De AVG geeft iedere klant acht rechten over zijn of haar persoonsgegevens. Als webshop moet je die verzoeken herkennen én binnen één maand afhandelen. Hieronder per recht: wat het inhoudt, wanneer het geldt, en waar het in de praktijk misgaat.
De acht rechten in het kort
De rechten staan in hoofdstuk 3 van de AVG (artikelen 12 t/m 22). Voor een webshop zijn dit de rechten waar je verzoeken over kunt krijgen:
- Recht op informatie — je moet vooraf duidelijk maken wat je met gegevens doet (privacyverklaring).
- Recht op inzage — de klant mag een kopie van zijn gegevens opvragen.
- Recht op rectificatie — onjuiste gegevens corrigeren.
- Recht op vergetelheid — gegevens laten wissen (met uitzonderingen zoals de fiscale bewaarplicht).
- Recht op beperking — de verwerking tijdelijk 'op pauze' zetten.
- Recht op dataportabiliteit — gegevens in een gangbaar formaat meekrijgen of laten overdragen.
- Recht van bezwaar — bezwaar maken, met name tegen direct marketing.
- Rechten rond geautomatiseerde besluitvorming — niet onderworpen worden aan louter geautomatiseerde besluiten met rechtsgevolg.
Recht op inzage: wat moet je precies geven?
Bij een inzageverzoek geef je een kopie van de persoonsgegevens die je verwerkt, plus context: de doelen, de categorieën gegevens, de ontvangers (bijv. je fulfilment- en e-mailpartners), de bewaartermijn en de bron.
Let op: geen gegevens van anderen
Bevat een document ook gegevens van derden, dan lak je die weg. De inzage betreft alleen de gegevens van de verzoeker zelf.
Recht op dataportabiliteit: wanneer geldt het?
Dit recht geldt alleen voor gegevens die de klant zelf heeft aangeleverd en die je verwerkt op basis van toestemming of een overeenkomst, en die je geautomatiseerd verwerkt. Denk aan account- en bestelgegevens.
Je levert ze in een gestructureerd, gangbaar en machineleesbaar formaat (bijvoorbeeld CSV of JSON). Afgeleide gegevens die jij hebt gemaakt (zoals een klantsegment of scoring) vallen er buiten.
Hoe handel je een verzoek af? (stappenplan)
- Herken het verzoek — het hoeft niet formeel te zijn; een e-mail 'stuur mij mijn gegevens' telt al.
- Verifieer de identiteit, zonder onnodig veel extra gegevens te vragen.
- Reageer binnen één maand; bij complexe of talrijke verzoeken met twee maanden te verlengen, mits gemotiveerd binnen de eerste maand.
- Betrek je verwerkers — de gegevens leven vaak ook in je nieuwsbrief-, analytics- en fulfilmenttools.
- Documenteer verzoek, afweging en uitkomst (verantwoordingsplicht).
Waar gaat het in de praktijk mis?
- Verzoek niet herkennen omdat het niet 'AVG-verzoek' heet.
- Te laat reageren — de maand-termijn wordt structureel onderschat.
- Verwerkers vergeten bij inzage, wissing of bezwaar.
- Te veel identiteitsbewijs vragen — dat mag alleen als er gerede twijfel is.
Veelgestelde vragen
Binnen welke termijn moet ik reageren op een AVG-verzoek?
Binnen één maand na ontvangst. Is het verzoek complex of ontvang je er veel, dan mag je die termijn met twee maanden verlengen, mits je de betrokkene binnen de eerste maand gemotiveerd informeert.
Mag ik kosten rekenen voor het afhandelen van een verzoek?
In beginsel niet; het is kosteloos. Alleen bij kennelijk ongegronde of buitensporige verzoeken mag je een redelijke vergoeding vragen of het verzoek weigeren — die uitzondering wordt strikt uitgelegd.
Geldt het recht op dataportabiliteit voor alle klantgegevens?
Nee. Alleen voor gegevens die de klant zelf heeft aangeleverd, die je geautomatiseerd verwerkt op grond van toestemming of een overeenkomst. Door jou afgeleide gegevens, zoals klantsegmenten, vallen erbuiten.
Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg voor een concrete situatie altijd een jurist of advocaat.