AVG-verzoeken, rustig afgehandeld.

Herken het verzoek

Volgens de richtlijnen van het Europees Comité voor gegevensbescherming (EDPB) over het recht op inzage heeft een verzoek geen vaste vorm en geen reden nodig. Het is genoeg als iemand vraagt welke persoonsgegevens je van hem hebt. Je mag niet weigeren omdat de AVG of artikel 15 niet genoemd wordt.

Een verzoek telt via elk kanaal dat jij aanbiedt, zoals je supportadres of de chat op je site. Wie die leest, moet het herkennen.

Let op berichten zoals deze:

• “Welke gegevens hebben jullie van mij?” of “Stuur me alles wat jullie over mij hebben” (inzageverzoek, artikel 15)
• “Waar hebben jullie mijn adres vandaan?” (inzage, inclusief de herkomst)
• “Verwijder mijn account en al mijn gegevens” (recht op gegevenswissing of vergetelheid, artikel 17)
• “Ik wil geen mail meer van jullie” (bezwaar tegen direct marketing: daarvoor gebruik je de gegevens niet meer, artikel 21 lid 3)

Noteer de termijn op de dag zelf

Je reageert onverwijld, en uiterlijk binnen een maand na ontvangst van het verzoek (artikel 12 lid 3 AVG). Die maand begint als het bericht binnenkomt, ook op vrijdagavond als niemand het leest.

De EDPB rekent zo: binnen op 5 maart, dan uiterlijk 5 april. Binnen op 31 augustus? Dan uiterlijk 30 september, want september heeft geen 31e. Valt de laatste dag in het weekend of op een feestdag, dan heb je tot de volgende werkdag.

Bij een ingewikkeld verzoek of veel verzoeken mag je, als het nodig is, twee maanden verlengen. Laat de klant dat binnen de eerste maand weten, met de reden. De EDPB noemt dat een uitzondering: veel werk alleen maakt een verzoek niet ingewikkeld.

Een verzoek afhandelen is gratis. Is een verzoek kennelijk ongegrond of buitensporig, dan mag je een redelijke vergoeding vragen of weigeren, maar dat moet je kunnen aantonen (artikel 12 lid 5). Doe je niets met een verzoek, laat dan binnen de maand weten waarom, en dat de klant kan klagen bij een toezichthouder (in Nederland de Autoriteit Persoonsgegevens) of naar de rechter kan (artikel 12 lid 4).

Controleer wie het vraagt, met mate

Gegevens naar een vreemde sturen is een lek, dus controleer of het de klant is. Houd het in verhouding: vraag alleen om extra informatie bij redelijke twijfel over iemands identiteit, en alleen om wat nodig is om die te bevestigen (artikel 12 lid 6).

In de chat zie je niet wie er typt. Stuur de gegevens naar het adres dat je al hebt, en wees voorzichtig met een nieuw adres uit de chat.

Heb je iets nodig, vraag het dan meteen. De termijn staat stil tot je het hebt, als je zonder onnodige vertraging vroeg (EDPB-richtlijnen, punt 157).

Een kopie van een identiteitsbewijs vragen noemt de EDPB onevenredig als je al kunt vaststellen wie iemand is. Een lichtere check volstaat meestal:

• Antwoord op het mailadres dat je al van de klant hebt
• Stuur een bevestigingslink of code naar dat adres
• Vraag de klant in te loggen op zijn account
• Vraag iets wat alleen de klant weet, zoals een ordernummer

Stuur alles bij een inzageverzoek

Bij een inzageverzoek horen drie dingen: of je gegevens van de klant verwerkt, een kopie ervan, en informatie over wat je ermee doet (artikel 15). De eerste kopie is gratis. Kwam het verzoek per mail, stuur de kopie dan in een gangbaar digitaal formaat, zoals pdf (artikel 15 lid 3).

De kopie toont de gegevens zoals ze waren bij binnenkomst van het verzoek, ook je mails en chats met de klant. Interne notities over de klant tellen ook mee.

Staan er gegevens van anderen in, zoals van een collega in de cc? Je kopie mag de rechten van anderen niet schaden (artikel 15 lid 4). Maak die stukken onleesbaar en stuur de rest.

Bij een klein team staan de gegevens meestal op een paar plekken:

• Je inbox en chat: gesprekken, bijlagen en interne notities
• Je webshop of app: account, bestellingen en facturen
• Je mailinglijst en marketingtools
• Spreadsheets en exports in gedeelde mappen

Wis wat kan, bewaar wat moet

Je moet persoonsgegevens zonder onredelijke vertraging wissen als een van de gronden uit artikel 17 lid 1 geldt. Bij een klant is dat meestal omdat je de gegevens niet meer nodig hebt voor het doel, omdat de klant zijn toestemming intrekt, of omdat hij bezwaar maakt.

Wis ze overal: gesprekken, chatlogs, notities, bijlagen, het account en je mailinglijsten, plus kopieën in exports en spreadsheets.

Gaf je de gegevens door aan anderen, zoals een bezorgpartner? Meld de wissing dan aan hen, tenzij dat onmogelijk is of onevenredig veel moeite kost. Vraagt de klant wie dat zijn, vertel het dan (artikel 19).

Artikel 17 lid 3 laat je sommige gegevens houden, voor zover nodig. Meestal gaat het om:

• Gegevens die je wettelijk moet bewaren, zoals facturen (voor de Belastingdienst in principe zeven jaar)
• Gegevens die je nodig hebt voor een rechtsvordering, zoals een lopend geschil over een betaling

Houd bij wat je deed

Volgens de AVG moet je kunnen aantonen dat je je aan de regels houdt (artikel 5 lid 2). Voor verzoeken doe je dat met een kort logboek.

Houd het logboek klein: “bevestigd via bekend mailadres” zegt genoeg. Maak één persoon verantwoordelijk, zodat een verzoek nooit tussen collega’s blijft hangen.

Noteer per verzoek:

• De datum van binnenkomst, en via welk kanaal
• Wat de klant vroeg
• Hoe je controleerde wie het was
• Wat je stuurde, wiste of bewaarde, en waarom
• De datum van je antwoord, en een eventuele verlenging met de reden

Schrijf het antwoord

Schrijf in gewone taal, via het kanaal dat de klant gebruikte: een verzoek per mail krijgt antwoord per mail, tenzij de klant iets anders vraagt (artikel 12 lid 1 en lid 3).

Zeg wat je deed, wat je bewaart en waarom, en wat de klant kan doen als hij het oneens is. Verstuur persoonsgegevens zorgvuldig: als antwoord op het bevestigde adres, of via een downloadlink die alleen de klant kan openen.