"Vergeten worden" klinkt dramatisch, maar in de praktijk betekent het simpelweg dat een organisatie uw gegevens moet verwijderen als aan een van zes wettelijke voorwaarden is voldaan. In andere gevallen mag de organisatie weigeren — lees hieronder welke dat zijn.
Op grond van artikel 17 lid 1 van de AVG heeft u recht op gegevenswissing als een van de volgende zes situaties van toepassing is:
- De gegevens zijn niet meer nodig voor het doel waarvoor zij zijn verzameld.
- U trekt uw toestemming in (en er is geen andere rechtsgrond voor de verwerking).
- U maakt bezwaar tegen de verwerking op grond van artikel 21 lid 1 of lid 2, en er prevaleren geen dwingende gerechtvaardigde gronden.
- De gegevens zijn onrechtmatig verwerkt.
- De gegevens moeten worden gewist om een wettelijke verplichting na te komen die op de organisatie rust.
- De gegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij aan een kind jonger dan 16 jaar.
Als een van deze gronden op u van toepassing is, moet de organisatie uw gegevens wissen "zonder onredelijke vertraging".
Artikel 17 lid 3 van de AVG noemt vier uitzonderingen. In deze gevallen hoeft de organisatie uw gegevens niet te wissen:
- Vrijheid van meningsuiting en informatie — bijvoorbeeld een journalist of blogger hoeft uw naam niet uit een gepubliceerd artikel te schrappen.
- Wettelijke verplichting of openbare taak — bijvoorbeeld de Belastingdienst moet uw gegevens bewaren voor de fiscale bewaarplicht.
- Algemeen belang op het gebied van volksgezondheid — denk aan medische dossiers of epidemiologische gegevens.
- Archivering in het algemeen belang, wetenschappelijk of historisch onderzoek, statistiek — mits de gegevens worden gearchiveerd met passende technische en organisatorische maatregelen (bijvoorbeeld pseudonimisering).
Daarnaast gelden ook de uitzonderingen uit artikel 23 AVG (nationale veiligheid, defensie, openbare veiligheid) en de mogelijkheid om een rechtsvordering in te stellen, uit te oefenen of te onderbouwen.
Stappenplan
- Verzamel bewijs. Noteer waar uw gegevens staan (accountnaam, URL's, eerdere correspondentie).
- Stuur een schriftelijk verzoek per aangetekende post of per e-mail. Gebruik onze voorbeeldbrief.
- Wacht af. De organisatie heeft één maand de tijd (verlengbaar met twee maanden bij complexe verzoeken, mits u binnen één maand een bericht krijgt).
- Geen reactie? Dien een klacht in bij de Autoriteit Persoonsgegevens (AP).
- Weigering? U kunt naar de rechter stappen, of de zaak via de AP verder laten onderzoeken.
Wat als ze niet reageren?
Als een organisatie niet binnen de termijn reageert, mag u aannemen dat uw verzoek is afgewezen. U heeft dan het recht om:
- een klacht in te dienen bij de AP;
- een rechtsmiddel in te stellen tegen de organisatie (bij de rechtbank).
Toezichthouder: AP. Jurisprudentie: rechtspraak.nl zoekterm "artikel 17 AVG" of "Google Spain".