingen die wel worden toegepast maar niet gemeld, waardoor de termijn formeel gewoon is verstreken. En te veel verstrekken bij inzage, waarbij gegevens van andere mensen mee naar buiten gaan.

Dat laatste punt verdient aandacht. Bij inzage verstrekt u een kopie van de gegevens van de verzoeker, en die kopie mag geen afbreuk doen aan de rechten en vrijheden van anderen. In een mailwisseling of een dossier staan bijna altijd derden. Die schermt u af.

Speelt dit vaak bij u, dan is een korte instructie voor de mensen aan de voorkant effectiever dan een uitgebreid beleidsstuk. Een privacy en security awareness e-learning dekt dat af, en voor de inrichting van het proces zelf is juridisch privacy advies de snelste route.