Rechten van betrokkenen

U voorziet best in een geautomatiseerd proces (bijvoorbeeld via een persoonlijk account) om tegemoet te komen aan de rechten van de betrokkene en/of in de aanstelling van een interne verantwoordelijke die de verzoeken van de betrokkenen rechtstreeks ontvangt en opvolgt (bijvoorbeeld door één specifiek e-mailadres ‘privacy@...’ en/of telefoonnummer op te nemen in de privacyverklaring). Een verzoek dat elektronisch wordt ingediend (bijvoorbeeld via e-mail), moet in principe ook elektronisch beantwoord worden, tenzij de betrokkene anderszins verzoekt.

De termijn van 1 maand om te antwoorden, verlengbaar met 2 maanden, begint te lopen van zodra het verzoek duidelijk is, d.i. van zodra duidelijk is wie het verzoek indient en wat men vraagt. Indien de identiteit en/of het verzoek van de betrokkene niet duidelijk zijn, dient u om bijkomende informatie te vragen in uw ontvangstbevestiging. U moet desalniettemin de ontvangst van elk verzoek zo snel mogelijk bevestigen en minstens binnen de termijn van 1 maand na ontvangst, ongeacht de wijze waarop het verzoek door de betrokkene werd ingediend. Het niet naleven van deze termijn leidt niet automatisch tot een inbreuk voor zover er een redelijke verantwoording voor het overschrijden van de termijn voorhanden is.

U moet zich vergewissen van de identiteit van de betrokkene, bijv. aan de hand van een dossiernummer, het opvragen van oude persoonsgegevens of een kopie van de voorkant van de identiteitskaart van de betrokkene. Zo vermijdt u dat persoonsgegevens in handen komen van andere personen dan de betrokkene. Indien de betrokkene zich niet afdoende identificeert, kan u weigeren om in te gaan op het verzoek.

U moet elke communicatie in een beknopte en gemakkelijk toegankelijke vorm bezorgen en in duidelijke en eenvoudige taal opstellen. Uw communicatie dient bij voorkeur schriftelijk te gebeuren. De opvolging van een verzoek moet in principe kosteloos gebeuren. U kan een redelijke vergoeding vragen bijvoorbeeld bij repetitieve verzoeken. De vergoeding moet dan in verhouding staan tot uw administratieve kosten.

Indien u een verzoek afwijst omdat dit kennelijk ongegrond (bijvoorbeeld omdat geen persoonsgegevens verwerkt worden van de betrokkene) of buitensporig is (bijvoorbeeld bij buitensporige verzoeken), moet u de reden voor afwijzing uitdrukkelijk vermelden. De betrokkene moet meteen ook geïnformeerd worden over de mogelijkheid om klacht in te dienen bij de Gegevensbeschermingsautoriteit en beroep in te stellen bij de rechter.

Inzage

Een (geldig) verzoek om inzage moet worden beantwoord ongeacht de achterliggende motieven van de betrokkene. Indien een verzoek tot inzage aan de betrokkene ook inzage zou geven in persoonsgegevens van derden, zakengeheimen of gegevens die beschermd zijn door het beroepsgeheim, moet u die (persoons)gegevens verwijderen of anonimiseren.

Rectificatie

Wanneer de persoonsgegevens daadwerkelijk onjuist of onvolledig zijn, geeft u gevolg aan het verzoek van de betrokkene ongeacht de redenen van het verzoek en ongeacht of de betrokkene schade lijdt door de onjuistheid of onvolledigheid van zijn persoonsgegevens. Indien de aanpassing technisch onmogelijk is, moet u de nodige stappen ondernemen om die technische onmogelijkheid te verhelpen en aan het verzoek kunnen beantwoorden. U moet bijvoorbeeld ingaan op het verzoek van een cliënt om een accent (“é”) toe te voegen in de achternaam ook al lijdt de cliënt geen schade door deze onjuistheid. U licht indien nodig ook de ontvangers van de persoonsgegevens in over de rectificatie van de persoonsgegevens, zoals gezamenlijke verwerkingsverantwoordelijken en verwerkers waarmee u samenwerkt.

Gegevenswissing

Wanneer de betrokkene recht heeft op wissing van zijn persoonsgegevens, zorgt u ervoor dat de persoonsgegevens op onomkeerbare wijze worden gewist uit alle papieren archieven en digitale (back-up) systemen. U kan wel een bewijs bijhouden dat de gegevens van de betrokkene daadwerkelijk werden gewist. U licht indien nodig ook de ontvangers van de persoonsgegevens in over de wissing van de persoonsgegevens, zoals gezamenlijke verwerkingsverantwoordelijken en verwerkers waarmee u samenwerkt.

Beperking

Wanneer de betrokkene recht heeft op de beperking van zijn persoonsgegevens, is het aan te raden om deze persoonsgegevens tijdelijk over te brengen naar een ander verwerkingssysteem of om deze persoonsgegevens onbeschikbaar te maken voor de gebruikers. Indien het gaat om gepubliceerde persoonsgegevens, moet u deze persoonsgegevens tijdelijk van de website halen. Wanneer de betrokkene een beperking van de verwerking heeft verkregen en u meent dat die beperking kan worden opgeheven, moet u de betrokkene daarvan op de hoogte brengen voordat de beperking van de verwerking wordt opgeheven.

Overdraagbaarheid

U moet een verzoek tot overdracht van persoonsgegevens beantwoorden in een voor advocaten gangbaar formaat, d.i. in principe doc-, .docx-, .rtf-, .xls- of .pdf-formaat. U moet de overdracht van persoonsgegevens van anderen zoveel mogelijk beperken, bijvoorbeeld door deze uit te sluiten van de overdracht of te anonimiseren. Het is aan te raden om de gegevens op een veilige manier, bijvoorbeeld via encryptie, te verzenden. De OVB raadt af om gebruik te maken van gratis diensten voor de verzending van persoonsgegevens, bijvoorbeeld Whatsapp of Dropbox, tenzij de overdracht louter de naam, het adres, de woonplaats en/of andere contactgegevens betreft.