Antwoord

Je bent als instelling verplicht om binnen een maand te reageren op zo'n verzoek en de gegevens binnen die termijn te verstrekken. In de praktijk is dat niet altijd mogelijk omdat applicatielandschappen vaak complex zijn. Is het erg ingewikkeld om dit binnen een maand af te handelen, dan mag je er maximaal twee maanden langer over doen. Maar dat moet je de aanvrager wel binnen die maand laten weten.

Toelichting

Organisaties hebben regelmatig te maken met inzageverzoeken als: 'Ik wil graag alles zien wat jullie over mij hebben.' of 'Verwijder al mijn gegevens a.u.b.' Soms moet je ook de identiteit verifiëren. Maar het gebeurt vaak dat een aanvrager niet altijd snel op vragen reageert of slecht bereikbaar is. Hoe kun je dan toch op de juiste manier handelen, binnen de wettelijke termijn?

Je kunt de gevraagde informatie pas overhandigen als je de identiteit van de betrokkene hebt vastgesteld. Je wilt immers zeker weten dat de gegevens bij de juiste persoon terechtkomen. Je kunt dat bijvoorbeeld doen als je kunt vaststellen dat het verzoek uit een instellingsaccount binnenkomt (digitale aanvraag of tonen toegangpas van de instelling). In andere gevallen moet je misschien het identiteitsbewijs checken (laat dit tonen, kopieer het niet).

Probeer ook de scope van het verzoek te bepalen: om welke gegevens gaat het precies. Want 'alle gegevens' gaan zelfs over over de registratiemomenten van de toegangspas. Van de rechter mag je vragen om een verzoek te precisiëren, maar een aanvrager hoeft niet aan te geven waarom de inzage wordt gevraagd. Heb je veel gegevens en weigert de aanvrager te precisiëren, dan kun je dit in uiterste gevallen weigeren. Je moet dat wel goed motiveren.

Normaal gesproken handel je een inzageverzoek dus binnen een maand af en overhandig je de gevraagde gegevens. Als dat nog niet kan, vertel je de aanvrager zo snel mogelijk hoe je het verzoek gaat afhandelen: in de reactie vertel je wat je nodig hebt om de aanvraag correct af te handelen en wat de verwachte doorlooptijd is. Meestal is dit het moment waarop je kunt afstemmen hoe je omgaat met de identificatie van die persoon, en eventuele navraag over wat de persoon precies zoekt (de scope van het verzoek bepalen). Als dit niet lukt, of als het een complexe situatie is, kan de doorlooptijd langer worden. Ook dit laat je de aanvrager weten (binnen een maand).

Tips voor je interne proces

• reageer zo snel mogelijk en vertel wat je nodig hebt om de aanvraag correct af te handelen (inclusief identificatie wanneer dat nodig is) en vertel wat de verwachte doorlooptijd is. Normaal gesproken is dat maximaal een maand, maar dit hangt ook samen met bijvoorbeeld de mogelijkheid tot identificatie
• lukt het niet om binnen een maand de identiteit van de aanvrager te verifiëren of de scope van het verzoek te bepalen, dan kun je nog niet voldoen aan de aanvraag. Omdat je verplicht bent om de identiteit van de persoon te verifiëren, kun de termijn van één maand pauzeren als dat niet mogelijk is. Dit laat je ook aan de aanvrager weten.
• als het een complexe situatie is of als het om grote aantallen gaat, leg dan uit dat de doorlooptijd langer kan zijn dan een maand. Wees altijd duidelijk over wanneer je verwacht inhoudelijk te kunnen antwoorden.
• Identificatie - De organisatie kan ervoor kiezen bepaalde manieren van verificatie als voldoende te beschouwen, bijvoorbeeld:
  • als het verzoek afkomstig is van een eigen instellingsaccount
  • tonen van de instellingspas/toegangspas (mits foto)

Is er geen geldig verificatiemiddel aanwezig, dan moet de aanvrager het identiteitsbewijs (paspoort, ID-kaart of rijbewijs) tonen*, bijvoorbeeld bij de servicedesk. Maak geen kopie. Een alternatief kan zijn het tonen van het ID-bewijs via een onlinemeeting waarbij geen opname zijn toegestaan (zorg voor encryptie).

Er zijn nog andere manieren denkbaar (zoals de app Kopie-ID), maar het is belangrijk om goed te kunnen inschatten of daadwerkelijk de juiste persoon de aanvraag doet en zich identificeert.

* Tonen is nodig omdat je voor de controle van iemands identiteit géén kopie van een ID-bewijs mag maken of verwerken. Een digitaal toegestuurde kopie heeft geen rechtsgeldigheid.

^{Het antwoord op deze pagina is gebaseerd op een advies van ICTRecht aan MBO Digitaal, PM Partners en aanpassingen van maart 2026 door de Autoriteit Persoonsgegevens op basis van recente rechtspraak}