Recht op inzage
Het is soms lastig om zicht te krijgen op welke persoonsgegevens er precies worden verwerkt. De betrokkene heeft er echter wel recht op om dit te weten, en om hier zo nodig tegen op te treden. De (verantwoordelijke voor de) verwerking is verplicht om de betrokkene op zijn verzoek binnen vier weken te informeren of persoonsgegevens betreffende hem of haar worden verwerkt en een kopie daarvan te verstrekken. De betrokkene kan de verwerker naar aanleiding van de kopie verzoeken de gegevens te verbeteren, aan te vullen, te verwijderen of af te schermen als ze bijvoorbeeld niet juist zijn.
De inzage betreft allerlei informatie over de verwerkingen binnen de organisatie. De bewaartermijn, doorgifte aan andere organisaties, het type persoonsgegevens dat de organisatie verwerkt en waarom. De organisatie is daarnaast verplicht om aan te geven welke rechten de betrokkene nog meer heeft en hoe de betrokkene een klacht kan indienen bij de toezichthouder, de Autoriteit Persoonsgegevens. Deze informatie heeft een organisatie vaak al paraat op het moment dat een verzoek van een betrokkene binnenkomt. Zowel in het privacybeleid als in het verwerkingsregister is een hoop van de informatie al vastgelegd.
Recht op aanvulling, rectificatie, beperking en verwijdering
Een betrokkene kan de organisatie verzoeken om de persoonsgegevens te verbeteren en/of aan te vullen zodat de persoonsgegevens weer correct zijn: het recht op aanvulling en het recht op rectificatie van persoonsgegevens. Dat kan na een beroep op het recht op inzage, maar ook los daarvan.
Ook een beroep op het recht op beperking van de verwerking is mogelijk. Wanneer een betrokkene van mening is dat niet alle persoonsgegevens nodig zijn voor de verwerking, kan zij dat aan een organisatie duidelijk maken. De organisatie is in principe verplicht om mee te werken aan een dergelijk verzoek, maar kan aangeven dat de persoonsgegevens toch nodig zijn, bijvoorbeeld vanwege een wettelijke verplichting. Is het voor een organisatie niet duidelijk? Dan moeten ze voorlopig stoppen met de verwerking totdat duidelijk is of de belangen van de betrokkene zwaarder wegen dan die van de organisatie.
Betrokkenen kunnen ook altijd een verzoek doen om de persoonsgegevens te wissen, ook wel het recht op vergetelheid genoemd. Dat recht is niet absoluut: vaak kan een organisatie dat verzoek om verwijdering weigeren. Een organisatie kan bijvoorbeeld een procedure voeren waarin de persoonsgegevens nodig zijn. De organisatie moet wel uitleggen waarom zij persoonsgegevens niet wist.
Recht van bezwaar en recht op dataportabiliteit
Het recht van bezwaar ziet op twee grondslagen uit de AVG. De vervulling van een taak van algemeen belang en het gerechtvaardigd belang. Bij de belangenafweging die de verwerkingsverantwoordelijke in deze situaties maakt, kunnen individuele belangen van personen mogelijk onvoldoende worden meegenomen. Als dit het geval is, dan kan de betrokkene op grond van persoonlijke omstandigheden bezwaar maken tegen de verwerking. De verwerkingsverantwoordelijke moet dan stoppen met de verwerking, tenzij hij aantoont dat zijn belangen alsnog zwaarder wegen. Bij direct marketing moet de verwerkingsverantwoordelijke hoe dan ook stoppen met de verwerking als de betrokkene bezwaar maakt.
Het recht op dataportabiliteit is nieuw onder de AVG en gaat alleen over digitale bestanden. Het biedt betrokkenen niet alleen de kans om persoonsgegevens op te vragen, maar om ze over te laten dragen aan een andere organisatie. Stel dat je dezelfde dienst wil afnemen bij een nieuwe aanbieder, dan kan je sinds de AVG vragen om de persoonsgegevens te laten doorsturen aan die nieuwe organisatie. Beide organisaties moeten meewerken aan de overdracht via een gangbaar bestandstype. Een organisatie is verplicht om mee te werken aan dit verzoek en mag er ook geen kosten voor in rekening brengen bij de betrokkene.
