De termijn: een maand
Artikel 12 lid 3 AVG: u geeft onverwijld en in ieder geval binnen een maand na ontvangst informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit en het aantal verzoeken kan die termijn met twee maanden worden verlengd, maar dan moet u de verzoeker daarover binnen één maand na ontvangst informeren, met de reden.
Wordt het verzoek elektronisch gedaan, dan levert u de informatie indien mogelijk ook elektronisch. Geeft u geen gevolg aan het verzoek, dan laat u dat weten met de reden, en met de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens of naar de rechter te gaan.
Wat u moet geven
Inzage is meer dan een kopie. Naast de persoonsgegevens zelf hoort de verzoeker te horen: de doelen, de categorieën gegevens, de ontvangers, de bewaartermijn of hoe die wordt bepaald, zijn overige rechten, waar de gegevens vandaan komen als u ze niet van hem heeft, en of er sprake is van geautomatiseerde besluitvorming.
Een verzoek geldt voor alle systemen, niet alleen het dossier dat het eerst in gedachten komt: e-mail, het zaaksysteem, de klantregistratie, notities in een CRM, opnames van telefoongesprekken. Dat is precies waarom uw verwerkingsregister zo nuttig is: het vertelt u waar u moet zoeken.
Gegevens van anderen in hetzelfde dossier
Het lastigste geval: een dossier over woonoverlast, waarin ook de melder voorkomt. Het recht op inzage mag geen afbreuk doen aan de rechten en vrijheden van anderen. De gebruikelijke werkwijze is: de gegevens van de verzoeker leveren, en de gegevens die tot een ander herleidbaar zijn afschermen, met uitleg waarom. Lever dus geen ongefilterd dossier, maar weiger ook niet in één keer het hele verzoek.
Let op: dit is per geval maatwerk en raakt aan de vraag of iemand anoniem kan melden. Leg de afweging vast en laat de functionaris gegevensbescherming meekijken voordat u iets verstrekt.
Wanneer u mag weigeren of een vergoeding mag vragen
Inzage is kosteloos. Alleen bij kennelijk ongegronde of buitensporige verzoeken, met name bij herhaling, mag u een redelijke vergoeding vragen of weigeren te handelen (artikel 12 lid 5). U moet dan zelf aantonen dat het verzoek buitensporig is. Een verzoek dat is ingegeven door een conflict, is daarmee nog niet buitensporig: het motief van de verzoeker doet er in beginsel niet toe.
Wat u van uw leverancier mag verlangen
Staan de gegevens in het systeem van een leverancier, dan heeft u zijn hulp nodig. Artikel 28 lid 3 onder e AVG verplicht de verwerker om u daarbij bij te staan. Regel dat concreet in de verwerkersovereenkomst:
- binnen hoeveel werkdagen de leverancier een export levert, ruim binnen uw maand;
- in welke vorm, en of hij kan filteren op één persoon;
- dat hij een verzoek dat bij hem binnenkomt doorstuurt en er zelf niet op antwoordt;
- dat de bijstand in de prijs zit, of tegen welk tarief.
Zie ook de checklist verwerkersovereenkomst.
Een werkbare volgorde
- Bevestig direct de ontvangst, met de datum en de termijn. Daarmee is de klok zichtbaar voor iedereen.
- Stel vast wie de verzoeker is, zonder te veel te vragen: een kopie van een identiteitsbewijs opeisen mag niet standaard, en een BSN vraagt u niet. Bij een bestaande klantrelatie kan een controlevraag of een inlog volstaan.
- Verhelder zo nodig de vraag, maar gebruik dat niet om tijd te rekken; het verzoek mag breed zijn.
- Zoek in alle systemen, ook bij leveranciers.
- Beoordeel de gegevens van derden en de uitzonderingen, met advies van de functionaris gegevensbescherming.
- Lever, veilig, en leg vast wat u wanneer heeft geleverd.
Waar het meestal misgaat
- De termijn begint pas te lopen als het verzoek bij de juiste afdeling ligt. Dat is onjuist: hij begint bij ontvangst door de organisatie.
- Alleen het hoofdsysteem wordt doorzocht, niet de mailboxen.
- Er wordt een identiteitsbewijs gevraagd waar dat niet nodig is.
- De leverancier kan pas over drie weken leveren, en dat blijkt op dag 25.
Wat Datavoogd hiermee doet
Datavoogd toetst of uw verwerkersovereenkomst de bijstand bij verzoeken van betrokkenen concreet regelt: met een termijn, een vorm en een afspraak over wie antwoordt. Ontbreekt de termijn, dan signaleert Datavoogd dat, met het citaat uit uw document en de bron erbij. Datavoogd signaleert; de functionaris gegevensbescherming beslist.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 12 lid 3 tot en met 5, artikel 15 en artikel 28 lid 3 onder e.
- Overweging 63 bij de AVG (inzage mag geen afbreuk doen aan de rechten van anderen).
- Uitvoeringswet AVG (UAVG).
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.