Wat moet ik doen bij een inzageverzoek?

Een inzageverzoek wordt binnen de wettelijke termijn beantwoord

Wie zijn eigen gegevens opvraagt bij een organisatie, doet dat op grond van het inzagerecht uit de AVG, en voor de afhandeling daarvan geldt een termijn van één maand. Binnen die maand hoort een reactie te komen, en die reactie bestaat doorgaans uit een overzicht van de gegevens die over de betrokkene worden verwerkt, met daarbij informatie over het doel van de verwerking, de categorieën gegevens, eventuele ontvangers, en de bewaartermijn. Als de gegevens niet rechtstreeks bij de betrokkene zijn verzameld, hoort ook de bron daarvan genoemd te worden.

In de praktijk begint de afhandeling met het vaststellen wie het verzoek doet: bij twijfel over de identiteit van de aanvrager kan aanvullende verificatie worden gevraagd, zonder dat dit de termijn onnodig hoeft te vertragen. Vervolgens wordt uitgezocht welke systemen en tools gegevens van deze persoon bevatten — denk aan een CRM, een boekhoudpakket, een nieuwsbrieftool of een klantenportaal — en wordt daaruit een overzicht samengesteld. Een verwerkingsregister dat al bijhoudt welke tools met welke gegevens werken, scheelt in deze fase uitzoekwerk, omdat niet bij elk verzoek opnieuw hoeft te worden nagegaan waar welke gegevens zich bevinden. De maandtermijn kan in bepaalde gevallen worden verlengd, afhankelijk van de complexiteit en het aantal verzoeken, maar dat is een uitzondering en geen standaardroute.

Waar dit uit de AVG volgt: artikel 15

Het inzagerecht staat in artikel 15 van de AVG, dat regelt welke informatie een betrokkene mag opvragen en binnen welke termijn een organisatie hierop hoort te reageren. De Autoriteit Persoonsgegevens beschrijft dit recht, samen met de andere privacyrechten, op de pagina over privacyrechten binnen de AVG, met uitleg over wat een verzoek inhoudt en wat een betrokkene mag verwachten. Voor de precieze tekst van de termijn en de mogelijkheid tot verlenging is de verordening zelf de vindplaats.