Het ligt misschien voor de hand, maar het is belangrijk dat uw organisatie een inzageverzoek herkent. De AVG benoemt namelijk niet waar een verzoek moet worden ingediend, wat betekent dat er binnen de organisatie op verschillende afdelingen verzoeken binnen kunnen komen. Zijn uw werknemers niet op de hoogte over inzageverzoeken? Dan is de kans groot dat het inzageverzoek over het hoofd wordt gezien. In het ergste geval niet wordt behandeld, met alle gevolgen van dien. Het is dus belangrijk om uw werknemers op de hoogte te brengen over het recht op inzage AVG. In deze blog zullen we nader ingaan op de eisen voor het afhandelen van een inzageverzoek.
Eisen van een inzageverzoek
Volgens de AVG heeft in principe iedere betrokkene het recht om schriftelijk een inzageverzoek in te dienen bij een organisatie. Echter geldt wel dat de betrokkene in zijn of haar verzoek beschrijft om welke persoonsgegevens het gaat. Dit volgt uit een uitspraak van de rechtbank Amsterdam. Het kan bijvoorbeeld gaan om alle persoonsgegevens inclusief e-mails, eventuele opgenomen telefoongesprekken, of zelfs correspondentie tussen organisaties. Indien nodig mag u aan de verzoeker vragen welke gegevens hij of zij precies wilt inzien.
Identiteit betrokkene vaststellen
Voordat u een inzageverzoek in behandeling neemt, bent u verplicht om op grond van artikel 11 lid 2 AVG de identiteit vast te stellen van de betrokkene die het verzoek heeft ingediend. Zo voorkomt u dat de inzage niet aan de verkeerde persoon wordt verleent. Als de betrokkene zich niet wil of kan identificeren, dan mag u het verzoek afwijzen.
Als de betrokkene zijn verzoek digitaal kan indienen, kunt u de identiteit van de betrokkene vaststellen door hem gebruik te laten maken van DigiD. Indien uw organisatie geen gebruikt maakt van een digitaal verzoek of de identiteit verifieert via DigiD, dan zal de betrokkene zich in persoon moeten identificeren.
Weigeringsgronden inzageverzoek
Wanneer u de identiteit van de betrokkene hebt vastgesteld, moet u het verzoek toetsen aan een aantal weigeringsgronden. Ten eerste kan er sprake zijn van herhaalde verzoeken. Als organisatie mag u een inzageverzoek weigeren indien een betrokkene herhaaldelijk een verzoek blijft indienen, of een andere reden die de administratieve lasten verhogen.
Ten tweede mag u een inzageverzoek gedeeltelijk weigeren, wanneer er sprake is van persoonsgegevens van een derde. Op grond van artikel 15 lid 3 AVG mag een recht om een kopie te verkrijgen van eigen persoonsgegevens geen afbreuk doen aan de rechten en vrijheden van anderen, zoals bijvoorbeeld gegevens van een derde persoon, bedrijfsgeheimen of zelfs intellectueel eigendom.
Ten derde mag u een inzageverzoek weigeren als er sprake is van een wettelijke uitzondering. In artikel 41 lid 1 UAVG staat dat u een recht van betrokkene buiten toepassing kan laten ter waarborging van: de nationale veiligheid of landsverdediging, openbare orde of strafbare feiten voorkomen of opsporen, bescherming van algemeen belang (monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid) of bescherming onafhankelijke rechter, bescherming van betrokkene of rechten en vrijheden van anderen en inning van civielrechtelijke vorderingen.
Als organisatie moet u rekening houden dat de weigering voor het inzageverzoek goed beargumenteert wordt en een zorgvuldige afweging gemaakt is tussen de belangen van alle betrokken partijen.
Tot slot bestaat er op grond van artikel 45 UAVG een extra uitzondering op archiefbescheiden. Het inzageverzoek kan niet ingewilligd worden als er een beroep wordt gedaan op archieven die opgenomen zijn in een archiefbewaarplaats. Voor overige archiefbescheiden mag u deze weigeren als het verzoek zodanig ongericht is dat het niet kan worden ingewilligd.
Beslistermijn inzageverzoek
Nadat u het inzageverzoek heeft ontvangen, de identiteit van de betrokkene hebt vastgesteld en de weigeringsgronden bent afgegaan, moet u op grond van artikel 12 lid 3 AVG binnen één maand schriftelijk of digitaal reageren op het verzoek van de betrokkene. Dat betekent ook dat u de betrokkene over de uitkomst informeert. Indien nodig mag de termijn met twee maanden verlengd worden. U bent dan wel verplicht om de betrokkene binnen één maand te informeren over de verlenging en ook de reden waarom.
Wanneer u een inzageverzoek van een betrokkene niet goedkeurt moet u de betrokkene daarvan binnen één maand op de hoogte stellen. Daarnaast is het noodzakelijk dat u de betrokkene wijst op het feit dat hij of zij een klacht in kan en mag dienen bij de AP, of eventueel naar de rechter kan stappen.
Conclusie
Kortom, moet er voor het afhandelen van een inzageverzoek eerst getoetst worden aan de eisen van de AVG. In de volgende blog gaan we in op de bewaartermijn AVG.
