01/09/2026

Persoonsgegevens in Europa: welke rechten hebt u en hoe oefent u ze uit?

Inzage, rectificatie, wissing, overdraagbaarheid, bezwaar: de AVG geeft u concrete rechten. Dit is wat ze omvatten, waar hun grenzen liggen en welke stappen u bij een organisatie kunt zetten.

Illustratie van een beschermd digitaal profiel voor een cirkel van Europese sterren. — Illustratie: IRSOY

Een account aanmaken, online winkelen, een app gebruiken of een afspraak maken laat gegevens achter: identiteit, IP-adres, locatie, geschiedenis, voorkeuren, foto's, inloggegevens of betaalinformatie. In de Europese Unie worden deze gegevens niet het onbeperkte eigendom van de organisatie die ze verzamelt.

De Algemene verordening gegevensbescherming, bekend als de AVG of GDPR, geeft iedereen een aantal rechten om te begrijpen en te controleren hoe zijn of haar persoonsgegevens worden gebruikt. Deze rechten gelden ook voor bedrijven buiten de Unie wanneer zij goederen of diensten aanbieden aan personen die zich daarin bevinden, of hun gedrag volgen onder de voorwaarden van de verordening.

Ze geven u niet het recht om in alle omstandigheden om het even welke handeling te eisen. Elk recht heeft een toepassingsgebied, voorwaarden en soms uitzonderingen. Het belangrijkste is dat u precies vraagt wat u wilt en bewijs van de uitwisselingen bewaart.

Wat is een persoonsgegeven?

Een persoonsgegeven is informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon. Een naam is een duidelijk voorbeeld, maar ook een combinatie van gegevens kan identificatie mogelijk maken: een klantnummer, advertentie-identificatiecode, nummerplaat, locatiegegeven of IP-adres.

Sommige gegevens genieten extra bescherming, met name gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze overtuigingen, vakbondslidmaatschap, gezondheid, seksueel gedrag of seksuele gerichtheid blijken, en bepaalde genetische en biometrische gegevens.

Informatie die werkelijk en onomkeerbaar is geanonimiseerd, valt niet langer onder persoonsgegevens. Gepseudonimiseerde gegevens blijven daarentegen persoonsgegevens wanneer ze met aanvullende informatie aan een persoon kunnen worden gekoppeld.

Het recht op informatie

Een organisatie moet in duidelijke taal uitleggen wie de gegevens verwerkt, waarom, op welke rechtsgrond, hoelang, met welke ontvangers en welke rechten kunnen worden uitgeoefend. Ze moet ook relevante internationale doorgiften vermelden en de contactgegevens van de functionaris voor gegevensbescherming verstrekken als er een is.

Deze informatie staat meestal in een privacyverklaring of wordt bij het verzamelen van de gegevens verstrekt. Een vage formulering zoals “de ervaring verbeteren” volstaat niet altijd om de doeleinden concreet uit te leggen.

Toestemming is niet de enige mogelijke rechtsgrond. Een organisatie kan ook gegevens verwerken om een overeenkomst uit te voeren, een wettelijke verplichting na te komen, vitale belangen te beschermen, een taak van algemeen belang te vervullen of onder bepaalde voorwaarden een gerechtvaardigd belang na te streven.

Het recht op inzage

U kunt vragen of een organisatie gegevens over u verwerkt. Als dat zo is, kunt u een kopie krijgen, samen met informatie over de doeleinden, de categorieën gegevens, de ontvangers, de bewaartermijn en, wanneer de gegevens niet van u afkomstig zijn, de beschikbare informatie over de bron.

Het recht op inzage mag geen afbreuk doen aan de rechten en vrijheden van anderen. Een bedrijf moet daarom mogelijk informatie over een derde afschermen, maar mag deze beperking niet als voorwendsel gebruiken om het hele verzoek te weigeren.

Een nuttig verzoek kan betrekking hebben op een specifiek account, een bepaalde periode of een welbepaalde verwerking. Dat vergemakkelijkt het zoeken zonder uw rechten onbedoeld te beperken.

Het recht op rectificatie

Een onjuist gegeven kan concrete gevolgen hebben: een bestelling die naar het verkeerde adres wordt verstuurd, een weigering op basis van een foutief dossier of een profiel dat op verouderde informatie is gebaseerd.

U kunt vragen om onjuiste gegevens te corrigeren en onvolledige gegevens aan te vullen. Geef duidelijk aan om welke informatie het gaat, welke correctie u verwacht en verstrek zo nodig een passend bewijsstuk.

Het recht op gegevenswissing

Het “recht om vergeten te worden” maakt het onder meer mogelijk om wissing te vragen wanneer gegevens niet langer nodig zijn, onrechtmatig zijn verwerkt, moeten worden verwijderd om aan een wettelijke verplichting te voldoen, of wanneer ingetrokken toestemming de grondslag voor de verwerking was en er geen andere toepasselijke grondslag bestaat.

Dit recht is niet absoluut. Een organisatie moet bepaalde informatie mogelijk bewaren om de wet na te leven, een rechtsvordering uit te oefenen of te verdedigen, een taak van algemeen belang te vervullen of de vrijheid van meningsuiting en informatie te beschermen.

Zo kan het sluiten van een account rechtvaardigen dat het openbare profiel en de marketingvoorkeuren worden verwijderd, zonder dat facturen die het bedrijf wettelijk moet bewaren onmiddellijk kunnen worden gewist.

Gegevens die iemand als kind heeft verstrekt, krijgen bijzondere aandacht. De AVG voorziet in de mogelijkheid om de verwijdering ervan te vragen, ook wanneer de persoon inmiddels volwassen is.

Het recht op beperking van de verwerking

Met een beperking kunnen bepaalde vormen van gebruik tijdelijk worden stopgezet terwijl de gegevens worden bewaard. U kunt daarom vragen wanneer u de juistheid van de gegevens betwist, wanneer de verwerking onrechtmatig lijkt maar u de voorkeur geeft aan beperking boven wissing, of terwijl een bezwaar wordt onderzocht.

Tijdens die periode mag de organisatie de gegevens in principe niet meer verwerken, behalve om ze op te slaan, tenzij een in de AVG voorziene situatie van toepassing is, bijvoorbeeld met uw toestemming of om een rechtsvordering te verdedigen.

Het recht op overdraagbaarheid van gegevens

Overdraagbaarheid maakt het eenvoudiger om van de ene dienst naar de andere over te stappen. In de gevallen waarin dit recht geldt, kunt u de gegevens die u hebt verstrekt ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat en vervolgens aan een andere verwerkingsverantwoordelijke doorgeven.

Dit recht heeft betrekking op geautomatiseerde verwerkingen op basis van toestemming of een overeenkomst. Het omvat niet automatisch alle analyses die het bedrijf op basis van uw gegevens heeft gemaakt en mag geen afbreuk doen aan de rechten van derden.

Een technisch bruikbaar archief sluit beter aan bij het doel van overdraagbaarheid dan een afgedrukt document of een bestand dat moeilijk opnieuw te gebruiken is.

Het recht van bezwaar

Om redenen die verband houden met uw specifieke situatie kunt u bezwaar maken tegen een verwerking op basis van een gerechtvaardigd belang of een taak van algemeen belang. De organisatie moet de verwerking dan stopzetten, tenzij ze dwingende gerechtvaardigde gronden aantoont die zwaarder wegen, of de verwerking noodzakelijk is voor de verdediging van rechtsvorderingen.

Voor direct marketing is het recht sterker: wanneer iemand bezwaar maakt, mogen diens gegevens niet meer voor dat doel worden gebruikt. Een afmeldlink moet werken zonder onnodig ingewikkelde stappen.

Het recht om toestemming in te trekken

Wanneer de verwerking op uw toestemming berust, kunt u die op elk moment intrekken. Intrekken moet even eenvoudig zijn als toestemming geven en maakt wat vóór de intrekking rechtmatig is gedaan niet met terugwerkende kracht ongeldig.

De organisatie moet de betrokken verwerking dan stopzetten als ze geen andere geldige rechtsgrond heeft. Ze mag ingetrokken toestemming niet achteraf omvormen tot een vage rechtvaardiging zonder uit te leggen welke grondslag werkelijk van toepassing is.

Volledig geautomatiseerde beslissingen

Onder de voorwaarden van de AVG hebt u het recht om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit wanneer dat rechtsgevolgen heeft of u op een vergelijkbare manier aanzienlijk treft.

Er bestaan uitzonderingen, met name wanneer de beslissing noodzakelijk is voor een overeenkomst, is toegestaan door een wet die waarborgen biedt of berust op uitdrukkelijke toestemming. In de daarvoor voorziene situaties moet u menselijke tussenkomst kunnen krijgen, uw standpunt kunnen toelichten en de beslissing kunnen aanvechten.

Dit recht heeft geen betrekking op elke filmaanbeveling of rangschikking zonder belangrijke gevolgen. Het wordt bijzonder relevant wanneer een systeem zelfstandig beslist over een krediet, een aanwerving, essentiële toegang of een tarief met een aanzienlijke impact.

Hoe oefent u een recht doeltreffend uit?

Neem contact op met de verwerkingsverantwoordelijke. De contactgegevens staan meestal in de privacyverklaring. Als er een functionaris voor gegevensbescherming, of DPO, wordt vermeld, kunt u die rechtstreeks aanschrijven.

Uw verzoek zou het volgende moeten bevatten:

uw identiteit en het betrokken account of de betrokken dienst;
het recht dat u wilt uitoefenen;
de gegevens, handelingen of periodes waarop uw verzoek betrekking heeft;
het gewenste resultaat;
een adres waarop u het antwoord kunt ontvangen;
de informatie die strikt noodzakelijk is om uw identiteit te controleren.

Stuur niet spontaan een volledige kopie van uw identiteitskaart als dat niet nodig is. De organisatie mag aanvullende informatie vragen wanneer zij redelijke twijfels heeft over de identiteit, maar de controle moet evenredig blijven.

Bewaar een gedateerde kopie van het verzoek, de ontvangstbevestiging en alle antwoorden. Een onlineformulier kan handig zijn, maar met een schermafbeelding of e-mail houdt u een bewijs bij.

Binnen welke termijn moet de organisatie antwoorden?

Het antwoord moet zonder onredelijke vertraging en in principe binnen één maand na ontvangst komen. Voor een complex verzoek of meerdere gelijktijdige verzoeken kan de termijn met nog eens twee maanden worden verlengd. De organisatie moet u echter binnen de eerste maand informeren over die verlenging en de redenen ervoor.

Het uitoefenen van rechten is in principe gratis. Bij kennelijk ongegronde of buitensporige verzoeken, met name herhaalde verzoeken, mag de organisatie onder bepaalde voorwaarden een redelijke vergoeding vragen of weigeren aan het verzoek gevolg te geven. Ze moet haar beslissing kunnen verantwoorden.

Als ze weigert, moet ze uitleggen waarom en u informeren over de mogelijkheid om de gegevensbeschermingsautoriteit in te schakelen en beroep in te stellen bij de rechter.

Wat doet u als u geen antwoord krijgt?

Stuur eerst een herinnering waarin u de datum en het onderwerp van het verzoek vermeldt. Controleer ook of u een officieel kanaal hebt gebruikt en hebt gereageerd op een eventueel redelijk verzoek om identiteitscontrole.

Als een antwoord uitblijft of ontoereikend blijft, kunt u de gegevensbeschermingsautoriteit van uw land inschakelen. In België raadt de Gegevensbeschermingsautoriteit doorgaans aan om uw rechten eerst bij de organisatie uit te oefenen en alle correspondentie te bewaren. Afhankelijk van de situatie biedt ze bemiddeling en een klachtenprocedure aan.

Bij grensoverschrijdende verwerking werken de Europese autoriteiten samen. U kunt zich in principe wenden tot de autoriteit van uw gewone verblijfplaats, uw werkplek of de plaats van de vermoedelijke inbreuk.

Ook een gerechtelijke procedure en, wanneer materiële of immateriële schade wordt aangetoond, een vordering tot schadevergoeding kunnen mogelijk zijn. Bij een complexe zaak is advies van een juridisch deskundige aangewezen.

Conclusie

De AVG gaat over meer dan een cookiebanner. Ze biedt concrete middelen om inzicht te krijgen in het gebruik van uw gegevens, ze te corrigeren of op te vragen en bepaalde toepassingen te beperken of stop te zetten.

Om een bruikbaar antwoord te krijgen, formuleert u een nauwkeurig verzoek, richt u het aan de juiste verwerkingsverantwoordelijke en bewaart u het bewijs. De organisatie heeft normaal één maand om te antwoorden. Als ze het verzoek weigert of negeert, moet ze dat kunnen uitleggen en kunt u de nationale gegevensbeschermingsautoriteit inschakelen.

Dit artikel bevat algemene informatie en vervangt geen juridisch advies dat op een specifieke situatie is afgestemd.