Veel organisaties denken dat ze zelden te maken krijgen met een verzoek om persoonsgegevens in te zien of te laten verwijderen. Maar onder de AVG heeft iedereen dat recht, en wie niet of te laat reageert, riskeert een boete. Dat blijkt uit een uitspraak van de Raad van State (ECLI:NL:RVS:2024:2221).
Een klein recruitmentbureau ontving een verzoek van een oud-kandidaat om zijn gegevens te verwijderen. Het bureau had deze gegevens nog in een oud systeem staan, maar reageerde niet binnen de wettelijke termijn van één maand.
De betrokkene diende daarop een klacht in bij de Autoriteit Persoonsgegevens (AP), die de organisatie een boete van € 6.000 oplegde wegens het niet naleven van de AVG.
Het bureau ging in beroep maar de Raad van State bevestigde: wie persoonsgegevens verwerkt, moet verzoeken van betrokkenen serieus, tijdig en volledig afhandelen. Dat het om een klein bedrijf gaat of dat de administratie deels handmatig is, doet daar niets aan af.
Ook kleine organisaties moeten voldoen
De uitspraak maakt duidelijk dat:
- iedere organisatie die persoonsgegevens verwerkt (hoe klein ook) een duidelijke procedure moet hebben voor inzage- en verwijderverzoeken;
- het onvoldoende is om alleen “te beloven dat je ernaar kijkt”; er moet ook binnen de termijn een antwoord komen;
- je moet kunnen aantonen dat je het verzoek hebt opgevolgd of – als je het weigert – waarom.
De uitspraak laat zien dat de AVG voor iedereen geldt, van multinationals tot kleine stichtingen.
Zo voorkom je een boete
- Wees bereikbaar: zorg dat er één duidelijk e-mailadres of formulier is waar mensen privacyverzoeken kunnen indienen.
- Regel een vast proces: noteer wie binnen jouw organisatie verantwoordelijk is voor het afhandelen van verzoeken.
- Leg alles vast: bewaar een kort logboek waarin je bijhoudt wanneer een verzoek is ontvangen en afgehandeld.
- Gebruik het stappenplan van AVG-support.nl: daarin vind je precies hoe je zo’n verzoek netjes afhandelt en vastlegt.
Een kleine fout kan grote impact hebben
Het lijkt een klein foutje, een gemist mailtje of een vergeten reactie, maar het kan leiden tot een boete én reputatieschade. Juist kleinere organisaties hebben vaak geen privacyteam, maar moeten wél voldoen aan dezelfde regels. Een duidelijke procedure voorkomt stress, fouten én klachten bij de AP.
Meer weten?
Lees de uitspraak op rechtspraak.nl: ECLI:NL:RVS:2024:2221
Foto bij artikel: Raad van State/Tineke Dijkstra.
Probeer AVG-support.nl 30 dagen gratis
Wil je eenvoudig voldoen aan de AVG regels? AVG-support.nl helpt je te doen wat nodig is.
- toets je organisatie en neem noodzakelijke maatregelen
- maak gebruik van alle juridische documenten
- behaal het AVG OK-vignet en laat zien dat je privacy serieus neemt
Ontdek zelf hoe het werkt. Maak een gratis proefaccount aan.
