Je opent je mail en ziet een nieuwsbrief van een webshop waar je ooit iets hebt gekocht, maar nooit om reclame hebt gevraagd. Of je krijgt een advertentie op Instagram van een product dat je gisteren alleen maar hardop hebt besproken. Mag dat zomaar? Het korte antwoord is: nee, lang niet altijd. En toch gaan veel bedrijven er gewoon mee door, omdat ze erop rekenen dat jij je rechten niet kent. Wij van Techguide.nl leggen je precies uit waar de grenzen liggen en wat je kunt doen als een bedrijf die grenzen overschrijdt.
Welke gegevens mag een bedrijf eigenlijk over mij bewaren?
Een bedrijf mag alleen gegevens over jou bewaren als daar een geldige reden voor is. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat er altijd een wettelijke grondslag moet zijn. Dat kan zijn: jouw toestemming, een contract dat je hebt gesloten, een wettelijke verplichting of het zogeheten ‘gerechtvaardigd belang’ (daar komen we op terug). Gegevens die nergens voor nodig zijn, mogen simpelweg niet worden bewaard.
In de praktijk gaat het om meer dan alleen je naam en e-mailadres. Denk aan je aankoopgeschiedenis, je klikgedrag op een website, je locatie, je apparaatgegevens en soms zelfs je politieke voorkeuren of gezondheid. Dat laatste zijn ‘bijzondere persoonsgegevens’ en daarvoor gelden extra strenge regels. Een fitnessapp mag jouw hartslag bewaren voor het leveren van de dienst, maar mag die data niet zomaar doorsturen naar een verzekeraar.
Hoe vraag ik inzage aan, en wat moet een bedrijf mij laten zien?
Je hebt het recht om een bedrijf te vragen welke gegevens het over jou heeft. Dit heet een inzageverzoek. Je stuurt een e-mail of brief naar de klantenservice of de privacyofficer van het bedrijf, en vraagt om een overzicht van alle persoonsgegevens die ze van jou verwerken. Je hoeft daarvoor geen advocaat in te schakelen of een ingewikkeld formulier in te vullen.
Het bedrijf moet je dan laten zien: welke gegevens het bewaart, waarvoor het die gebruikt, hoe lang het die bewaart, en met wie het ze deelt. Concreet voorbeeld: jij hebt ooit een account aangemaakt bij een Nederlandse streamingdienst. Via een inzageverzoek kun je opvragen welke kijkgeschiedenis ze bewaren, of ze die gegevens delen met advertentiepartners en of ze een profiel van jou hebben opgebouwd. Dat laatste mag alleen als ze daar een geldige reden voor hebben.
Binnen hoeveel tijd moet een bedrijf reageren, en wat als ze dat niet doen?
Een bedrijf heeft wettelijk één maand de tijd om op jouw verzoek te reageren. Is het verzoek complex of zijn er meerdere verzoeken tegelijk? Dan mag de termijn worden verlengd met nog eens twee maanden, maar het bedrijf moet je dat dan wel binnen die eerste maand laten weten.
Reageren ze helemaal niet? Dan heb je twee opties. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder. Of je kunt naar de rechter stappen. In de praktijk is een klacht bij de AP de laagdrempeligste route. De AP kan een bedrijf een officiële waarschuwing geven of zelfs een boete opleggen. Die boetes zijn trouwens geen kleintjes: grote bedrijven riskeren miljoenen euros.
Ik wil dat mijn data wordt verwijderd. Werkt het recht op vergetelheid echt in de praktijk?
Het recht op vergetelheid bestaat wel degelijk, maar het is geen toverstaf. Je kunt een bedrijf verzoeken al jouw gegevens te wissen. Het bedrijf is verplicht dit te doen als de gegevens niet langer nodig zijn, als je je toestemming intrekt, of als de gegevens onrechtmatig zijn verwerkt.
Maar er zijn uitzonderingen. Een webshop hoeft jouw factuurgegevens niet te verwijderen zolang ze die wettelijk moeten bewaren voor de Belastingdienst, doorgaans zeven jaar. En een ziekenhuis bewaart medische dossiers minimaal twintig jaar op grond van de wet. Dat is legaal. Wat niet legaal is: jouw e-mailadres blijven gebruiken voor reclame nadat je hebt gevraagd te stoppen. Stuur in dat geval een schriftelijk verwijderverzoek en bewaar de bevestiging. Reageert het bedrijf niet binnen een maand? Dan is de AP jouw volgende stap.
Mag ik bezwaar maken tegen profilering en gepersonaliseerde advertenties?
Ja, en dit recht wordt nog veel te weinig gebruikt. Profilering betekent dat een bedrijf op basis van jouw gedrag een profiel bouwt om voorspellingen te doen over jou, bijvoorbeeld welke producten je wilt kopen of hoe kredietwaardig je bent. Je hebt het recht om hier bezwaar tegen te maken, zeker als dat profileren gevolgen heeft voor jou.
Gepersonaliseerde advertenties vallen hier ook onder. Die reclame die je nooit hebt aangevraagd uit de opening? Als die is gebaseerd op een gedragsprofiel dat zonder jouw toestemming is opgebouwd, kun je daar bezwaar tegen maken. Stuur een e-mail naar de betreffende organisatie met daarin de tekst: ‘Ik maak bezwaar tegen de verwerking van mijn persoonsgegevens voor direct marketing en profilering, zoals bedoeld in artikel 21 van de AVG.’ Klinkt formeel, maar het werkt.
Een bedrijf verkoopt mijn gegevens door aan derden. Is dat legaal?
Alleen als het bedrijf daarvoor een geldige grondslag heeft. In de meeste gevallen is dat jouw toestemming. Herinner je je die lange algemene voorwaarden die je ergens hebt doorgevinkt? Daarin staat soms een zin als ‘wij delen jouw gegevens met geselecteerde partners voor marketingdoeleinden’. Als je daarmee hebt ingestemd, is het technisch gezien legaal.
Maar die toestemming moet wel vrijelijk en specifiek zijn gegeven. Als je gedwongen wordt akkoord te gaan om een dienst te gebruiken, is die toestemming juridisch gezien twijfelachtig. De AP onderzoekt regelmatig of bedrijven niet te ruim omspringen met het doorverkopen van data. Denk aan datamakelaars die consumentenprofielen verkopen: die praktijk staat al jaren onder druk in Europa en wordt steeds vaker aangevochten.
Wat is het verschil tussen toestemming en gerechtvaardigd belang, en waarom misbruiken bedrijven die tweede optie?
Toestemming betekent dat jij expliciet ‘ja’ hebt gezegd. Gerechtvaardigd belang is een uitzondering waarbij een bedrijf gegevens mag verwerken zonder jouw toestemming, als het eigen belang zwaarder weegt dan jouw privacybelang. Klinkt redelijk, maar hier zit het misbruik.
Veel bedrijven roepen ‘gerechtvaardigd belang’ in voor van alles en nog wat: nieuwsbrieven sturen, profileren, data delen met advertentiepartners. Maar gerechtvaardigd belang is bedoeld voor situaties als fraudepreventie of beveiligingsonderzoek, niet voor commerciële marketing. De AP is hier de afgelopen jaren strenger op geworden. Als een bedrijf jou reclame stuurt op basis van gerechtvaardigd belang terwijl je daar nooit expliciet mee hebt ingestemd, is dat in veel gevallen gewoon in strijd met de wet.
Ik heb mijn recht uitgeoefend maar het bedrijf negeert me. Wat nu?
Helaas komt dit voor. Grote platformen hopen er soms gewoon op dat je het opgeeft. Dat hoef je niet te doen. Wij van Techguide.nl adviseren in dit geval een vaste aanpak te volgen: documenteer alles. Stuur een herinneringsmail, bewaar de datum en de inhoud van al je berichten. Daarna dien je een klacht in bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. Dat kost je tien minuten en je hebt er geen jurist voor nodig.
De AP behandelt niet elke klacht individueel, maar signalen worden gebruikt om te bepalen bij welke bedrijven ze onderzoek starten. Bovendien kun je altijd naar de civiele rechter stappen als je schade hebt geleden. In Nederland kan dat via een kantonrechter als het om kleinere zaken gaat.
Drie concrete acties die je vandaag nog kunt ondernemen
Je digitale rechten kennen is stap één, er ook iets mee doen is stap twee. Hier zijn drie dingen die je meteen kunt aanpakken:
- Stuur een inzageverzoek. Kies een bedrijf waar je regelmatig mee te maken hebt, zoals een webshop, een app of je energieleverancier. Stuur ze een e-mail en vraag welke gegevens ze over jou hebben. Je hoeft alleen je naam te noemen en aan te geven dat je een inzageverzoek doet op grond van artikel 15 van de AVG.
- Maak bezwaar tegen reclamemail. Meld je af via de afmeldlink onderaan de nieuwsbrief, en als dat niet werkt, stuur dan een e-mail met het verzoek je gegevens niet meer te gebruiken voor direct marketing. Bewaar die e-mail.
- Dien een klacht in bij de AP. Ga naar autoriteitpersoonsgegevens.nl, klik op ‘klacht indienen’ en vul het formulier in. Heb je alle correspondentie met het bedrijf bij de hand? Dan is je klacht sterker. De AP bevestigt je klacht binnen enkele weken en geeft aan of ze actie ondernemen.
Jouw digitale rechten zijn geen vage juridische theorie. Ze zijn in de wet verankerd en afdwingbaar. Het enige wat bedrijven nodig hebben om ermee weg te komen, is dat jij ze niet gebruikt.
De AVG geeft consumenten in Nederland concrete rechten: inzage in je gegevens, verwijdering, bezwaar maken en een toezichthouder bij wie je een klacht kunt indienen. Het kost wat moeite, maar het is lang niet zo ingewikkeld als bedrijven soms laten lijken. Begin klein: één inzageverzoek, één afmelding, één klacht bij de Autoriteit Persoonsgegevens als een bedrijf niet meewerkt. Van machteloosheid is geen sprake als je weet waar je op kunt terugvallen.
