De meestgemaakte fout bij het afhandelen van een verzoek van een betrokkene zit niet in de termijn waarop u reageert, maar in de inhoud van uw antwoord. Bedrijven sturen vaak óf te weinig gegevens terug bij een inzageverzoek, óf verwijderen bij een verwijderingsverzoek gegevens die zij eigenlijk nog moesten bewaren. Beide fouten ontstaan doordat het verzoek als één simpele actie wordt behandeld, terwijl er eigenlijk eerst een aantal vragen beantwoord moet worden.
De kern van de fout is dit: een verzoek om inzage of verwijdering vraagt om een beoordeling per gegeven, niet om een knop die u omzet. Wie een volledig personeelsdossier wist omdat een oud-medewerker daarom vraagt, kan zomaar gegevens verwijderen die op grond van een andere wettelijke verplichting nog bewaard moeten blijven, zoals fiscale of arbeidsrechtelijke bewaartermijnen. Wie bij een inzageverzoek alleen een export uit één systeem stuurt, mist vaak gegevens die elders staan, bijvoorbeeld in een los Excel-bestand of in de mailbox van een leidinggevende.
Waarom deze fout zo vaak voorkomt
De AVG geeft betrokkenen het recht op inzage en, onder voorwaarden, het recht op verwijdering. Beide rechten zijn niet onbeperkt. Het recht op verwijdering geldt bijvoorbeeld niet wanneer er een wettelijke bewaarplicht is, of wanneer de gegevens nodig zijn om een rechtsvordering vast te stellen, uit te oefenen of te verdedigen. Dat onderscheid staat niet in een simpele checklist, en dat maakt het lastig voor iemand die dit voor het eerst behandelt.
Een tweede reden is dat gegevens in een gemiddeld MKB-bedrijf verspreid staan: in het CRM, in de boekhouding, in e-mail, soms in een chatapp. Een verzoek wordt vaak beantwoord vanuit één systeem, terwijl de betrokkene recht heeft op een volledig beeld. Dat is precies waar een actueel verwerkingsregister het verschil maakt: als u vooraf al heeft vastgelegd welke systemen persoonsgegevens bevatten en van wie, hoeft u dat niet onder tijdsdruk uit te zoeken op het moment dat er een verzoek binnenkomt.
De tweede fout: identiteit niet controleren
Naast de inhoudelijke beoordeling gaat het vaak mis bij de eerste stap: vaststellen wie het verzoek doet. Een verzoek om inzage of verwijdering bevat vaak gevoelige informatie, en die informatie hoort alleen bij de betrokkene zelf terecht te komen. Een verzoek te snel afhandelen zonder de identiteit te verifiëren, kan ertoe leiden dat gegevens van de ene persoon bij de verkeerde persoon terechtkomen. Tegelijkertijd geldt: een onnodig zware identiteitscontrole vertraagt de afhandeling en kan als drempel worden ervaren die niet in verhouding staat tot het verzoek.
Hoe u deze fout voorkomt
De eerste stap is het verzoek zelf goed vastleggen: wat wordt er precies gevraagd, door wie, en op welke datum is het binnengekomen. Vanaf dat moment loopt de wettelijke termijn, en die termijn geldt ongeacht of het verzoek per e-mail, telefoon of brief binnenkomt.
De tweede stap is nagaan in welke systemen gegevens van deze persoon staan. Een verwerkingsregister dat up-to-date is, versnelt dit aanzienlijk, omdat u dan al weet welke tools en leveranciers gegevens van medewerkers of klanten verwerken. Wie dit nog niet centraal heeft staan, kan in de kennisbank met uitleg per situatie nalezen wat er precies in een register hoort te staan voordat een verzoek binnenkomt.
De derde stap is per gegeven beoordelen of verwijdering of verstrekking is toegestaan, in plaats van het hele dossier in één keer te behandelen. Bij twijfel over een wettelijke bewaarplicht die tegenover het verzoek staat, is het verstandig hier juridisch advies over in te winnen; de toezichthouder benoemt dit onderscheid in haar richtsnoeren, maar de uitkomst hangt af van de specifieke situatie.
Tot slot helpt het om vooraf een vast proces te hebben voor dit soort verzoeken, zodat niet bij elk verzoek opnieuw wordt uitgevonden wie waarvoor verantwoordelijk is. Antwoorden op veelgestelde vragen over dit onderwerp staan overzichtelijk bij elkaar in de verzameling veelgestelde vragen, en wie wil zien hoe gdpria.eu de vindplaats van elk antwoord aangeeft, leest dat op de pagina uitleg over hoe de informatie tot stand komt.
Een goed bijgehouden register en een vast proces voorkomen niet dat er een verzoek binnenkomt, maar wel dat het onder tijdsdruk fout gaat. Wie dit liever structureel wil regelen in plaats van per geval opnieuw uit te zoeken, kan zich gratis oriënteren op een zakelijk account en zo het overzicht per systeem en per verzoek op orde brengen.
Bent u benieuwd hoe uw eigen situatie eruitziet? De gratis quick-scan geeft in een paar vragen een eerste indicatie, zonder dat u daarvoor een account nodig heeft.