Je bent als instelling verplicht om binnen een maand te reageren op een inzageverzoek en de gegevens binnen die termijn te verstrekken. Lukt dat niet, bijvoorbeeld omdat je applicatielandschap te complex is? Dan mag je er maximaal twee maanden langer over doen, mits je dit binnen die eerste maand aan de aanvrager laat weten.

Wanneer mag ik er langer dan een maand over doen?

Organisaties krijgen regelmatig brede inzageverzoeken zoals: "Ik wil graag alles zien wat jullie over mij hebben" of "Verwijder al mijn gegevens." Vaak moet je dan ook nog de identiteit van de aanvrager verifiëren, terwijl die niet altijd snel reageert of goed bereikbaar is. Hoewel dit vertraging oplevert, moet je toch binnen de wettelijke termijn blijven handelen. Dat lukt door twee dingen goed te regelen: identificatie en scope.

1. Identificatie

Je mag de gevraagde informatie pas overhandigen als je zeker weet dat de gegevens bij de juiste persoon terechtkomen. Dat kan op verschillende manieren:

• Het verzoek komt binnen vanuit een eigen instellingsaccount (digitale aanvraag).
• De aanvrager toont diens instellings-/toegangspas (let op: altijd met foto).
• Is er geen van beide? Dan toont de aanvrager een identiteitsbewijs (paspoort, ID-kaart of rijbewijs), bijvoorbeeld bij de servicedesk, of via een onlinemeeting zonder opname (zorg voor encryptie).

Belangrijk: maak geen kopie van het identiteitsbewijs, maar laat het alleen door de aanvrager tonen - een digitaal toegestuurde kopie heeft geen rechtsgeldigheid. Er zijn ook andere verificatiemethoden denkbaar - denk aan het tonen van een ID-bewijs via een online meeting (let op: opname van de meeting niet toegestaan) of verificatie via de app Kopie-ID - zolang je maar goed kunt inschatten dat de juiste persoon zich identificeert.

2. Scope bepalen

Bepaal ook om welke gegevens het precies gaat. 'Alle gegevens' kan namelijk alles omvatten, tot en met registratiemomenten van de toegangspas aan toe. Bekijk ook: Moet ik echt alle gevraagde documentatie verstrekken bij een inzageverzoek?

Je mag de aanvrager vragen om het verzoek te preciseren, al hoeft die niet te delen waarom het inzageverzoek wordt gedaan. Werkt de aanvrager niet mee aan precisering terwijl het om veel gegevens gaat? Dan kun je het verzoek in uiterste gevallen weigeren, mits goed gemotiveerd.

Samenvatting

• Reageer zo snel mogelijk op een inzageverzoek, in ieder geval binnen één maand.
• Vertel de aanvrager wat je nodig hebt om de aanvraag correct af te handelen (inclusief identificatie wanneer dat nodig is) en wat de verwachte doorlooptijd is.
• Lukt het niet om binnen een maand de identiteit van de aanvrager te verifiëren of de scope van het verzoek te bepalen, dan kun je de termijn pauzeren. Deel dit altijd tijdig aan de aanvrager mee.
• Is de situatie complex of gaat het om een grote hoeveelheid gegevens? Dan mag je er maximaal twee maanden langer over doen. Laat dit altijd binnen de eerste maand aan de aanvrager weten, inclusief een indicatie van de verwachte doorlooptijd.

^{Het antwoord op deze pagina is gebaseerd op een advies van ICTRecht aan MBO Digitaal, PM Partners en aanpassingen van maart 2026 door de Autoriteit Persoonsgegevens op basis van recente rechtspraak}