Het korte antwoord
De rechten zelf veranderen dit jaar niet. Het recht op inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid staat in de AVG zelf, en die tekst wordt niet jaarlijks herschreven. Wat wel verschuift, is de manier waarop die verzoeken bij bedrijven binnenkomen en hoe toezichthouders en de Europese privacytoezichthouders (EDPB) daarover uitleg geven. Voor een directeur of HR-manager maakt dat verschil in de praktijk, ook al verandert er niets aan de wettekst.
Dat betekent niet dat u niets hoeft bij te houden. Richtsnoeren van de Autoriteit Persoonsgegevens en de EDPB worden regelmatig aangevuld, bijvoorbeeld over hoe u de identiteit van een verzoeker controleert of hoe u omgaat met een verzoek dat via een chatfunctie of sociale media binnenkomt. Die aanvullingen zijn geen nieuwe wet, maar wel een preciezere invulling van een bestaande verplichting.
Wat in de wet zelf niet verandert
De kern blijft ongewijzigd: een betrokkene mag vragen welke gegevens u van hem verwerkt, mag onjuiste gegevens laten corrigeren, en kan onder voorwaarden om verwijdering vragen. De termijn waarbinnen u moet reageren staat in de AVG zelf en is niet aan jaarlijkse herziening onderhevig. Bedrijven die denken dat er dit jaar een nieuwe, kortere of langere reactietermijn is ingevoerd, verwarren dat waarschijnlijk met interne afspraken of met berichtgeving die niet over de wettekst zelf gaat.
Ook de uitzonderingsgronden, zoals een wettelijke bewaarplicht die verwijdering in de weg staat, zijn ongewijzigd. Wat wel kan verschuiven, is hoe strikt toezichthouders die uitzonderingen uitleggen in hun richtsnoeren. Dat is geen wetswijziging, maar het kan betekenen dat een onderbouwing die vorig jaar volstond, dit jaar preciezer moet worden vastgelegd.
Wat dit jaar wel in beweging is
Drie ontwikkelingen zijn voor het mkb relevant, zonder dat de wet zelf is aangepast. Ten eerste komen verzoeken steeds vaker digitaal binnen, via een contactformulier, een chatbot of een reactie op social media, in plaats van per brief. Dat verandert niets aan de verplichting, maar wel aan de vraag of een verzoek wordt herkend als een formeel verzoek en tijdig bij de juiste persoon in de organisatie terechtkomt.
Ten tweede groeit de aandacht voor verzoeken die raken aan geautomatiseerde verwerking, bijvoorbeeld wanneer gegevens zijn gebruikt om een profiel op te bouwen of een AI-toepassing input heeft geleverd voor een beslissing. De EDPB werkt dat onderwerp regelmatig verder uit. Bedrijven die AI-tools gebruiken voor klantcontact of personeelsbeoordeling doen er daarom goed aan om te weten welke gegevens daarin zitten, voordat er een verzoek binnenkomt. Dat raakt rechtstreeks aan de vragen die spelen rond AVG en AI-tools in de praktijk.
Ten derde wordt er bredere discussie gevoerd over de evaluatie van de AVG als geheel, op Europees niveau. Daarbij wordt gekeken of de regels voor kleinere organisaties eenvoudiger kunnen, maar concrete wetswijzigingen zijn op dit moment niet vastgesteld. Wat nog niet vaststaat, melden wij hier ook als zodanig: er is geen definitieve datum of inhoud bekend, en speculeren daarover helpt een ondernemer niet verder.
Voor wie dit uitmaakt
Deze verschuivingen raken vooral organisaties die veel contactmomenten met klanten of medewerkers hebben: een kantoor met een klantenservice, een installatiebedrijf met een offerteformulier op de website, of een HR-afdeling die sollicitatiegegevens verwerkt. Hoe meer kanalen waarlangs iemand contact opneemt, hoe groter de kans dat een verzoek ergens binnenkomt zonder dat iemand het herkent als een formeel AVG-verzoek. Dat is geen juridisch risico dat wij hier inschatten, maar wel een praktisch punt dat de moeite waard is om intern te bespreken.
Ook relevant is de relatie met uw verwerkersovereenkomsten: als een klant een verzoek bij u indient, maar de gegevens staan bij een externe SaaS-leverancier, moet die leverancier kunnen meewerken aan inzage of verwijdering. Of dat contractueel goed geregeld is, kunt u nagaan via de veelgestelde vragen over verwerkersovereenkomsten en SaaS-tools.
Hoe u dit bijhoudt zonder het telkens uit te zoeken
Omdat de wettekst stabiel is maar de uitleg ervan verschuift, is het vooral zaak om te weten waar de actuele stand vandaan komt en wanneer die wijzigt. gdpria.eu koppelt elk onderwerp aan de vindplaats in de AVG en aan de richtsnoeren van de EDPB en de Autoriteit Persoonsgegevens, zodat u niet zelf hoeft bij te houden of er iets is aangepast. Bij een vermoeden van een datalek kunt u bijvoorbeeld eerst in een paar vragen nagaan waar u staat, voordat u verdere stappen onderneemt.
Wilt u weten hoe dit soort informatie wordt bijgehouden en waar de bronvermelding vandaan komt? Doe de gratis quick-scan of lees de onderwerpen in de kennisbank door, en bepaal zelf of een vervolgstap nodig is.