Steeds meer mensen vragen bedrijven om inzage in hun persoonsgegevens of om verwijdering ervan. Je hebt maar kort de tijd om zo’n verzoek goed en volledig af te handelen. Ben je niet voorbereid, dan is die termijn vaak zelfs te kort. Je loopt dan het risico op een rechtszaak of een sanctie van de toezichthouder.
Waarom neemt het aantal AVG-verzoeken toe?
In onze praktijk zien we een sterke toename van het aantal AVG-verzoeken, met name waar het gaat om inzageverzoeken. Dat zijn verzoeken waarmee iemand wil achterhalen welke persoonsgegevens een organisatie van hem of haar verwerkt.
Wij vermoeden dat de ontwikkelingen rondom AI een belangrijke rol spelen in de toename. Met AI-software is het voor veel mensen een stuk eenvoudiger geworden om een fatsoenlijk verzoek op te stellen. De drempel om een beroep te doen op AVG-rechten is daardoor veel lager geworden.
Je doet er dus verstandig aan om goed voorbereid te zijn op deze AVG-verzoeken. Elke organisatie verwerkt persoonsgegevens (bijvoorbeeld van klanten, werknemers en leveranciers) en kan er dus mee te maken krijgen.
Soorten AVG-verzoeken en de reactietermijn
AVG-verzoeken zijn er in verschillende soorten. Enkele die veel voorkomen zijn:
- Inzage: om te weten te komen welke gegevens worden verwerkt, waarvoor en met wie ze worden gedeeld (artikel 15 AVG).
- Rectificatie: om onjuiste gegevens te laten corrigeren (artikel 16 AVG).
- Verwijdering: om gegevens te laten wissen (artikel 17 AVG).
- Bezwaar: om bezwaar te maken tegen een bepaalde gegevensverwerking (artikel 21 AVG).
Je moet als organisatie onverwijld reageren, uiterlijk binnen een maand na ontvangst. Is een verzoek complex of krijg je er veel tegelijk? Dan mag je de termijn met twee maanden verlengen. Daarvan moet je de verzoeker wel binnen de eerste maand op de hoogte brengen, met een onderbouwing.
Wat zijn de risico’s als je niet goed reageert?
Reageer je niet, te laat of onvolledig? Dan kan de verzoeker de rechter vragen om te bevelen dat jouw organisatie alsnog aan het verzoek voldoet. Eventueel wordt daar zelfs een dwangsom aan gekoppeld.
De verzoeker kan ook naar de rechter stappen voor een schadevergoeding of een klacht indienen bij de Autoriteit Persoonsgegevens (AP). Dat is overigens niet alleen een theoretisch risico, zo blijkt uit de cijfers. Uit de Klachtenrapportage van 2025 volgt dat het aantal klachten in een jaar tijd 75 procent is toegenomen. Volgens de AP is het “een indicatie dat er een groeiend bewustzijn is bij mensen van hun rechten”.
AVG-verzoeken zijn voor organisaties een bron van onrust
AVG-verzoeken zijn niet altijd meteen herkenbaar als AVG-verzoeken, maar dat maakt ze niet ongeldig. De reactietermijn begint meteen te lopen. Ze kunnen binnenkomen via de klantenservice, een algemene mailbox of een leidinggevende. In veel gevallen worden ze pas te laat of zelfs helemaal niet opgemerkt.
Een verzoek legt bovendien vaak bloot dat de AVG-compliance nog niet op orde is. Organisaties merken bijvoorbeeld dat er geen mechanisme bestaat om snel en goed op verzoeken te reageren. In andere gevallen wordt geconstateerd dat bewaartermijnen niet worden nageleefd of dat er veel meer gegevens worden verwerkt dan nodig is.
Wat zeggen Europese instanties hierover?
Organisaties kunnen uit Europese rechtspraak en richtsnoeren afleiden hoe met AVG-verzoeken moet worden omgegaan. Zo hoeft iemand niet uit te leggen waarom hij of zij een verzoek doet. De AVG moet immers zorgen voor een “hoog beschermingsniveau”. In bepaalde uitzonderingsgevallen kan iemand onder het inzagerecht zelfs een recht hebben om hele documenten te ontvangen. Als organisatie is het vaak gewoon een kwestie van meewerken.
Een AVG-verzoek weigeren is alleen aan de orde als het kennelijk ongegrond of buitensporig is. Dat moet je zelf kunnen aantonen. Europa is wel bezig met een wetswijziging die het weigeren van het inzagerecht eenvoudiger moet maken. Dat zou dan ook kunnen als er sprake is van misbruik van het inzagerecht voor andere doeleinden dan gegevensbescherming. Wij vragen ons alleen af welke toekomst dit specifieke wetsvoorstel heeft. Volgens critici zou deze wijziging in strijd zijn met privacygrondrechten uit het EU-handvest. Wat ons betreft is die kritiek terecht.
Hoe bereid je je voor op AVG-verzoeken?
Een goede voorbereiding is cruciaal voor de behandeling van AVG-verzoeken. Dat begint al voordat er een inzageverzoek binnenkomt, namelijk met de vraag of jouw onderneming AVG-compliant is. Zorg bijvoorbeeld dat je een protocol hebt voor het signaleren en behandelen van AVG-verzoeken. Daarin leg je onder meer vast wie een verzoek oppakt, met welke deadlines rekening moet worden gehouden en wat wordt gedocumenteerd. Train je medewerkers om een AVG-verzoek te herkennen en naar de juiste collega door te zetten. En als je toch bezig bent, werp dan meteen een extra blik op de bewaartermijnen en verwijder gegevens die je niet meer nodig hebt.
Vragen?
Hulp nodig bij AVG-verzoeken, het opstellen van de juiste protocollen of andere zaken rondom privacycompliance? Neem contact op met onze specialisten.
