Vraagt een klant of medewerker welke persoonsgegevens je hebt opgeslagen? Dan heb je te maken met een inzageverzoek onder de AVG. In dit artikel lees je wat het inzagerecht inhoudt, welke verplichtingen daar voor jou als ondernemer bij horen en in welke situaties je een inzageverzoek mag weigeren.
Wat is het inzagerecht (AVG)?
Het inzagerecht is het recht van een persoon om te weten welke persoonsgegevens een organisatie verwerkt. Dit recht geldt voor iedereen van wie je gegevens bewaart, zoals klanten, medewerkers, sollicitanten of oud-medewerkers.
Doet iemand een beroep op het inzagerecht? Dan moet je inzicht geven in de persoonsgegevens die je gebruikt. Iemand mag alleen de eigen gegevens opvragen. Gegevens over andere personen vallen hier niet onder.
Het inzagerecht geldt voor:
digitale gegevens, zoals informatie in een CRM-, boekhoud- of HR-systeem;
papieren dossiers, zolang deze zijn opgenomen in een bestand of daarvoor bedoeld zijn.
Voor kinderen tot 16 jaar mogen ouders of wettelijke vertegenwoordigers het inzageverzoek indienen.
Wanneer is er sprake van een inzageverzoek?
Een inzageverzoek hoeft niet formeel te zijn. Iemand hoeft het woord inzageverzoek niet te gebruiken of te verwijzen naar de AVG. Ook een eenvoudige vraag kan al gelden als een inzageverzoek.
Bijvoorbeeld:
“Welke persoonsgegevens hebben jullie van mij?”
“Wat staat er over mij in jullie administratie?”
“Welke gegevens bewaren jullie van mij?”
Zodra duidelijk is dat iemand wil weten welke persoonsgegevens je verwerkt, moet je het verzoek behandelen als een inzageverzoek onder de AVG. Een inzageverzoek kan op verschillende manieren worden ingediend, zoals per e-mail, via een contactformulier, per brief of mondeling. Wel mag je vragen om verduidelijking als niet duidelijk is welke gegevens worden bedoeld.
Wat moet je aanleveren bij een inzageverzoek?
Ontvang je een inzageverzoek? Dan moet je meer verstrekken dan alleen een overzicht van persoonsgegevens. Je bent ook verplicht om duidelijke informatie te geven over de manier waarop je deze gegevens verwerkt.
Bij een inzageverzoek moet je in ieder geval aangeven:
waarom je de persoonsgegevens verwerkt;
welke persoonsgegevens je verwerkt;
met welke partijen je de persoonsgegevens deelt;
hoe lang je de persoonsgegevens bewaart;
dat iemand het recht heeft om gegevens te laten aanpassen of verwijderen, bezwaar te maken tegen de verwerking of deze te beperken;
dat een klacht kan worden ingediend bij de toezichthouder;
welke passende waarborgen zijn genomen als persoonsgegevens buiten de EU of EER zijn verwerkt.
of je werkt met geautomatiseerde besluitvorming of profilering (als dat van toepassing is)
Hoe lever je de persoonsgegevens aan die je verwerkt?
Bij een inzageverzoek gaat het om een kopie van de persoonsgegevens die je verwerkt. Dat betekent niet automatisch dat je alle documenten waarin die gegevens staan moet verstrekken. In veel gevallen volstaat een overzicht van de persoonsgegevens. Alleen als dat nodig is voor een goed begrip, kan het verstrekken van (delen van) documenten aan de orde zijn.
Heb je de persoonsgegevens niet rechtstreeks van de persoon zelf gekregen, bijvoorbeeld via een ingekocht adressenbestand of een extern platform? Dan moet je ook aangeven waar de gegevens vandaan komen.
Binnen welke termijn moet je reageren op een inzageverzoek?
Ontvang je een inzageverzoek? Dan moet je zonder onnodige vertraging en uiterlijk binnen één maand na ontvangst reageren. Als het verzoek onduidelijk is, mag je om toelichting vragen. Begin intussen alvast met verzamelen.
Lukt het niet om het inzageverzoek binnen één maand af te handelen? Dan mag je de termijn eenmalig met maximaal twee maanden verlengen. Dit kan bijvoorbeeld het geval zijn bij complexe verzoeken of als iemand veel gegevens opvraagt.
Wel geldt:
je moet de verzoeker binnen de eerste maand laten weten dat je de termijn verlengt;
je moet uitleggen waarom meer tijd nodig is.
Inzageverzoek is in principe gratis
Voor het afhandelen van een inzageverzoek mag je in principe geen kosten in rekening brengen. Alleen bij kennelijk ongegronde of buitensporige verzoeken mag je een redelijke vergoeding vragen of het verzoek weigeren. Vraagt iemand om extra kopieën van de persoonsgegevens? Dan mag je daarvoor wel een redelijke vergoeding rekenen.
Wanneer mag je een inzageverzoek weigeren?
In principe moet je altijd meewerken aan een inzageverzoek. Toch zijn er situaties waarin je een verzoek (deels) mag weigeren. Die uitzonderingen zijn beperkt en moet je goed onderbouwen.
Je mag een inzageverzoek (deels) weigeren als:
het verstrekken van de gegevens inbreuk maakt op de privacy van anderen;
je door inzage bedrijfsgeheimen of intellectueel eigendom zou moeten prijsgeven;
het verzoek kennelijk ongegrond of buitensporig is, bijvoorbeeld bij herhaalde verzoeken zonder duidelijke reden;
je de persoonsgegevens niet verwerkt.
Ook als je het verzoek weigert of slechts gedeeltelijk kunt voldoen, moet je dit binnen één maand laten weten. Daarbij moet je duidelijk uitleggen waarom je het verzoek afwijst of beperkt. Daarnaast moet je de verzoeker informeren over de mogelijkheid om een klacht in te dienen bij de toezichthouder.
4 tips voor het afhandelen van een inzageverzoek
Waar moet je rekening mee houden bij het afhandelen van een inzageverzoek? Vier tips voor bedrijven:
1. Controleer altijd de identiteit
Zorg dat duidelijk is dat het inzageverzoek afkomstig is van de juiste persoon. Zo voorkom je dat persoonsgegevens bij iemand anders terechtkomen en verklein je de kans op een datalek.
2. Maak duidelijk hoe iemand een inzageverzoek kan doen
Geef aan op welke manier betrokkenen een inzageverzoek kunnen indienen, bijvoorbeeld via e-mail of een formulier. Deze informatie neem je op in je privacyverklaring.
3. Zorg voor interne afspraken
Leg vast hoe inzageverzoeken binnen je organisatie worden afgehandeld en wie daarvoor verantwoordelijk is. Medewerkers moeten weten wat ze moeten doen. Houd daarbij rekening met de wettelijke reactietermijn van één maand.
4. Leg je afwegingen vast
Kun je niet (volledig) voldoen aan een inzageverzoek? Leg dan vast waarom dat zo is. Dit helpt bij eventuele vragen achteraf of bij een controle door de toezichthouder.
Inzagerecht in de praktijk
Inzageverzoeken komen in de praktijk regelmatig voor en vragen om een zorgvuldige aanpak. Met duidelijke interne afspraken en kennis van de regels rondom het inzagerecht weet je waar je aan toe bent en kun je snel en correct reageren als iemand om inzage vraagt.
