Het inzageverzoek: hoe verifiëren organisaties de identiteit van de verzoeker?

24/3/22 De Autoriteit Persoonsgegevens (AP) heeft onlangs een boetebesluit gepubliceerd, waarin zij aan DPG Media een boete van 525.000 euro heeft opgelegd. Het bedrijf had, volgens de AP, namelijk onnodige drempels opgeworpen voor betrokkenen om hun recht op inzage uit te voeren. Ook de European Data Protection Board (EDPB) heeft zich recentelijk, in richtsnoeren, uitgelaten over het de wijze van verificatie bij een verzoek tot inzage. Wanneer een organisatie een inzageverzoek van een betrokkene ontvangt, is het belangrijk om eerst de identiteit van de verzoeker te verifiëren. Daarbij is het van belang dat het verificatieproces voldoet aan de vereisten uit de AVG en bijvoorbeeld geen obstakel vormt voor de betrokkene om zijn inzagerecht uit te voeren. In dit blog bespreek ik, aan de hand van deze twee publicaties, een aantal punten waar organisaties op kunnen letten bij het inkleden van hun inzagebeleid.  

Het recht van de betrokkene op inzage in zijn persoonsgegevens 

Betrokkenen hebben, op grond van de AVG, recht op inzage in alle persoonsgegevens die een organisatie van hen verwerkt. Organisaties die persoonsgegevens verwerken, zijn, in principe, verplicht dit recht van de betrokkene te respecteren en te faciliteren. Dit betekent niet alleen dat de organisatie ervoor zorgt dat betrokkenen hun recht op inzage kunnen uitvoeren, maar ook dat zij dit op een eenvoudige en gemakkelijke wijze kunnen doen.  

Daarnaast is de organisatie verantwoordelijk voor een passende beveiliging van de door haar verwerkte persoonsgegevens. Om te voorkomen dat persoonsgegevens in de verkeerde handen komen, is het nodig om eerst de identiteit van de verzoekers de controleren. Dit verificatieproces dient te voldoen aan de vereisten die in de AVG zijn neergelegd.  

DPG Media mag geen identiteitsbewijs opvragen van verzoekers bij inzageverzoek 

 DPG Media hanteerde een beleid waarbij klanten die geen onlineaccount hadden aangemaakt bij DPG Media, hun inzageverzoek konden insturen via een online formulier, per e-mail of per brief. Hierbij moesten zij altijd een kopie van een identiteitsbewijs (ID) uploaden of meesturen ter identificatie van de verzoeker. In het geval dat een klant weigerde een dergelijke kopie te verstrekken, werd het verzoek niet in behandeling genomen.  

 De AP komt tot de conclusie dat DPG met deze werkwijze de uitoefening van de rechten van betrokkenen onvoldoende heeft gefaciliteerd en DPG daarmee in strijd met de AVG heeft gehandeld. Volgens de AP heeft het beleid een belemmerende werking voor betrokkenen om een verzoek tot inzage te doen. Daarnaast merkt de AP, onder andere, op dat het overleggen van een kopie van een ID in dit geval niet evenredig is. DPG kan de identiteit van de betrokkene op een andere, minder ingrijpende wijze verifiëren. 

De richtsnoeren van de EDPB over het verificatieproces 

De EDPB heeft in januari nieuwe richtsnoeren gepubliceerd over het recht op inzage. Deze zijn overigens nog niet definitief en zullen aan de hand van de ingediende zienswijzen definitief vastgesteld worden. In de richtsnoeren geeft de EDPB onder meer een aantal aanwijzingen voor het verificatieproces: 

• Omdat de verwerking van een ID kan leiden tot een ongeoorloofde of onwettige verwerking, raad de EDPB af een ID te gebruiken voor identificatie van verzoekers. Voorbeelden van alternatieve methodes om een betrokkene te identificeren zijn: het versturen van een e-mail of sms met een bevestigingslink of beveilingsvragen of door middel van multifactorauthenticatie.  
• Het opvragen van een kopie van een ID kan in uitzonderlijke gevallen een adequaat middel zijn voor identificatie. Dit is alleen het geval wanneer dit strikt noodzakelijk, passend en in overeenstemming is met nationale wetgeving. In zo’n geval dient de organisatie over systemen te beschikken die een passend beveiligingsniveau waarborgen om de bestaande veiligheidsrisico’s te beperken.  
• Daarnaast kan bepaalde informatie op een ID die niet nodig is voor de identificatie, zoals het serienummer, de nationaliteit, lengte van de persoon en de foto, zwart gemaakt worden. Op deze wijze worden niet meer persoonsgegevens dan nodig verzameld. 
• Verder is het belangrijk andere waarborgen in te bouwen om onrechtmatige verwerking van het ID te voorkomen. Zo kan de organisatie bijvoorbeeld een notitie te maken van het feit dat het identiteitsbewijs is gecontroleerd en vervolgens de kopie zelf wissen.  

Heeft u hulp nodig bij het inrichten van uw inzagebeleid en bijbehorend verificatieproces? Neem dan contact op met Considerati.