De AVG komt eraan

Wat kun je er precies mee?

Andere rechten

Rechten op inzage en rectificatie

De rechten op inzage en rectificatie zijn niet nieuw en bestonden ook al onder de Wbp. Stel dat je je gegevens alleen wilt inzien en niet meteen wilt verhuizen. Dan kun je van deze mogelijkheid gebruikmaken. De AVG noemt het voorbeeld dat je het kunt gebruiken om informatie in jouw medisch dossier in te zien. De organisatie die jouw gegevens verwerkt, moet bovendien desgevraagd de nodige informatie verstrekken. Dat is bijvoorbeeld nuttig als je erachter wilt komen voor welk doel je gegevens worden verwerkt, aan wie ze zijn doorgegeven, hoe lang ze worden opgeslagen, wat de bron van de gegevens is en of er geautomatiseerde beslissingen op basis van de data worden genomen. Bij dat laatste kun je ook denken aan profiling.

Je krijgt vervolgens een kopie van de gegevens. Dat kan ook digitaal, als je het verzoek op die manier hebt ingediend, bijvoorbeeld door een mail te sturen en niet specifiek om papieren kopieën te vragen. Als je dan toch je gegevens inziet, kun je fouten meteen laten herstellen. Dat volgt uit het recht op rectificatie, dat apart wordt genoemd in de AVG, maar verder niet veel om het lijf heeft. Ontbreekt er bijvoorbeeld informatie, dan kun je die aanvullen. Als de verwerkende organisatie jouw informatie heeft doorgegeven aan andere partijen, dan moet ze die ook op de hoogte stellen van de wijziging van de gegevens, voor zover mogelijk.

Recht op beperking van de verwerking

Van deze mogelijkheid zul je waarschijnlijk niet vaak gebruikmaken, maar in bepaalde gevallen kan het vragen om beperking van de verwerking van data handig zijn. Dit houdt in dat je een organisatie kunt vragen om jouw data tijdelijk niet te verwerken. Volgens de AVG betekent dit dat jouw data dan ook als zodanig gelabeld moet worden en niet mag worden verwerkt of gewijzigd. Uit een uitleg van de Britse privacytoezichthouder is op te maken dat het er in feite op neerkomt dat alleen de opslag van jouw gegevens nog is toegestaan en verder niets. Voor alle andere activiteiten is toestemming of een andere reden vereist.

Afbeelding van Josh Hallett, CC BY 2.0

Je kunt maar in een handjevol gevallen van deze optie gebruikmaken, bijvoorbeeld als je hebt aangegeven dat jouw gegevens niet juist zijn. Dan heeft de organisatie even de tijd om die gegevens aan te passen en kun je vragen in die periode geen verdere verwerking uit te voeren. Een ander voorbeeld is dat je vindt dat de verwerking onrechtmatig is en dat je in plaats van het wissen van de data vraagt om een beperking. Het recht lijkt dus vooral bedoeld als een tijdelijke maatregel in afwachting van verdere stappen.

Recht op bezwaar

Ook als je bezwaar maakt, moet de desbetreffende organisatie de verwerking beperken, voor zover nog niet duidelijk is of je gelijk hebt. Dat brengt ons op het recht op bezwaar, wat erop neerkomt dat je een organisatie kunt vragen te stoppen met het verwerken van jouw data vanwege jouw specifieke situatie. Dit is echter alleen mogelijk als de verwerking plaatsvindt op basis van een van twee van de in totaal zes beschikbare gronden, namelijk een algemeen of een gerechtvaardigd belang. Daaruit volgt dat je bijvoorbeeld niet eerst toestemming kunt geven en dan bezwaar kunt maken; je kunt dan beter gewoon je toestemming intrekken.

Het wordt interessanter in het geval van direct marketing. Stuurt een bedrijf jou online of offline marketingmateriaal, dan kun je altijd gratis bezwaar maken.Stuurt een bedrijf jou online of offline marketingmateriaal,
dan kun je altijd gratis bezwaar maken Dat bedrijf mag dan jouw gegevens hier niet meer voor gebruiken. Hierbij geldt niet de hierboven genoemde eis dat je specifiek voor jou geldende redenen moet noemen. De AVG voegt daaraan toe dat het recht van bezwaar ook van toepassing is als organisaties jouw gegevens gebruiken voor profiling. In het zojuist genoemde voorbeeld gaat het om profiling voor marketingdoeleinden. Organisaties moeten je bovendien informeren over de mogelijkheid om bezwaar te maken.

Recht bij geautomatiseerde besluiten en profiling

Het kan voorkomen dat bedrijven beslissingen over jou nemen waar geen mens aan te pas komt. Bijvoorbeeld bij het online invullen van een sollicitatieformulier. Op basis van de inhoud is het mogelijk dat je automatisch wordt afgewezen als je niet aan een bepaalde eis voldoet. Daarnaast kunnen bedrijven profielen van jou opstellen op basis van jouw data. De AVG bevat een definitie van dit begrip, waaruit volgt dat het gaat om evaluatie van gegevens 'met de bedoeling om beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen'. Het kan dus ook voorkomen dat een organisatie een besluit over jou neemt op basis van een dergelijk profiel, dat niet altijd de waarheid hoeft weer te geven.

Volgens de huidige en de nieuwe wet mag dat in bepaalde gevallen, maar heb je het recht om de organisatie een nieuw besluit te laten nemen waar wel een mens bij is betrokken. Het moet dan om een besluit van een organisatie gaan dat juridische gevolgen heeft of dat jou 'in aanmerkelijke mate treft'. Dat laatste is een nogal rekbaar begrip, waardoor niet helemaal duidelijk is wanneer hiervan sprake is.

Geautomatiseerde besluiten over personen zijn toegestaan als ze nodig zijn om bijvoorbeeld de verplichtingen uit een overeenkomst uit te voeren. Een andere mogelijkheid is dat je toestemming hebt gegeven dat jouw gegevens zo worden verwerkt. In die gevallen moet de organisatie in kwestie wel maatregelen nemen om jouw rechten te beschermen en om je de kans te geven een dergelijk geautomatiseerd besluit aan te vechten. Als je meer wilt weten over de onderliggende logica van de geautomatiseerde besluiten, kun je bovendien het recht op inzage gebruiken om hierover informatie op te vragen bij de desbetreffende organisatie. Ten slotte bestaat de verplichting jou over de aanwezigheid en de gevolgen van profiling te informeren.

Nota bene

Het is voor de volledigheid belangrijk te vermelden dat de hier genoemde rechten niet zonder beperkingen zijn. Ook die worden allemaal genoemd in de AVG, maar het zijn er te veel om hier op te sommen. Het komt erop neer dat zwaarder wegende belangen de rechten kunnen inperken. Denk aan dingen als nationale en openbare veiligheid, en het voorkomen en opsporen van misdrijven.

Een ander belangrijk punt is dat je weinig aan deze rechten hebt als je ze niet kunt gebruiken. Daarom vereist de AVG dat organisaties het gebruik eenvoudig maken, bijvoorbeeld door procedures voor het inzien of wissen van gegevens in het leven te roepen. Verzoeken moeten bovendien langs elektronische weg mogelijk zijn en organisaties moeten er binnen een maand op reageren.

• Volgende pagina 5. De andere kant