AVG-rechten van betrokkenen: procedures, reactietijden en boetes
Als iemand vraagt welke data je van hem hebt, heb je 1 maand om te reageren. Reageer je niet, riskeer je een AP-boete tot €20 miljoen. Dit zijn alle 6 rechten, de reactieprocedure, en de uitzonderingen per recht.
De AVG geeft betrokkenen (personen van wie je data verwerkt) zes rechten. Als werkgever, webshophouder of dienstverlener ben je verplicht om op verzoeken te reageren binnen een wettelijke termijn. Geen reactie is een overtreding.
Overzicht: alle 6 rechten met reactietermijn en uitzonderingen
| Recht | AVG-artikel | Reactietermijn | Verlenging | Kosten aan betrokkene |
|---|---|---|---|---|
| Inzage (wat heb je van mij?) | Art. 15 | 1 maand | +2 maanden bij complexiteit | Kosteloos (1e verzoek) |
| Rectificatie (corrigeer mijn data) | Art. 16 | 1 maand | +2 maanden | Kosteloos |
| Verwijdering (wis mijn data) | Art. 17 | 1 maand | +2 maanden | Kosteloos |
| Beperking (stop verwerking tijdelijk) | Art. 18 | Zo snel mogelijk | N.v.t. | Kosteloos |
| Dataportabiliteit (geef mij mijn data) | Art. 20 | 1 maand | +2 maanden | Kosteloos |
| Bezwaar (stop specifieke verwerking) | Art. 21 | Direct stoppen bij marketing | N.v.t. | Kosteloos |
Recht op inzage (art. 15): wat je moet leveren
Als iemand vraagt welke persoonsgegevens je hebt, moet je een kopie verstrekken van alle data én de volgende informatie:
| Verplicht te verstrekken | Voorbeeld |
|---|---|
| Categorieën persoonsgegevens | Naam, e-mail, adres, aankoopgeschiedenis |
| Verwerkingsdoelen | Marketing, uitvoering overeenkomst, wettelijke verplichting |
| Ontvangers (andere partijen die de data ontvangen) | Boekhoudkantoor, e-mailmarketingdienst |
| Bewaartermijnen | 7 jaar voor facturen, 2 jaar na klantrelatie voor overige data |
| Herkomst van de data (als niet direct van betrokkene) | Gekochte adressenlijst, LinkedIn |
| Rechten van de betrokkene | Rectificatie, verwijdering, bezwaar |
Recht op verwijdering (art. 17): wanneer mag je weigeren?
Het recht op verwijdering is niet absoluut. Je mag weigeren als:
| Weigeringsgrond | Voorbeeld | Actie |
|---|---|---|
| Wettelijke bewaarverplichting | Facturen: AWR verplicht 7 jaar bewaren | Meld dit en verwijder na verstrijken termijn |
| Overeenkomst nog actief | Klant heeft lopend abonnement | Verwijder na beëindigen overeenkomst |
| Uitoefening rechtsvorderingen | Data nodig voor lopende rechtszaak | Bewaar zolang procedure loopt |
| Volksgezondheid of wetenschappelijk onderzoek | Medische data voor onderzoek | Beperkte uitzondering |
| Vrijheid van meningsuiting of informatie | Journalistieke vrijheid | Beperkte uitzondering |
Bij een gedeeltelijke weigering: verwijder wat je kunt verwijderen en leg schriftelijk uit waarom de rest niet wordt verwijderd.
Recht van bezwaar (art. 21): verschil marketing versus overige gronden
| Grond voor verwerking | Effect van bezwaar |
|---|---|
| Gerechtvaardigde belang (art. 6.1f) - marketing | Direct stoppen, geen uitzondering mogelijk |
| Gerechtvaardigde belang - overige | Jij kunt zwaarwegende redenen aanvoeren |
| Wettelijke verplichting (art. 6.1c) | Bezwaar niet mogelijk |
| Uitvoering overeenkomst (art. 6.1b) | Bezwaar niet mogelijk |
| Toestemming (art. 6.1a) | Bezwaar niet nodig; betrokkene trekt toestemming in |
Bij bezwaar tegen marketing (direct marketing): je moet direct stoppen. Er is geen uitzondering. Wacht niet op een tweede verzoek.
Interne procedure: hoe je verzoeken afhandelt
| Stap | Actie | Timing |
|---|---|---|
| 1. Ontvangst | Bevestig ontvangst per e-mail, vermeld verwerkingstermijn | Binnen 3 werkdagen |
| 2. Identiteitsverificatie | Vraag identiteitsbewijs als identiteit onduidelijk is | Binnen 1 week |
| 3. Data inventariseren | Zoek alle systemen af op data van deze persoon | Week 2-3 |
| 4. Beoordeling | Zijn er uitzonderingsgronden van toepassing? | Week 2-3 |
| 5. Uitvoering | Verstrek inzage, voer wijziging door of verwijder | Week 3-4 |
| 6. Documentatie | Leg vast in het verwerkingsregister | Direct na afhandeling |
| 7. Bevestiging | Stuur schriftelijke bevestiging van afhandeling | Na uitvoering |
Boetes bij niet-nakoming
| Overtreding | Maximum boete (AVG art. 83.5) | AP-praktijk (MKB) |
|---|---|---|
| Verzoek genegeerd (geen reactie) | €20 miljoen of 4% omzet | €5.000-€50.000 |
| Reactie te laat (> 1 maand) | €20 miljoen of 4% omzet | Waarschuwing tot €10.000 |
| Verwijdering geweigerd zonder grond | €20 miljoen of 4% omzet | €5.000-€25.000 |
| Data niet volledig verstrekt bij inzage | €20 miljoen of 4% omzet | Waarschuwing |
Praktijkscenario: webshop ontvangt verzoek tot vergetelheid
Een webshop ontving een e-mail: "Ik wil dat jullie alle data van mij verwijderen." De medewerker wist niet wat te doen.
Correcte aanpak:
- Dag 1: bevestigingsmail met termijn (uiterlijk 1 maand)
- Dag 3: identiteitsverificatie (naam + e-mail kloppen? Zo nee: vraag kopie ID)
- Week 2: alle systemen doorzoeken op data van deze persoon (CRM, nieuwsbrief, webshop, boekhoudpakket, e-mailserver)
- Week 3: wat mag niet worden verwijderd? Facturen van de afgelopen 2 jaar (AWR-plicht 7 jaar)
- Week 3: data verwijderd uit CRM, nieuwsbrief, webshop (naam en adres). Facturen bewaard conform AWR.
- Week 3: schriftelijke bevestiging: "Uw verzoek is verwerkt. Uw persoonsgegevens zijn verwijderd uit [systemen]. Uw factuurdata wordt bewaard conform artikel 52 AWR tot [datum]."
Recht op dataportabiliteit (art. 20): wanneer van toepassing?
Dataportabiliteit geeft betrokkenen het recht om hun data te ontvangen in een machineleesbaar formaat (CSV, JSON, XML). Ze kunnen deze data overdragen aan een andere aanbieder.
| Voorwaarde | Details |
|---|---|
| Alleen bij verwerkingen op basis van toestemming of overeenkomst | Niet bij wettelijke verplichting of gerechtvaardigd belang |
| Alleen geautomatiseerde verwerkingen | Handmatig ingevulde formulieren: wel van toepassing als digitaal verwerkt |
| Betrokkene vraagt het op | Niet proactief verplicht |
| Format: gestructureerd, gangbaar, machineleesbaar | CSV of JSON; niet "gewone e-mail-uitdraai" |
Praktisch: een klant vraagt om zijn aankoopgeschiedenis in CSV-formaat → exporteer vanuit je systeem → stuur naar klant. Dit is dataportabiliteit.
Verificatie van identiteit bij rechtenverzoeken
Als je niet zeker weet of de verzoeker de juiste persoon is, mag je om identiteitsverificatie vragen.
| Situatie | Actie |
|---|---|
| Verzoek per e-mail van hetzelfde adres als in je systeem | Geen extra verificatie nodig |
| Verzoek van onbekend e-mailadres, naam klopt | Vraag om bevestiging via geregistreerd e-mailadres |
| Hoog-risico data (gezondheid, financieel) | Vraag altijd identiteitsbewijs |
| Verzoek per brief zonder e-mailadres | Vraag KopieID of verificatie via e-mail |
Let op: je mag geen kopie van een volledig ID opvragen als een lichtere verificatiemethode volstaat. Verberg bij een KopieID het BSN-nummer, dat is niet jouw data om te verwerken.
Inzageverzoek afhandelen: richtlijn voor de omvang
| Situatie | Wat te verstrekken |
|---|---|
| Webshop: klant vraagt inzage | Naam, adres, bestelgeschiedenis, e-mail, nieuwsbrief-status, klachten |
| Werkgever: medewerker vraagt inzage | Personeelsdossier, beoordelingen, salarisgegevens, loonadmin, correspondentie over werk |
| SaaS-platform: gebruiker vraagt inzage | Account-data, gebruiksgeschiedenis, exports, logs |
| Gezondheidsdata (zorgaanbieder) | Extra strenge regels AVG art. 9, altijd mediisch dossier volledig |
Veelgestelde vragen
Moet ik ook data verwijderen uit back-ups?
Ja, technisch gezien. In de praktijk: zorg dat de data in actieve systemen verwijderd is. Back-ups worden bij een normale back-up-retentie vanzelf overschreven. Je hoeft geen back-ups handmatig te doorzoeken als dit disproportioneel veel werk kost, maar documenteer je aanpak.
Mag ik een vergoeding vragen voor een inzageverzoek?
Alleen als het verzoek "kennelijk ongegrond of buitensporig" is, bijv. een reeks herhaalde verzoeken. In alle andere gevallen: gratis.
AVG-rechten in de praktijk: betrokkenen hebben 7 rechten: inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en geen geautomatiseerde beslissing. Reactietermijn: 30 dagen, verlengbaar met 60 dagen bij complexe verzoeken. Kosten afhandeling inzageverzoek: gemiddeld 2-4 uur intern. Kosten afhandeling verwijderingsverzoek: 1-3 uur afhankelijk van het aantal systemen. Veelheid verzoeken bij MKB: gemiddeld 2-5 per jaar. Gemiddeld boetebedrag bij AP voor niet of te laat beantwoorden: €5.000-€20.000 bij eerste overtreding. Praktijk: 68% van de inzageverzoeken bij MKB betreft voormalige medewerkers, 22% klanten, 10% overig.
Hoe afhandelen in de praktijk
Stel een intern proces in voor het ontvangen en verwerken van privacyverzoeken. Wijs een verantwoordelijke aan, gebruik een centraal e-mailadres zoals privacy@jouwbedrijf.nl en documenteer elk verzoek inclusief de afhandeling. De AVG stelt dat verzoeken binnen 1 maand worden afgehandeld. Bij complexe verzoeken mag je dat met 2 maanden verlengen, mits je dat binnen de eerste maand communiceert.
Zorg dat je verwerkingsregister actueel is voor je verzoeken ontvangt. Een verzoek om inzage kun je pas afhandelen als je weet welke data je verwerkt.
Maak gebruik van een standaard antwoordsjabloon voor privacyverzoeken om consistentie en snelheid te garanderen.
*Zie ook: AVG checklist | Datalek melden | Bewaartermijnen persoonsgegevens | Register van verwerkingen | Privacyverklaring maken | Verwerkersovereenkomst | Cookies en toestemming*
Jaarlijkse check: zijn je procedures nog actueel?
| Check | Wanneer | Hoe |
|---|---|---|
| Zijn contactgegevens voor rechten-verzoeken actueel? | Jaarlijks | Check privacyverklaring + interne procedure |
| Is de interne procedure nog bekend bij medewerkers? | Jaarlijks | Kortere training/herinnering in teamoverleg |
| Zijn er onbeantwoorde verzoeken in de inbox? | Maandelijks | Aparte inbox of label "AVG-verzoek" |
| Klopt de reactietermijn in de automatische bevestiging? | Bij wijziging | Max. 1 maand vermelden |
Stel een gedeelde inbox in voor AVG-verzoeken: privacy@bedrijf.nl. Wijs een vaste verantwoordelijke aan. Zonder dedicated inbox worden verzoeken over het hoofd gezien.
Bewaartermijn van de afhandeling van rechten-verzoeken
Na afhandeling van een rechten-verzoek moet je de afhandeling documenteren:
| Wat te bewaren | Hoe lang | Waar |
|---|---|---|
| Het originele verzoek | 3 jaar na afhandeling | Beveiligde map of AVG-register |
| De gegeven reactie | 3 jaar na afhandeling | Idem |
| Identiteitsverificatie | Niet langer dan nodig (max. 1 maand) | Verwijder na afhandeling |
| Reden van weigering (indien van toepassing) | 3 jaar | Idem |
De AP kan bij een klacht van de betrokkene vragen om bewijs dat je het verzoek correct hebt afgehandeld. Zonder documentatie staat je zwak.
Raadpleeg voor actuele cijfers en regelgeving altijd de meest recente informatie van de relevante autoriteiten en brancheorganisaties, zodat je beslissingen gebaseerd zijn op de laatste stand van zaken.