De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de beginselen die van toepassing zijn bij de verwerking van persoonsgegevens. Persoonsgegevens moeten verwerkt worden op een wijze die ten aanzien van de betrokkene (een geïdentificeerde of identificeerbaar natuurlijk persoon) rechtmatig, behoorlijk en transparant is. Om dit te waarborgen geeft de Algemene verordening gegevensbescherming (AVG) diverse rechten aan de betrokkene. Deze rechten zijn vastgelegd in art. 15 t/m 22 AVG.
De betrokkene kan deze rechten uitoefenen tegen de verwerkingsverantwoordelijke. De AVG verstaat onder 'verwerkingsverantwoordelijke' een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
In art. 34 en 35 UAVG wordt de rechtsbescherming van art. 79 AVG voor de gevallen genoemd in art. 15 t/m 22 AVG uitgewerkt. Dit wordt hierna toegelicht.
De mogelijkheid om een klacht in te dienen tegen de AP (art. 77 AVG) komt aan bod in checklist 55.
De mogelijkheid van het vorderen van materiële of immateriële schade wordt behandeld in art. 82 AVG (zie checklist 52 en 53).
Om naleving van deze rechten af te dwingen staat rechtsbescherming open bij gerechtelijke instanties. Indien de verwerkingsverantwoordelijke een bestuursorgaan is, dan is de bestuursrechter bevoegd. In alle anderen gevallen, dus ook bij een overheidsinstantie niet zijnde een bestuursorgaan, is de burgerlijke rechter (civiele rechter) bevoegd.
De AVG kent geen definitie van 'overheidsinstantie' en kent daarnaast verschillende begrippen om de 'overheid' aan te duiden. Algemeen wordt daarom aangenomen dat voor het Nederlandse recht moet worden aangesloten bij de (niet meer geldende) Wet bescherming persoonsgegevens (Wbp), nu ook de (wetsgeschiedenis bij de) UAVG geen verdere uitleg geeft van het begrip overheidsinstantie.
De schriftelijke beslissing van een bestuursorgaan (in haar hoedanigheid van verwerkingsverantwoordelijke) naar aanleiding van een op de AVG gebaseerd verzoek van betrokkene – bijvoorbeeld het weigeren van een verzoek om inzage of correctie – wordt als een besluit in de zin van de Algemene wet bestuursrecht (Awb) aangemerkt (art. 34 UAVG).
Op grond van regels van het bestuursprocesrecht, de Awb, staat tegen een dergelijk besluit bezwaar open bij het bestuursorgaan. Wordt het bezwaar afgewezen, dan staat tegen de beslissing op bezwaar beroep open bij de bestuursrechter.
Voor de bestuursrechtelijke procedure hoeft de betrokkene en/of belanghebbende geen advocaat in te schakelen.
Indien de beslissing op het verzoek niet is genomen door een bestuursorgaan, kan de belanghebbende zich wenden tot de civiele rechter met het schriftelijk verzoek om de verwerkingsverantwoordelijke op te dragen het verzoek alsnog toe of af te wijzen.
Op deze verzoekschriftenprocedure zijn de regels van het burgerlijk procesrecht van toepassing (Rv).
De verzoekschriftenprocedure staat niet alleen open voor een betrokkene, maar ook voor belanghebbenden. Daarnaast gaat het om de mogelijkheid niet-schriftelijke beslissingen voor te leggen aan de civiele rechter. Het procedurele verschil is dat bij de civiele procedure niet eerst bezwaar hoeft te worden aangetekend bij de verwerkingsverantwoordelijke. Na ontvangst van het antwoord van de verwerkingsverantwoordelijk op het verzoek, kan de belanghebbende meteen naar de rechter.
Evenals voor de bestuursrechtelijke procedure hoeft bij de civiele procedure de betrokkene en/of belanghebbende geen advocaat in te schakelen.
De rechten van betrokkene, voortvloeiende uit art. 15 t/m 22 AVG (art. 12 AVG en art. 34, 35 en 36 UAVG)
In art. 12 AVG is vastgelegd dat de verwerkingsverantwoordelijke passende maatregelen neemt opdat de betrokkene de in art. 15 t/m 22 AVG bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is.
De verwerkingsverantwoordelijke dient daarnaast de uitoefening van deze rechten te faciliteren. Een verwerkingsverantwoordelijke mag alleen weigeren gevolg te geven aan het verzoek van de betrokkene als de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
In checklist 25 t/m 28 is ingegaan op wat deze rechten inhoudelijk betekenen voor betrokkene. In dit hoofdstuk worden de processuele regels voor het uitoefenen van die rechten toegelicht door middel van checklists.
□ de verwerkingsverantwoordelijke dient de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie te geven over het gevolg dat aan het verzoek is gegeven;
□ afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan de termijn van een maand, indien nodig, met nog eens twee maanden worden verlengd. Daarnaast dient de verwerkingsverantwoordelijke de betrokkene binnen één maand na ontvangst van het verzoek in kennis te stellen van een dergelijke verlenging;
□ indien de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek dan dient de verwerkingsverantwoordelijke ook onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek mee te delen waarom het verzoek zonder gevolgen is gebleven en dient de verwerkingsverantwoordelijke tevens te wijzen op de mogelijkheid een klacht in te dienen bij AP en de mogelijkheid beroep bij de rechter in te stellen;
Dit is een checklist uit de uitgave Checklist Privacy AVG: privacybeleid in 57 checklists
