Een inzageverzoek komt zelden op een goed moment. Het komt per mail, vaak van een ex-werknemer of een ontevreden klant, meestal zonder het woord «inzageverzoek» te gebruiken, en het zet een klok van één maand in gang die vanaf dat moment loopt. Dit artikel legt uit wat je precies moet geven, wat níet, hoe je de termijn beheert en wat je doet als je wilt weigeren.
Wat het recht op inzage precies inhoudt
Artikel 15 van de GDPR geeft de betrokkene twee dingen: uitsluitsel over de vraag of je gegevens over hem verwerkt, en als dat zo is, toegang tot die gegevens plus een reeks aanvullende inlichtingen.
Die aanvullende inlichtingen worden het vaakst vergeten, terwijl ze het makkelijkste deel zijn — ze staan namelijk al in je verwerkingsregister:
- de verwerkingsdoeleinden;
- de categorieën van persoonsgegevens;
- de ontvangers of categorieën ontvangers, in het bijzonder in derde landen;
- de bewaartermijn, of de criteria om die te bepalen;
- het bestaan van de rechten op rectificatie, wissing, beperking en bezwaar;
- het recht om klacht in te dienen bij de Gegevensbeschermingsautoriteit;
- de bron van de gegevens, als ze niet bij de betrokkene zelf verzameld zijn;
- of er geautomatiseerde besluitvorming plaatsvindt, en zo ja: de onderliggende logica en de verwachte gevolgen.
Dat laatste punt wint snel aan gewicht. Zet je AI in bij selectie, kredietbeoordeling of fraudedetectie, dan hoort de uitleg over de logica in je antwoord. Wie zijn AI-register op orde heeft, kan die uitleg overnemen. Wie dat niet heeft, staat met lege handen op het moment dat het gevraagd wordt.
De termijn: één maand, en wat dat betekent
Je antwoordt onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek. Verlengen kan met twee maanden bij complexiteit of bij een groot aantal verzoeken — maar de verlenging zelf moet je binnen die eerste maand meedelen, mét de reden.
Dat is de bepaling waar het in de praktijk fout loopt. Wie op dag 35 laat weten dat het langer duurt, is niet «een beetje laat»: die heeft de verlengingsmogelijkheid gewoon verspeeld en staat al in overtreding.
| Moment | Wat |
|---|---|
| Dag 0 | Ontvangst. Registreer datum, kanaal en de letterlijke vraag. |
| Dag 0 – 3 | Identiteit vaststellen als er redelijke twijfel is. Alleen dán, en met de minst ingrijpende methode. |
| Dag 3 – 20 | Verzamelen. Alle systemen, ook de mailboxen, de gedeelde schijf en de back-ups voor zover redelijkerwijs doorzoekbaar. |
| Dag 20 – 25 | Nakijken op rechten van derden. Afschermen wat afgeschermd moet worden. |
| Uiterlijk dag 30 | Antwoorden, óf de verlenging meedelen met de reden. |
| Uiterlijk dag 90 | Antwoorden na verlenging. |
Identiteitscontrole: nodig, maar geen drempel
Je mag bijkomende informatie vragen als je redelijke twijfel hebt over wie er voor je staat. Dat is geen algemene bevoegdheid om standaard een identiteitskaart te eisen.
- Komt het verzoek van het mailadres dat al jaren in je klantenbestand staat, dan is de twijfel meestal weg.
- Vraag je tóch een identiteitsbewijs, laat dan het rijksregisternummer en de foto afdekken, en bewaar de kopie niet langer dan nodig om de controle vast te leggen.
- Een controlevraag over gegevens die alleen de betrokkene kan kennen, is vaak proportioneler dan een identiteitskaart.
Let op: de tijd die de identiteitscontrole kost, schort de termijn niet op tot een aparte klok. Ze loopt gewoon mee. Hoe sneller je die stap zet, hoe meer tijd je overhoudt.
Wat je moet geven, en wat niet
Het recht op inzage geeft toegang tot persoonsgegevens, niet tot documenten. In veel gevallen is een kopie van het document wel de eenvoudigste manier om aan die verplichting te voldoen, maar dat is een keuze, geen plicht.
| Situatie | Aanpak |
|---|---|
| Een document bevat ook gegevens van anderen | Afschermen. Art. 15.4: het recht op een kopie doet geen afbreuk aan de rechten en vrijheden van anderen. |
| Interne beoordelingen en notities over de betrokkene | Meestal wél persoonsgegevens. De feitelijke inhoud geef je; de meningen van geïdentificeerde collega’s kun je anonimiseren. |
| Bedrijfsgeheimen, broncode, prijszettingslogica | Beschermd, maar het is geen volledige uitzondering. Je legt de logica uit zonder het geheim prijs te geven. |
| Communicatie met je advocaat over deze zaak | Beroepsgeheim. Vermeld dat je die categorie uitsluit en waarom. |
| E-mails waarin de betrokkene alleen genoemd wordt | Ook persoonsgegevens. Zoek in de mailboxen, en zeg wat je doorzocht hebt. |
Een tip die veel klachten voorkomt: zeg altijd waar je gezocht hebt. Een antwoord dat vermeldt welke systemen doorzocht zijn, oogt volledig. Een antwoord met alleen een bijlage roept meteen de vraag op wat er níet in zit.
Weigeren of beperken: kan, maar bouw het dossier op
Je mag weigeren bij kennelijk ongegronde of buitensporige verzoeken, in het bijzonder bij herhaling — artikel 12.5. Je mag ook een redelijke vergoeding vragen in plaats van te weigeren. Maar de bewijslast ligt volledig bij jou.
Weiger je, dan moet je binnen dezelfde maand laten weten: dat je niet ingaat op het verzoek, waarom niet, dat de betrokkene klacht kan indienen bij de Gegevensbeschermingsautoriteit, en dat hij naar de rechter kan stappen. Ontbreekt die motivering, dan is de klacht die erop volgt bijna gewonnen voor ze begint.
Wat een weigeringsdossier minstens bevat: het verzoek zelf, de eerdere verzoeken waarop je je beroept, de tijd en middelen die het zou kosten, je afweging, en wie de beslissing nam. Het DPO-dossier bouwt dat dossier mee op zodra je een verzoek op «geweigerd» zet, precies omdat een weigering zonder motivering het soort dossier is waar een klacht op volgt.
De vier verzoeken die op inzage volgen
Een inzageverzoek is zelden het eindpunt. Reken op een vervolg, en weet dat elk vervolg zijn eigen regels heeft:
- Rectificatie (art. 16). Onjuiste gegevens verbeteren. Onvolledige aanvullen. Meld het door aan de ontvangers.
- Wissing (art. 17). Niet absoluut. Een wettelijke bewaarplicht gaat voor, en dat is precies waarom je startpunten en vindplaatsen bij je bewaartermijnen nodig hebt.
- Beperking (art. 18). De tussenoplossing tijdens een betwisting. Vaak de beste zet: je bevriest de verwerking en wint tijd.
- Bezwaar (art. 21). Bij gerechtvaardigd belang moet je dwingende gronden aantonen. Bij direct marketing is er geen discussie: je stopt.
Wat je vóór het eerste verzoek geregeld wilt hebben
- Eén adres waar verzoeken binnenkomen, en iedereen die klantcontact heeft weet dat het bestaat. De klok loopt vanaf het moment dat je organisatie het verzoek ontvangt, niet vanaf het moment dat de juiste persoon het leest.
- Een actueel register. Zonder register weet je niet in welke systemen je moet zoeken. Dat is de stille reden waarom veel antwoorden onvolledig zijn.
- Afspraken met je verwerkers. Artikel 28.3.e verplicht hen tot bijstand — tenminste als ze effectief verwerker zijn en geen zelfstandig verantwoordelijke. Zet er een concrete termijn op in de verwerkersovereenkomst, anders sta je te wachten op een leverancier terwijl jouw maand doorloopt.
- Een fiche per verzoek, met de datum van ontvangst, de identiteitscontrole, de deadline, en de datum waarop je een eventuele verlenging meedeelde. Wie dit in een mailbox bijhoudt, ontdekt de deadline achteraf.
Veelgestelde vragen
Moet een inzageverzoek schriftelijk gebeuren?
Nee. Een mondeling verzoek telt ook. Het hoeft ook niet naar het juiste adres te gaan en het woord «inzage» hoeft er niet in te staan. Leg mondelinge verzoeken meteen schriftelijk vast, met datum.
Mag ik vragen waarom iemand inzage wil?
Vragen mag, maar je mag het antwoord niet als voorwaarde stellen. De betrokkene hoeft geen reden op te geven. In de praktijk helpt de vraag wel om gericht te zoeken — stel ze dus als dienstverlening, niet als drempel.
Mag ik kosten aanrekenen?
De eerste kopie is gratis. Voor bijkomende kopieën mag je een redelijke vergoeding vragen op basis van de administratieve kosten, en bij kennelijk ongegronde of buitensporige verzoeken ook voor het eerste antwoord.
Wat als de betrokkene een ex-werknemer is met een lopend geschil?
Het recht op inzage geldt onverkort, ook als het motief duidelijk het geschil is. Het motief maakt een verzoek niet ongegrond. Wat je wél mag: gegevens van andere personen afschermen, en communicatie die onder het beroepsgeheim van je advocaat valt uitsluiten, met vermelding dat je dat doet.
Het DPO-dossier geeft elk verzoek een fiche met de termijn van één maand, de identiteitscontrole en de meldingsplicht bij verlenging, en zet alles wat loopt op één termijnenscherm. Dertig dagen gratis proberen.
