Toelichting
Instellingen hebben regelmatig te maken met inzageverzoeken als: 'Ik wil graag alles zien wat jullie over mij hebben.' of 'Verwijder al mijn gegevens a.u.b.' Als instelling wil je zo'n inzageverzoek correct én binnen de wettelijke termijn afhandelen.
Je kunt de gevraagd informatie pas overhandigen als je de identiteit van de betrokkene hebt vastgesteld. Je wilt immers zeker weten dat de gegevens bij de juiste persoon terechtkomt. Bepaald ook de scope van het verzoek: om welke gegevens gaat het precies. Want 'alle gegevens' gaan zelfs over over de registratiemomenten van de toegangspas. Het gebeurt dan vaak dat een aanvrager niet altijd direct op vragen reageert of kan slecht bereikbaar is. Hoe kun je dan toch goed handelen, binnen de wettelijke termijn?
Antwoord
Je bent als instelling weliswaar verplicht om binnen een maand te reageren op zo'n verzoek, maar het is niet verplicht om het verzoek binnen een maand volledig af te handelen en gegevens te verstrekken. Je moet de aanvrager wel binnen een maand vertellen hoe je het verzoek gaat afhandelen. In de reactie vertel je wat je nodig hebt om de aanvraag correct af te handelen (verificatie van identiteit en bepaling van de scope van gegevens) en wat de verwachte doorlooptijd is. Meestal is dit ook het moment waarop je kunt afstemmen hoe je omgaat met de identificatie van die persoon, navraag over wat de persoon precies wil zien (de scope van het verzoek bepalen). Als dit niet lukt, of als het een complexe situatie is, kan de doorlooptijd langer worden. Ook dit laat je de aanvrager weten.
Dus:
- reageer binnen een maand en vertel wat je nodig hebt om de aanvraag correct af te handelen (inclusief identificatie wanneer dat nodig is) en vertel wat de verwachte doorlooptijd is
- als het een complexe situatie is, leg dan uit dat de doorlooptijd langer kan zijn dan een maand
- lukt het niet om binnen een maand de identiteit van de aanvrager te verifiëren of de scope van het verzoek te bepalen, dan kun je nog niet voldoen aan de aanvraag. Omdat je verplicht bent om de scope van het verzoek en de identiteit van de persoon te verifiëren, kan de termijn van één maand worden gepauzeerd als het niet mogelijk is om de persoon te identificeren of de scope te bepalen. Dit laat je ook aan de aanvrager weten. Je kunt de tijd dan gebruiken om de gegevens compleet te krijgen zodat het verzoek kan worden afgehandeld.
Tips voor je interne proces
- Identificatie - De organisatie kan ervoor kiezen bepaalde manieren van verificatie als voldoende te beschouwen, bijvoorbeeld:
- als het verzoek afkomstig is van een eigen instellingsaccount
- tonen van de instellingspas/toegangspas (mits foto)
Is er geen geldig verificatiemiddel aanwezig, dan moet de aanvrager het identiteitsbewijs (paspoort, ID-kaart of rijbewijs) tonen*, bijvoorbeeld bij de servicedesk. Een alternatief kan zijn het tonen van het ID-bewijs via een onlinemeeting waarbij geen opname zijn toegestaan (zorg voor encryptie).
Er zijn nog andere manieren denkbaar (zoals de app Kopie-ID), maar het is belangrijk om goed te kunnen inschatten of daadwerkelijk de juiste persoon de aanvraag doet en zich identificeert.
* Tonen is nodig omdat je voor de controle van iemands identiteit géén kopie van een ID-bewijs mag maken of verwerken. Een digitaal toegestuurde kopie heeft geen rechtsgeldigheid.
Het antwoord op deze pagina is gebaseerd op een advies van ICTRecht aan MBO Digitaal.