Iedereen kan op grond van artikel 35 van de Wet bescherming persoonsgegevens (Wbp) aan organisaties inzage vragen in de persoonsgegevens die over hem worden verwerkt. Ook onder de werking van de Algemene verordening persoonsgegevens (AVG) die vanaf 25 mei 2018 in werking treedt, blijft dit recht bestaan (art. 15 AVG). Aan welke eisen moet de beantwoording van dit soort verzoeken voldoen? Wij zetten dat hieronder in deze handleiding op een rij.
Wat moet verstrekt worden?
Nadat de identiteit van de verzoeker is vastgesteld heeft de verzoeker recht op inzage in de persoonsgegevens en moet de volgende informatie worden verstrekt:
1. de verwerkingsdoeleinden;
2. de betrokken categorieën van persoonsgegevens;
3. de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
4. van wie de gegevens zijn ontvangen (bron);
5. informatie over het bestaan van geautomatiseerde besluitvorming, profilering en eventueel, informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen.
De Algemene verordening persoonsgegevens voegt hier drie onderwerpen aan toe:
6. de opslagperiode (bewaartermijn);
7. informatie over het recht op rectificatie, wissen of beperking van de verwerking;
8. het feit dat de verzoeker een bezwaar of klacht kan indienen.
Zienswijze derde?
Heeft een derde naar verwachting bedenkingen tegen het verstrekken van de informatie, dan wordt hij in de gelegenheid gesteld een zienswijze naar voren te brengen, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost. In de AVG wordt niet over zienswijze gesproken maar is bepaald dat het inzagerecht in ieder geval geen afbreuk mag doen aan de rechten en vrijheden van anderen. In de praktijk zal dit erop neerkomen dat ook dan een derde de gelegenheid moet krijgen een zienswijze in te dienen.
Hoe moet het verstrekt worden?
Als verantwoordelijke zijn er, onder de Wbp, drie manieren om betrokkene inzage te geven in de persoonsgegevens:
- Een volledig overzicht verstrekken
De wet zegt dat een ‘volledig’ overzicht aan de betrokkene moet worden verstrekt. Het overzicht dient de betrokkene in staat te stellen te controleren of de verwerkte gegevens juist zijn en of deze zijn verwerkt in overeenstemming met de Europese richtlijn. - Kopieën of afdrukken van originele documenten en een overzicht verstrekken
Er kan voor gekozen worden naast het verstrekken van het overzicht ook kopieën van alle originele documenten te verstrekken. Dit is niet verplicht. - Inzage ter plekke
Je kunt de betrokkene uitnodigen voor een inzage ter plekke.
De informatie mag ook via de elektronische weg worden gedeeld. De AVG stelt geen eisen aan de manier waarop inzage wordt gegeven, maar schrijft wel voor dat de organisatie de verzoeker een kopie verstrekt van de persoonsgegevens die worden verwerkt.
Mag een vergoeding voor kopieën gevraagd worden?
Het is toegestaan een vergoeding te vragen voor het verstrekken van de relevante kopieën. Voor de kopieën mag € 0,23 per pagina gevraagd worden, met een maximum van € 5,-. In complexe gevallen kan een vergoeding van maximaal € 22,50 gevraagd worden. Onder de AVG moet een kopie van de verwerkte persoonsgegevens kosteloos worden verstrekt en mag alleen voor bijkomende kopieën op basis van de administratieve kosten een redelijke vergoeding in rekening worden gebracht.
Binnen welke termijn moet er gereageerd worden?
Er moet binnen vier weken op een inzageverzoek gereageerd worden. In de AVG is bepaald dat onverwijld, maar in ieder geval binnen één maand gereageerd moet worden. Deze termijn kan in uitzonderlijke gevallen met twee maanden worden verlengd.
Mag een verzoek om inzage geweigerd worden?
Een inzageverzoek kan op grond van de Wbp, geweigerd worden indien dat noodzakelijk is voor de veiligheid van de staat, de voorkoming, opsporing en vervolging van strafbare feiten, belangrijke economische en financiële belangen van de staat, het toezicht op de naleving van wettelijke voorschriften en de bescherming van de betrokkene of van de rechten en vrijheden van anderen. Artikel 23 van de AVG biedt de mogelijkheid het inzagerecht te beperken om, onder andere, de hierboven genoemde belangen te kunnen waarborgen. In welke gevallen het inzagerecht niet of beperkt bestaat, wordt in de Nederlandse Uitvoeringswet AVG vastgelegd.
Geen (tijdige) reactie of ontevreden over de inhoud?
Zowel onder de Wbp als de AVG staat voor de verzoeker de weg naar de rechtbank open als een organisatie niet, niet tijdig of niet volledig beslist op het verzoek. Dat kan zowel via een kort geding als een verzoekschriftprocedure. De mogelijkheid van bezwaar en beroep staat open als de organisatie een bestuursorgaan is.
Tips voor de praktijk
- Zorg ervoor dat verzoeken om inzage in persoonsgegevens als zodanig worden herkend en bij de juiste persoon in jouw organisatie terecht komen.
- Maak een helder en begrijpelijk overzicht van de persoonsgegevens die worden verwerkt en de informatie als bedoeld onder 1 tot en met 6. Doe dat bijvoorbeeld in een exceldocument.
- Vergeet de verzoeker niet te wijzen op de rechten die hij heeft en op de mogelijkheid een klacht in te dienen.
- Vermeld de bezwarenclausule wanneer een bestuursorgaan beslist op het verzoek.