Europees onderzoek naar afhandeling inzageverzoeken: veel verbetering mogelijk
Iedereen heeft het recht om te vragen welke persoonsgegevens een organisatie van hem, haar of hen gebruikt en hoe die gegevens worden gebruikt. In de aanloop naar de Dag van de Privacy op 28 januari 2025 onderzocht de European Data Protection Board (EDPB) hoe er met zulke inzageverzoeken wordt omgegaan.
Geen standaardwerkwijze
Uit het onderzoek blijkt onder meer dat organisaties vaak niet beschikken over een standaardwerkwijze voor inzageverzoeken. Sommige organisaties weigeren onterecht verzoeken om inzage. Het komt ook vaak voor dat er onnodige drempels worden opgeworpen, bijvoorbeeld het opvragen van een identiteitsbewijs als dat niet nodig is.
Voor het onderzoek vroegen dertig Europese privacytoezichthouders, waaronder de Nederlandse Autoriteit Persoonsgegevens (AP), aan 1185 publieke en private organisaties hoe ze omgaan met inzageverzoeken. De AP stelde de vragen aan 136 organisaties uit de publieke sector, waaronder 9 ministeries en 35 lokale overheden, en aan 116 organisaties uit de private sector.
Nederlandse situatie
De Europese uitkomsten komen grotendeels overeen met het beeld dat de AP in de dagelijkse praktijk ziet, schrijft de toezichthouder. In Nederland heeft dertig procent van de ondervraagde organisaties geen standaardwerkwijze voor inzageverzoeken. Een derde van de organisaties doet niet aan een systematische controle of monitoring van de behandeling van inzageverzoeken. Daarmee lopen ze het risico te laat of niet of inzageverzoeken te reageren.
Bovendien geeft twintig procent van de Nederlandse respondenten aan dat de functionaris gegevensbescherming (FG) inzageverzoeken afhandelt. Dit is eigenlijk niet wenselijk, omdat de FG een onafhankelijke interne toezichthouder is. Zou er een klacht zijn over de afhandeling van een inzageverzoek, dan zou de FG dus zichzelf de maat moeten nemen.
Twee derde redelijk tot goed
Het is zeker niet alleen maar kommer en kwel: uit het Europese onderzoek komen ook organisaties naar voren die het mensen juist makkelijk maken om een online inzageverzoek te doen. Soms kost het maar een paar klikken om de eigen persoonsgegevens te downloaden. Over het algemeen zegt twee derde van de toezichthouders dat organisaties in hun land redelijk tot goed omgaan met inzageverzoeken op basis van de algemene verordening gegevensbescherming (AVG).
De AP geeft in het rapport aan dat de verschillen tussen organisaties te groot zijn om hier een eenduidig antwoord op te geven. Over het algemeen zijn de meer gereguleerde sectoren, zoals de zorg, de financiële sector en de overheid beter in de afhandeling van inzageverzoeken, maar daarbinnen hangt het ook af van de grootte van de organisatie en het verwerken van persoonsgegevens behoort tot het primaire proces of niet.
Lees ook:
“Soms kost het maar een paar klikken om de eigen persoonsgegevens te downloaden.” De overheidsdienstverlening digitaliseert in de context van een systeemwereld die gemak hoger waardeert dan de bestuursrechtelijke normen. Digitalisering heeft directe invloed op de rechtsverhouding en op verantwoordelijkheid. De verantwoordelijkheidsverdeling (overheid-burger-techniek) is voor de burger onvoldoende inzichtelijk.
Zo ontbreekt expliciete duidelijkheid over verantwoordelijkheid bij (voorkomen van) misbruik en oneigenlijk gebruik van voorzieningen. Daarbij kopieert de overheid te makkelijk de voorbeelden van banken en verzekeraars. Die partijen regelen de verdeling structureel via eenzijdige voorwaarden.
Inzage in gegevens en dossiers is een wettelijk recht van belanghebbenden waar de overheid een zorgvuldige voorziening voor moet aanbieden die passende ondersteuning geeft bij het gebruik.
Om aan die zorgvuldigheid te kunnen voldoen is ook duidelijkheid nodig over de wensen en vaardigheden van belanghebbenden.
Wie zelf geen DigiD kan aanvragen is mogelijk ook niet bewust van risico’s en verplichtingen / verantwoordelijkheden. Handelingsbekwaamheid en doenvermogen zijn dynamische elementen.
De overheid moet stil staan bij wat hoort tot de rechtsverhouding (algemeen) en wat bij het gebruik van voorzieningen (specifiek).
Conclusie moet zijn dat wie geen inzage nodig heeft, ook niet geconfronteerd moet worden met (de verantwoordelijkheid voor) misbruik van de inzagevoorziening.