Recht op informatie
De betrokkene moet kunnen nagaan wat er met zijn gegevens gebeurt. Daarom moet een organisatie de betrokkene informeren over het doel van het verzamelen en over de naam en adres van de organisatie. De Wbp onderscheidt twee situaties:
- Als de gegevens direct bij de betrokkene worden verzameld, moet deze vooraf worden geïnformeerd. Deze informatieverstrekking hoeft niet als de betrokkene daarvan al daadwerkelijk op de hoogte is. Een organisatie verkrijgt bijvoorbeeld persoonsgegevens bij de betrokkene zelf als in het kader van het aangaan van een overeenkomst op een formulier persoonsgegevens ingevuld moet worden. De organisatie kan dan via het formulier voldoen aan zijn informatieplicht.
- Een organisatie moet een betrokkene ook informeren op het moment dat buiten de betrokkene om gegevens worden vastgelegd of als de gegevens uitsluitend verzameld zijn om ze aan een derde te verstrekken, uiterlijk op het moment van eerste verstrekking aan die derde. Dat hoeft niet als informatieverstrekking onmogelijk is, of alleen met een onevenredige inspanning kan plaatsvinden.Van een onevenredige inspanning is sprake als een organisatie alleen door een zeer tijdrovende inspanning het adres van de betrokkene kan achterhalen. In dat geval moet een organisatie wel de herkomst van de gegevens vastleggen, zodat de betrokkene in ieder geval achteraf kan nagaan welke weg zijn gegevens hebben afgelegd. Een organisatie hoeft de betrokkene ook niet te informeren als de organisatie de gegevens vastlegt of verstrekt op grond van een wettelijke plicht.
U leest meer over de informatieplicht onder Informatieplicht (gericht op organisaties) en Recht op informatie (op de CBP-publiekswebsite Mijnprivacy.nl).
Recht op inzage
Een betrokkene heeft het recht om inzage te verzoeken in zijn gegevens en het gebruik daarvan door een organisatie. Een betrokkene kan een organisatie vragen of die zijn persoonsgegevens gebruikt. Als dat het geval blijkt te zijn, moet de organisatie binnen vier weken een overzicht van de gegevens aan de betrokkene geven. Hij moet ook informatie verstrekken over het doel van de verwerking(en), de ontvangers van de gegevens en, indien beschikbaar, over de herkomst van de gegevens. Voor het geven van deze informatie kan de organisatie doorgaans een vergoeding van ten hoogste € 5,00 vragen.
Als een overzicht ook gegevens bevat van een derde, die naar verwachting bezwaar zal hebben tegen het verstrekken van het overzicht aan de betrokkene, moet de organisatie die derde in de gelegenheid stellen om zijn zienswijze naar voren te brengen.
De organisatie kan weigeren aan een verzoek om inzage te voldoen als dat bijvoorbeeld noodzakelijk is in het belang van voorkoming, opsporing en vervolging van strafbare feiten of ter bescherming van de rechten en vrijheden van anderen.
U leest meer over het inzagerecht onder Het geven van inzage in persoonsgegevens en Recht op inzage.
Recht op correctie
Op basis van de inzage in zijn gegevens kan de betrokkene de organisatie verzoeken de gegevens te verbeteren, aan te vullen, te verwijderen of af te schermen. Dat kan als de gegevens die gebruikt worden door de organisatie feitelijk onjuist, onvolledig of niet ter zake dienend zijn voor het doel of de doeleinden van de verwerking. De organisatie moet binnen vier weken reageren op het verzoek van de betrokkene.
In geval van inwilliging van het verzoek moeten andere instanties aan wie de (onjuiste) gegevens in het voorafgaande jaar zijn verstrekt van de wijzigingen op de hoogte gesteld worden, tenzij dat onmogelijk is of een onredelijke inspanning oplevert voor de organisatie. De organisatie moet de wijzigingen zo snel mogelijk doorgeven.
U leest meer over het correctierecht onder Het bieden van correctie en Recht op correctie en verwijdering.
Recht van verzet
Het recht van verzet houdt in dat een betrokkene het recht heeft bezwaar te maken (verzet aan te tekenen) tegen bepaalde vormen van gebruik van zijn gegevens door een organisatie. Er zijn twee vormen van verzet:
Verzet bij direct marketing
Een betrokkene kan verzet aantekenen tegen het gebruik van zijn gegevens voor directmarketingdoeleinden. De organisatie moet dat gebruik dan altijd direct beëindigen en de betrokkene binnen vier weken laten weten hoe deze hiervoor gaat zorgen. De betrokkene hoeft niet te zeggen waarom en de organisatie mag geen vergoeding vragen om een verzoek in behandeling te nemen. Een organisatie die persoonsgegevens gebruikt voor directmarketingdoeleinden moet een betrokkene informeren over het recht van verzet.
Meer informatie over deze vorm van verzet kunt u vinden bij Het gebruik van klantgegevens bij direct marketing en Ongewenste reclame.
Verzet wegens bijzondere omstandigheden
Een betrokkene kan in enkele gevallen verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. Denk bijvoorbeeld aan een patiënt die mee heeft gedaan aan een medisch onderzoek. De onderzoeksgegevens worden verzameld op een centraal punt. Later verneemt hij dat een bekende van hem als onderzoeker bij dat centrum werkt. Omdat hij zijn ziekte voor die bekende verborgen wil houden, heeft hij er belang bij dat zijn gegevens worden verwijderd of niet meer tot hem herleidbaar zijn. In dat geval kan hij verzet aantekenen.
Een organisatie moet dan binnen vier weken beslissen of deze stopt met de verwerking of hiermee doorgaat omdat de organisatie meent een goede reden hiervoor te hebben. De organisatie mag een vergoeding van ten hoogste € 5,00 vragen om het verzoek van de betrokkene in behandeling te nemen. Dit geld moet de organisatie teruggeven als deze het verzoek inwilligt.