Inzageverzoeken vaak niet juist afgehandeld
Uit een Europees onderzoek naar de afhandeling van inzageverzoeken blijkt dat organisaties nog vaak onnodig drempels opwerpen.
Iedereen heeft het recht om te vragen welke persoonsgegevens een organisatie van hem, haar of hen gebruikt en hoe die gegevens worden gebruikt. In de aanloop naar de Dag van de Privacy op 28 januari 2025 onderzocht de European Data Protection Board (EDPB) hoe er met zulke inzageverzoeken wordt omgegaan.
Standaardwerkwijze ontbreekt
Uit het onderzoek blijkt onder meer dat organisaties vaak niet beschikken over een standaardwerkwijze voor inzageverzoeken. Sommige organisaties weigeren onterecht verzoeken om inzage. Het komt ook vaak voor dat er onnodige drempels worden opgeworpen, bijvoorbeeld het opvragen van een identiteitsbewijs als dat niet nodig is.
Voor het onderzoek vroegen dertig Europese privacytoezichthouders, waaronder de Nederlandse Autoriteit Persoonsgegevens (AP), aan 1185 publieke en private organisaties hoe ze omgaan met inzageverzoeken. De AP stelde de vragen aan 136 organisaties uit de publieke sector, waaronder 9 ministeries en 35 lokale overheden, en aan 116 organisaties uit de private sector.
Dertig procent van de ondervraagde Nederlandse organisaties heeft geen standaardwerkwijze voor inzageverzoeken.
Geen monitoring
De Europese uitkomsten komen grotendeels overeen met het beeld dat de AP in de dagelijkse praktijk ziet, schrijft de toezichthouder. In Nederland heeft dertig procent van de ondervraagde organisaties geen standaardwerkwijze voor inzageverzoeken. Een derde van de organisaties doet niet aan een systematische controle of monitoring van de behandeling van inzageverzoeken. Daarmee lopen ze het risico te laat of niet of inzageverzoeken te reageren.
Bovendien geeft twintig procent van de Nederlandse respondenten aan dat de functionaris gegevensbescherming (FG) inzageverzoeken afhandelt. Dit is eigenlijk niet wenselijk, omdat de FG een onafhankelijke interne toezichthouder is. Zou er een klacht zijn over de afhandeling van een inzageverzoek, dan zou de FG dus zichzelf de maat moeten nemen.
Grote verschillen
Het is zeker niet alleen maar kommer en kwel: uit het Europese onderzoek komen ook organisaties naar voren die het mensen juist makkelijk maken om een online inzageverzoek te doen. Soms kost het maar een paar klikken om de eigen persoonsgegevens te downloaden. Over het algemeen zegt twee derde van de toezichthouders dat organisaties in hun land redelijk tot goed omgaan met inzageverzoeken op basis van de algemene verordening gegevensbescherming (AVG).
De AP geeft in het rapport aan dat de verschillen tussen organisaties te groot zijn om hier een eenduidig antwoord op te geven. Over het algemeen zijn de meer gereguleerde sectoren, zoals de zorg, de financiële sector en de overheid beter in de afhandeling van inzageverzoeken, maar daarbinnen hangt het ook af van de grootte van de organisatie en het verwerken van persoonsgegevens behoort tot het primaire proces of niet.
De rechter heeft inmiddels geoordeeld dat dat in strijd is met de AVG, en dus onrechtmatig.
Het is overigens een praktijk die veel voor komt bij 'kredietinformatiebureaus'. Met een kopie-ID heeft een dergelijk bedrijf dus nóg meer persoonlijke informatie. Hetgeen ingeval van een datalek dus nóg ernstiger is.
De Autoriteit Persoonsgegvens is met betrekking hiertoe inmiddels een handhavingsonderzoek begonnen.