Welke documenten heeft u nodig bij een inzage- of verwijderingsverzoek?
Als iemand u vraagt om inzage in zijn gegevens, of om verwijdering daarvan, heeft u een aantal stukken nodig om dat verzoek zorgvuldig af te handelen: een ontvangstbevestiging met datum, een manier om de identiteit van de aanvrager vast te stellen, een overzicht van wat u daadwerkelijk over die persoon verwerkt, een schriftelijk besluit met motivering, en eventueel een bericht waarin u de termijn verlengt. Samen vormen deze stukken het dossier waarmee u kunt laten zien wat er is gevraagd en wat u ermee heeft gedaan.
Het onderdeel waar de meeste onzekerheid over bestaat, is niet de lijst zelf maar de identiteitscontrole. Te weinig vragen is een risico omdat u dan mogelijk gegevens aan de verkeerde persoon verstrekt; te veel vragen is ook een risico, omdat de AVG juist vraagt om niet meer gegevens op te vragen dan nodig is om de identiteit vast te stellen. Een volledige kopie van een identiteitsbewijs is daarvoor meestal niet nodig en brengt bovendien nieuwe gegevens in het spel die u weer moet beveiligen en op tijd moet vernietigen.
Identiteit vaststellen zonder overvragen
In de praktijk werkt het vaak met gegevens die u al heeft: een klantnummer, een eerder bekend e-mailadres, of een korte terugbelcontrole. Pas als er twijfel is over wie het verzoek doet, ligt aanvullende verificatie voor de hand. De Autoriteit Persoonsgegevens en de EDPB-richtsnoeren besteden hier expliciet aandacht aan, juist omdat dit het punt is waarop organisaties het vaakst overcompenseren. Een vaste werkwijze voor identiteitscontrole, die u één keer vastlegt en daarna herhaalt, voorkomt dat u dit telkens opnieuw moet uitvinden.
Wat hoort er verder in het dossier
Naast de identiteitscontrole hoort in het dossier een overzicht van de verwerkte gegevens zelf: waar ze vandaan komen, met wie ze gedeeld zijn, en hoelang u ze al heeft. Dat overzicht haalt u in de praktijk uit uw verwerkingsregister, als dat op orde is. Zonder register moet u dit per verzoek handmatig uitzoeken in uw systemen, wat meer tijd kost en meer kans geeft op een onvolledig antwoord. In de kennisbank vindt u per situatie uitgelegd wat een volledig antwoord inhoudt.
Bij een verwijderingsverzoek komt er een extra document bij: de afweging of er een wettelijke bewaarplicht is die verwijdering (tijdelijk) in de weg staat, bijvoorbeeld bij fiscale gegevens. Die afweging legt u schriftelijk vast, ook als de uitkomst is dat u niet (volledig) verwijdert. Dat document is net zo belangrijk als de verwijdering zelf, omdat het laat zien dat er een bewuste keuze is gemaakt en geen vergeten verzoek.
Waarom dit samenhangt met uw register en uw tools
Een inzage- of verwijderingsverzoek raakt zelden één systeem. Klantgegevens staan vaak in een CRM, een boekhoudpakket en een e-mailprogramma tegelijk, en bij elk daarvan ligt de vraag of en hoe lang verwijdering mogelijk is. Wie vooraf in kaart heeft welke SaaS-tools welke gegevens bevatten, hoeft dat niet per verzoek opnieuw te ontdekken. Of uw instellingen daarbij passen bij wat de verordening vraagt, kunt u nagaan via de toelichting over privacy en gegevensbeveiliging.
Ook het besluit zelf is een document: een korte brief of e-mail waarin staat wat er is gevraagd, wat u heeft gedaan, en binnen welke termijn. Die termijn ligt vast in de verordening en loopt vanaf het moment van ontvangst, niet vanaf het moment waarop u eraan toekomt. Een overzicht van veelgestelde vragen over deze termijnen en uitzonderingen staat bij de veelgestelde vragen over verzoeken van betrokkenen.
Vastleggen loont, ook na afhandeling
Het dossier dat u opbouwt bij een verzoek is niet alleen bedoeld voor dat ene moment. Het laat ook zien, mocht een toezichthouder of de betrokkene zelf er later naar vragen, dat het verzoek is herkend, beoordeeld en binnen de gestelde termijn is afgehandeld. Of uw huidige werkwijze dat al dekt, is iets wat u het beste met een jurist of met de Autoriteit Persoonsgegevens kunt doorspreken als u twijfelt over een concrete situatie.
Wilt u in een paar minuten zien hoe dit voor uw bedrijf concreet wordt, zonder dat u eerst alles zelf hoeft uit te zoeken? Doe de gratis quick-scan of start een zakelijk account om uw register en verzoeken overzichtelijk bij te houden.