GDPR – Recht om geïnformeerd te worden

Er is behoefte aan transparantie met betrekking tot het verzamelen en gebruik van gegevens om EU-burgers in staat te stellen hun recht op bescherming van persoonsgegevens uit te oefenen. Daarom geeft de Algemene Verordening Gegevensbescherming (AVG) individuen het recht om geïnformeerd te worden over de verzameling en het gebruik van hun persoonsgegevens, wat leidt tot diverse informatieverplichtingen voor de verwerkingsverantwoordelijke.
De wet maakt onderscheid tussen twee gevallen: Enerzijds als persoonsgegevens rechtstreeks van de betrokkene worden verkregen (Art. 13 van de AVG) en anderzijds als dit niet het geval is (Art. 14 van de AVG).

Wanneer gegevens direct worden verkregen, moet de persoon onmiddellijk worden geïnformeerd, dat wil zeggen op het moment dat de gegevens worden verkregen. Qua inhoud omvat de informatieverplichting van de verwerkingsverantwoordelijke diens identiteit, de contactgegevens van de functionaris voor gegevensbescherming (indien beschikbaar), de verwerkingsdoeleinden en de rechtsgrondslag, eventuele gerechtvaardigde belangen die worden nagestreefd, de ontvangers bij het doorgeven van persoonsgegevens, en eventuele intentie om persoonsgegevens over te dragen aan derde landen. Daarnaast omvat het recht op informatie ook informatie over de duur van opslag, de rechten van de betrokkene, de mogelijkheid om toestemming in te trekken, het recht om een klacht in te dienen bij de autoriteiten en of het verstrekken van persoonsgegevens een wettelijke of contractuele vereiste is. Bovendien moet de betrokkene worden geïnformeerd over eventuele geautomatiseerde besluitvormingsactiviteiten, inclusief profilering. Alleen als de betrokkene reeds op de hoogte is van bovenstaande informatie, is het niet noodzakelijk deze te verstrekken.

Indien persoonsgegevens niet van de betrokkene worden verkregen, moet hij of zij binnen een redelijke termijn, maar uiterlijk na een maand, van de informatie worden voorzien. In gevallen waarin de verzamelde informatie wordt gebruikt om de betrokkene rechtstreeks te benaderen, heeft hij of zij het recht onmiddellijk bij benadering te worden geïnformeerd. Wat de inhoud betreft, moet de verwerkingsverantwoordelijke dezelfde specifieke informatie verstrekken alsof de persoonsgegevens rechtstreeks van de betrokkene waren verkregen. De enige uitzondering is de informatie over eventuele verplichtingen om de persoonsgegevens te verstrekken, aangezien de verwerkingsverantwoordelijke in dit geval niet de beslissingsbevoegdheid heeft. Bovendien heeft de verwerkingsverantwoordelijke de verplichting om te informeren uit welke bronnen de persoonsgegevens zijn verkregen en of deze openbaar beschikbaar waren. De betrokkene heeft recht op informatie in een nauwkeurige, transparante, begrijpelijke en gemakkelijk toegankelijke vorm. De informatieverplichting kan schriftelijk of elektronisch worden vervuld. Er wordt expliciet vermeld dat zogenaamde ‘gestandaardiseerde beeldsymbolen’ ook kunnen worden gebruikt om op een gemakkelijk te begrijpen, begrijpelijke en duidelijke manier een overzicht te geven van de beoogde verwerking.

In het geval dat de persoonsgegevens niet worden verzameld bij de betrokkene, is er in uitzonderlijke gevallen geen verplichting tot informeren. Dit geldt indien het verstrekken van de informatie onmogelijk is of onredelijk kostbaar, de verzameling en/of doorgifte wettelijk verplicht is, of als de gegevens vertrouwelijk moeten blijven vanwege beroepsgeheim of andere wettelijke geheimhoudingsverplichtingen.