Voor een verzoek om verwijdering, ook wel het recht op vergetelheid genoemd, geeft de AVG een termijn van één maand. Die maand gaat lopen op het moment dat u het verzoek ontvangt, niet op het moment dat u herkent dat het om een officieel AVG-verzoek gaat. Is een verzoek ingewikkeld, of krijgt u er in korte tijd veel tegelijk, dan mag u de termijn met twee maanden verlengen. Dat moet u dan wel binnen de eerste maand aan de betrokkene laten weten, met de reden voor het uitstel.
In de praktijk is dat één maand korter dan het voelt. Een verwijderingsverzoek komt vaak niet binnen als een formeel document, maar als een mail, een telefoontje of een berichtje via het contactformulier op de website. Tegen de tijd dat iemand in de organisatie het herkent als een AVG-verzoek en doorzet naar de juiste persoon, is er al tijd verstreken die niet wordt bijgeteld bij de termijn.
Wat de klok laat lopen
De termijn begint op het moment van ontvangst, ongeacht via welk kanaal het verzoek binnenkomt. Dat betekent dat een verzoek dat bij de klantenservice, een verkoper of een receptioniste terechtkomt, net zo goed de klok laat lopen als een verzoek dat rechtstreeks bij de directie of de HR-afdeling belandt. Veel bedrijven ontdekken pas achteraf dat een bericht dat drie weken in een inbox lag, gewoon een verwijderingsverzoek was. Wie dat risico wil beperken, doet er goed aan om binnen de organisatie helder te maken hoe zo'n bericht herkend wordt en waar het direct naartoe moet.
Waar de termijn in de praktijk op stukloopt
De meeste vertraging ontstaat niet bij het besluit om te verwijderen, maar bij het vinden van alle plekken waar de gegevens staan. Een naam en e-mailadres kunnen tegelijk voorkomen in een CRM-systeem, een facturatiepakket, een mailinglijst, een backup en bij een externe partij die voor u iets verwerkt, zoals een boekhouder of een marketingtool. Al die plekken moeten worden nagelopen, en bij elke verwerker die namens u gegevens verwerkt, moet u nagaan of en hoe die de verwijdering doorvoert. Een overzicht van welke tools welke gegevens bevatten, scheelt in dat proces veel zoekwerk. In de kennisbank staat per situatie uitgelegd wat de AVG van u vraagt en waar dat op gebaseerd is.
Een tweede bron van vertraging is de vraag of verwijdering überhaupt aan de orde is. Niet elk verzoek leidt automatisch tot verwijdering. Gegevens die u op grond van een wettelijke verplichting moet bewaren, zoals bepaalde onderdelen van de financiële administratie of personeelsdossiers binnen een wettelijke bewaartermijn, vallen buiten de verwijderplicht zolang die verplichting loopt. Ook gegevens die nodig zijn voor de vaststelling, uitoefening of onderbouwing van een rechtsvordering kunnen een uitzondering vormen. Welke uitzondering in een concreet geval van toepassing is, is aan de organisatie zelf om te beoordelen, eventueel met een jurist, en bij twijfel kan de Autoriteit Persoonsgegevens daarover meer duidelijkheid geven.
Wanneer verlenging mag, en wanneer niet
De verlenging van twee maanden is geen automatisme dat u zomaar kunt inroepen. De AVG koppelt die mogelijkheid aan de complexiteit van het verzoek of aan het aantal verzoeken dat u tegelijk moet afhandelen. Een enkel, eenvoudig verzoek om een adres uit een mailinglijst te halen is niet snel complex genoeg om drie maanden over te doen. Een verzoek waarbij gegevens over meerdere systemen en meerdere jaren verspreid liggen, kan dat wel zijn. Belangrijk is dat u de betrokkene binnen de eerste maand laat weten dat u verlengt en waarom; doet u dat niet, dan loopt de oorspronkelijke termijn van één maand gewoon door.
Praktisch: de termijn behapbaar houden
De meeste vertraging is te voorkomen door vooraf te weten waar gegevens staan, in plaats van dat bij elk verzoek opnieuw uit te zoeken. Een vast overzicht van de gebruikte systemen, wie daarin welke gegevens verwerkt en welke afspraken er met externe partijen liggen, maakt het verschil tussen een verzoek dat binnen een week is afgehandeld en een verzoek dat de volle maand kost. Wie dat overzicht laat meelopen met een systeem dat de termijn zelf bewaakt, hoeft niet meer op de kalender te vertrouwen. Meer over hoe zo'n aanpak in de praktijk werkt, en waar de informatie op gebaseerd is, staat op de pagina die uitlegt waar de informatie vandaan komt.
Verzoeken om verwijdering komen zelden op een vast moment, en juist daardoor is het makkelijk om de eerste dagen van de termijn ongebruikt te laten verstrijken. Wie de termijn wil laten meelopen zodra een verzoek binnenkomt, kan dat via een zakelijk account instellen. Voor vergelijkbare vragen over verzoeken van betrokkenen is er ook een overzicht met kortere antwoorden.
Twijfelt u of een concreet verzoek dat bij u binnenkomt onder de verwijderplicht valt, of welke uitzondering van toepassing zou kunnen zijn? Dat is een beoordeling die per situatie verschilt, en die u het beste met een jurist of met de Autoriteit Persoonsgegevens bespreekt. Wilt u eerst zelf snel zien waar u ongeveer staat, dan kunt u de gratis quick-scan doen of de onderwerpen in de kennisbank doorlopen.