De Macht van de AVG: Ken Uw Rechten
De Algemene Verordening Gegevensbescherming geeft u acht concrete rechten over uw persoonlijke data. De meeste mensen kennen ze niet. Dat is precies wat databrokers hopen.
Wat is de AVG?
De Algemene Verordening Gegevensbescherming (AVG) — in het Engels bekend als de GDPR (General Data Protection Regulation) — is een Europese verordening die op 25 mei 2018 van kracht werd. De wet geldt voor alle organisaties die persoonsgegevens verwerken van mensen die in de EU wonen, ongeacht waar de organisatie zelf gevestigd is.
De AVG vervangt de verouderde Richtlijn bescherming persoonsgegevens uit 1995 en is geschreven voor een digitaal tijdperk waarin massale dataverzameling gemeengoed is geworden. De kern van de wet is eenvoudig: uw persoonlijke gegevens zijn van u, en organisaties moeten daar zorgvuldig mee omgaan.
In Nederland wordt de AVG gehandhaafd door de Autoriteit Persoonsgegevens (AP), die boetes kan opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een bedrijf — afhankelijk van welk bedrag hoger is.
Uw acht rechten onder de AVG
1. Recht op inzage (artikel 15)
U heeft het recht om bij elke organisatie te vragen welke persoonsgegevens zij over u bewaren. De organisatie is verplicht u binnen één maand een overzicht te verstrekken van alle gegevens, de verwerkingsdoeleinden, de ontvangers en de bewaartermijn. Dit is uw startpunt: weet eerst wat er over u bekend is voordat u stappen onderneemt.
2. Recht op rectificatie (artikel 16)
Als de gegevens die een organisatie over u bewaart onjuist of onvolledig zijn, kunt u rectificatie eisen. Denk aan een verkeerd adres, een foutieve geboortedatum of een verouderde werkgever. De organisatie moet de correctie doorvoeren en derden die de foutieve gegevens hebben ontvangen informeren.
3. Recht op verwijdering — het 'recht op vergetelheid' (artikel 17)
Dit is het meest bekende AVG-recht en het meest relevante bij databrokers. U kunt eisen dat een organisatie uw gegevens wist als:
- De gegevens niet meer nodig zijn voor het doel waarvoor ze verzameld zijn
- U uw toestemming intrekt en er geen andere rechtsgrond is voor verwerking
- U bezwaar maakt tegen de verwerking en er geen dwingende redenen zijn om toch door te gaan
- De gegevens onrechtmatig zijn verwerkt
- Er een wettelijke verplichting is om de gegevens te wissen
Databrokers proberen dit recht regelmatig te omzeilen door te beweren dat de verwerking gebaseerd is op een 'gerechtvaardigd belang'. Dit is echter geen vrijbrief — u kunt altijd bezwaar maken.
4. Recht op beperking van de verwerking (artikel 18)
Als u twijfelt aan de juistheid van uw gegevens of bezwaar heeft gemaakt, kunt u de verwerking laten beperken. Dit betekent dat de organisatie de gegevens wel bewaart, maar er (tijdelijk) niets mee mag doen. Dit is nuttig als een verwijderingsverzoek in behandeling is.
5. Recht op gegevensoverdraagbaarheid (artikel 20)
U heeft het recht uw gegevens in een machine-leesbaar formaat te ontvangen zodat u ze kunt overdragen naar een andere organisatie. Dit recht geldt met name bij diensten waarbij u zelf gegevens heeft verstrekt, zoals sociale media-platforms of apps.
6. Recht van bezwaar (artikel 21)
U kunt altijd bezwaar maken tegen de verwerking van uw gegevens, in het bijzonder wanneer de verwerking is gebaseerd op een gerechtvaardigd belang of voor directmarketingdoeleinden. Bij directmarketing moet de organisatie de verwerking onmiddellijk staken — hier is geen afweging mogelijk. Bij andere verwerkingsgronden moet de organisatie aantonen dat er dwingende gerechtvaardigde gronden zijn die zwaarder wegen dan uw belangen.
7. Recht om niet te worden onderworpen aan geautomatiseerde besluitvorming (artikel 22)
U heeft het recht niet te worden onderworpen aan een beslissing die uitsluitend is gebaseerd op geautomatiseerde verwerking — inclusief profilering — die rechtsgevolgen heeft of u significant treft. Denk aan automatische afwijzing van een lening of verzekering op basis van een algoritme. U kunt altijd menselijke tussenkomst vragen.
8. Recht op informatie (artikelen 13 en 14)
Organisaties zijn verplicht u te informeren over hoe zij uw gegevens verwerken, op het moment van verzameling. Dit recht is de basis voor alle andere rechten: u moet weten dat er gegevens worden verwerkt voordat u actie kunt ondernemen.
Hoe dient u een verwijderingsverzoek in?
Een verwijderingsverzoek hoeft niet aan specifieke vormvereisten te voldoen. U kunt het per e-mail, brief of via een contactformulier indienen. Zorg dat uw verzoek duidelijk aangeeft:
- Dat u een beroep doet op artikel 17 AVG (recht op verwijdering)
- Welke gegevens u wilt laten verwijderen
- Uw identiteit (naam, adres of andere identificerende informatie)
- Dat u om een bevestiging van verwijdering vraagt
De organisatie heeft één maand de tijd om te reageren. In complexe gevallen mag dit worden verlengd tot drie maanden, maar zij moeten u binnen de eerste maand informeren dat er verlenging nodig is.
De termijn van 30 dagen
De AVG schrijft voor dat organisaties binnen één maand moeten reageren op een verzoek. Let op: dit betekent niet dat de gegevens binnen 30 dagen moeten zijn verwijderd. De organisatie moet binnen 30 dagen reageren op uw verzoek en u informeren over wat zij gaan doen.
Reageert een organisatie niet binnen de termijn, dan kunt u een klacht indienen bij de AP. Bij herhaalde schendingen kan de AP handhavend optreden.
Wat als een databroker weigert?
Databrokers weigeren verwijderingsverzoeken regelmatig, vaak met vage verwijzingen naar 'gerechtvaardigd belang' of 'publieke belangen'. Als u een weigering ontvangt, heeft u de volgende opties:
- Bezwaar aantekenen bij de organisatie zelf: Vraag expliciet om een toelichting op de rechtsgrond en laat weten dat u verdere stappen overweegt.
- Klacht indienen bij de AP: De Autoriteit Persoonsgegevens behandelt klachten van burgers. U kunt online een klacht indienen op autoriteitpersoonsgegevens.nl. De AP heeft onderzoeks- en handhavingsbevoegdheden.
- Juridische stappen: U kunt bij de rechtbank een schadevergoeding eisen als u schade heeft geleden door onrechtmatige verwerking. Privacy-advocaten kunnen u hierbij bijstaan.
De rol van de Autoriteit Persoonsgegevens
De AP is de Nederlandse toezichthouder voor gegevensbescherming. Zij hebben de bevoegdheid om onderzoeken te starten, bedrijven te verplichten wijzigingen door te voeren en boetes op te leggen. In 2023 legde de AP Nederlandse en internationale bedrijven tientallen miljoenen euro's aan boetes op voor schendingen van de AVG.
De AP biedt ook een gratis klachtenprocedure voor burgers. Als u er niet uitkomt met een databroker, is het indienen van een klacht bij de AP een effectief middel om druk uit te oefenen.
Praktische tip: gebruik een geautomatiseerde dienst
Het handmatig indienen van verwijderingsverzoeken bij 180+ databrokers is een tijdrovende en frustrerende klus. Uitgewist doet dit automatisch namens u: wij identificeren alle brokers die uw gegevens bezitten, dienen AVG-conforme verwijderingsverzoeken in en bewaken of de verwijdering ook daadwerkelijk wordt uitgevoerd. Zo hoeft u uw rechten niet elke maand opnieuw handmatig te doen gelden.