Inzageverzoeken afhandelen: doe ik het wel goed?

27/02/2025 - Het recht op inzage is een van de fundamentele rechten uit de Algemene Verordening Gegevensbescherming (AVG). Dit recht stelt individuen in staat te achterhalen welke persoonsgegevens over hen worden verwerkt. Toch blijkt uit onderzoek van de European Data Protection Board (EDPB) dat veel organisaties nog steeds moeite hebben met een correcte en efficiënte afhandeling van verzoeken om inzage in persoonsgegevens. Dit kan leiden tot klachten van betrokkenen, sancties vanuit de Autoriteit Persoonsgegevens en reputatieschade voor organisaties. In deze blog zetten wij voor u de belangrijkste valkuilen uit dit onderzoek uiteen en geven wij een aantal handvatten om deze te vermijden. 

Veelvoorkomende knelpunten bij inzageverzoeken 

Uit het EDPB-onderzoek komt naar voren dat organisaties op verschillende punten tekortschieten bij het afhandelen van inzageverzoeken. Dit problemen zijn op zowel procedureel als inhoudelijk vlak waargenomen. Hieronder worden de belangrijkste knelpunten kort uiteengezet. 

• Geen standaardwerkwijze: Veel organisaties hebben geen vaste procedure voor het afhandelen van verzoeken van betrokkenen, waardoor medewerkers niet weten hoe ze op inzageverzoeken moeten reageren. In Nederland beschikt 30% van de organisaties niet over een standaardprocedure voor inzageverzoeken. 

• Onnodige drempels: Soms vragen organisaties om een kopie identiteitsbewijs, terwijl dat niet nodig is, of wordt een inzageverzoek onterecht geweigerd wanneer deze bijvoorbeeld niet via het juiste kanaal binnenkomt.  

• Onduidelijke termijnen voor afhandeling: Organisaties hanteren niet altijd een duidelijke termijn voor het afhandelen van inzageverzoeken. Daarnaast controleert een derde van de organisaties ook niet systematisch of inzageverzoeken correct en tijdig worden afgehandeld. 
• Incorrecte verlening van inzage: De informatie over persoonsgegevens die organisaties geven aan betrokkenen is vaak te summier of niet toegespitst op het inzageverzoek van de betrokkene. Zo wordt er bijvoorbeeld doorgaans weinig informatie gegeven over wie de persoonsgegevens kan inzien, ook wanneer de betrokkene daar specifiek om heeft verzocht. 

Verschillen en bewustwording 

Er zijn ook verschillen zichtbaar tussen sectoren. Sterk gereguleerde sectoren, zoals de zorg en de financiële sector, hebben hun processen doorgaans goed op orde ten opzichte van bijvoorbeeld commerciële branches, zoals bijvoorbeeld de retailsector. Reden hierachter is dat dergelijke sectoren ook vanuit andere wetgeving verplicht zijn om mensen inzage te geven in de persoonsgegevens die zij van hen verwerken. Ook grote organisaties die veel inzageverzoeken krijgen blijken de noodzakelijke procedures hiervoor duidelijk en effectief te hebben ingericht. 

De toezichthouders waren echter verbaasd over het grote aantal organisaties dat aangaf in 2023 weinig inzageverzoeken van betrokkenen te hebben ontvangen, wat erop zou kunnen wijzen dat niet alle inzageverzoeken als zodanig worden herkend. Bewustwording en kennis over inzageverzoeken lijkt daarmee mogelijk ook een probleem te zijn. 

Wat kunt u als organisatie doen? 

Naast het onderzoeken van de knelpunten heeft de EDPB in haar rapport ook een aantal praktische maatregelen opgesomd. Deze maatregelen moeten ervoor zorgen dat organisaties het afhandelen van hun inzageverzoeken meer in lijn met de AVG krijgen. De belangrijkste maatregelen waarmee uw organisatie aan de slag kan vindt u hieronder. 

1. Implementeer een duidelijke werkwijze 

Zorg voor een gestandaardiseerd proces voor het ontvangen, beoordelen en beantwoorden van inzageverzoeken. Dit voorkomt onduidelijkheid bij zowel medewerkers als betrokkenen en verkleint de kans op fouten. Zorg er tevens voor dat het duidelijk is bij wie binnen de organisatie de afhandeling van inzageverzoeken is belegd (dit mag niet de Functionaris Gegevensbescherming zijn). 

2.  Zorg voor gemak en heldere communicatie 

Maak het voor betrokkenen eenvoudig om een inzageverzoek in te dienen, bijvoorbeeld via een online formulier of een technische functie waarmee zij zelf hun persoonsgegevens kunnen downloaden. Communiceer duidelijk over de vervolgstappen en houd de betrokkene op de hoogte van de voortgang.  

3. Minimaliseer administratieve drempels 

Vraag alleen om aanvullende identificatie als daar een gerechtvaardigde reden voor is. Zorg ervoor dat medewerkers goed weten wanneer dit nodig is en wanneer niet. Spreek daarnaast met hen af dat inzageverzoeken die via een onjuist kanaal binnenkomen (zoals een verkeerde mailbox) altijd worden doorgestuurd naar degene die over de afhandeling gaat. 

4. Evalueer regelmatig en train personeel 

Controleer systematisch of inzageverzoeken binnen uw organisatie correct worden behandeld. Dit kan door periodieke audits, interne controles en evaluaties van het proces. Train daarnaast de medewerkers op het herkennen van inzageverzoeken, zodat het risico op het schenden van het inzagerecht zo klein mogelijk wordt gehouden.  

Naast deze tips kunt u in deze blog extra handvatten vinden die helpen bij de daadwerkelijke afhandeling van een inzageverzoek. 

Tot slot 

Een goed ingericht proces voor inzageverzoeken helpt niet alleen om AVG-compliant te zijn, maar draagt ook bij aan transparantie en vertrouwen bij klanten en medewerkers. Door te zorgen voor een duidelijke werkwijze, effectieve communicatie en regelmatige evaluatie, kunnen organisaties hun inzageprocedures verbeteren en onnodige risico’s vermijden. 

Wilt u meer weten over hoe jouw organisatie dit efficiënt kan aanpakken? Neem contact met ons op voor advies en praktische ondersteuning.