AVG-verwijderverzoek: wat je als ondernemer moet doen

Een klant, oud-werknemer of ex-abonnee stuurt een mail: "verwijder mijn gegevens." Je kunt dat verzoek niet zomaar negeren, maar je hoeft het ook niet altijd uit te voeren.

De AVG regelt dit in artikel 17. Je bent verplicht om persoonsgegevens te wissen zodra minstens één van deze situaties opgaat:

• De gegevens zijn niet meer nodig voor het doel waarvoor je ze verzamelde.
• Iemand trekt eerder gegeven toestemming in en er is geen andere wettelijke grond om de gegevens te blijven gebruiken.
• Iemand maakt terecht bezwaar tegen het gebruik van zijn gegevens, bijvoorbeeld voor marketing.
• De gegevens zijn onrechtmatig verwerkt, bijvoorbeeld zonder geldige grondslag.
• Je bent wettelijk verplicht de gegevens te wissen.
• Het gaat om gegevens van een kind onder de 16 jaar, verzameld via een onlinedienst.

Let vooral op het eerste punt: dat is in de praktijk de meest voorkomende situatie. Een klant die drie jaar geleden eenmalig iets kocht en zich nooit meer liet zien, hoeft niet voor altijd in je klantenbestand te blijven staan "voor het geval dat". Zodra het doel waarvoor je de gegevens verzamelde (de aankoop afhandelen, garantie regelen) voorbij is en er geen andere grond is om ze te bewaren, moet je ze wissen — ook zonder dat iemand erom vraagt. Een verwijderverzoek is dus eigenlijk een herinnering aan een verplichting die al langer loopt.

Het recht op vergetelheid is niet absoluut. Artikel 17 lid 3 AVG noemt vijf situaties waarin je een verwijderverzoek mag afwijzen, ook als een van de gronden uit het eerste lid op zich wel geldt:

• Je beroept je op vrijheid van meningsuiting en informatie.
• Je hebt een wettelijke verplichting om de gegevens te bewaren.
• Het gaat om een taak van algemeen belang of een overheidstaak.
• De gegevens zijn nodig voor volksgezondheid.
• Ze zijn nodig voor archivering in het algemeen belang, wetenschappelijk onderzoek, statistiek, of om een rechtsvordering te kunnen instellen of verdedigen.

Voor de meeste mkb-bedrijven is de tweede uitzondering de belangrijkste: de wettelijke bewaarplicht. Je financiële administratie — grootboek, facturen, debiteuren- en crediteurenadministratie, loonadministratie — moet je 7 jaar bewaren, en gegevens over onroerend goed 10 jaar, bevestigt de Belastingdienst.

Dat betekent concreet: een klant mag vragen om zijn naam uit je nieuwsbrievenbestand te halen, en dat moet je dan ook doen. Maar een factuur met zijn naam en adres uit 2023 mag je laten staan tot de fiscale bewaartermijn verstreken is, ook als hij daar niet blij mee is. Je moet dat verschil dan wel uitleggen: welk deel van zijn gegevens je verwijdert, en welk deel je om welke reden nog bewaart. Een kort mailtje met die twee regels voorkomt een hoop vervolgvragen.

Je hebt één maand de tijd om te reageren, vanaf het moment dat het verzoek binnenkomt. Dat staat in artikel 12 lid 3 AVG. Binnen die maand moet je ofwel de gegevens verwijderen en dat laten weten, ofwel uitleggen waarom je dat niet (volledig) doet.

Is het verzoek ingewikkeld, of krijg je er veel tegelijk? Dan mag je de termijn verlengen met twee extra maanden. Maar dat moet je al binnen de eerste maand laten weten, met een reden erbij. Je kunt niet na vijf weken stilte alsnog een verlenging aankondigen — dan ben je al te laat.

Reageer je helemaal niet, dan loop je het risico dat de klant rechtstreeks naar de Autoriteit Persoonsgegevens stapt. Een paar praktische punten die vaak over het hoofd worden gezien:

• De termijn start op het moment dat het verzoek bij je binnenkomt, niet op het moment dat je het leest of doorstuurt naar de juiste collega.
• Een verzoek via WhatsApp, een reactie onder een social media-post of een losse zin in een e-mail over iets anders telt ook mee als verzoek. Er is geen verplicht formulier voor nodig.
• Reageer je elektronisch op een elektronisch verzoek, dan mag dat in principe ook weer elektronisch, tenzij de aanvrager iets anders vraagt.

Zet daarom een vast moment in de week waarop iemand checkt of er verzoeken zijn binnengekomen — ook in de inbox die niemand als eerste leest.

Een klant die geen reactie krijgt, of het niet eens is met je antwoord, kan een klacht indienen bij de Autoriteit Persoonsgegevens (AP). De AP hoeft niet meteen een boete uit te delen. Artikel 58 AVG geeft de toezichthouder een heel instrumentarium: een waarschuwing, een bevel om alsnog aan het verzoek te voldoen, of — als sluitstuk — een boete.

Die boete is wel serieus als het zover komt. Overtreding van de artikelen over rechten van betrokkenen (waaronder artikel 12 en 17) valt onder de hoogste boetecategorie uit artikel 83 AVG: maximaal 20 miljoen euro, of 4% van de wereldwijde jaaromzet als dat hoger uitvalt. Dat maximum is bedoeld voor de zwaarste en meest structurele overtredingen, niet voor een webwinkel die één keer een mailtje drie weken laat liggen — maar het laat zien in welke categorie de wetgever dit recht heeft geplaatst.

Voor een klein bedrijf is het risico in de praktijk niet zozeer die maximumboete, maar de stapeling: een AP-onderzoek kost tijd, een bevel moet je alsnog uitvoeren, en een klacht die ook nog eens publiek wordt — via een review of een bericht op social media — kost meer dan het uur dat het had gekost om gewoon op tijd te reageren.

Je hebt geen ingewikkeld systeem nodig om dit goed te regelen, wel een paar vaste afspraken:

• Eén plek waar verzoeken binnenkomen. Spreek af bij wie een verwijderverzoek terechtkomt (vaak gewoon de eigenaar of de office manager) en zorg dat het team weet wat ze moeten doen als het bij hen binnenkomt: direct doorsturen, niet laten liggen.
• Een simpel logje. Een regel in een spreadsheet met datum van binnenkomst, wat er gevraagd is, en de deadline (datum plus één maand) is genoeg om nooit meer per ongeluk te laat te zijn.
• Weet wat je waar bewaart. Je kunt niets verwijderen als je niet weet in welke systemen — boekhoudpakket, mailinglijst, CRM, een oude Excel-lijst op iemands laptop — de gegevens van die persoon staan.
• Geef het door aan wie je het gedeeld hebt. Heb je de gegevens doorgegeven aan een andere partij, bijvoorbeeld een marketingbureau of bezorgdienst? Dan moet je hen volgens artikel 17 lid 2 AVG ook op de hoogte stellen van het verwijderverzoek, voor zover dat redelijkerwijs mogelijk is.
• Leg uit wat je wel en niet verwijdert. Verwijder je de nieuwsbriefinschrijving, maar bewaar je de factuur? Zeg dat er specifiek bij, anders lijkt het alsof je het verzoek negeert.

Dit is geen taak die je aan het einde van het kwartaal nog wel eens doet. Eén verzoek dat drie weken op iemands bureau blijft liggen, is al genoeg om buiten de wettelijke termijn te schieten.