Rechten van betrokkenen

Onder de AVG hebben mensen verschillende rechten om controle te houden over hun persoonsgegevens. Als organisatie moet u uw systemen, processen en interne organisatie op deze rechten inrichten, zodat u op de juiste manier gehoor kunt geven aan verzoeken van betrokkenen. De belangrijkste rechten van betrokkenen worden op deze pagina toegelicht.

• Het recht op informatie: u moet betrokkenen informeren over de verwerking van hun persoonsgegevens, bijvoorbeeld via een privacyverklaring.
• Het recht op inzage: betrokkenen kunnen een kopie ontvangen van de persoonsgegevens die u van hen verwerkt en aanvullende informatie over de verwerking vragen.
• Het recht op rectificatie: betrokkenen kunnen de persoonsgegevens die u verwerkt laten wijzigen of aanvullen als deze onjuist of onvolledig zijn.
• Het recht op verwijdering (vergetelheid): betrokkenen kunnen onder bepaalde voorwaarden vragen om hun persoonsgegevens te wissen.
• Het recht op beperking van de verwerking: betrokkenen kunnen onder bepaalde voorwaarden vragen om minder gegevens te laten verwerken.
• Het recht op dataportabiliteit: betrokkenen kunnen onder bepaalde voorwaarden vragen om hun persoonsgegevens over te laten dragen aan een andere partij.
• Het recht op bezwaar: betrokkenen kunnen onder bepaalde voorwaarden bezwaar maken tegen de verwerking van hun persoonsgegevens, bijvoorbeeld als deze gebaseerd is op het gerechtvaardigd belang van de organisatie.
• Het recht op een menselijke blik bij besluiten: betrokkenen hebben het recht op een menselijke blik bij besluiten die over hen gaan en die gebaseerd zijn op geautomatiseerde verwerking of profilering.

Als organisatie moet u binnen een maand reageren op een verzoek van een betrokkene om gebruik te maken van zijn of haar rechten. U moet ook de identiteit van de betrokkene vaststellen voordat u het verzoek in behandeling neemt, maar daarbij mag u niet meer gegevens opvragen dan nodig is. Door goed om te gaan met de privacyrechten draagt u bij aan het vertrouwen van mensen in uw organisatie en aan een gezond privacybeleid.

Het recht op informatie

Voor veel mensen is niet transparant wat er met hun gegevens gebeurt. Daarom stelt de AVG de privacyverklaring verplicht. In deze juridische bijsluiter kunnen mensen nalezen wat iemand gaat doen met hun persoonsgegevens en waarom, plus hoe deze worden beveiligd, wie er toegang toe heeft en hoe je je rechten van inzage, correctie en verwijdering kunt uitoefenen. Een standaard privacyverklaring bevat dan ook deze elementen:

• Naam van verantwoordelijke en contactpersoon;
• De contactgegevens van de functionaris voor gegevensbescherming, indien een organisatie een FG heeft;
• Doel(en) van de verwerking (titel en korte omschrijving);
• Of voor dit doel toestemming nodig is, dan wel de overeenkomst of een andere grondslag gebruikt wordt (inclusief motivatie);
• Welke persoonsgegevens per doel gebruikt worden;
• Hoelang deze persoonsgegevens worden bewaard (inclusief motivatie);
• Hoe de persoonsgegevens en de verwerking beveiligd worden;
• Welke partijen de persoonsgegevens ontvangen, met aparte aanduiding van partijen die buiten de Europese Unie gevestigd zijn;
• Welke rechten men heeft en hoe deze uit te oefenen;
• Uitleg of er profilering plaatsvindt en of dit besluitvorming tot gevolg heeft;
• Uitleg over het klachtrecht bij de toezichthouder;

De privacyverklaring als instrument is vooral bekend bij online diensten, zoals websites en apps. Maar de AVG eist dat bij alle verwerkingen mensen vooraf duidelijk worden geïnformeerd over het wat en hoe. Wanneer betrokkenen wordt gevraagd om een inschrijfformulier in te vullen, dan zal daar dus een privacyverklaring bij moeten worden getoond. Dat zou op de achterkant kunnen van het formulier, of als apart document dat aan mensen wordt meegegeven.

Let op: privacyverklaringen moeten duidelijk en begrijpelijk zijn, en op de doelgroep toegesneden. De tekst moet worden geschreven op niveau B1 of B2. Het moet dan gaan om eenvoudige en alledaagse taal, opgebouwd in een goede structuur waarbij weinig voorkomende termen door de context meteen duidelijk worden.

Recht op inzage

Het eerste 'uitvoerbare' recht dat mensen hebben, is inzage in hun persoonsgegevens en het gebruik daarvan. Op dergelijke verzoeken moet aan betrokkenen een gecategoriseerd overzicht worden gegeven van de betreffende gegevens, inclusief voor welke doelen deze worden gebruikt, de (soorten) ontvangers, de bewaartermijn(en) en de bron daarvan. De betrokkene heeft in beginsel recht op een kopie van ál zijn of haar persoonsgegevens. Niet alleen het formele dossier, maar ook andere gegevens die betrekking hebben op de persoon. Weigeren bepaalde gegevens te verstrekken (zoals een mail van de manager naar een collega die over deze persoon gaat) zou alleen kunnen als de privacy van andere personen daardoor onevenredig wordt geschaad.

Het inzagerecht vereist dat men een kopie krijgt van de persoonsgegevens. De manier waarop dat moet gebeuren, is niet vastgelegd. U kunt dus bijvoorbeeld alle e-mails die over deze persoon gaan, verstrekken als een pdf-bestand. U heeft geen plicht een kopie in een specifiek formaat te verstrekken, behalve als de betrokkene een beroep doet op zijn recht op dataportabiliteit.