27-09-2018

In de Algemene Verordening Gegevensbescherming (AVG) is opgenomen dat betrokkenen rechten hebben om de bescherming van hun persoonsgegevens te waarborgen, bijvoorbeeld het recht op inzage. Dit recht houdt in dat eenieder aan een organisatie een verzoek moet kunnen indienen om inzage te krijgen in zijn of haar persoonsgegevens. Wat betekent het recht op inzage voor jouw organisatie?

Bank krijgt boete van € 48.000 voor het weigeren van een inzageverzoek

In de Algemene Verordening Gegevensbescherming (AVG) is opgenomen dat betrokkenen rechten hebben om de bescherming van hun persoonsgegevens te waarborgen, bijvoorbeeld het recht op inzage. Dit recht houdt in dat eenieder aan een organisatie een verzoek moet kunnen indienen om inzage te krijgen in zijn of haar persoonsgegevens. Dit recht heeft als doel om te controleren of de persoonsgegevens juist en rechtmatig worden verwerkt. Een organisatie moet dit verzoek vervolgens in behandeling nemen. Er is maar één uitzondering wanneer een organisatie dit verzoek niet in behandeling hoeft te nemen: namelijk wanneer de betrokkene niet geïdentificeerd kan worden en de organisatie dus niet met zekerheid de identiteit van de betrokkene vast kan stellen. Persoonsgegevens van iemand anders inzien is verboden.

Autoriteit legt boete op!

De Autoriteit Persoonsgegevens, degene die toezicht houdt op de AVG, heeft een bank een boete van € 48.000,- gegeven voor het weigeren van een inzageverzoek. De betrokkene, de klant van desbetreffende bank, wilde weten welke persoonsgegevens de bank van hem verwerkte, waar die vandaan kwamen en met wie ze werden gedeeld. De bank heeft in eerste instantie geen gehoor gegeven aan het verzoek, wat in strijd is met de AVG.  Er is vervolgens een handhavingsverzoek (een verzoek dat ingediend kan worden wanneer de regels niet worden nageleefd) ingediend met als doel om alsnog inzage te krijgen.  Voor elke week dat de bank dit niet doet, wordt er door de Autoriteit een boete van € 12.000,- opgelegd. Vier weken na dit handhavingsverzoek heeft de betrokkene de gevraagde persoonsgegevens ontvangen.

Welke informatie moet een organisatie verstrekken bij een verzoek om inzage?

Een verzoek om inzage is aan enkele vereisten gebonden. Zo moet aan de betrokkene, indien mogelijk, de volgende informatie worden verschaft:

• een omschrijving van het doel of de doeleinden waarvoor de persoonsgegevens worden verwerkt;
• de categorieën van persoonsgegevens;
• de ontvangers of categorieën ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, ook in derde landen of aan internationale organisaties;
• de bewaartermijn van de persoonsgegevens;
• je moet de betrokkene informeren dat deze het recht heeft om de persoonsgegevens te beperken, te verwijderen, aan te passen, het recht heeft om bezwaar te maken tegen de verwerking én een klacht in kan dienen bij de Autoriteit;
• of er sprake is van geautomatiseerde besluitvorming.

Wat betekent het recht op inzage voor mijn organisatie?

Ten eerste ben je verplicht om in de privacyverklaring de betrokkenen op al hun rechten te wijzen. Vervolgens is het noodzaak dat je jouw werkprocessen aanpast. Leg hierin vast wat jij of jouw werknemers moeten doen wanneer dit verzoek wordt ontvangen. Leg ook vast dat de identiteit van de betrokkene altijd gecontroleerd moeten worden en dat er binnen één maand gereageerd moet worden op een verzoek op inzage. Wanneer er in een korte periode veel verzoeken binnen komen kan deze termijn verlengd worden.

 

Bij het samenstellen van dit artikel/deze nieuwsbrief is geen rekening gehouden met eventuele bijzondere van toepassing zijnde wetgeving en afspraken zoals opgenomen in de CAO en/of (arbeids)overeenkomst. Daarbij is rekening gehouden met de wetgeving die op het moment van het schrijven van de tekst geldend is. Het kan dus zijn dat, met de veranderende wetgeving, de inhoud later achterhaald is. Mocht je de informatie in de praktijk willen hanteren, neem dan van tevoren even contact op met een van de juristen van Recht-Direct zodat zij je goed kunnen informeren.