De AVG uitgelegd: uw rechten over uw persoonsgegevens

Een webwinkel, een verzekeraar, een sportclub, een website met uw naam erop: allemaal gebruiken ze persoonsgegevens. De Algemene verordening gegevensbescherming (AVG) geeft u rechten om te weten wat zij ermee doen en om dat te laten aanpassen of stoppen. Dit artikel legt de AVG-rechten uit aan de hand van de pagina's van de Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder.

De AP geeft op haar site uitleg per recht. Wij vatten die samen in gewone taal en blijven bij wat de AP schrijft. Waar de AP iets niet zegt, leest u dat in het laatste hoofdstuk. Dit artikel is geen juridisch advies voor uw persoonlijke situatie.

Uw privacyrechten in het kort

De AP schrijft dat u een aantal rechten heeft als organisaties uw persoonsgegevens gebruiken. U mag bijvoorbeeld weten wat een organisatie met uw gegevens doet, inzage vragen, en vragen om uw gegevens te wijzigen of te verwijderen. In de AVG gaat het om deze rechten:

Daarnaast heeft u het recht om een klacht in te dienen bij de AP. Daarover leest u verderop.

Zo gebruikt u uw rechten: de stappen

De AP legt op een aparte pagina uit wat voor alle rechten hetzelfde is. Die stappen zijn de basis van elk verzoek.

1. Doe uw verzoek bij de organisatie. Het is volgens de AP het best om dat schriftelijk te doen, met een brief of per e-mail. Kijk op de website van de organisatie of er een procedure is voor het indienen van uw verzoek. De AP heeft voorbeeldbrieven voor inzage, rectificatie en verwijdering.
2. Bewaar uw bewijs. Een schriftelijk verzoek is handig als bewijsmateriaal. Reageert de organisatie niet of weigert zij uw verzoek, dan kunt u laten zien welke stappen u heeft ondernomen. De AP vraagt dat bewijs ook als u een klacht indient.
3. Laat uw identiteit controleren. Voordat de organisatie uw verzoek in behandeling neemt, moet zij uw identiteit controleren, zodat niet iemand anders toegang krijgt tot uw gegevens. Heeft de organisatie extra informatie nodig, dan kan zij de behandeling opschorten tot u die heeft gegeven.
4. Wacht op de reactie. De organisatie moet binnen 1 maand per brief of e-mail reageren. In de reactie staat of zij aan uw verzoek voldoet, en zo ja, wat zij precies gaat doen.
5. Reageert de organisatie niet, of bent u het er niet mee eens? Neem dan eerst contact op met de organisatie zelf, bij voorkeur met de functionaris gegevensbescherming (FG), de privacyfunctionaris of de privacy officer. Hun contactgegevens staan in de privacyverklaring.
6. Komt u er niet uit? Dan kunt u een klacht indienen bij de AP of, bij een bedrijf, een verzoekschriftprocedure bij de rechter starten. Bij een overheidsorganisatie kunt u bezwaar maken.

De AP zegt ook iets over wie een verzoek kan doen. U kunt alleen een verzoek doen als u 12 jaar of ouder bent en niet onder curatele bent gesteld. Bent u tussen de 12 en 16 jaar, dan kunt u het verzoek zelf doen, of uw wettelijk vertegenwoordiger, meestal een van uw ouders. Voor een kind onder de 12 jaar doet de wettelijk vertegenwoordiger het verzoek. Twijfelt de organisatie of u het gezag heeft over uw kind, dan mag zij u vragen dat aan te tonen.

Wilt u eerst weten welke gegevens over u openbaar zichtbaar zijn? Remove Me biedt een gratis analyse zonder account. Die vervangt uw verzoeken aan organisaties niet. Meer daarover vindt u in het hoofdstuk over de gratis analyse.

Wat zijn persoonsgegevens?

De AVG definieert persoonsgegevens als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit staat in artikel 4, lid 1, AVG. Dat betekent dat informatie ofwel direct over iemand gaat, ofwel naar die persoon te herleiden is.

Voorbeelden die de AP noemt:

• iemands naam, adres, telefoonnummer en pasfoto;
• informatie over wat iemand op internet doet of koopt;
• of iemand allergieën heeft;
• klant- of personeelsnummers;
• camerabeelden of geluidsopnames waarop iemand te herkennen is.

De AP maakt onderscheid tussen directe persoonsgegevens, die direct over iemand gaan, en indirecte gegevens, die in combinatie met andere gegevens iets zeggen over een persoon. Zo kan een IP-adres een persoonsgegeven zijn.

Wat geen persoonsgegeven is

Gegevens over organisaties (rechtspersonen) en gegevens van overleden personen zijn volgens de AVG geen persoonsgegevens. Er zijn uitzonderingen: zegt de informatie ook iets over een natuurlijk persoon, dan gelden de regels wel. Dat is bijvoorbeeld zo als de naam van een bedrijf is afgeleid van de naam van een persoon, of als informatie over een klein bedrijf iets zegt over het gedrag van de eigenaar. Bij een erfelijke ziekte kan informatie over een overledene ook gaan over een levend familielid.

Bijzondere persoonsgegevens

De AVG maakt onderscheid tussen gewone en bijzondere persoonsgegevens. Bijzondere gegevens zijn zo gevoelig dat verwerking grote gevolgen kan hebben. Ze krijgen extra bescherming in artikel 9 AVG. Verwerken is in principe verboden, tenzij er een wettelijke uitzondering is. Het gaat om gegevens waaruit blijkt:

• ras of etnische afkomst;
• politieke opvattingen;
• religieuze of levensbeschouwelijke overtuigingen;
• lidmaatschap van een vakbond;
• gegevens over gezondheid;
• gegevens over seksueel gedrag of seksuele gerichtheid;
• genetische gegevens;
• biometrische gegevens, bedoeld voor de unieke identificatie van een persoon, zoals een vingerafdrukscan of gezichtsherkenning.

Strafrechtelijke gegevens vallen er niet onder, maar daarvoor gelden speciale regels. Ook het burgerservicenummer (BSN) is volgens de AP geen bijzonder persoonsgegeven. Voor het gebruik van het BSN staan regels in de Uitvoeringswet AVG.

Wat is ‘verwerken’?

De AP legt uit dat verwerken alles is wat een organisatie met persoonsgegevens kan doen, van verzamelen tot en met vernietigen. Het begrip is dus ruim: verzamelen, vastleggen, opslaan, wijzigen, opvragen, raadplegen, gebruiken, doorsturen, verspreiden, samenbrengen, afschermen, wissen en vernietigen vallen eronder.

Drie rollen komen steeds terug. De betrokkene is de persoon over wie de gegevens gaan, dus u. De verwerkingsverantwoordelijke is de organisatie of persoon die het doel van en de middelen voor het gebruik van de gegevens bepaalt. De verwerker voert in opdracht van een andere organisatie de verwerking uit, bijvoorbeeld een clouddienst die gegevens opslaat. Een verzoek richt u in de regel aan de verwerkingsverantwoordelijke.

De AVG in het kort

De AVG is sinds 25 mei 2018 van toepassing in de hele Europese Unie. Volgens de AP geldt ze voor iedereen die persoonsgegevens verwerkt: grote bedrijven, kleine ondernemers, de overheid en ook individuele personen, bijvoorbeeld mensen die een camera bij hun huis ophangen. Voor politie en justitie geldt voor hun opsporingstaken een apart kader, de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. In Nederland vult de Uitvoeringswet AVG (UAVG) de verordening op een aantal punten aan.

De AVG kent volgens de AP 6 basisprincipes (beginselen), vastgelegd in artikel 5. Iedereen die persoonsgegevens verwerkt, moet zich eraan houden en dat kunnen aantonen. Dat laatste is de verantwoordingsplicht:

• rechtmatigheid, behoorlijkheid en transparantie;
• doelbinding: gegevens alleen verzamelen voor een gerechtvaardigd, specifiek doel;
• dataminimalisatie: niet meer gegevens verwerken dan nodig is;
• juistheid: gegevens kloppend houden en zo nodig bijwerken;
• opslagbeperking: gegevens verwijderen zodra ze niet meer nodig zijn;
• vertrouwelijkheid en integriteit: gegevens goed beveiligen.

Een verwerking is alleen rechtmatig als zij op een grondslag uit de AVG berust. Eén daarvan is toestemming. Houden organisaties zich niet aan de regels, dan kunnen zij volgens de AP een boete krijgen.

Recht op informatie

U heeft recht op heldere informatie over wat een organisatie met uw gegevens gaat doen en waarom. Dat geldt ook als u verplicht bent uw gegevens af te staan. De AP noemt onder meer dat de organisatie u moet laten weten:

• hoe zij te bereiken is;
• welke persoonsgegevens zij verwerkt;
• waarom zij die verwerkt en op welke grondslag uit de AVG;
• of zij gegevens deelt met of doorverkoopt aan andere organisaties, en zo ja aan wie;
• hoe lang zij de gegevens bewaart.

Krijgt de organisatie uw gegevens van u zelf, dan heeft u recht op de informatie voordat u uw gegevens deelt. Op een website is een duidelijke verwijzing naar de online privacyverklaring genoeg. De verklaring mag niet te lang of ingewikkeld zijn. Krijgt de organisatie uw gegevens van een derde, dan moet zij u informeren op het moment dat zij de gegevens vastlegt, maar uiterlijk binnen 1 maand na het verkrijgen.

Er zijn uitzonderingen. De organisatie hoeft u niet te informeren als u al op de hoogte bent, als dat onevenredige inspanning kost bij gegevens van een derde, of als er een zwaarwegend belang is, zoals het voorkomen, opsporen en vervolgen van strafbare feiten.

Vindt u de privacyverklaring slecht, of mist er informatie? De AP wijst erop dat er mogelijk andere organisaties zijn die hetzelfde product of dezelfde dienst leveren en wel transparant zijn. Kunt u niet kiezen, dan kunt u de organisatie op uw recht op goede informatie wijzen.

Recht op inzage

Gebruikt een organisatie uw persoonsgegevens, dan mag u vragen welke gegevens dat zijn en hoe zij die gebruikt. De AP noemt het een manier om meer grip te krijgen en te controleren of organisaties zich aan de regels houden. Inzage gaat in 5 stappen:

1. U stuurt uw verzoek per e-mail of brief naar de organisatie. De AP raadt aan vooraf te zoeken naar een direct contactpersoon of e-mailadres.
2. Heeft de organisatie een vraag, dan neemt zij contact met u op. Geef dus uw contactgegevens.
3. De organisatie controleert uw identiteit.
4. De organisatie reageert binnen 1 maand. Ze mag de termijn met maximaal 2 maanden verlengen, mits zij u binnen 1 maand laat weten dat en waarom zij dat doet.
5. U krijgt inzage, tenzij de organisatie het verzoek weigert.

Wat krijgt u?

U heeft in principe recht op inzage in al uw persoonsgegevens. U hoeft niet te zeggen in welke gegevens u inzage wilt, en ook niet waarom. Heeft de organisatie veel informatie over u, dan kan zij vragen waarin u precies inzage wilt. Volgens de AP mag dat.

De organisatie moet u een kopie van uw persoonsgegevens geven. Dat is niet automatisch een kopie van alle documenten waarin uw gegevens staan. Meestal krijgt u een overzicht met uw gegevens. Soms moet de organisatie wel hele documenten geven, bijvoorbeeld als u die echt nodig heeft om uw rechten te kunnen gebruiken, zoals rectificatie of verwijdering. U moet dan duidelijk maken welk recht u wilt gebruiken en waarom het overzicht niet voldoende is. De organisatie moet rekening houden met de privacy van anderen en hun gegevens weghalen of onleesbaar maken.

Daarnaast moet de organisatie u informatie geven over het gebruik van uw gegevens. Denk aan het doel, de soorten gegevens, de ontvangers, doorgifte buiten de EER, de bewaartermijn, uw privacyrechten, het recht op een klacht bij de AP, de herkomst van de gegevens en eventuele automatische besluiten, inclusief profilering.

Wanneer krijgt u geen inzage?

De AP noemt dat u geen recht heeft op persoonsgegevens van en over andere mensen, op een professionele analyse van uw gegevens (zoals een juridische analyse of een financieel rapport van een bank) en op gegevens die worden verwerkt door iemand met een beroepsgeheim, zoals een advocaat, notaris of arts. Het recht kan ook worden beperkt, bijvoorbeeld in het belang van de nationale of openbare veiligheid, bij het opsporen van strafbare feiten of om de rechten en vrijheden van anderen te beschermen. Zulke beperkingen moeten in nationale wetgeving zijn vastgelegd (artikel 23 AVG).

Kosten

Inzage kost niets. De organisatie mag geen geld vragen, tenzij u om extra kopieën vraagt. Dan mag zij een redelijke vergoeding vragen.

Recht op rectificatie

Kloppen uw persoonsgegevens niet of zijn ze onvolledig, dan mag u de organisatie vragen ze te wijzigen of aan te vullen. U kunt dat bijvoorbeeld ontdekken nadat u om inzage heeft gevraagd. U stuurt een e-mail of brief waarin u aangeeft welke wijzigingen of aanvullingen u wilt. De AP heeft daarvoor een voorbeeldbrief.

De organisatie moet binnen 1 maand reageren. Besluit zij uw gegevens aan te passen, dan moet zij dat zo snel mogelijk doen. Heeft zij uw onjuiste gegevens in het voorafgaande jaar aan andere organisaties doorgegeven, dan moet zij ook die organisaties informeren. U kunt vragen wie zij heeft geïnformeerd.

Er zijn grenzen. U kunt niet om rectificatie vragen voor de gegevens van iemand anders, tenzij die persoon u schriftelijk heeft gemachtigd. Bent u het niet eens met een indruk, mening of conclusie van een medewerker, dan is rectificatie niet zonder meer mogelijk. U kunt wel vragen om uw eigen mening aan het dossier toe te voegen. Staan uw gegevens in een bij wet opengesteld openbaar register, zoals het Kadaster of het Handelsregister, dan gelden andere regels voor correctie. De houder van het register kan u uitleggen hoe u uw gegevens kunt laten wijzigen.

Recht op gegevens verwijderen

In de AVG heet dit het recht op gegevenswissing of het recht op vergetelheid. De AP waarschuwt dat het niet altijd mogelijk is om alle gegevens te verwijderen.

Wanneer moet een organisatie verwijderen?

Volgens de AP moet een organisatie uw persoonsgegevens verwijderen in deze situaties:

• zij heeft de gegevens niet meer nodig voor het doel waarvoor ze zijn verzameld;
• u trekt uw eerder gegeven toestemming in, en zij mag de gegevens niet op een andere grondslag verwerken;
• u maakt terecht bezwaar tegen het gebruik van de gegevens;
• zij houdt zich niet aan de privacyregels, bijvoorbeeld omdat er geen wettelijke grondslag is;
• zij is wettelijk verplicht de gegevens na een bepaalde tijd te wissen en die periode is verstreken;
• de gegevens van een kind onder de 16 jaar zijn verzameld via een app of website.

Wanneer is verwijderen niet verplicht?

Het recht geldt bijvoorbeeld niet als verwerking nodig is om het recht op vrijheid van meningsuiting en informatie uit te oefenen, als de organisatie de gegevens wettelijk moet verwerken, voor een taak van algemeen belang of openbaar gezag, voor volksgezondheid, voor archivering in het algemeen belang, in bepaalde gevallen voor wetenschappelijk of historisch onderzoek of statistiek, of als de gegevens nodig zijn voor een rechtsvordering. Ook de algemene uitzonderingen in de AVG kunnen gelden. Het is bijvoorbeeld niet de bedoeling dat iemand met een verwijderverzoek sporen van crimineel gedrag uitwist.

Hoe vraagt u om verwijdering?

U stuurt een e-mail of brief naar de organisatie en geeft aan welke gegevens u wilt laten verwijderen. De AP heeft een voorbeeldbrief verwijdering. Controleer vooraf hoe en bij wie u het verzoek kunt indienen, meestal staat dat in de privacyverklaring.

De organisatie moet binnen 1 maand reageren. Duurt het langer, dan moet zij dat binnen 1 maand melden. De termijn kan met maximaal 2 maanden worden verlengd. Besluit zij te verwijderen, dan moet zij dat zo snel mogelijk doen. Weigert zij, geheel of gedeeltelijk, dan moet zij u laten weten waarom.

Heeft de organisatie uw gegevens het afgelopen jaar aan andere organisaties doorgegeven, dan moet zij uw verzoek ook aan hen doorgeven. U kunt vragen aan wie zij dat heeft gedaan. Hoe het verwijderen van zoekresultaten bij een zoekmachine werkt, leest u in Recht op vergetelheid en Google.

Recht op beperking van de verwerking

Dit is het recht om een organisatie te vragen tijdelijk te stoppen met het gebruiken van uw gegevens. U kunt erom vragen in vier situaties, volgens de AP:

• uw gegevens zijn mogelijk onjuist. De organisatie mag ze niet gebruiken zolang zij niet heeft gecontroleerd of ze kloppen;
• de verwerking is onrechtmatig. U kunt vragen de gegevens voorlopig te bewaren, bijvoorbeeld als bewijs in een procedure voor schadevergoeding;
• de gegevens zijn niet meer nodig, maar u heeft ze nodig voor een rechtsvordering en wilt niet dat ze worden verwijderd;
• u heeft bezwaar gemaakt tegen de verwerking. Zolang niet duidelijk is wat zwaarder weegt, mag de organisatie de gegevens niet gebruiken.

U vraagt het schriftelijk aan, per e-mail of brief. De AP heeft een voorbeeldbrief. De organisatie moet binnen 1 maand reageren en de verwerking zo snel mogelijk beperken, uiterlijk binnen 1 maand. Zij kan die termijn met maximaal twee maanden verlengen. Heeft zij uw gegevens het afgelopen jaar aan anderen doorgegeven, dan moet zij ook hen laten weten dat het gebruik is beperkt.

Recht op gegevens overdragen

Dit recht, ook dataportabiliteit genoemd, geeft u de mogelijkheid om de persoonsgegevens te ontvangen die een organisatie van u heeft. U kunt ze zo bijvoorbeeld doorgeven aan een andere leverancier van dezelfde soort dienst. U kunt de organisatie ook vragen de gegevens rechtstreeks aan een andere organisatie over te dragen.

Niet alle gegevens kunnen worden overgedragen. De AP noemt twee voorwaarden. De gegevens moeten door u zelf aan de organisatie zijn verstrekt en digitaal zijn. Papieren dossiers vallen er dus niet onder. Daarnaast moet de organisatie de gegevens met uw toestemming verwerken, of ze moeten nodig zijn om een overeenkomst met u uit te voeren. Het recht mag geen afbreuk doen aan de rechten en vrijheden van anderen.

Wat valt eronder? Niet alleen gegevens die u actief heeft ingevuld, zoals een e-mailadres of gebruikersnaam. Ook gegevens die u indirect verstrekt door een dienst of apparaat te gebruiken, zoals uw zoekgeschiedenis, locatiegegevens, ruwe gegevens van een fitnesstracker, een contactpersonenlijst uit een e-maildienst of uw bestelgeschiedenis.

Het verschil met inzage zit in de vorm. Bij overdracht moet de organisatie de gegevens leveren in een gestructureerd, veelgebruikt en machineleesbaar formaat. De organisatie hoeft bij overdracht geen afgeleide gegevens te verstrekken, zoals een profiel dat zij zelf heeft opgesteld. Die gegevens vallen wel onder het recht op inzage.

Recht van bezwaar

U kunt in bepaalde situaties aan een organisatie vragen uw persoonsgegevens niet meer te gebruiken. De AP onderscheidt twee soorten.

Bezwaar vanwege uw specifieke situatie. Dat betekent uw bijzondere persoonlijke omstandigheden. Het kan alleen als de organisatie uw gegevens verwerkt voor een taak van algemeen belang of uitoefening van openbaar gezag, op grond van gerechtvaardigd belang, of voor profilering. Welke grondslag geldt, staat in de privacyverklaring. De organisatie moet dan opnieuw afwegen. Zij moet stoppen met het gebruik, tenzij zij een goede reden heeft die zwaarder weegt dan uw omstandigheden, of de gegevens nodig zijn voor een rechtsvordering. Zolang dat niet duidelijk is, mag zij de gegevens niet gebruiken. De AP heeft een voorbeeldbrief voor dit bezwaar.

Bezwaar tegen direct marketing. Hier heeft u altijd het recht om bezwaar te maken. Een organisatie waarbij u al klant bent, mag u onder voorwaarden reclamepost sturen zonder dat u toestemming heeft gegeven. Wilt u dat niet, dan stuurt u een e-mail of brief om bezwaar te maken. De AP heeft daarvoor een voorbeeldbrief. Na uw bezwaar mag de organisatie u geen reclamepost meer sturen en ze mag niet vragen waarom u bezwaar maakt.

Recht op een menselijke blik bij besluiten

Soms neemt een computer een besluit over u, zonder dat een persoon ernaar kijkt. Dat heet geautomatiseerde besluitvorming. Heeft zo'n besluit rechtsgevolgen of andere serieuze gevolgen voor u, bijvoorbeeld omdat u geen lening krijgt of niet wordt uitgenodigd voor een sollicitatiegesprek, dan kunt u een nieuw besluit vragen waarbij een mens uw gegevens beoordeelt.

U doet het verzoek bij de organisatie die het automatische besluit heeft genomen. De AP heeft een voorbeeldbrief ‘nieuw besluit’. De organisatie moet binnen 1 maand reageren. Besluit zij een nieuw besluit te nemen, dan moet zij dat zo snel mogelijk doen, uiterlijk binnen 1 maand.

Reageert de organisatie niet? Uw opties

De AP onderscheidt wat u kunt doen bij een bedrijf en bij een overheidsorganisatie.

Bedrijf. Heeft u binnen 1 maand geen reactie, neem dan contact op met de organisatie, bij voorkeur met de FG of privacyfunctionaris. Volgens de AP is een herinnering vaak al genoeg om alsnog inzage te krijgen. Helpt het niet, dan kunt u een klacht indienen bij de AP of een verzoekschriftprocedure bij de rechter starten.

Overheidsorganisatie. U kunt de organisatie in gebreke stellen wegens niet tijdig beslissen. Krijgt u na uw ingebrekestelling niet binnen 2 weken alsnog een besluit, dan kunt u beroep instellen bij de bestuursrechter. In plaats daarvan kunt u een klacht indienen bij de AP. Heeft u al een bezwaar- of beroepsprocedure gestart, dan houdt de AP daar rekening mee. Weigert een overheidsorganisatie inzage, dan kunt u bezwaar maken bij die organisatie.

Een klacht of tip indienen bij de AP

De AP kent drie opties. Kies de juiste, want dat bepaalt hoe uw melding wordt behandeld:

• Tip. Bij een sterk vermoeden dat een organisatie of persoon zich niet aan de privacywet houdt. Een tip kan anoniem, kan over uw eigen gegevens of die van iemand anders gaan, en duurt ongeveer 10 minuten. U krijgt geen persoonlijk bericht over wat de AP met uw tip doet.
• Datalektip. Als u informatie heeft over een datalek. Geef het mogelijke datalek eerst door aan de organisatie zelf.
• Klacht. Als het gaat over uw eigen persoonsgegevens, die van uw kind of van iemand voor wie u gemachtigd bent. Het invullen duurt ongeveer 15 minuten.

Bij een klacht verwacht de AP dat u eerst zelf contact heeft opgenomen met de organisatie. Heeft u dat niet gedaan, dan behandelt de AP uw klacht niet. De AP deelt uw klacht en uw identiteit met de organisatie waarover u klaagt. Wilt u dat niet, dan kunt u beter een tip indienen. U moet bewijsstukken meesturen, zoals uw e-mails met de organisatie. Het duurt volgens de AP gemiddeld 6 maanden voordat zij een klacht in behandeling kan nemen. Gaat de klacht over uw privacyrechten, bijvoorbeeld omdat inzage wordt geweigerd, dan werkt volgens de AP een verzoekschrift bij de rechtbank sneller.

Uw gegevens van een website of uit zoekresultaten halen

Staan uw gegevens op een website terwijl u dat niet wilt? Dan kunt u volgens de AP een verwijderverzoek indienen bij de eigenaar van de website. Gebruik hiervoor de voorbeeldbrief verwijderen persoonsgegevens. Zijn uw gegevens van de website verdwenen, dan verdwijnen ze ook uit de zoekresultaten van zoekmachines. Wijst de website uw verzoek onterecht af, dan kunt u een klacht indienen bij de AP.

Daarbij horen enkele nuances:

• Forums. Heeft u zelf een bericht op een forum geplaatst, dan heeft u de eigenaar daarmee toestemming gegeven, maar u kunt later vragen om verwijdering van de gegevens die naar u te herleiden zijn.
• Persoonlijk of huishoudelijk gebruik. Publiceert iemand privé en alleen voor een beperkte kring, dan is de AVG niet van toepassing. Is de informatie openbaar voor iedereen of via zoekmachines te vinden, dan geldt de uitzondering niet meer.
• Journalistieke publicaties. Daarvoor gelden uitzonderingen. De AP is dan niet bevoegd over uw klacht te oordelen, de rechter wel. U kunt ook contact opnemen met de Raad voor de Journalistiek, die kan bemiddelen.
• Overleden familieleden. Gegevens van overleden personen kunt u niet laten verwijderen, tenzij de gegevens ook over u gaan, bijvoorbeeld bij een erfelijke ziekte.
• Overheid. Een overheidsorganisatie mag niet onnodig uw persoonsgegevens publiceren. Uw handtekening en BSN mag zij nooit openbaar maken.

Wat de gratis analyse van Remove Me kan doen

Een verzoek doen kan pas als u weet bij wie. De gratis analyse van Remove Me werkt zonder account. U vult uw gegevens in, de dienst doorzoekt openbaar zichtbare webresultaten, bekende datalekken (via Have I Been Pwned) en een register van databrokers, en toont u daarna een rapport. U opent het rapport met een zescijferige code die per e-mail komt. Remove Me verstuurt op dit moment nog geen verzoeken tot gegevenswissing namens u. De analyse vervangt de stappen en voorbeeldbrieven van de AP niet. Start mijn gratis analyse.

Staat misbruik van uw gegevens vast, bijvoorbeeld een abonnement op uw naam dat u niet heeft afgesloten? Dan is het een ander traject. Lees daarvoor Identiteitsdiefstal en identiteitsfraude: wat te doen.

Wat de bronnen niet beantwoorden

De gebruikte pagina's laten een aantal vragen open. Wij vullen die niet zelf aan.

• Welke organisaties welke gegevens van u hebben. De AP geeft geen lijst van bedrijven of databrokers waarbij u uw rechten kunt uitoefenen. Per organisatie moet u zelf de privacyverklaring raadplegen.
• De exacte kosten van een rechtszaak of verzoekschriftprocedure. De AP noemt de route, maar geen bedragen.
• De hoogte van boetes. De AP schrijft dat organisaties een boete kunnen krijgen als ze zich niet aan de regels houden, maar een bedrag staat op de gebruikte pagina's niet.
• Verzoeken vanuit het buitenland of aan organisaties buiten de EU. Hierover zeggen de gebruikte pagina's niets.
• Persoonlijk juridisch advies. Dit artikel vervangt dat niet. Voor uw eigen situatie kunt u terecht bij het Juridisch Loket, een advocaat of de AP zelf.

Bronnen

Alle bronnen zijn geraadpleegd op 31 oktober 2026.

• Autoriteit Persoonsgegevens: Privacyrechten AVG
• Autoriteit Persoonsgegevens: Uw privacyrechten gebruiken
• Autoriteit Persoonsgegevens: Recht op informatie
• Autoriteit Persoonsgegevens: Recht op inzage
• Autoriteit Persoonsgegevens: Recht op rectificatie
• Autoriteit Persoonsgegevens: Recht op gegevens verwijderen
• Autoriteit Persoonsgegevens: Recht op beperking van de verwerking
• Autoriteit Persoonsgegevens: Recht op gegevens overdragen (dataportabiliteit)
• Autoriteit Persoonsgegevens: Recht van bezwaar
• Autoriteit Persoonsgegevens: Recht op een menselijke blik bij besluiten
• Autoriteit Persoonsgegevens: Wat zijn persoonsgegevens?
• Autoriteit Persoonsgegevens: Verwerken van persoonsgegevens
• Autoriteit Persoonsgegevens: De AVG in het kort
• Autoriteit Persoonsgegevens: Persoonsgegevens publiceren en verwijderen op internet
• Autoriteit Persoonsgegevens: Een tip of klacht indienen bij de AP

Geschreven door het Remove Me-team op basis van de pagina's van de Autoriteit Persoonsgegevens.