Op basis van de wet heb je recht op inzage in je persoonsgegevens. Dit recht wordt per 25 mei 2018 geregeld in een Europese verordening. Tijdens mijn stage bij Bits of Freedom onderzocht ik wat de gevolgen van de nieuwe regels zijn voor de praktijk. De belangrijkste veranderingen staan hieronder op een rij.

Recht op inzage, hoe zat het ook alweer?

Even opfrissen, want in de kern blijft het toekomstige inzagerecht gelijk aan het recht dat we nu al hebben. De wet geeft je het recht op inzage in jouw persoonsgegevens die door bedrijven, overheden en anderen gebruikt worden. Naast welke gegevens ze gebruiken heb je ook recht op informatie over onder andere de doeleinden waarvoor ze je gegevens gebruiken en met wie je gegevens gedeeld worden. Zo maakt dit recht het mogelijk om een beter beeld te krijgen van welke gegevens een partij over jou verzamelt en je kunt beter controleren of een partij goed met die gegevens omgaat.

1. Je hebt recht op meer informatie

Allereerst heb je onder de nieuwe regels recht op meer informatie dan waar je nu recht op hebt. Zo moet je erop gewezen worden als er op basis van je persoonsgegevens geautomatiseerde besluiten worden genomen, bijvoorbeeld op basis van een profiel, wat hiervan de onderliggende logica is en wat het belang en de verwachte gevolgen hiervan voor jou zijn. Ook moet je informatie ontvangen over hoe lang je gegevens bewaard zullen worden of, als dit niet mogelijk is, welke criteria worden gebruikt om de bewaartermijn te bepalen. Komen je gegevens in landen buiten de Europese Unie terecht, dan moet je desgevraagd ook informatie ontvangen over de maatregelen die genomen zijn om die gegevens te beschermen. De verkregen informatie kan een aanleiding zijn om verdere acties te ondernemen. Daarom moet je straks gewezen worden op jouw rechten en de mogelijkheden om die rechten te halen, bijvoorbeeld dat je het recht hebt om je gegevens te laten verwijderen of dat je een klacht kunt indienen bij de toezichthouder.

2. De informatie ontvang je gratis

Het uitoefenen van je recht op inzage wordt gratis. Toch niet geheel onbelangrijk. Op dit moment kunnen nog redelijke kosten in rekening worden gebracht als je een beroep op je inzagerecht doet. Straks mag dit niet meer. Het is alleen nog mogelijk om kosten in rekening te brengen als je verzoek kennelijk ongegrond of buitensporig is. Het gaat dan echt om uitzonderingsgevallen, bijvoorbeeld als je bij dezelfde partij expres heel vaak en achter elkaar om inzage vraagt om de boel te traineren.

3. Je ontvangt de informatie binnen een maand of uiterlijk drie maanden

Na het indienen van een verzoek kun je binnen een maand een reactie verwachten. Die reactie kan bestaan uit het verlenen van inzage, het weigeren van inzage of de mededeling dat een inhoudelijke reactie later volgt. Er moet in elk geval binnen drie maanden inzage worden verleend of op een terechte grond geweigerd worden. Op dit moment is de reactietermijn vier weken en zijn er aan verlenging geen regels verbonden.

4. Digitaal afhandelen van verzoeken

Partijen moeten in principe het digitaal afhandelen van een verzoek mogelijk maken. Dit geldt met name als de gegevens ook digitaal verwerkt worden. Op deze manier wordt het hopelijk eenvoudiger om een inzageverzoek te doen, de inzage te verlenen en je gegevens te corrigeren of verwijderen. Google en Facebook doen hiertoe al een poging via de ‘privacy dashboards’ in je account, maar geven nog slechts een beperkte blik op alle gegevens die ze over jou hebben. De advertentiecategorieën die aan je account zijn gekoppeld, zijn meestal wel zichtbaar voor jou als gebruiker, maar toegang tot de diepere lagen van je profiel wordt nog niet gegeven. Denk dan aan de gegevens waar die categorieën op gebaseerd zijn. Ontvang je de informatie liever schriftelijk? Dan kun je dit straks bij je verzoek aangeven.

5. Vervolgstappen in eigen land

Ben je het niet eens met de afhandeling van jouw verzoek, dan kun je vervolgstappen ondernemen. Klachten kun je indienen bij de Autoriteit Persoonsgegevens. Dit geldt straks ook als de organisatie die zich volgens jou niet aan de regels houdt in een ander land gevestigd is. Daarnaast kun je ook naar de Nederlandse rechter stappen als een buitenlandse partij zich niet aan de regels houdt, tenzij jouw gegevens door een overheidsinstantie in een andere lidstaat van de Europese Unie voor een publieke taak verwerkt zijn. In dat geval moet je bij de rechter van die lidstaat aankloppen.