AVG-inzageverzoek: binnen welke termijn moet je reageren, en wat moet erin

Iedereen van wie je persoonsgegevens verwerkt, mag je vragen welke gegevens dat precies zijn en wat je ermee doet. Dat heet het recht op inzage, geregeld in artikel 15 van de AVG. Het geldt voor klanten, sollicitanten, oud-medewerkers, huurders — iedereen die op enig moment in je systemen is beland.

Dit komt vaker voor dan de meeste ondernemers denken. Een sollicitant die is afgewezen en wil weten wat er over hem is genoteerd. Een oud-medewerker na een ontslag met een vervelende nasmaak. Een klant die het niet eens is met een factuur en precies wil weten wat je van hem hebt vastgelegd. Volgens de Autoriteit Persoonsgegevens hoeft iemand niet te zeggen waarom hij inzage wil, en hoeft hij ook niet aan te geven in welke specifieke gegevens — het recht geldt in principe op alles.

De valkuil zit niet in de wet zelf, maar in herkenning. Een inzageverzoek hoeft niet als zodanig te zijn aangekondigd. Een simpel mailtje met "kun je me laten weten welke gegevens jullie van mij hebben" is al een geldig verzoek, ook als er geen woord AVG in staat. De klok begint te lopen op het moment dat het binnenkomt bij wie het ook leest — niet op het moment dat iemand intern beseft wat het is.

Dat maakt dit een proces dat maar zelden voorkomt binnen één bedrijf, maar wel een proces waar iedereen die post of mail behandelt — klantenservice, HR, de eigenaar zelf — van moet weten dat het bestaat.

Artikel 12 lid 3 van de AVG is hier duidelijk over: je moet onverwijld en in ieder geval binnen één maand na ontvangst van het verzoek reageren. Niet binnen een maand nadat je het hebt herkend als inzageverzoek, niet binnen een maand nadat je tijd hebt — binnen een maand na ontvangst.

De termijn mag verlengd worden met maximaal twee maanden, maar alleen onder een voorwaarde die nogal eens wordt gemist: je moet de aanvrager binnen die eerste maand al laten weten dat je verlengt, en waarom. Dat mag bijvoorbeeld bij een ingewikkeld verzoek, of als iemand meerdere verzoeken tegelijk heeft ingediend. Laat je die melding weg of doe je het te laat, dan vervalt de mogelijkheid tot verlenging — dan geldt gewoon de termijn van één maand.

Een concreet voorbeeld: komt het verzoek op 3 maart binnen, dan moet je uiterlijk op 3 april hebben gereageerd. Wil je verlengen tot 3 juni, dan moet die mededeling zelf ook uiterlijk op 3 april de deur uit zijn — niet op 4 april.

In de praktijk is dit het punt waar het misgaat: niet omdat bedrijven niet willen reageren, maar omdat niemand de datum van binnenkomst heeft genoteerd. Een verzoek dat drie weken in een gedeelde mailbox blijft liggen voordat iemand het oppakt, laat nauwelijks nog ruimte om het netjes af te handelen.

Je hoeft in de meeste gevallen geen kopieën van hele documenten te sturen, maar een overzicht van de persoonsgegevens die je van iemand hebt: naam, contactgegevens, wat je verder hebt vastgelegd, en waar dat vandaan komt. Alleen als iemand die documenten echt nodig heeft om een ander recht te gebruiken — bijvoorbeeld correctie van foute gegevens — moet je de onderliggende stukken geven, en dan met de gegevens van anderen daarin onleesbaar gemaakt.

Naast de gegevens zelf moet je ook informatie geven over het gebruik ervan: het doel van de verwerking, welke soorten gegevens het zijn, aan wie je ze doorgeeft, hoelang je ze bewaart (of hoe je die termijn bepaalt als je geen vaste periode hanteert), en of er sprake is van geautomatiseerde besluitvorming.

Wat je niet hoeft te geven: persoonsgegevens van andere mensen, een juridische of financiële analyse over de aanvrager, en gegevens die vallen onder het beroepsgeheim van een derde, zoals een advocaat of arts. Voordat je iets verstrekt, moet je bovendien de identiteit van de aanvrager controleren — anders loop je het risico dat gegevens bij de verkeerde persoon terechtkomen.

Inzage is in principe gratis. Alleen voor extra kopieën boven op de eerste mag je een redelijke vergoeding vragen. Dat staat met zoveel woorden in artikel 12 lid 5 AVG.

Reageer je niet binnen de termijn, dan is de eerste stap voor de aanvrager meestal een herinnering. Blijft een reactie daarna uit, dan kan diegene een klacht indienen bij de Autoriteit Persoonsgegevens of een verzoekschriftprocedure starten bij de rechter. Weiger je het verzoek (gedeeltelijk), dan moet je dat altijd motiveren — zomaar niets laten weten mag niet.

Het niet nakomen van iemands privacyrechten, waaronder het recht op inzage, valt volgens de boetebeleidsregels van de AP onder de zwaarste categorie overtredingen van de AVG: een boete tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, wat van de twee hoger uitvalt. Dat klinkt schrikbarend voor een gewoon MKB-bedrijf, en boetes van dat kaliber zijn in de praktijk ook voorbehouden aan grote, structurele overtredingen. De AP houdt bij het vaststellen van een boete uitdrukkelijk rekening met de financiële omstandigheden van micro-, kleine en middelgrote ondernemingen.

Voor de meeste kleinere bedrijven is het risico dus niet een boete van tonnen, maar iets vervelenders: een formele klacht bij de AP, een verzoekschriftprocedure, of gewoon een boze oud-klant of ex-medewerker die ergens anders over jouw bedrijf vertelt. Eén gemist verzoek is zelden een probleem. Een bedrijf dat structureel niet reageert, wel.

Het lastigste aan een inzageverzoek is zelden de wet — het is de logistiek. Wie herkent het verzoek als het binnenkomt bij de klantenservice-mailbox in plaats van bij de eigenaar? Wie weet in welke systemen (CRM, boekhoudpakket, mailarchief, HR-map) de gegevens van die ene persoon allemaal terug te vinden zijn? En wie houdt bij wanneer de termijn afloopt?

Een paar dingen die in de praktijk schelen:

• Eén vast aanspreekpunt of mailbox waar dit soort verzoeken terechtkomt, ook al komt het binnen bij iemand anders — diegene stuurt het gewoon door.
• De ontvangstdatum vastleggen, los van wanneer iemand er inhoudelijk mee aan de slag gaat. Dat is de datum waar de termijn van een maand op begint te lopen.
• Weten waar je moet zoeken. Een overzicht van waar klantgegevens, sollicitatiegegevens en personeelsgegevens staan, scheelt bij een verzoek een hoop uitzoekwerk onder tijdsdruk.
• Een vast sjabloon voor de identiteitscontrole en voor het overzicht dat je verstrekt, zodat je niet bij elk verzoek opnieuw hoeft te bedenken wat erin moet.

Krijg je een enkel verzoek per jaar, dan is een simpel briefje met afspraken al genoeg. Krijg je ze vaker — bijvoorbeeld omdat je veel personeel aanneemt en afwijst, of een grote klantenkring hebt — dan loont het om dit niet bij het geheugen van één medewerker te laten hangen, maar ergens vast te leggen waar iedereen die met klant- of personeelsgegevens werkt bij kan.