Rechten van betrokkenen

Het recht op informatie houdt in dat mensen altijd het recht hebben op heldere informatie over wat een organisatie met hun persoonsgegevens gaat doen. Of het nu gaat om het vrijwillig delen van gegevens of het verplicht delen van gegevens, iedereen heeft voorafgaand aan het delen van de gegevens recht op duidelijke informatie over de gegevensverwerking.

Organisaties die persoonsgegevens verwerken, zijn verplicht om betrokkenen op een duidelijke en beknopte manier te informeren wat zij met de gegevens van betrokkenen doen en wat het doel hiervan is. Dit kan door bijvoorbeeld het publiceren van een online privacyverklaring. In de AVG staat welke informatie organisaties moeten verstrekken, dit omvat onder andere:

• De contactgegevens van de organisatie;
• Welke persoonsgegevens er verwerkt worden;
• Waarom de organisatie de persoonsgegevens verwerkt;
• Welke grondslag uit de AVG wordt gehanteerd voor de gegevensverwerking;
• Of de gegevens ook worden gedeeld of doorverkocht aan andere organisaties en zo ja aan welke organisaties;
• Hoe lang de gegevens worden bewaard.

Op de website van de Autoriteit Persoonsgegevens is een volledige lijst te vinden van informatie die organisaties moeten geven.

Een betrokkene heeft het recht om bij een organisatie informatie op te vragen over de persoonsgegevens die de betreffende organisatie over hem of haar verwerkt. Ook heeft een betrokkene het recht op een kopie van alle persoonsgegevens.

Deze beide vormen heten het Recht op inzage (art. 15 AVG). Een betrokkene kan zo controleren of u zich als organisatie aan de regels houdt. Vaak zal een betrokkene daarna nog een beroep doen op een ander recht, bijv. het recht van rectificatie.

De wet bepaalt niet in welke vorm het Recht op inzage uitgevoerd moet worden. Daarom geven wij u handvatten om te voldoen aan uw plichten als verwerkingsverantwoordelijke.

A) Als een betrokkene slechts informatie wil over de verwerkingen, verstrek dan minimaal de volgende informatie:

• Welke soorten persoonsgegevens u over de betrokkene verwerkt en waarom u dit doet (grondslag);
• Van welke organisatie(s) u persoonsgegevens ontvangt indien dit niet direct van de betrokkene aan u is gegeven en aan welke organisaties u de persoonsgegevens doorgeeft (denk ook aan doorgifte buiten de EER), indien van toepassing;
• Wat de bewaartermijnen zijn;
• Welke privacyrechten betrokkenen hebben;
• Wijs een betrokkene er altijd op dat hij/zij het recht heeft om een klacht in te dienen bij de Autoriteit Persoonsgegevens;
• Welke logica u toepast bij een geautomatiseerd besluit (indien van toepassing).

B) Als een betrokkene een kopie wil van diens persoonsgegevens, dan is dat ook vormvrij. De AP beveelt de volgende 2 manieren aan:

• U maakt een overzicht van alle persoonsgegevens die u verwerkt van de betrokkene.
• U maakt een kopie van alle documenten waarop de persoonsgegevens van de betrokkene staan.

Bij het verstrekken van een kopie op één van deze manieren is het ook van belang dat u daarnaast nog de informatie geeft zoals bij A genoemd.

Het is dus niet verplicht om altijd alle stukken fysiek te kopiëren en aan betrokkenen te verstrekken, maar het mag wel. Dit hangt erg af van het verzoek van de betrokkene en de omvang van het inzageverzoek.

In de Rechtspraak wordt erkend dat het recht op inzage belemmeringen kent. Zo hoeft een verwerkingsverantwoordelijke geen inzage te geven in:

• Juridische analyses of documenten, waarin (vaak sporadisch) de naam van de persoon voorkomt (HvJ EU 17 juli 2014, ECLI:EU:C:2014:2081) en/of
• Persoonlijke interne notities van medewerkers die niet bestemd zijn om te worden opgenomen in een dossier en die dus puur bedoeld zijn voor intern overleg (onder meer Hof Amsterdam 5 juli 2011, ECLI:NL:GHAMS:2011:BR3020; HR 29 juni 2007, ECLI:NL:HR:2007:AZ4663, ECLI:NL:HR:2007:AZ4664, ECLI:NL:HR:2007:BA3529).

Indien u als organisatie veel persoonsgegevens verwerkt of het verzoek van de betrokkene niet volledig duidelijk is, heeft u het recht om aan hem/haar verduidelijking/specificatie van diens verzoek te vragen. Let er wel op dat u een termijn hebt van maximaal één maand om een inhoudelijke reactie te geven aan de betrokkene (deze termijn kan onder strikte omstandigheden worden verlengd). Dit wordt gerekend vanaf het moment dat het verzoek door uw organisatie is ontvangen, ook al heeft u tussentijds om een verduidelijking gevraagd.

Het is niet toegestaan om aan de betrokkene kosten in rekening te brengen. Dit mag alleen in uitzonderlijke gevallen, bijvoorbeeld als een betrokkene om extra kopieën vraagt of een buitensporig uitgebreid verzoek indient.

Daarnaast moet u als organisatie een inzageverzoek bijna altijd gehoorzamen. Er zijn echter wel een aantal uitzonderingen:

• Als een betrokkene herhaaldelijk (dezelfde) verzoeken indient;
• Een deel van het dossier gaat over een andere betrokkene;
• Er is een wettelijke grond voor het niet verlenen van inzage aan de betrokkene (op grond van art. 41 UAVG): bijv. voor bescherming van de openbare veiligheid, om strafbare feiten te voorkomen of op te sporen of om de rechten en vrijheden van anderen te beschermen.

Als u besluit om geen gehoor te geven aan een inzageverzoek, zult u dit altijd met redenen aan de betrokkene moeten melden binnen maximaal één maand. Daarbij dient u de betrokkene te wijzen op diens recht om een klacht in te dienen bij de AP of beroep aan te tekenen bij de Rechtbank.

De Algemene Verordening Gegevensbescherming (AVG) geeft mensen het recht om onjuiste persoonsgegevens te wijzigen. Ook kan een betrokkene diens persoonsgegevens laten aanvullen. Onder de AVG (artikel 16) wordt dit recht het ‘Recht op rectificatie en aanvulling’ genoemd.

Een verwerkingsverantwoordelijke is altijd verantwoordelijk voor het verwerken van de correcte persoonsgegevens voor de vooraf bepaalde doeleinden. Soms kan het voorkomen dat een verwerkingsverantwoordelijke niet op de hoogte is van gewijzigde gegevens en daarom is het goede zaak dat een betrokkene dit zelf kan doorgeven. De verwerkingsverantwoordelijke is dan verplicht de wijzigingen of aanvullingen binnen 1 maand door te voeren, soms na het doen van de nodige checks.

Het kan natuurlijk voorkomen dat er zwaarwegende en uitzonderlijke redenen zijn om persoonsgegevens niet aan te passen, bijvoorbeeld als er onjuiste (nieuwe) gegevens zijn doorgegeven of het verzoek is onredelijk. Een dergelijke weigering mag dus niet zomaar. Als zo’n situatie zich voordoet, bent u verplicht hierover uitleg te geven aan de betrokkene en hem te wijzen op diens recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP).

Heeft u als verwerkingsverantwoordelijke onjuiste of onvolledige persoonsgegevens doorgegeven aan derden? Dan bent u ook verplicht om de aangepaste of aangevulde gegevens aan die partijen door te geven. Houd er wel rekening mee dat een betrokkene mag vragen welke partijen dat zijn geweest en of u die partijen heeft geïnformeerd.

Verder is het goed om te weten dat een wettelijk vertegenwoordiger ook het Recht op rectificatie en aanvulling mag uitoefenen in geval van persoonsgegevens van een minderjarige waar hij/zij verantwoordelijk voor is. Dit geldt echter alleen voor minderjarigen tot 16 jaar. Vanaf 16 jaar heeft een kind namelijk het recht om dit zelf te doen.

Het Recht op vergetelheid, ook wel het recht op gegevenswissing genoemd, geeft mensen het recht om in bepaalde gevallen te verzoeken dat hun persoonsgegevens worden gewist door organisaties die deze gegevens verwerken.

Een organisatie moet de persoonsgegevens verwijderen indien:

• de persoonsgegevens onrechtmatig worden verwerkt;
• de persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor ze zijn verzameld;
• een persoon de toestemming voor verwerking van de persoonsgegevens intrekt en er geen andere grondslag is voor de verwerking;
• een persoon bezwaar maakt tegen de verwerking van zijn/haar persoonsgegevens;
• zij zich niet aan de regels van de AVG houden betreft de verwerking van de persoonsgegevens;
• de wettelijke termijn van de gegevensverwerking is verstreken.

In principe heeft een klant het recht dit te vragen. Een organisatie hoeft niet in alle gevallen aan dit verzoek te voldoen. Verwijdering kan namelijk niet als het verwerken of bewaren van de gegevens nog noodzakelijk is of voor de doeleinden van de verwerking, denk aan:

• Uitvoering overeenkomst (als de persoon nog klant is).
• Bewaren van gegevens als bewijsmateriaal bij eventuele klachten (de onrechtmatige daad verjaart pas na vijf jaar).
• Met de introductie van SEPA moeten machtigingen tot het uitvoeren van incasso’s tot 14 maanden na uitvoering van de laatste incasso bewaard blijven.
• De wettelijke bewaarplicht van de fiscus, die pas na zeven jaar verjaart.

Let wel dat een organisatie in principe voor ieder veld/variabele de afweging moet maken. Dus als ik ex-klant ben en vraag om gegevens te wissen, kan het zijn dat NAWT en rekeningnummer en aankoophistorie worden bewaard maar dat andere aanvullende data, die niet nodig is voor de punten hierboven wel moet worden gewist.

Met betrekking tot marketing. Ook hier kan iemand vragen om het wissen van zijn gegevens. Dat moet een organisatie doen. Dit is wel iets anders dan het uitoefenen van het Recht van verzet. Indien een consument niet meer door een organisatie benaderd wilt worden is het noodzakelijk dat een organisatie de contactdata bewaren op een suppressielijst.

Het Recht op beperking geeft personen het recht om organisaties te verzoeken om tijdelijk te stoppen met het verwerken van zijn/haar persoonsgegevens. De organisatie mag de persoonsgegevens dan nog wel bewaren maar tijdelijk niet verder verwerken.

Iemand kan gebruik maken van het recht op beperking wanneer:

• De persoonsgegevens onjuist zijn.
• De verwerking van de gegevens onrechtmatig is.
• De organisatie de gegevens niet meer nodig heeft.

Deze persoon bezwaar heeft gemaakt tegen de verwerking van de persoonsgegevens.

Het Recht op dataportabiliteit geeft mensen het recht om de persoonsgegevens die zij aan een organisatie hebben verstrekt te verstrekken aan een andere organisatie. Zo hebben personen het recht om bijvoorbeeld een kopie te ontvangen van hun persoonsgegevens of hun persoonsgegevens over te laten dragen van de ene organisatie naar de ander. Dit wordt ook wel ‘het recht om gegevens over te laten dragen’ genoemd.

Iemand kan gebruik maken van het recht op dataportabiliteit wanneer:

• Het digitale gegevens betreft, geen papieren dossiers.
• Een organisatie persoonsgegevens verwerkt met toestemming van de betreffende persoon of als deze worden verwerkt om een overeenkomst uit te voeren.

Binnen sommige organisaties worden besluiten over personen genomen op basis van automatisch verwerkte gegevens. Dan wordt er dus niet door een persoon een besluit genomen over een bepaalde situatie maar door een computer, bijvoorbeeld door het gebruik van algoritmes. Maar dit recht geeft mensen het recht op een menselijke blik bij besluiten. Indien een persoon vanuit een organisatie een geautomatiseerd besluit heeft ontvangen dan heeft men door dit recht de mogelijkheid om een nieuw besluit, door een persoon, aan te kunnen vragen.

Het Recht van bezwaar geeft personen de mogelijkheid om in bepaalde situaties bezwaar te maken tegen de verwerking van hun persoonsgegevens door een organisatie. Dit kan zijn vanwege een persoon zijn/haar specifieke situatie of omdat de betreffende persoon geen direct marketing wil ontvangen.