Uw rechten onder de GDPR uitgelegd

De Algemene Verordening Gegevensbescherming (AVG of GDPR) geeft elke EU-burger acht rechten tegenover organisaties die hun persoonsgegevens verwerken:

1. Recht op informatie — u mag weten wie uw data verwerkt en waarvoor
2. Recht op inzage — u mag een kopie opvragen van alle data die een organisatie over u heeft
3. Recht op rectificatie — u mag foutieve gegevens laten corrigeren
4. Recht op verwijdering (recht op vergetelheid) — u mag vragen uw data te verwijderen
5. Recht op beperking — u mag vragen de verwerking tijdelijk te stoppen
6. Recht op overdraagbaarheid — u mag uw data opvragen in een leesbaar formaat om mee te nemen
7. Recht van bezwaar — u mag bezwaar maken tegen bepaalde verwerkingen, zoals direct marketing
8. Recht i.v.m. geautomatiseerde beslissingen — u mag niet uitsluitend onderworpen worden aan een geautomatiseerde beslissing die u significant raakt

Het recht op inzage is het meest gebruikte GDPR-recht. U kunt bij elk bedrijf of organisatie een inzageverzoek (SAR - Subject Access Request) indienen.

Wat moet de organisatie u geven?

• Een kopie van alle persoonsgegevens die ze over u hebben
• Waarom ze die gegevens verwerken
• Hoe lang ze de gegevens bewaren
• Met wie ze de gegevens delen
• Waar de gegevens vandaan komen (als ze niet door u zelf zijn gegeven)

Praktisch: U kunt dit opvragen bij uw bank, werkgever, webshops, sociale mediaplatformen, verzekeringsmaatschappijen — bij elke organisatie die uw gegevens verwerkt.

Termijn: De organisatie heeft één maand om te antwoorden. Bij complexe verzoeken mag dit verlengd worden tot drie maanden, maar u moet dan binnen de eerste maand verwittigd worden.

Het recht op vergetelheid (of recht op wissing) geeft u het recht uw gegevens te laten verwijderen — maar het is niet absoluut.

Wanneer kunt u verwijdering eisen?

• De gegevens zijn niet langer nodig voor het doel waarvoor ze werden verzameld
• U trekt uw toestemming in en er is geen andere rechtsgrond
• U maakt bezwaar en er zijn geen dwingende gerechtvaardigde gronden
• De gegevens werden onrechtmatig verwerkt

Wanneer werkt het recht op vergetelheid NIET?

• Als de organisatie een wettelijke verplichting heeft de gegevens bij te houden (bv. boekhouding, belastingen)
• In het kader van een rechtszaak
• Voor journalistieke of wetenschappelijke doeleinden
• Medische gegevens die nodig zijn voor de volksgezondheid

Praktisch voorbeeld: U wilt uw account verwijderen bij een webshop. De webshop moet uw profielgegevens verwijderen, maar mag uw aankoopgeschiedenis bijhouden zolang de boekhoudkundige bewaartermijn (7 jaar in België) loopt.

Het recht van bezwaar is bijzonder krachtig als het gaat om direct marketing. U kunt altijd en zonder opgave van reden bezwaar maken tegen het gebruik van uw gegevens voor reclame.

Hoe werkt het?

• Stuur een e-mail naar de organisatie met de mededeling dat u bezwaar maakt tegen het gebruik van uw gegevens voor marketing
• De organisatie moet hier onmiddellijk mee stoppen — er is geen uitzonderingsgrond
• Dit geldt ook als u ooit toestemming had gegeven

Uitschrijven vs. bezwaar maken:
Uitschrijven via de afmeldlink stopt enkel de nieuwsbrief. Bezwaar maken via de GDPR stopt alle marketing én verplicht het bedrijf te bevestigen dat uw gegevens niet meer voor dit doel worden gebruikt.

Stap 1: Identificeer de verwerkingsverantwoordelijke
Dit is het bedrijf of de organisatie die uw data verwerkt. Op hun website moeten ze een privacyverklaring hebben met contactgegevens voor privacygerelateerde vragen — vaak een Data Protection Officer (DPO).

Stap 2: Stuur een verzoek
Dit kan per e-mail of brief. U moet zich identificeren zodat de organisatie zeker weet dat het verzoek van u komt. Een kopie van uw identiteitskaart mag gevraagd worden, maar is niet altijd verplicht.

Stap 3: Wacht op antwoord
De organisatie heeft 1 maand (soms 3 maanden) om te reageren. Ze mogen geen vergoeding vragen voor een eerste verzoek.

Stap 4: Bent u niet tevreden?
Indien de organisatie niet reageert of weigert, kunt u een klacht indienen bij de Gegevensbeschermingsautoriteit (GBA) via gegevensbeschermingsautoriteit.be. De GBA kan handhavingsmaatregelen nemen en boetes opleggen.