Als ondernemer ben jij gewoon altijd met persoonsgegevens bezig, of je het nou wil of niet. Nieuwsbrief versturen hier, factuur verwerken daar. Al die personen waarvan jij de persoonsgegevens verwerkt, ook wel betrokkenen genoemd, hebben rechten met betrekking tot hun persoonsgegevens.
De rechten van de betrokkene
Het is nogal een rijtje, dus ik som eerst even op welke rechten de betrokkene allemaal heeft. Daarna ga ik er uitgebreider op in.
- Recht op informatie;
- Recht van inzage;
- Recht op rectificatie en aanvulling;
- Recht op gegevenswissing;
- Recht op beperking van de verwerking;
- Recht op overdraagbaarheid van de persoonsgegevens;
- Recht van bezwaar;
- Recht om niet onderworpen te worden aan geautomatiseerde individuele besluitvorming.
Recht op informatie
Volgens de AVG moeten persoonsgegevens worden verwerkt op een manier die ten aanzien van de betrokkene transparant is. Met andere woorden: De betrokkene moet informatie krijgen over hoe er met zijn persoonsgegevens om wordt gegaan. Daar heeft de AVG wat voor bedacht: de alom bekende én verplichte privacyverklaring. Deze privacyverklaring moet voldoen aan de eisen van de AVG. Heb jij al een privacyverklaring die aan de AVG voldoet?
Recht van inzage
Daarnaast heeft betrokkene het recht uitsluitsel te krijgen over of jij persoonsgegevens van hem verwerkt of niet, en wanneer je dat doet, om bepaalde persoonsgegevens in te zien. Dat zijn:
- de verwerkingsdoeleinden van de persoonsgegevens die jij van hem verwerkt;
- de categorieën persoonsgegevens die jij van hem verwerkt;
- de (categoriën) partijen aan wie zijn persoonsgegevens zijn of zullen worden verstrekt, met name partijen in landen buiten de EU of internationale organisaties;
- de bewaartermijn van zijn persoonsgegevens of het criterium wat aan die termijn is gehangen;
- wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens.
Als de betrokkene zo’n verzoek doet, moet jij de betrokkene een kopie van de persoonsgegevens verstrekken van de persoonsgegevens die jij van hem verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, dan mag jij hier een redelijke vergoeding voor vragen (in verband met administratiekosten die je maakt). Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, dan moet je de informatie elektronisch verstrekken.
Recht op rectificatie en aanvulling
Wanneer jij onjuiste persoonsgegevens van de betrokkene verwerkt, dan heeft de betrokkene het recht deze per direct door jou te laten rectificeren.
Daarnaast heeft hij het recht om de persoonsgegevens door jou te laten aanvullen als deze onvolledig zijn.
Recht op gegevenswissing
Misschien ken je het recht op gegevenswissing wel als “het recht om vergeten te worden”. Wat het betekent? In sommige gevallen heeft de betrokkene het recht om zijn gegevens per direct door jou te laten wissen. Dat zijn de volgende gevallen:
- De persoonsgegevens van dat persoon zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of verwerkt;
- De betrokkene heeft eerder toestemming gegeven om zijn persoonsgegevens te verwerken, maar trekt deze in en er zijn geen andere grondslagen voor jou om die persoonsgegevens te verwerken (meer over alle grondslagen lees je in dit artikel);
- De betrokkene maakt bezwaar tegen een verwerking die jij doet, en er zijn voor jou geen prevalerende dwingende gerechtvaardigde gronden voor die verwerking;
- De betrokkene maakt bezwaar omdat zijn persoonsgegevens worden gebruikt voor direct marketing;
- Je hebt de persoonsgegevens onrechtmatig verwerkt;
- Je hebt van de betrokkene persoonsgegevens verwerkt terwijl hij nog kind was;
- Je moet de persoonsgegevens van de betrokkene wissen om te voldoen aan een aan jou neergelegde wettelijke verplichting.
Er zijn overigens uitzonderingen op bovenstaand. De betrokkene heeft het recht niet om zijn persoonsgegevens te laten wissen bijvoorbeeld omdat jij je vrijheid van meningsuiting wil uitoefenen.
Recht op beperking van de verwerking
De betrokkene heeft het recht om zijn persoonsgegevens in de toekomst door jou (tijdelijk) beperkt te laten verwerken. Opslaan van de gegevens wordt daarin niet meegerekend, dat mag je wel blijven doen. De gevallen waarin de betrokkene om beperking van de verwerking kan vragen, zijn:
- Wanneer de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die jou in staat stelt de juistheid van de persoonsgegevens te controleren;
- Wanneer de verwerking onrechtmatig is en de betrokkene zich verzet tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;
- Wanneer jij de persoonsgegevens niet meer nodig hebt voor de verwerkingsdoeleinden, maar de betrokkene heeft deze wel nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;
- De betrokkene heeft bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of jouw gerechtvaardigde gronden om de persoonsgegevens te verwerken zwaarder wegen dan die van de betrokkene.
Recht op overdraagbaarheid van de gegevens
Dit recht heet ook wel het “recht op dataportabiliteit”. Wat houdt het in? De betrokkene heeft het recht zijn persoonsgegevens, die hij aan jou heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen. Daarnaast heeft hij het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door jou.
De betrokkene heeft dit recht alleen als het gaat om persoonsgegevens die geautomatiseerd worden verwerkt op basis van toestemming, of wanneer de verwerking noodzakelijk is voor de uitvoering van de overeenkomst. Daarnaast mag dit recht geen afbreuk doen aan rechten en vrijheden van anderen.
P.s. een verwerkingsverantwoordelijke is de partij die het doel en de middelen bepaalt van de persoonsgegevensverwerking (ofwel, waarom en hoe de persoonsgegevens worden verwerkt).
Recht van bezwaar
De betrokkene heeft het recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens als die op de grondslag “gerechtvaardigd belang” of “algemeen belang” worden verwerkt (lees hier meer over de grondslagen). Wanneer de betrokkene dat doet, moet jij de verwerking van de persoonsgegevens staken. Dat is overigens anders als jij dwingend gerechtvaardigde gronden hebt voor die verwerking die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene, of die verband houden met een instelling, uitoefening of onderbouwing van een rechtsvordering.
Gebruik jij de persoonsgegevens van de betrokkene voor direct marketing? Dan mag de betrokkene altijd bezwaar maken en moet jij onmiddellijk stoppen met verwerking ervan voor dat doeleinde.
Wanneer persoonsgegevens worden verwerkt met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, dan heeft de betrokkene ook het recht hier bezwaar tegen te maken. Uitzondering is als de verwerking van zijn persoonsgegevens noodzakelijk is voor de uitvoering van een taak van algemeen belang.
Recht om niet onderworpen te worden aan geautomatiseerde individuele besluitvorming
De betrokkene heeft het recht niet te worden onderworpen aan een besluit dat uitsluitend is gebaseerd op een geautomatiseerde verwerking (waaronder profilering), waaraan voor hem rechtsgevolgen zijn verbonden of dat hem op een andere manier in aanmerkelijke mate treft. Een voorbeeld van zo’n besluit is geautomatiseerde afwijzing van sollicitaties, zonder dat er ook maar een mens naar heeft gekeken.
Wat wordt er dan onder profilering verstaan? Daaronder wordt verstaan iedere vorm van geautomatiseerde verwerking, waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling een analyse op te stellen of voorspellingen te doen. Bijvoorbeeld over zijn of haar beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen.
De betrokkene mag overigens wél worden onderworpen aan geautomatiseerde individuele besluitvorming als hij daar toestemming voor geeft, als dat noodzakelijk is voor de totstandkoming of uitvoering van de overeenkomst tussen de betrokkene en jou, of als dat is toegestaan op grond van een wet.
