Een Inzageverzoek Ontvangen? Dit Moet Uw Onderneming Weten (En Doen)

Data is alomtegenwoordig. Organisaties verwerken dagelijks persoonsgegevens van klanten, medewerkers en partners. Toch is het voor betrokkenen niet altijd duidelijk welke gegevens uw organisatie verwerkt en waarom. De Algemene Verordening Gegevensbescherming 2016/679 (AVG) geeft elke natuurlijke persoon het recht om inzage te krijgen in zijn of haar persoonsgegevens. Voor ondernemingen betekent dit dat transparantie geen keuze is, maar een wettelijke verplichting.

In deze nieuwsbrief zetten we de belangrijkste aandachtspunten op een rij, zodat uw onderneming weet hoe zij een inzageverzoek correct behandelt.

Waarom bestaat het recht op inzage?

Als onderneming bent u verantwoordelijk voor een heldere communicatie over de manier waarop u persoonsgegevens verwerkt.

Het recht op inzage laat betrokkenen toe om:

• te controleren of hun persoonsgegevens worden verwerkt;
• inzicht te krijgen in welke persoonsgegevens dat zijn;
• te begrijpen wat het doel van de verwerking is, hoe lang gegevens worden bewaard, wie de ontvangers zijn en welke rechten zij hebben.

Bij het samenstellen van deze informatie kunt u vertrekken van het register van verwerkingsactiviteiten en de privacyverklaring.

Voorwaarden: een verzoek zonder drempels

Een verzoek tot inzage hoeft door de betrokkene niet te worden gemotiveerd en kent nauwelijks formaliteiten. Zo moet de betrokkene in principe enkel duidelijk maken welke rechten hij wenst uit te oefenen, het verzoek aan de verwerkingsverantwoordelijke richten en, indien nodig, zijn identiteit kunnen aantonen. Als verwerkingsverantwoordelijke bent u verplicht om toegankelijke communicatiekanalen aan te bieden, zodat betrokkenen eenvoudig hun rechten kunnen uitoefenen.

Let wel: hoewel u gebruiksvriendelijke kanalen moet voorzien, is de betrokkene niet gebonden aan deze opties en mag hij of zij het verzoek ook via een ander contactpunt indienen. Wordt een verzoek daarentegen naar een willekeurig of duidelijk ongeschikt adres gestuurd, dan kan dat een impact hebben op uw verplichting om daarop te reageren.

Voorafgaande checklist: wat u eerst moet controleren bij een inzageverzoek

Een inzageverzoek lijkt op het eerste gezicht eenvoudig, maar als organisatie mag u niet zonder meer alle persoonsgegevens verstrekken. Eerst moet u enkele belangrijke controles uitvoeren:

• Is de identiteit van de betrokkene duidelijk? Vraag alleen aanvullende informatie wanneer dat relevant en proportioneel is. Zolang de identiteit niet vaststaat, mag u de inzage weigeren;
• Komt het verzoek van de betrokkene zelf, of van een gemachtigde derde? Controleer of die derde, bijvoorbeeld een ouder of voogd, effectief bevoegd is;
• Gaat het verzoek wel over “persoonsgegevens”? Als het om andere informatie gaat, valt het in principe buiten het recht op inzage;
• Heeft het verzoek betrekking op specifieke persoonsgegevens, of om álle persoonsgegevens van de betrokkene? Tenzij uitdrukkelijk anders vermeld, mag u ervan uitgaan dat het verzoek betrekking heeft op alle persoonsgegevens van de betrokkene. De verwerkingsverantwoordelijke kan de betrokkene wel vragen om het verzoek te specifiëren;
• Beschikt uw organisatie nog over de gevraagde persoonsgegevens? Verwijderde persoonsgegevens kunnen uiteraard niet worden verstrekt.

Pas wanneer deze punten zijn afgevinkt, mag u overgaan tot het verstrekken van inzage. Zorg dat uw interne processen dit ondersteunen – fouten kunnen leiden tot klachten en (financiële) sancties.

Reikwijdte: wat zijn persoonsgegevens?

Het recht op inzage geldt voor persoonsgegevens van de betrokkene. Dit omvat niet alleen klassieke persoonsgegevens zoals naam, adres en telefoonnummer, maar ook meer specifieke en gevoelige informatie zoals medische bevindingen, aankoopgeschiedenis, kredietwaardigheid, activiteitenlogboeken en zoekgeschiedenis. De term persoonsgegevens moet ruim worden geïnterpreteerd. Ook chatberichten, e-mails en telefoonopnames kunnen persoonsgegevens zijn.

Gepseudonimiseerde gegevens vallen eveneens onder het recht, mits ze herleidbaar zijn tot een individu. Geanonimiseerde persoonsgegevens vallen daarentegen buiten het recht op inzage, omdat ze niet meer te herleiden zijn tot een persoon. Tot slot is de AVG niet van toepassing op persoonsgegevens van overleden personen.

Het verlenen van inzage: zo pakt u het aan

Als onderneming bent u verplicht betrokkenen inzage te geven in hun persoonsgegevens. Een loutere samenvatting volstaat niet: de betrokkene heeft recht op toegang tot alle verwerkte persoonsgegevens. Dit betekent niet dat u steeds de originele documenten moet overhandigen, maar wél dat u op een transparante en toegankelijke manier inzage moet verlenen.

In principe volstaat een overzicht van de persoonsgegevens, tenzij het brondocument onontbeerlijk is om de rechtmatigheid van de verwerking te controleren. Niet de aard van het document is doorslaggevend, maar wel of de betrokkene zonder dat document zijn of haar controlerecht effectief kan uitoefenen.

De manier waarop u inzage verleent, is bovendien geen one-size-fits-all oefening. Daarbij moet rekening worden gehouden met onder meer:

• de hoeveelheid persoonsgegevens;
• de complexiteit van de verwerking;
• het vermogen van de betrokkene om de informatie te begrijpen;
• specifieke noden van kwetsbare groepen (zoals ouderen, kinderen of personen met een visuele of cognitieve beperking).

Mogelijke vormen van inzage zijn onder meer:

• een kopie van de persoonsgegevens (de meest gangbare vorm);
• een mondelinge toelichting;
• inzage ter plaatse, indien de betrokkene daarom verzoekt.

Bij elektronische verstrekking van de persoonsgegevens moet de betrokkene de persoonsgegevens eenvoudig kunnen downloaden en bewaren. Wanneer het gaat om grote hoeveelheden persoonsgegevens, kan een gelaagde aanpak nuttig zijn – mits dit vooraf duidelijk wordt gecommuniceerd. De eerste kopie moet kosteloos worden verstrekt. Voor extra kopieën mag een redelijke vergoeding worden gevraagd.

Let op: het beantwoorden van een verzoek tot inzage met een uitnodiging tot inzage ter plaatse is niet altijd een geldig antwoord. Wie een kopie vraagt, moet ook een kopie krijgen. Een recht op kopie veronderstelt een getrouwe en begrijpelijke reproductie van alle gevraagde persoonsgegevens, in een vorm waarover de betrokkene vrij en duurzaam kan beschikken. De verplichting aan de verzoeker om ter plaatse zelf de relevante stukken te identificeren en te kopiëren, verschuift op onrechtmatige wijze de last van uw organisatie naar de betrokkene.

Termijnen: wettelijke deadlines voor een inzageverzoek

Een inzageverzoek vereist niet alleen een inhoudelijk correcte reactie, maar ook een tijdige aanpak. Onderstaande tabel geeft een overzicht van de belangrijkste deadlines op een rij.

Beperkingen: wanneer mag u een inzageverzoek weigeren?

Hoewel betrokkenen recht hebben op inzage in hun persoonsgegevens, mag dit recht niet ten koste gaan van de rechten en vrijheden van anderen.

Denk daarbij bijvoorbeeld aan:

• persoonsgegevens van derden;
• bedrijfsgeheimen;
• intellectuele eigendomsrechten;
• auteursrechten.

Ontvangt uw organisatie een verzoek dat ook dergelijke informatie bevat? Dan hoeft dat niet automatisch te betekenen dat het verzoek moet worden geweigerd. Vaak kan gevoelige informatie worden geredigeerd of geanonimiseerd, zodat de betrokkene alsnog toegang krijgt tot de persoonsgegevens waarop hij of zij recht heeft.

Daarnaast kan uw organisatie een verzoek weigeren of een redelijke vergoeding aanrekenen wanneer sprake is van een kennelijk ongegrond of buitensporig verzoek. Bij een weigering moet de betrokkene wel binnen één maand worden geïnformeerd over:

• de reden van weigering;
• het recht om een klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA);
• de mogelijkheid om gerechtelijke stappen te ondernemen.

Een verzoek is niet automatisch buitensporig omdat de behandeling ervan veel tijd of inspanning vergt. Zo verwierp de GBA recent het argument van een werkgever dat een inzageverzoek buitensporig zou zijn wegens de aanzienlijke werklast.  Volgens de GBA moet deze uitzondering restrictief worden toegepast. Enkel in uitzonderlijke gevallen, bijvoorbeeld bij kennelijk rechtsmisbruik of wanneer het verzoek duidelijk een ander doel nastreeft dan transparantie, kan een weigering gerechtvaardigd zijn. Een ongerechtvaardigde weigering kan leiden tot klachten en sancties. Zorg er dus voor dat uw organisatie transparant en zorgvuldig communiceert.

Conclusie

Wanneer uw organisatie een verzoek tot inzage ontvangt, is het cruciaal om tijdig en correct te handelen. Hoewel het recht van inzage op papier eenvoudig lijkt, blijkt de praktische uitvoering vaak complexer. Denk aan het afwegen van belangen, het beschermen van bedrijfsgevoelige informatie en het correct toepassen van uitzonderingen. Een duidelijke interne procedure is daarom geen overbodige luxe. Zo voorkomt uw organisatie fouten, klachten en sancties.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.