Alles over je inzagerecht en wat je ermee kunt

Overheidsorganisaties en andere bedrijven die gegevens van jou nodig hebben, kunnen en mogen deze gegevens bewaren. Er bestaan verschillende bewaartermijnen voor zowel huisartsen, je werkgever of overheidsinstanties. De AVG zelf schrijft geen concrete bewaartermijnen voor, maar het uitgangspunt is dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is. Een bedrijf kan in het privacybeleid bijvoorbeeld vastleggen en onderbouwen hoe lang persoonsgegevens worden bewaard.  

Persoonsgegeven kunnen gaan om een naam en adres, maar in sommige gevallen kan ook om een e-mailadres en telefoonnummer gaan. Daarnaast kan er sprake zijn van bijzondere persoonsgegevens. Bijvoorbeeld als het gaat om gevoelige informatie zoals godsdienst, ras of gezondheid.

Een reden om een inzageverzoek bij een bedrijf of organisatie in te dienen, kan zijn omdat je vermoedt dat je gegevens misschien niet kloppen. Ook kan het zijn dat je je afvraagt of de gegevens wel op een juiste manier gebruikt worden. Het opvragen van je gegevens kan inzicht geven in wat er precies over jou bekend is.

Zelf kun jij bij verschillende organisaties de informatie die over jou wordt bewaard, opvragen en inzien. In principe heb je recht om alles op te vragen wat er over jou is verzameld. Daarnaast kun je via een persoonlijk account bij bijvoorbeeld een webshop al heel veel bewaarde persoonsgegevens inzien, maar misschien dat de organisatie waar je een aanvraag bij doet wel meer data over jou bezit. Dit kunnen bijvoorbeeld opgenomen telefoongesprekken zijn of e-mailcorrespondentie. Daarom is het slim om in je aanvraag te specificeren welke gegevens je graag in wilt zien. Geef je dit niet specifiek aan en heeft een bedrijf veel gegevens over jou verzameld? Dan kan de organisatie contact opnemen om te vragen waar je precies inzage in wilt.

Een inzage aanvragen doe je door middel van een schriftelijk verzoek per brief of e-mail. Via de website van Autoriteit Persoonsgegevens kun je een voorbeeldbrief downloaden, maar je kunt ook door middel van de website ‘My Data Done Right’ een verzoek aan een organisatie maken.

Een organisatie krijgt één maand de tijd om schriftelijk op je inzageverzoek te reageren. Als je meerdere verzoeken indient of als het een ingewikkelde aanvraag is, dan mag de organisatie er twee maanden langer over doen. Wel moet de organisatie binnen één maand laten weten hoelang het nog zal duren en waarom.

Doorgaans mag een organisatie geen kosten in rekening brengen wanneer zij gegevens aan jou verstrekt. Dat mag alleen als er extra kopieën worden verstrekt.

Daarnaast moet een bedrijf of organisatie kunnen identificeren wie de gegevens opvraagt. Je kan niet lukraak informatie van een willekeurig persoon opvragen. Hoewel het wel wordt gedaan, is het bijna nooit toegestaan om te vragen naar een kopie van je ID. Wanneer een organisatie aangeeft dat een kopie noodzakelijk is, zorg dan dat je een veilige kopie verstrekt. Verberg je BSN en vermeld duidelijk voor wie de kopie bedoeld is. Lees hier meer over hoe je op een veilige manier omgaat met een kopie van je identiteitsbewijs.

Een bedrijf of organisatie kan iemand ook identificeren door middel van een inlogsysteem, dubbele verificatie via sms of e-mail of door te vragen om langs te komen. Dat laatste mag geen reden zijn om een drempel op te werpen om inzage te geven. Als iemand niet in de buurt woont of niet in staat is om langs te komen, is het beter om bezoek als alternatief identificatiemiddel aan te bieden.

Uiteindelijk krijg je een kopie van jouw verzamelde persoonsgegevens toegestuurd. Dit kan op verschillende manieren. Zo kun je een kopie krijgen van complete documenten die over jou verzameld zijn, maar kan een organisatie er ook voor kiezen om informatie over jou te kopiëren en te plakken in een compleet overzicht.

Daarnaast moet een organisatie extra informatie aan jou verstrekken. Bijvoorbeeld over het doel waarvoor je gegevens worden gebruikt, welke soorten gegevens er door de organisatie gebruikt worden, welke andere organisatie(s) eventueel jouw gegevens krijgen, hoe lang je gegevens worden bewaard, of je gegevens met landen buiten de EU worden gedeeld, wat jouw privacyrechten zijn, hoe de organisatie aan jouw gegevens is gekomen als je die zelf niet hebt verstrekt en of de organisatie automatische besluiten over mensen neemt.

In sommige gevallen kan je inzage worden geweigerd, bijvoorbeeld als je heel veel verzoeken indient. Als een organisatie kan aantonen dat door jouw verzoeken de administratieve lasten extreem hoog worden, mag het verzoek in een uitzonderlijk geval geweigerd worden. 

Daarnaast zijn er ook wettelijke uitzonderingen. Zo kan een inzageverzoek geweigerd worden als de openbare veiligheid in het geding komt, maar ook om strafbare feiten te voorkomen en op te sporen en om de rechten en vrijheden van anderen te beschermen. Ook kan een organisatie een inzage gedeeltelijk weigeren, bijvoorbeeld als er informatie over anderen in staat. En als iemand anders er naar verwachting bezwaar tegen heeft als jij inzage in je documenten krijgt, moet de organisatie die persoon de kans geven om zijn of haar mening te geven voordat je je gegevens mag inzien.

Overigens kan een organisatie of bedrijf niet zomaar een inzageverzoek weigeren. Daar moeten argumenten voor gegeven worden en moet de organisatie aan degene die het verzoek indient, kunnen aantonen dat er een zorgvuldige afweging is gemaakt tussen de belangen van alle betrokken partijen.

Tot slot zijn er andere rechten waar je, naar aanleiding van je inzageverzoek, beroep op kunt doen. Zo kun je beroep doen op je recht op rectificatie, om foutieve informatie te laten wijzigen of aan te vullen. In sommige gevallen kun je je recht op vergetelheid uitoefenen om persoonsgegevens laten vernietigen. En mits het mogelijk is, kun je gegevens van de ene naar de andere organisatie laten overdragen, door middel van je recht op dataportabiliteit.

Wil je meer lezen over je privacyrechten? Klik dan hier voor meer informatie.