5.2.1 De rechten kort besproken

Een belangrijk recht is het inzagerecht.1 Door dit recht uit te oefenen, kan een betrokkene zicht houden op de verwerking van zijn persoonsgegevens en de rechtmatigheid daarvan controleren.2 Iedere betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van zijn of haar persoonsgegevens. Dit verzoek om informatie hoeft niet te worden gerechtvaardigd en is aan geen enkel vormvereiste onderworpen.3 Het recht op inzage is hiermee een laagdrempelige manier om informatie te verkrijgen.4 Het recht op inzage bestaat uit drie onderdelen: bevestiging of persoonsgegevens van de verzoeker worden verwerkt of niet, zo ja, toegang tot die gegevens, en informatie over de verwerking.5

Op verzoek van de betrokkene moet de verwerkingsverantwoordelijke een kopie verstrekken van de verwerkte persoonsgegevens of de betrokkene op een andere manier in staat stellen kennis te nemen van zijn gegevens en te controleren of zij in overeenstemming met de AVG zijn verwerkt.6 De concrete vorm waarin de gegevens worden verstrekt, is afhankelijk van de omstandigheden van het geval.7 Verder moet de verwerkingsverantwoordelijke informatie geven over onder meer de verwerkingsdoeleinden, de verwerkte categorieën van persoonsgegevens, de opslagtermijn en de bron van de gegevens.8 De verstrekking van de kopie is kosteloos, tenzij het verzoek kennelijk ongegrond of buitensporig is.9 Het inzagerecht vormt vaak de poort naar de andere rechten van de betrokkene.10

De betrokkene heeft, al dan niet na gebruik van zijn inzagerecht, verschillende mogelijkheden om de verwerking van zijn persoonsgegevens te beperken, te veranderen of daartegen bezwaar te maken.11 Wanneer de betrokkene de juistheid van bepaalde persoonsgegevens betwist, kan hij de verwerkingsverantwoordelijke verzoeken die persoonsgegevens te rectificeren.12 Dit recht stelt de betrokkene tevens in staat om onvolledige persoonsgegevens te completeren.

Het recht op verwijdering (de AVG spreekt van gegevenswissing en vergetelheid)13 geeft de betrokkene de bevoegdheid om in een aantal gevallen door de verwerkingsverantwoordelijke persoonsgegevens te laten verwijderen.14 Naast het recht op gegevensverwijdering heeft de betrokkene in bepaalde gevallen ook het recht om, op verzoek, de verwerking van zijn persoonsgegevens door de verwerkingsverantwoordelijke te laten beperken.15 De verwerkingsverantwoordelijke mag de persoonsgegevens dan (tijdelijk) niet meer verwerken, maar hoeft ze ook (nog) niet te wissen.16

De betrokkene heeft voorts het recht om de persoonsgegevens die een verwerkingsverantwoordelijke van hem heeft, te ontvangen. Dit wordt het recht om gegevens over te dragen of het recht op dataportabiliteit genoemd.17 Dit recht geeft de betrokkene de mogelijkheid om, wanneer een verwerking berust op toestemming of een contract,18 zijn eigen, aan een verwerkingsverantwoordelijke verstrekte19 persoonsgegevens te ontvangen in een gestructureerde, gangbare en machineleesbare20 vorm. De betrokkene kan zijn persoonsgegevens dan overdragen aan een andere verwerkingsverantwoordelijke.21 Het doel van dit recht is het voorkomen van een ‘lock-in’ van persoonsgegevens en het stimuleren van het vrije verkeer van persoonsgegevens binnen de EU.22 Het recht op dataportabiliteit is daarmee minder gericht op bescherming van privacy en meer op consumentenbescherming.

Tijdens faillissement verkrijgt de curator doorgaans zelf weinig persoonsgegevens van betrokkenen. In plaats daarvan verkrijgt hij persoonsgegevens die de failliet al onder zich hield. De AVG spreekt over “aan een verwerkingsverantwoordelijke verstrekte gegevens” waarop het recht op dataportabiliteit van toepassing is.23 Hiermee wordt niet gespecificeerd of dit dezelfde verwerkingsverantwoordelijke moet zijn als diegene tegen wie de betrokkene het recht op dataportabiliteit wil inroepen. Het is onduidelijk in hoeverre de curator in dit geval moet worden beschouwd als rechtsopvolger van de failliet voor deze AVG-bepalingen. Gelet op de strekking van dit recht is het goed voorstelbaar dat de betrokkene dit recht niet in alle gevallen tegen de curator kan inroepen. Tegelijkertijd kan de betrokkene er wel een belang bij hebben om zijn persoonsgegevens te kunnen overdragen aan een andere verwerkingsverantwoordelijke, juist tijdens faillissement. Toch verwacht ik dat het recht op dataportabiliteit tijdens faillissementen geen grote rol zal spelen omdat betrokkenen hun verzoeken niet eenvoudig tot de curator kunnen richten.

Ook kan de betrokkene bezwaar maken tegen verwerkingen op basis van bepaalde grondslagen, namelijk de noodzaak voor de vervulling van een taak van algemeen belang en de gerechtvaardigde belangen van een verwerkingsverantwoordelijke of een derde.24 Een betrokkene kan een verwerkingsverantwoordelijke dan verzoeken zijn persoonsgegevens niet meer te verwerken. Dit recht op bezwaar dient ertoe om een evenwicht te vinden tussen de rechten van de betrokkene en de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde.25

Tot slot heeft de betrokkene het recht op een ‘menselijke blik’.26 Dit betekent dat de betrokkene in beginsel niet mag worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit, zoals profilering, waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.27 Het doel van dit recht is om te voorkomen dat zonder menselijke tussenkomst een computer besluiten neemt die de betrokkene raken.28