Verwijderverzoek AVG: voorbeeldbrief voor het recht op vergetelheid
Wil je dat een bedrijf je persoonsgegevens wist? Dan stuur je een verwijderverzoek op grond van artikel 17 AVG. Hieronder lees je wanneer een bedrijf moet wissen, welke uitzonderingen er zijn en vind je een voorbeeldbrief die je direct kunt gebruiken.
Wat is het recht op vergetelheid?
Het recht op vergetelheid, officieel het recht op gegevenswissing, staat in artikel 17 van de Algemene verordening gegevensbescherming (AVG). Je kunt een organisatie vragen je persoonsgegevens zonder onredelijke vertraging te wissen. Als een van de wettelijke gronden geldt, is de organisatie verplicht dat te doen.
Weet je nog niet precies welke gegevens een bedrijf over je heeft? Begin dan met een inzageverzoek. Dan weet je wat er bewaard wordt, waar het vandaan komt en aan wie het is doorgegeven. Zo kun je je verwijderverzoek gerichter maken.
Wanneer moet een bedrijf je gegevens wissen?
Volgens artikel 17, lid 1 AVG moet een organisatie je gegevens wissen als een van deze gronden geldt:
- de gegevens zijn niet meer nodig voor het doel waarvoor ze zijn verzameld;
- je trekt je toestemming in en er is geen andere grondslag voor de verwerking;
- je maakt bezwaar tegen de verwerking (artikel 21) en er zijn geen zwaarder wegende gerechtvaardigde gronden om door te gaan, of je maakt bezwaar tegen direct marketing;
- de gegevens zijn onrechtmatig verwerkt;
- wissen is nodig om aan een wettelijke verplichting te voldoen;
- de gegevens zijn als kind verzameld bij het aanbieden van een online dienst (artikel 8, lid 1).
Bij databrokers en mensen-zoeksites is vooral het bezwaar belangrijk. Zij beroepen zich meestal op een gerechtvaardigd belang (artikel 6, lid 1, onder f) en niet op jouw toestemming. Maak je bezwaar, dan moet de broker aantonen dat zijn belang zwaarder weegt dan jouw belang. Gebruikt hij je gegevens voor direct marketing, dan moet hij na je bezwaar altijd stoppen (artikel 21, lid 3). Daarom combineert de voorbeeldbrief hieronder het verwijderverzoek met een bezwaar.
Wanneer mag een bedrijf weigeren?
Artikel 17, lid 3 noemt een aantal uitzonderingen. Een bedrijf hoeft niet te wissen voor zover de verwerking nodig is voor:
- de vrijheid van meningsuiting en informatie, bijvoorbeeld journalistiek;
- het nakomen van een wettelijke verplichting, zoals de fiscale bewaarplicht voor facturen;
- redenen van algemeen belang op het gebied van volksgezondheid;
- archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistiek;
- het instellen, uitoefenen of onderbouwen van een rechtsvordering.
Beroept een bedrijf zich op een uitzondering, dan moet het je binnen een maand laten weten waarom, en dat je een klacht kunt indienen (artikel 12, lid 4). Een uitzondering geldt bovendien alleen voor de gegevens die echt nodig zijn. De rest moet alsnog worden gewist.
Termijn en kosten
Net als bij een inzageverzoek moet het bedrijf onverwijld en uiterlijk binnen één maand na ontvangst reageren (artikel 12, lid 3). Bij complexe of veel verzoeken mag het die termijn met twee maanden verlengen, maar dat moet het binnen de eerste maand melden, met de reden. Een verwijderverzoek is gratis (artikel 12, lid 5).
Ontvangers moeten ook worden ingelicht
Heeft het bedrijf je gegevens doorgegeven aan anderen, dan moet het elke ontvanger van de wissing op de hoogte brengen, tenzij dat onmogelijk is of onevenredig veel inspanning kost (artikel 19). Vraag je erom, dan moet het je ook vertellen wie die ontvangers zijn. Heeft het bedrijf je gegevens openbaar gemaakt, bijvoorbeeld op een website, dan moet het redelijke maatregelen nemen om andere partijen die de gegevens verwerken te laten weten dat je om wissing hebt gevraagd (artikel 17, lid 2).
Dat is bij databrokers belangrijk: zij verkopen gegevens vaak door. Met de lijst ontvangers weet je welke partijen je daarna nog moet aanschrijven.
Voorbeeldbrief verwijderverzoek (artikel 17 AVG)
Vervang de tekst tussen [haken] door je eigen gegevens. Geef alleen wat nodig is om je in de systemen te vinden.
Tip. Stuur het verzoek naar het privacy-e-mailadres uit de privacyverklaring van het bedrijf, of naar de functionaris gegevensbescherming. Voor veel databrokers vind je het juiste adres in ons overzicht van databrokers. Bewaar een kopie en noteer de verzenddatum: vanaf dan loopt de termijn. Vraagt een bedrijf om je identiteitsbewijs, stuur dan nooit een onafgeschermde kopie. Scherm je BSN en pasfoto af, bijvoorbeeld met de KopieID-app van de Rijksoverheid.
Wat als een bedrijf weigert of niet reageert?
Krijg je een weigering zonder duidelijke reden, vraag dan welke uitzondering het bedrijf gebruikt en voor welke gegevens. Komt er binnen de termijn geen antwoord, stuur dan een korte herinnering met een verwijzing naar je eerste verzoek en de datum. Helpt dat niet, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (artikel 77 AVG) of naar de rechter stappen (artikel 79 AVG).
Waarom dit met de hand zwaar wordt
Eén verwijderverzoek is zo verstuurd. Maar je gegevens staan bij tientallen databrokers en mensen-zoeksites, en elk bedrijf reageert anders: met een bevestiging, een vraag om identificatie, een weigering of helemaal niet. Per bedrijf moet je de termijn bijhouden, antwoorden beoordelen en waar nodig opnieuw schrijven.
Dat is wat Uitgewist voor je doet. Met jouw volmacht sturen we namens jou eerst een inzageverzoek en daarna een verwijderverzoek naar databrokers, per e-mail of via hun webformulier. We volgen de wettelijke termijnen, beoordelen de antwoorden en sturen herinneringen. Reageert een broker niet, dan kunnen we de zaak voorleggen aan de Autoriteit Persoonsgegevens. Jij volgt alles in je eigen dashboard. Lees hoe het werkt of bekijk de prijzen.
Veelgestelde vragen
Moet een bedrijf mijn gegevens altijd verwijderen?
Niet altijd. Er moet een grond uit artikel 17, lid 1 gelden, zoals bezwaar of het intrekken van toestemming, en er mag geen uitzondering uit lid 3 gelden, zoals een wettelijke bewaarplicht.
Hoe lang heeft een bedrijf om te reageren?
Uiterlijk één maand na ontvangst. Bij complexe of veel verzoeken mag het bedrijf twee maanden verlengen, maar dat moet het binnen de eerste maand melden.
Kost een verwijderverzoek geld?
Nee. Alleen bij kennelijk ongegronde of buitensporige verzoeken mag een bedrijf een redelijke vergoeding vragen of weigeren.
Moet het bedrijf ook de partijen inlichten aan wie het mijn gegevens gaf?
Ja, op grond van artikel 19, tenzij dat onmogelijk is of onevenredig veel inspanning kost. Op je verzoek moet het ook vertellen wie die ontvangers zijn.
Wat doe ik als een bedrijf weigert of niet reageert?
Vraag om de reden of stuur een herinnering. Helpt dat niet, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens of naar de rechter stappen.