Voor een verzoek tot rectificatie of een bezwaar tegen verwerking geldt dezelfde termijn als voor een inzage- of verwijderingsverzoek: een maand na ontvangst. De AVG staat toe die termijn met maximaal twee maanden te verlengen als het verzoek ingewikkeld is of er veel verzoeken tegelijk binnenkomen, maar dan moet u de betrokkene binnen de eerste maand laten weten dat u verlengt en waarom.
Wat in de praktijk vaak misgaat, is niet de termijn zelf maar het moment waarop die begint te lopen. Bij rectificatie en bezwaar speelt bovendien een inhoudelijke vraag mee die bij een inzageverzoek niet speelt: is het verzoek terecht? Dat kost tijd om te beoordelen, en die beoordelingstijd valt binnen dezelfde maand.
Wat de klok precies meet
De maand start op het moment dat het verzoek bij u binnenkomt, niet op het moment dat u het als zodanig herkent. Een e-mail aan de klantenservice met "dit klopt niet, pas dit aan" is al een rectificatieverzoek, ook als niemand het zo heeft genoteerd. Hetzelfde geldt voor een bezwaar: een klant die schrijft "ik wil niet meer dat u mijn gegevens gebruikt voor dit doel" hoeft het woord bezwaar niet te noemen. De toezichthouders kijken bij de beoordeling van een afhandeling naar het moment van binnenkomst, niet naar het moment van herkenning. Wie dat onderscheid niet vastlegt, verliest vaak dagen voordat het verzoek als verzoek op de agenda staat.
Rectificatie: vaak snel, maar met een voorwaarde
Een correctie van een adres of telefoonnummer is doorgaans eenvoudig en snel te verwerken. Lastiger wordt het wanneer de betrokkene stelt dat een beoordeling, notitie of dossieraantekening onjuist is. Daar gaat het niet meer om een feitelijke fout, maar om een inhoudelijk oordeel, en dat vraagt om afstemming met degene die de aantekening heeft gemaakt. Die afstemming hoort binnen de maand te passen, en dat lukt alleen als het verzoek meteen bij de juiste persoon terechtkomt in plaats van te blijven liggen bij wie de e-mail toevallig opende.
Bezwaar: beoordelen, niet automatisch honoreren
Een bezwaar tegen verwerking hoeft niet automatisch te worden gehonoreerd. De verordening geeft aan dat een organisatie kan afwegen of er dwingende gerechtvaardigde gronden zijn om de verwerking toch voort te zetten, bijvoorbeeld bij een lopende overeenkomst of een wettelijke verplichting. Die afweging moet gemotiveerd worden teruggekoppeld aan de betrokkene, binnen dezelfde termijn. Veel bedrijven onderschatten hoeveel tijd die motivering kost, omdat ze vergeten is dat "nee" zeggen op een bezwaar net zo goed onderbouwd moet worden als "ja" zeggen.
Waar de termijn in de praktijk vastloopt
In de meeste gevallen loopt de termijn niet vast op de inhoud, maar op drie herkenbare punten. Het eerste is herkenning: het verzoek wordt niet als zodanig gezien en blijft in een inbox liggen. Het tweede is verificatie: voordat u gegevens aanpast of een verwerking stopt, moet u redelijk zeker zijn dat de aanvrager ook daadwerkelijk de betrokkene is, en die controle kost tijd die niet altijd is ingepland. Het derde is afstemming binnen de organisatie zelf: een HR-dossier of een klantbeoordeling zit vaak niet bij één persoon, en zonder een vast aanspreekpunt duurt het zoeken langer dan het beslissen. Een kennisbank waarin elk type verzoek apart wordt uitgelegd helpt om dat onderscheid vooraf te maken in plaats van pas bij het eerste verzoek.
Wat telt als op tijd
Op tijd reageren betekent dat de betrokkene binnen de termijn een inhoudelijk antwoord krijgt, een gemotiveerde afwijzing, of een bericht dat de termijn wordt verlengd. Een ontvangstbevestiging zonder inhoud telt niet als afhandeling. Juist omdat rectificatie en bezwaar vaker een inhoudelijke afweging vragen dan een inzageverzoek, is het verstandig om vroeg in de maand te bepalen wie binnen de organisatie die afweging maakt en op basis van welke informatie. De veelgestelde vragen over verzoeken van betrokkenen geven per situatie een kort antwoord op wat wel en niet onder deze termijn valt.
Of een concreet verzoek terecht is, en hoe u een afwijzing onderbouwt, is iets wat per situatie verschilt en waarvoor u bij twijfel een jurist of de Autoriteit Persoonsgegevens raadpleegt. Wat gdpria.eu wel doet, is de klok zelf bewaken: zodra een verzoek is geregistreerd, loopt de termijn automatisch mee, inclusief het moment waarop een verlenging moet worden aangekondigd. Op hoe het werkt staat waar die termijnlogica vandaan komt en hoe die wordt bijgehouden.
Wilt u voor uw eigen bedrijf zien hoe zo'n verzoek er in de praktijk uitziet en waar u nu staat? De gratis quick-scan op gdpria.eu geeft in een paar vragen een eerste indicatie, en met een zakelijk account legt u de afhandeling van ieder verzoek met de bijbehorende termijn vast.