Wie uw persoonsgegevens verwerkt — een webshop, een gemeente of een socialemediaplatform — moet zich aan de AVG houden. De wet geeft u een aantal rechten om greep te houden op die gegevens. De acht belangrijkste staan hieronder.
Wat houdt het recht op inzage in?
Op grond van artikel 15 van de AVG heeft u het recht om van een organisatie te vernemen of zij uw persoonsgegevens verwerkt, en zo ja welke. U ontvangt dan kosteloos een kopie van de gegevens, inclusief:
- het doel van de verwerking;
- de categorieën van gegevens die worden verwerkt;
- de ontvangers of categorieën van ontvangers aan wie de gegevens zijn verstrekt;
- de bewaartermijn of de criteria om die te bepalen;
- uw overige rechten (rectificatie, verwijdering, bezwaar).
Termijn: de organisatie moet binnen één maand antwoord geven. In complexe gevallen mag dit met twee maanden worden verlengd, mits u binnen één maand een bericht krijgt.
Toezichthouder: Autoriteit Persoonsgegevens (AP). Voor jurisprudentie: zoek op rechtspraak.nl naar "artikel 15 AVG".
Wat houdt het recht op rectificatie in?
Artikel 16 van de AVG geeft u het recht om onjuiste persoonsgegevens te laten verbeteren, en onvolledige gegevens — gelet op het doel van de verwerking — aan te vullen. Een organisatie moet binnen één maand reageren.
De organisatie moet iedere ontvanger aan wie de onjuiste gegevens zijn verstrekt op de hoogte stellen, tenzij dit onmogelijk blijkt of onevenredige inspanning vergt.
Termijn: één maand (verlengbaar met twee maanden bij complexe verzoeken). Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 16 AVG".
Wanneer kunt u wissen vragen?
Artikel 17 van de AVG — ook wel het "recht om vergeten te worden" — geeft u het recht om uw gegevens te laten wissen in een aantal specifieke gevallen. Zie onze uitgebreide pagina over verwijderingsrecht voor de details.
Termijn: één maand. Toezichthouder: AP. Leidende jurisprudentie: rechtspraak.nl zoekterm "artikel 17 AVG" of "Google Spain".
Wat houdt beperking van verwerking in?
Op grond van artikel 18 van de AVG kunt u een organisatie vragen de verwerking van uw gegevens te beperken — dat wil zeggen: ze mogen nog wel worden bewaard, maar niet anderszins worden gebruikt. Dit geldt in een aantal gevallen, bijvoorbeeld:
- u betwist de juistheid van de gegevens (voor de duur van de controle);
- de verwerking is onrechtmatig en u verzet zich tegen wissen;
- de organisatie heeft de gegevens niet meer nodig, maar u heeft ze nog wel nodig voor een rechtsvordering;
- u heeft bezwaar gemaakt in afwachting van het antwoord op de vraag of de zwaarderwegende gronden van de organisatie prevaleren.
Termijn: één maand. Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 18 AVG".
Wat houdt overdraagbaarheid in?
Artikel 20 van de AVG geeft u het recht om uw persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen (bijvoorbeeld JSON of CSV), en om die gegevens aan een andere organisatie over te dragen.
Dit recht geldt als:
- de verwerking gebaseerd is op uw toestemming of op een overeenkomst; én
- de verwerking geautomatiseerd plaatsvindt.
Termijn: één maand. Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 20 AVG" of "data portability".
Wat houdt het recht van bezwaar in?
Artikel 21 van de AVG geeft u het recht om bezwaar te maken tegen verwerkingen die zijn gebaseerd op "gerechtvaardigd belang" of op een "taak van algemeen belang". Voor direct marketing geldt een versterkt recht: de organisatie moet onmiddellijk stoppen.
Een organisatie mag dan alleen doorgaan met de verwerking als zij dwingende gerechtvaardigde gronden kan aantonen die zwaarder wegen dan uw belangen, rechten en vrijheden — of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
Termijn: onmiddellijk voor direct marketing; één maand voor overig bezwaar. Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 21 AVG".
Wat betekent geautomatiseerde besluitvorming?
Artikel 22 van de AVG geeft u het recht om niet onderworpen te worden aan een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking — inclusief profilering — en dat rechtsgevolgen heeft of u anderszins in aanmerkelijke mate treft.
U mag dan vragen om menselijke tussenkomst, om uw standpunt kenbaar te maken en om het besluit aan te vechten.
Uitzonderingen bestaan als het besluit noodzakelijk is voor de totstandkoming of uitvoering van een overeenkomst, wettelijk is toegestaan, of berust op uw uitdrukkelijke toestemming.
Termijn: zo snel mogelijk, binnen één maand. Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 22 AVG".
Hoe dient u een klacht in?
Het recht om een klacht in te dienen bij de toezichthouder is geen direct AVG-recht in de zin van de artikelen 12 t/m 22, maar vloeit voort uit artikel 77 van de AVG en vormt een essentieel onderdeel van uw rechtsbescherming.
De AP kan een onderzoek instellen, een organisatie een waarschuwing geven of een boete opleggen. Een klacht indienen kan online via de website van de AP.
Toezichthouder: Autoriteit Persoonsgegevens — gebruik het klachtformulier op de site. Termijn: de AP streeft ernaar binnen zes weken na ontvangst van de klacht te reageren, maar dit kan langer duren bij complexe zaken.