Als u niet binnen de wettelijke termijn reageert op een verzoek van een betrokkene, ontstaat er geen boete die automatisch wordt opgelegd. De AVG werkt anders: de verordening beschrijft een termijn waarbinnen u moet reageren, en wat er gebeurt als u dat niet doet, hangt af van wat de betrokkene vervolgens onderneemt. Die kan een klacht indienen bij de Autoriteit Persoonsgegevens, of naar de civiele rechter stappen. Beide routes bestaan naast elkaar en sluiten elkaar niet uit.
Het gaat dus niet om een vast bedrag dat volgt uit het gemist hebben van de datum, maar om een situatie waarin u niet kunt aantonen dat u aan uw verplichting heeft voldaan. Dat is een andere positie dan wanneer u wél op tijd reageert, ook als het antwoord op het verzoek zelf ingewikkelder ligt.
Wat de AVG voorschrijft over de termijn
De verordening geeft de betrokkene het recht om binnen een maand een reactie te krijgen op een verzoek om inzage, correctie of verwijdering. Die maand gaat in op het moment dat u het verzoek ontvangt, niet op het moment dat u het inhoudelijk oppakt. Wie het verzoek beoordeelt, wat er nodig is om de identiteit te controleren en welke systemen doorzocht moeten worden, telt allemaal mee binnen die periode.
De wettekst zelf is de vindplaats om op terug te vallen als u twijfelt over de exacte formulering; in de kennisbank kunt u per onderwerp het korte antwoord en de vindplaats terugvinden. Dat is bewust geen betaalde functie: herleidbaarheid naar de bron hoort bij een systeem dat zegt dat u zelf moet kunnen nagaan waar iets vandaan komt.
Wat er gebeurt als de termijn verstrijkt
Als de maand verstrijkt zonder reactie, kan de betrokkene dat als een zelfstandige tekortkoming beschouwen, los van de vraag of u het verzoek uiteindelijk had mogen afwijzen. De Autoriteit Persoonsgegevens behandelt klachten over dit soort situaties, en de toezichthouder bepaalt zelf hoe een klacht wordt opgepakt. Wij kunnen daar geen uitspraak over doen voor uw specifieke geval; dat is aan de toezichthouder of, bij twijfel over uw positie, aan een jurist.
Wat wel vaststaat: een te late reactie ziet er in de praktijk anders uit dan géén reactie. Een bedrijf dat uitlegt waarom iets langer duurt, staat in een andere positie dan een bedrijf dat helemaal niet reageert. Dat onderscheid is relevant, ook al bestaat er geen formule waarmee dat verschil in een percentage of bedrag is uit te drukken.
Verlenging van de termijn: wanneer mag dat
De AVG biedt ruimte om de termijn te verlengen als een verzoek complex is of als er veel verzoeken tegelijk binnenkomen. Die verlenging is geen automatisme: u moet de betrokkene binnen de oorspronkelijke maand laten weten dat u meer tijd nodig heeft, en waarom. Wie dat nalaat en pas na de eerste maand iets van zich laat horen, heeft de verlenging niet op de juiste manier benut, ook al was er inhoudelijk misschien wel reden voor meer tijd.
Dit is precies het punt waarop bedrijven vaak misgrijpen: niet omdat ze niet willen reageren, maar omdat niemand de datum heeft vastgelegd toen het verzoek binnenkwam. Een verzoek per e-mail dat blijft liggen tot iemand tijd heeft, is het meest voorkomende scenario.
Wat te doen als u merkt dat de termijn in gevaar komt
Als u vlak voor de deadline zit of hem net gemist heeft, is de eerste stap alsnog reageren, met een korte uitleg over wat er is gebeurd. Stilte is de situatie die de betrokkene het meeste aanleiding geeft om door te zetten naar een klacht of naar de rechter. Een late maar volledige reactie, met een duidelijke registratie van wanneer het verzoek binnenkwam en wat er is gedaan, laat zien dat er wel degelijk iets is ondernomen.
Leg in ieder geval vast: de datum van ontvangst, wie het verzoek heeft beoordeeld, en welke afweging is gemaakt. Bij twijfel of een verzoek terecht is, of wat u precies moet verstrekken, is de veelgestelde vragen-pagina een eerste aanknopingspunt, en voor de lastigere gevallen blijft een jurist de aangewezen weg.
Hoe een lopende termijn te bewaken
Het lastigste aan deze verplichting is niet de inhoud van het antwoord, maar het bijhouden van de klok zodra een verzoek ergens in de organisatie binnenkomt: bij de receptie, in een algemene mailbox, of rechtstreeks bij een medewerker. gdpria.eu laat die termijn van één maand automatisch meelopen zodra een verzoek is geregistreerd, met een signaal ruim voordat de datum verstrijkt. Hoe dat systeem is opgebouwd en waar de onderliggende regels vandaan komen, staat toegelicht op de pagina waar wordt uitgelegd waar de informatie vandaan komt.
Of dat voor uw bedrijf een aanvulling is die zin heeft, hangt af van hoeveel verzoeken u krijgt en hoe u dat nu al vastlegt. Een zakelijk account aanmaken is vrijblijvend te bekijken; de kennisbank en de eerste beoordeling blijven daarbij gratis toegankelijk.
Wilt u eerst zien waar u nu staat? De gratis onderdelen van gdpria.eu geven per onderwerp het korte antwoord en de vindplaats in de wettekst, zonder dat u daarvoor een account nodig heeft.