Inzageverzoek binnen het mkb: zo pak je het aan als Privacy Officer

Een klant mailt: ‘Welke gegevens hebben jullie eigenlijk van mij?’ Een oud-medewerker wil weten wat er na zijn vertrek nog over hem wordt bewaard. Een sollicitant vraagt een jaar na een afgewezen sollicitatie welke aantekeningen zijn gemaakt. En na een hackaanval willen klanten opeens allemaal weten welke gegevens jouw organisatie van hen heeft.

Op grond van de AVG hebben mensen het recht om te weten welke persoonsgegevens een organisatie over hen verwerkt en wat er daarmee gebeurt. Als Privacy Officer zorg je ervoor dat de organisatie zo’n verzoek tijdig, zorgvuldig en volledig afhandelt. In de praktijk gaat het zelden om de wettekst alleen. Het gaat om keuzes: wat valt onder het verzoek, wat deel je wel en wat schermen je af?

In deze blog lees je hoe je een inzageverzoek stap voor stap behandelt, met voorbeelden uit de dagelijkse praktijk. Ook lees je waar de lastige afwegingen zitten.

Wat is een inzageverzoek?

Het recht op inzage (artikel 15 AVG) geeft mensen de mogelijkheid om te controleren welke persoonsgegevens een organisatie over hen verwerkt en of dat op een juiste manier gebeurt.

Een betrokkene hoeft in principe niet uit te leggen waarom hij inzage wil. Hij hoeft ook niet te weten in welke systemen zijn gegevens staan. Dat uitzoeken is jouw taak.

Een inzageverzoek kan afkomstig zijn van bijvoorbeeld:

• een klant of webshopbezoeker;
• een medewerker of oud-medewerker;
• een sollicitant;
• een leverancier of contactpersoon;
• iedere andere persoon van wie jouw organisatie persoonsgegevens verwerkt.

De gegevens kunnen overal staan: in het CRM-systeem, het personeelsdossier, de financiële administratie, mailboxen, het klantportaal, het ticketsysteem of een van de andere applicaties die je organisatie gebruikt.

Hoe behandel je een inzageverzoek binnen het mkb?

Een goede behandeling begint met een vaste werkwijze. Deze vijf stappen kun je daarvoor gebruiken.

1. Herken en registreer het verzoek

Een inzageverzoek bevat zelden de woorden ‘inzageverzoek’ of ‘AVG’. Denk aan een bericht als:

• Welke gegevens hebben jullie eigenlijk allemaal van mij?

Of aan een oud-medewerker die schrijft:

• Ik wil graag weten welke persoonsgegevens jullie nog van mij bewaren.

Ook deze vragen zijn verzoeken om inzage. Het verzoek hoeft bovendien niet per brief of via een formulier te komen. Het kan ook binnenkomen via e-mail, een contactformulier, een reactie op social media of een telefoontje naar de klantenservice.

Voorbeeld: een klant stuurt via de chat van je webshop: ‘Ik wil weten wat jullie over mij hebben opgeslagen.’ De klantenservicemedewerker antwoordt vriendelijk dat hij het zal doorgeven, maar legt het verzoek nergens vast. Drie weken later komt de klant terug met een klacht. De termijn is dan al bijna verstreken.

Leg daarom direct vast wanneer het verzoek is binnengekomen en wie het gaat behandelen. De ontvangstdatum is het startpunt van de wettelijke termijn.

2. Bepaal wat iemand precies vraagt

Vervolgens moet duidelijk worden welk recht iemand wil uitoefenen. Soms is dat alleen inzage. Vaak komt daar iets bij: de wens om gegevens te corrigeren, te laten verwijderen of de verwerking te beperken.

Voorbeeld: een oud-klant schrijft: ‘Ik wil alles weten wat jullie van mij hebben en ik wil dat het daarna verwijderd wordt.’ Dat zijn twee verzoeken: inzage en gegevenswissing. Voor het tweede verzoek moet je eerst beoordelen of er een bewaarplicht geldt, bijvoorbeeld voor de fiscale administratie. Doe je dat niet, dan kun je per ongeluk gegevens verwijderen die je nog moet bewaren.

Is het verzoek erg breed (‘alles’), dan kan het nuttig zijn om contact op te nemen en te vragen waar de verzoeker vooral in is geïnteresseerd. Je mag het verzoek daar niet door vertragen of beperken, maar het kan het zoekwerk wel overzichtelijker maken.

3. Controleer de identiteit

Voordat je persoonsgegevens verstrekt, moet je er voldoende zeker van zijn dat de verzoeker ook echt de betrokkene is. Een inzageverzoek mag er niet toe leiden dat gegevens bij de verkeerde persoon terechtkomen.

Voorbeeld: iemand mailt vanaf een webmailadres dat in jullie klantenbestand niet voorkomt en vraagt namens ‘zijn partner’ om alle gegevens. Zonder verdere controle gegevens verstrekken kan een datalek veroorzaken.

De controle moet wel passen bij de situatie. Een vaste klant die een verzoek doet vanuit zijn ingelogde klantomgeving, hoef je niet nogmaals om een kopie van zijn paspoort te vragen. Iemand die vanaf een onbekend e-mailadres om gevoelige personeelsgegevens vraagt, vereist meer zorg. Vraag in ieder geval niet standaard meer gegevens op dan nodig is.

4. Zoek de persoonsgegevens

Hier zit in het mkb vaak het meeste werk. Een deel van de gegevens staat in het CRM, een ander deel in de financiële administratie, het HR-systeem, mailboxen, het ticketsysteem of een klantomgeving. Daarbij komen gegevens die niemand direct in gedachten heeft, zoals back-ups, gedeelde mappen, chatberichten of notities van een accountmanager op een eigen laptop.

Je hoeft niet zelf overal te zoeken. Als Privacy Officer bepaal je samen met HR, administratie, ICT en andere collega’s welke bronnen relevant zijn en wie wat doorzoekt. Een actueel verwerkingsregister is daarbij een handig hulpmiddel. Daarin staat immers welke persoonsgegevens je organisatie verwerkt, voor welke doelen en in welke systemen.

Voorbeeld: een klant van een installatiebedrijf vraagt om inzage. In het CRM staan zijn contactgegevens en offertes. In de planningssoftware staan zijn adres en de afspraken met monteurs. Het servicebusje heeft een volgsysteem waarin zijn adres als bezoeklocatie is terug te vinden. Daarnaast staan er foto’s van de installatie op de telefoon van een monteur. Als je alleen het CRM doorzoekt, is het antwoord onvolledig.

5. Controleer en verstrek de informatie

Voordat je de gevonden informatie verstrekt, moet je die beoordelen. Je controleert onder meer of de gegevens daadwerkelijk over de verzoeker gaan en of er persoonsgegevens van anderen tussen staan.

Een inzageverzoek betekent ook niet automatisch dat je alle gevonden documenten volledig moet verstrekken. Het inzagerecht gaat om een kopie van de persoonsgegevens. Soms is het nodig om (delen van) documenten te verstrekken, bijvoorbeeld wanneer de gegevens anders niet goed te begrijpen zijn. Dat vraagt om een afweging per situatie.

Voorbeeld: een e-mailwisseling bevat de naam, het telefoonnummer en een mening over de verzoeker. Het kan genoeg zijn om de passages over de verzoeker te verstrekken, in de context die nodig is om ze te begrijpen. De rest van de mail kun je afschermen.

Binnen welke termijn moet je reageren?

Je organisatie moet in beginsel binnen één maand na ontvangst van het verzoek reageren.

Is het verzoek ingewikkeld of heeft dezelfde persoon meerdere verzoeken ingediend? Dan kun je de termijn onder voorwaarden met maximaal twee maanden verlengen. Je moet de verzoeker binnen de eerste maand laten weten dat je de termijn verlengt en waarom.

Bij kleinere organisaties kan termijnbewaking een aandachtspunt zijn. Een verzoek komt binnen bij een medewerker van de klantenservice of administratie, blijft in een mailbox liggen en wordt dan door vakantie of drukte vergeten.

Voorbeeld: op 3 maart ontvangt een medewerker van de financiële administratie een verzoek van een oud-medewerker. Zij vindt het niet bij haar taken passen en wacht af. Op 28 maart ziet iemand de mail. Als de organisatie dan pas begint, blijven er nog maar een paar dagen over voor een verzoek dat het personeelsdossier, de salarisadministratie en mailboxen omvat. Zorg daarom dat iedereen weet dat een mogelijk privacyverzoek direct wordt doorgezet.

Welke informatie moet je verstrekken?

Een lijstje met een paar persoonsgegevens is meestal niet genoeg. Je moet de betrokkene ook informeren over de manier waarop je de gegevens verwerkt. Denk aan:

• de doeleinden waarvoor je de persoonsgegevens gebruikt;
• de categorieën persoonsgegevens;
• de ontvangers of categorieën ontvangers;
• de bewaartermijn of de criteria waarmee je die bepaalt;
• eventuele doorgifte buiten de EER;
• de privacyrechten van de betrokkene;
• de herkomst van de gegevens, als je ze niet rechtstreeks bij de betrokkene hebt verzameld;
• informatie over eventuele geautomatiseerde besluitvorming.

Zo krijgt de betrokkene niet alleen inzicht in welke gegevens je verwerkt, maar ook in wat je ermee doet.

Voorbeeld: een klant van je webshop vraagt om inzage. Je stuurt een overzicht van zijn naam, adres en bestelhistorie. Wat ontbreekt, is de informatie over de verwerking: dat zijn gegevens ook naar de betaalprovider en het transportbedrijf gaan, dat een deel in een cloudomgeving buiten de EER staat en dat je de bestelgegevens zeven jaar bewaart. Ook op die informatie heeft de klant recht.

Praktijkvoorbeeld 1: een oud-medewerker vraagt om inzage

Een oud-medewerker van een mkb-bedrijf met zestig medewerkers vraagt welke persoonsgegevens er nog over hem worden bewaard. Hij is een halfjaar eerder vertrokken, na een conflict over zijn functioneren.

Alleen het personeelsdossier controleren is dan niet genoeg. Mogelijk staan er ook persoonsgegevens in:

• de salarisadministratie;
• het verzuimsysteem;
• e-mailcorrespondentie, bijvoorbeeld tussen de directeur en HR over zijn functioneren;
• de urenregistratie;
• toegangsregistraties of cameragegevens;
• notities van zijn leidinggevende.

Je bepaalt samen met HR en andere collega’s welke bronnen relevant zijn. Daarna beoordeel je welke gegevens onder het verzoek vallen en of de stukken ook informatie over collega’s bevatten. Bijvoorbeeld een e-mail waarin twee collega’s hun kijk op het conflict geven. Die kun je niet zonder meer verstrekken.

Zo’n verzoek kan bovendien gevoelig liggen. Soms wordt het ingezet in een arbeidsgeschil. Dat verandert niets aan het recht op inzage, maar het maakt het belangrijk om zorgvuldig en consistent te handelen. Het laat ook zien waarom vooraf duidelijk moet zijn wie wat doet.

Praktijkvoorbeeld 2: een supermarkt wordt gehackt

Stel dat je Privacy Officer bent bij een supermarktketen met twaalf winkels, een webshop en een klantenapp met spaarpunten. Op maandagochtend blijkt dat hackers toegang hebben gehad tot een deel van het klantenbestand. Het datalek is intern gemeld en je bent bezig met de beoordeling en de meldingen die daarbij horen.

• Een dag later stroomt de klantenservice vol:
• Zitten mijn gegevens in het lek?
• Welke gegevens hebben jullie eigenlijk van mij?
• Ik wil weten wat jullie van mij bewaren, ik heb mijn bonuskaart al jaren.

Veel van deze berichten gaan over het datalek. In de kern zijn het verzoeken om inzage: de klant wil weten welke persoonsgegevens de supermarkt over hem verwerkt. Zo’n verzoek mag je dus niet afdoen met een standaardreactie over het incident.

Waar let je op?

Vind uit welke gegevens je over een klant hebt. Een supermarkt verwerkt veel meer dan naam en adres. Denk aan gegevens van de bonuskaart of klantenapp, zoals aankoophistorie en persoonlijke aanbiedingen. Daarnaast zijn er bestellingen en bezorgadressen uit de webshop, gegevens van betalingen en retouren, contact met de klantenservice en cameragegevens uit de winkel. Inzage gaat dus verder dan de gegevens die bij het datalek zijn betrokken. Een klant kan weten dat bepaalde gegevens in het lek zaten, terwijl er meer gegevens zijn die niet zijn buitgemaakt. Beide horen in je overzicht.

• Controleer de identiteit extra zorgvuldig. Na een datalek is de kans op misbruik groter. Fraudeurs kunnen zich voordoen als klant, bijvoorbeeld met gegevens uit het lek. Ook kan een phishingmail de vorm van een inzageverzoek aannemen. Een passende manier is om klanten het verzoek te laten indienen via de ingelogde omgeving van de app of webshop, of de gegevens te sturen naar het adres dat al bij je bekend is. Vraag niet standaard een kopie van een identiteitsbewijs.

• Houd de antwoorden op één lijn. Het datalek heeft een eigen route: een melding bij de Autoriteit Persoonsgegevens en, bij een hoog risico, informatie aan de betrokkenen. Het inzageverzoek is een ander recht, maar klanten zien dat verschil niet. Zegt de ene mail dat alleen e-mailadressen zijn betrokken en laat het inzageverzoek ook adres- en bestelgegevens zien, dan ontstaat verwarring. Stem de inhoud daarom af met degene die het datalek afhandelt.

• Bewaak de termijn bij veel verzoeken tegelijk. Komen er in één week tweehonderd verzoeken binnen, dan loopt voor elk daarvan de termijn van één maand. Verlengen kan onder voorwaarden, maar alleen als een verzoek ingewikkeld is of iemand meerdere verzoeken heeft ingediend. Drukte alleen is geen reden. Een gestandaardiseerde aanpak helpt: een vast formulier, een standaardantwoord met de verplichte informatie en een duidelijke taakverdeling.

• Verstrek de gegevens veilig. Stuur geen overzicht met persoonsgegevens per gewone e-mail naar een adres waarvan je net hebt gehoord dat het in handen van hackers kan zijn. Kies voor een beveiligde omgeving of een versleutelde bijlage en stuur het wachtwoord via een apart kanaal.

Een datalek en een golf aan inzageverzoeken tegelijk vragen veel van een Privacy Officer. Je moet snel handelen en meerdere onderwerpen overzien: datalekken, inzagerechten, communicatie, beveiliging en bewaartermijnen. Een stappenplan helpt, maar je moet ook kunnen afwegen, prioriteren en keuzes kunnen uitleggen aan directie, ICT en klanten.

Let op persoonsgegevens van anderen

Eén van de belangrijkste controles gaat over de privacy van anderen. Het inzagerecht van de ene persoon mag de rechten en vrijheden van anderen niet schaden.

Enkele situaties waarin dat speelt:

• Een e-mail over een medewerker bevat ook de namen en meningen van collega’s.
• Een klantdossier bevat gegevens van meerdere contactpersonen, zoals de partner van de klant of een boekhouder.
• Sollicitatienotities bevatten een beoordeling van de sollicitant, maar ook opmerkingen van collega’s die bij het gesprek aanwezig waren.
• Een klacht waarin een andere klant of medewerker met naam wordt genoemd.

Beoordeel daarom vooraf welke informatie je kunt verstrekken en welke gegevens je moet afschermen. Dat doe je bij voorkeur gericht, bijvoorbeeld door alleen de naam van een derde te zwarten in plaats van het hele document achter te houden.

Welke rol heeft de Privacy Officer?

Je hoeft als Privacy Officer niet zelf door iedere mailbox of applicatie te zoeken. Je rol is vooral coördineren, adviseren en controleren. Je zorgt er onder meer voor dat:

• het verzoek goed wordt geregistreerd;
• de juiste mensen worden betrokken;
• de wettelijke termijn wordt bewaakt;
• het antwoord volledig is;
• gegevens van anderen worden afgeschermd waar dat nodig is;
• je kunt ondersteunen als een verzoek geheel of gedeeltelijk niet kan worden toegewezen.

Jouw meerwaarde zit niet alleen in je juridische kennis van de AVG. Een goede Privacy Officer vertaalt de regels naar een werkwijze die in jouw organisatie ook echt uitvoerbaar is. Dat blijkt vooral wanneer een verzoek niet in het stappenplan past.

Zorg dat collega’s een inzageverzoek herkennen

Je kunt pas tijdig handelen als een verzoek ook wordt herkend. Dat begint met privacybewustzijn bij collega’s.

Een medewerker van de klantenservice hoeft artikel 15 AVG niet te kennen. Hij of zij moet wel weten dat een vraag als ‘Welke informatie hebben jullie over mij?’ mogelijk een privacyverzoek is en dat die vraag volgens de interne procedure meteen naar jou moet.

Hetzelfde geldt voor HR, administratie, verkoop en andere afdelingen die rechtstreeks contact hebben met klanten, medewerkers of andere betrokkenen. Een korte instructie of een voorbeeldtekst op het intranet kan al veel verschil maken.

Maak van inzageverzoeken een vast privacyproces

Ook als je organisatie maar enkele verzoeken per jaar ontvangt, is het verstandig om vooraf afspraken te maken. Leg bijvoorbeeld vast:

• waar een inzageverzoek binnen kan komen;
• wie het verzoek registreert;
• wie verantwoordelijk is voor de behandeling;
• hoe je de identiteit controleert;
• welke afdelingen en systemen je mogelijk moet raadplegen;
• hoe je de wettelijke termijn bewaakt;
• wie controleert of gegevens van anderen moeten worden afgeschermd;
• wie het definitieve antwoord goedkeurt en verstuurt;
• hoe je de afhandeling vastlegt.

Een eenvoudig stappenplan of een standaardprocedure voorkomt veel onduidelijkheid. Het scheelt ook tijd als er een verzoek binnenkomt en niemand weet wie het moet oppakken.

Gebruik inzageverzoeken om privacy verder te verbeteren

Een inzageverzoek laat vaak zien waar je privacyprocessen nog niet goed zijn ingericht:

• Kost het veel moeite om te achterhalen waar persoonsgegevens staan? Dan is het verwerkingsregister mogelijk niet actueel.
• Blijken gegevens veel langer te worden bewaard dan je dacht? Dan is het bewaarbeleid aan herziening toe.
• Is het niet duidelijk wie het verzoek moet behandelen? Dan verdienen rollen en verantwoordelijkheden aandacht.
• Zijn er gegevens aangetroffen op plekken waar ze niet horen, zoals een persoonlijke map of een privé-e-mailaccount? Dan is dat een signaal voor aanvullende afspraken over informatiebeveiliging.
• Kwamen er na een incident veel verzoeken tegelijk binnen en liep het proces vast? Dan is dat een goede aanleiding om het inzageproces en het datalekprotocol beter op elkaar af te stemmen.

Zo gebruik je één verzoek om de privacyorganisatie als geheel te verbeteren.

Praktische kennis voor de Privacy Officer

Een inzageverzoek is één van de vele onderwerpen waar je als Privacy Officer mee te maken krijgt. Ook datalekken, DPIA’s, verwerkersovereenkomsten, privacybeleid, bewaartermijnen, informatiebeveiliging en het gebruik van AI vragen om kennis en een praktische aanpak.

Het zijn bovendien zelden losse vraagstukken. Na een datalek bij een supermarkt komen inzageverzoeken van klanten binnen, terwijl je ook de melding, de beveiliging en de communicatie moet regelen. Een inzageverzoek van een oud-medewerker raakt aan bewaartermijnen, aan de beveiliging van mailboxen en soms aan de vraag of een AI-tool die HR gebruikt ook persoonsgegevens verwerkt. Je moet voortdurend afwegen, adviseren en keuzes onderbouwen.

In de klassikale Opleiding Privacy, AI & Security Officer van AVG-trainingen staat die praktische toepassing centraal. Je werkt aan casuïstiek, bespreekt situaties zoals hierboven met andere deelnemers en leert hoe je privacy-, AI- en securityvraagstukken beoordeelt. Zo vertaal je wet- en regelgeving naar werkbare afspraken en processen binnen je eigen organisatie.

Een goede voorbereiding voorkomt haast

Iedere organisatie kan een inzageverzoek ontvangen. Ook als dat maar een paar keer per jaar gebeurt, moet je binnen de wettelijke termijn kunnen handelen. Een duidelijke procedure, collega’s die privacyverzoeken herkennen en een Privacy Officer die het proces begeleidt, maken daarbij het verschil.

Zo wordt het behandelen van een inzageverzoek geen zoektocht door systemen en mailboxen, maar een beheerst privacyproces.