Een verzoek van een betrokkene is elk verzoek van iemand van wie u persoonsgegevens verwerkt, waarmee die persoon een van de rechten gebruikt die de AVG hem toekent. Dat gaat verder dan de twee bekendste vormen, inzage en verwijdering. De verordening kent ook het recht op rectificatie, op beperking van de verwerking, op overdraagbaarheid van gegevens en op bezwaar tegen een bepaalde verwerking. Al deze verzoeken vallen onder dezelfde noemer en roepen dezelfde verplichting op: u moet erop reageren.
Het detail dat bij dit onderwerp het vaakst over het hoofd wordt gezien, is dat een verzoek geen vaste vorm nodig heeft. Een klant die in een gewone e-mail schrijft "ik wil weten wat jullie van mij hebben" of een oud-medewerker die aan de balie zegt "mag mijn naam uit je systeem" dient daarmee al een verzoek in, ook zonder formulier, zonder het woord AVG te gebruiken en zonder dat het via een vaste contactpersoon binnenkomt. Juist die informele binnenkomst is waar het vaak misgaat: niet bij het uitvoeren van het verzoek, maar bij het herkennen ervan.
Welke rechten vallen onder een verzoek van een betrokkene
De AVG geeft iemand wiens gegevens u verwerkt een aantal met elkaar samenhangende rechten. Inzage betekent dat iemand mag weten welke gegevens u van hem heeft en waarvoor. Rectificatie betekent dat onjuiste gegevens gecorrigeerd moeten kunnen worden. Verwijdering, ook wel het recht om vergeten te worden genoemd, betekent dat gegevens in bepaalde situaties gewist moeten worden. Beperking houdt in dat gegevens tijdelijk niet meer gebruikt mogen worden, bijvoorbeeld tijdens een discussie over de juistheid ervan. Overdraagbaarheid geeft iemand het recht om gegevens die hij zelf heeft aangeleverd in een gangbaar formaat te ontvangen. En bezwaar geeft iemand de mogelijkheid om tegen een specifieke verwerking in te gaan, bijvoorbeeld tegen gebruik van zijn gegevens voor marketing.
Geen van deze rechten is onvoorwaardelijk. De AVG verbindt aan ieder recht eigen voorwaarden en uitzonderingen, en of een verzoek daadwerkelijk moet worden ingewilligd hangt af van de situatie. Dat is ook precies waarom algemene uitleg hier nooit een oordeel over een individueel geval kan vervangen.
Waarom herkenning lastiger is dan afhandeling
Veel bedrijven richten hun aandacht op het proces na een verzoek: wie reageert, binnen welke termijn, met welk document. Dat is terecht, maar het is niet het eerste knelpunt. Het eerste knelpunt is dat een verzoek zelden binnenkomt via het kanaal dat u ervoor had ingericht. Het komt binnen bij de medewerker die de telefoon opneemt, bij de collega die de klantenservice-mailbox beheert, of bij de kantoormanager die toevallig in de lobby staat. Als niemand in de organisatie weet dat zo'n zin al een verzoek is, begint de klok voor u te lopen zonder dat u het weet.
Dat is ook de reden dat toezichthouders in hun richtsnoeren benadrukken dat een verzoek niet gebonden is aan een specifiek kanaal of een specifieke formulering. De verantwoordelijke organisatie, niet de betrokkene, draagt de last om een verzoek te herkennen zodra het wordt gedaan. de kennisbank met uitleg per recht van de betrokkene gaat dieper in op wat voor elk van deze rechten telt als een geldig verzoek en wat niet.
Wat dit voor uw organisatie betekent
In de praktijk werkt het beste als iedereen die klantcontact heeft, weet dat zinnen als "haal mij uit jullie bestand" of "stuur me alles wat jullie van mij hebben" een signaal zijn om door te geven aan degene die verzoeken afhandelt. Dat is geen juridische scholing, het is herkenning van een patroon. Pas als het verzoek eenmaal is herkend en doorgezet, komt de vraag aan de orde hoe u het identificeert, wat u precies moet aanleveren en binnen welke termijn.
De AVG zelf noemt voor de reactie op een verzoek een termijn van één maand, met de mogelijkheid die te verlengen in meer ingewikkelde gevallen. Die termijn begint te lopen vanaf het moment dat het verzoek is gedaan, niet vanaf het moment dat het bij de juiste persoon terechtkomt. Wie dat moment wil bewaken zonder het handmatig te hoeven onthouden, kan dat laten lopen via een systeem dat de klok automatisch start. hoe gdpria.eu die termijn bewaakt laat zien waar die automatisering op is gebaseerd.
Wat u kunt doen als u twijfelt
Niet elk bericht dat lijkt op een verzoek is er ook een, en niet elk verzoek moet volledig worden ingewilligd. Twijfel daarover hoort bij de uitvoering, niet bij de herkenning: zodra iemand kenbaar maakt dat hij een van zijn rechten wil gebruiken, is het aan u om dat serieus te behandelen en te beoordelen, desnoods met een jurist of de Autoriteit Persoonsgegevens erbij, wat er precies moet gebeuren. antwoorden op vragen die bedrijven hierover vaak stellen behandelt een aantal van die grensgevallen.
Wilt u weten waar uw organisatie staat voordat er daadwerkelijk een verzoek binnenkomt? De gratis quick-scan op datalek en verzoeken in een paar vragen inzichtelijk maken geeft een eerste indicatie, en de kennisbank legt per recht uit wat de AVG daarover zegt, met de vindplaats erbij.