Een inzageverzoek beantwoorden vraagt meer dan een nette begeleidende brief. U moet vaststellen of u persoonsgegevens van de verzoeker verwerkt, toegang geven tot de betreffende gegevens en de informatie uit artikel 15 AVG verstrekken. Dat gebeurt zonder onredelijke vertraging en in ieder geval binnen één maand na ontvangst, met inachtneming van een geldige verlenging of de hieronder besproken beperkte opschorting. De termijn begint niet opnieuw wanneer u het verzoek intern registreert of de ontvangst bevestigt.
Hieronder staan aanpasbare voorbeeldbrieven voor ontvangst, noodzakelijke identiteitscontrole, een inhoudelijk antwoord, een gedeeltelijke weigering en verlenging. De brieven zijn bouwstenen: vul ze pas in nadat de relevante feiten zijn onderzocht. Een model kan niet bepalen welke systemen gegevens bevatten of welke beperking gerechtvaardigd is. De uitleg helpt een dossier opbouwen waarin de ontvangen vraag, het onderzoek, de juridische beoordeling en het verzonden antwoord op elkaar aansluiten.
Herken het verzoek en bepaal wie verantwoordelijk is
Een persoon hoeft niet letterlijk artikel 15 te noemen of uw eigen formulier te gebruiken. Een vraag om een kopie van de persoonsgegevens kan voldoende duidelijk zijn. Leid een verzoek dat via een normaal contactpunt binnenkomt tijdig naar de juiste medewerker. Noteer de ontvangstdatum en wijs een behandelaar en vervanger aan. Dat laatste is een praktische werkafspraak, geen afzonderlijk wettelijk voorgeschreven functie. Het voorkomt wel dat een lopend verzoek tijdens afwezigheid blijft liggen.
Stel vast voor welke verwerking u verantwoordelijke bent. Als u alleen als verwerker handelt voor een andere organisatie, volg dan de afgesproken ondersteuning en informeer de verantwoordelijke tijdig. Geef niet op eigen initiatief alle gegevens uit een klantomgeving vrij. Omgekeerd ontslaat uitbestede opslag de verantwoordelijke niet van de plicht om het verzoek te behandelen. De onderliggende reikwijdte wordt uitgelegd in de gids over het inzagerecht.
Een onduidelijk verzoek mag aanleiding geven tot een gerichte verduidelijkingsvraag. Maak daarvan geen algemene eis dat de persoon eerst alle systemen, gegevenscategorieën of juridische gronden opsomt. Bij een groot gegevensvolume kan specificatie helpen, maar het inzagerecht blijft ook gelden als de persoon alle betreffende persoonsgegevens wil ontvangen. Leg uit welke keuze u aanbiedt en ga waar mogelijk verder met onderdelen die al duidelijk zijn. Vraag niet waarom iemand zijn gegevens wil zien als voorwaarde voor behandeling.
Voorbeeldbrief 1 — Ontvangst zonder nieuwe startdatum
Een ontvangstbevestiging kan de afgesproken route duidelijk maken. De AVG schrijft niet voor ieder geval een afzonderlijke bevestigingsbrief met een vaste onmiddellijke termijn voor. Stuur haar wel zo dat de persoon weet wie het verzoek behandelt en wanneer een antwoord wordt verwacht. Gebruik een berekende datum op basis van ontvangst, niet automatisch een maand na het verzenden van de bevestiging. Pas de tekst aan als een onderdeel nog verduidelijking vraagt.
Geachte [naam],
Wij hebben uw verzoek om inzage in uw persoonsgegevens op
[ontvangstdatum] ontvangen. Wij behandelen uw vraag als een verzoek
op grond van artikel 15 AVG en hebben deze geregistreerd onder
[kenmerk]. Het verzoek betreft [begrepen omvang, zonder onnodige
beperking van de oorspronkelijke vraag].
Wij informeren u zonder onredelijke vertraging en uiterlijk op
[datum binnen één maand na ontvangst] over de afhandeling.
Als een verlenging op grond van artikel 12 lid 3 AVG noodzakelijk
is, informeren wij u daarover en over de redenen binnen die
eerste maand.
Voor vragen over de behandeling kunt u contact opnemen met
[contactpersoon of functie en contactgegevens].
Met vriendelijke groet,
[organisatie]
Identiteit: controleer passend en verzamel niet meer dan nodig
Voorkom dat persoonsgegevens bij iemand anders terechtkomen, maar leg geen onnodige drempel op. Bij redelijke twijfel aan de identiteit kunt u volgens artikel 12 lid 6 aanvullende informatie vragen die nodig is om de identiteit te bevestigen. Kijk eerst naar de bestaande relatie en veilige communicatiekanalen. Een ingelogd account kan relevant bewijs geven, maar is niet in elke situatie voldoende; losse gegevens die gemakkelijk elders te vinden zijn evenmin.
Vraag niet standaard om een volledige identiteitskopie. De AP beschrijft in haar uitleg over identiteitsbewijzen dat minder ingrijpende mogelijkheden moeten worden onderzocht. Een specifieke wettelijke identificatieregel in een sector is iets anders dan een algemene uploadplicht bij privacyverzoeken. Ook een beperkt verificatiedocument blijft persoonsgegevens bevatten en vraagt passende ontvangst, toegang en bewaring.
De DPG-zaak laat zien waarom een actuele en precieze verwijzing belangrijk is. De AP maakte in februari 2022 een boete van 525.000 euro bekend voor de werkwijze rond identiteitsbewijzen. Na procedures vermeldt de bijgewerkte AP-publicatie dat de Afdeling bestuursrechtspraak op 24 september 2025 de boete uiteindelijk op 262.500 euro vaststelde. Die zaak verbiedt passende identiteitscontrole niet; zij rechtvaardigt evenmin een standaard volledige kopie voor ieder verzoek.
Voorbeeldbrief 2 — Noodzakelijke aanvullende verificatie
Beschrijf waarom bestaande informatie onvoldoende zekerheid geeft en bied een passende methode. De voorbeeldtekst hieronder mag alleen worden gebruikt als die redelijke twijfel werkelijk bestaat. Neem geen standaardlijst met geboortedatum, adres en documentnummer over wanneer de organisatie die gegevens niet nodig heeft. Volgens paragraaf 159 van de EDPB-richtsnoeren kan de termijn worden opgeschort terwijl noodzakelijke aanvullende identiteitsinformatie wordt afgewacht, mits u die zonder onredelijke vertraging vraagt. Dat is geen automatische pauze bij ieder verzoek en geen nieuwe volledige maand vanaf verificatie. Leg de reden, de relevante wachtperiode en de berekening van de resterende termijn vast en informeer de verzoeker duidelijk.
Geachte [naam],
Om uw persoonsgegevens veilig te verstrekken, moeten wij kunnen
vaststellen dat het verzoek van u of uw bevoegde vertegenwoordiger
komt. In dit geval bestaat twijfel omdat [concrete reden].
Wilt u daarom [noodzakelijke verificatie via passende methode]?
Wij vragen hiervoor [beperkte informatie]. Een volledige kopie van
uw identiteitsbewijs is voor deze gekozen methode niet nodig.
Als deze methode voor u niet toegankelijk is, neem dan contact op
via [contact] zodat wij een passend alternatief kunnen bespreken.
Wij gebruiken deze aanvullende informatie voor de verificatie en
beperken de bewaring tot wat daarvoor en voor verantwoording van
de afhandeling noodzakelijk is.
Met vriendelijke groet,
[organisatie]
Zoek naar de persoon, niet alleen naar zijn klantkaart
Bepaal welke systemen en gestructureerde niet-digitale bestanden onder het verzoek vallen. Denk aan correspondentie, notities, bestelhistorie, klachten, logs en relevante archieven. Gebruik zoekkenmerken die aansluiten op de informatie: een klantnummer kan andere resultaten geven dan een naam of oud e-mailadres. Vraag proceseigenaren welke bronnen buiten het centrale systeem worden gebruikt. Een exportknop toont vaak alleen de gegevens die voor die specifieke functie zijn ontworpen.
Het verwerkingsregister helpt het landschap in kaart brengen, maar is niet noodzakelijk een complete technische inventaris of zoekindex. Controleer de feitelijke systemen en leveranciers. Maak intern zichtbaar welke bron is onderzocht, hoe is gezocht en wie de uitkomst heeft beoordeeld. Noteer ook waarom een bron niet relevant is. Zo kan een tweede medewerker controleren of een ontbrekend onderdeel een echte afwezigheid betreft of een vergeten zoekactie.
Voorkom dat relevante gegevens tijdens behandeling volgens een automatische routine verdwijnen voordat u het verzoek kunt uitvoeren. De definitieve EDPB-richtsnoeren over inzage nemen de situatie bij ontvangst als beoordelingsmoment en bespreken het bewaren van gegevens voor de afhandeling. U hoeft geen informatie te reconstrueren die al niet meer beschikbaar was, maar mag het verzoek niet ontwijken door aanwezige informatie tijdens het onderzoek ongemerkt te laten verdwijnen.
Maak de kopie begrijpelijk en inhoudelijk volledig
Artikel 15 vraagt een kopie van de persoonsgegevens, niet alleen een lijst met de soorten gegevens die u meestal verwerkt. Een antwoord “wij hebben naam, adres en aankopen” vervangt dus niet de concrete gegevens van de verzoeker. Geef interne codes een begrijpelijke toelichting en behoud de betekenis en context. Een onverklaarde databasedump kan technisch volledig lijken maar voor de persoon geen bruikbare toegang opleveren.
U hoeft niet automatisch ieder onderliggend document integraal te verstrekken. Het Hof van Justitie verduidelijkte in zaak C-487/21 dat documentfragmenten, hele documenten of database-uittreksels wel nodig kunnen zijn wanneer dat essentieel is om de rechten effectief uit te oefenen. Beoordeel dus of een samengesteld overzicht werkelijk een getrouwe en begrijpelijke weergave geeft. Laat geen relevante context weg uitsluitend omdat een samenvatting eenvoudiger is.
Vermeld naast de kopie de doeleinden, gegevenscategorieën, ontvangers, bewaartermijn of criteria, rechten, klachtrecht, beschikbare broninformatie bij indirect verkregen gegevens en toepasselijke informatie over geautomatiseerde besluitvorming. Bij doorgifte naar een derde land of internationale organisatie geldt ook informatie over passende waarborgen volgens artikel 46. Gebruik de eigen feiten van de verzoeker; een algemene link naar de privacyverklaring is niet altijd voldoende voor deze individuele toelichting.
Bij ontvangers is alleen “leveranciers” noemen niet steeds genoeg. In zaak C-154/21 verduidelijkte het Hof het recht op de concrete identiteit van ontvangers aan wie gegevens zijn of zullen worden verstrekt. Categorieën kunnen worden gegeven wanneer identificatie niet mogelijk is of wanneer de verantwoordelijke aantoont dat het verzoek kennelijk ongegrond of buitensporig is. Neem daarom niet automatisch een categorielijst uit een algemeen beleidsdocument over.
Controleer of brief en gegevensbijlage elkaar werkelijk dekken
Lees het antwoord vanuit de positie van de ontvanger. Als de brief zegt dat er aankoopgegevens zijn, moet duidelijk zijn waar die in de bijlage staan en welke periode de gegevens bestrijken. Als u een interne beoordeling verstrekt, moet de toelichting onderscheid maken tussen de geregistreerde feiten en de daaruit getrokken conclusie. Verander een ongunstige beoordeling niet stilzwijgend voordat u de kopie maakt: het verzoek gaat juist over wat wordt verwerkt. Een afzonderlijke discussie over juistheid kan daarna een rectificatievraag opleveren.
Een praktisch voorbeeld is een oud klantaccount dat onder een eerder e-mailadres staat. Het actuele account kan leeg zijn, terwijl de helpdesk nog correspondentie onder het oude adres bewaart. Beschrijf intern welke identificatoren zijn meegenomen voordat u antwoordt dat geen gegevens aanwezig zijn. Een negatieve bevestiging vereist geen fictief bewijs van absolute volledigheid, maar moet wel steunen op een passend onderzoek naar de bronnen waarvoor u verantwoordelijk bent. Vermijd een stellige standaardzin wanneer een relevante leverancier nog geen zoekresultaat heeft aangeleverd.
Laat bij afscherming controleren of de resterende tekst nog begrijpelijk is. Een volledig zwarte pagina zonder uitleg vertelt de verzoeker niet welke eigen gegevens wel beschikbaar zijn. Tegelijk kan een te uitvoerige motivering juist de beschermde informatie onthullen. Kies een toelichting die de aard en grond van de beperking duidelijk maakt zonder het beschermde belang alsnog te schaden. Controleer vervolgens of de begeleidende brief, de bijlagen en de interne beslissing dezelfde begrenzing beschrijven. Dat voorkomt dat een juridisch zorgvuldig besluit door een verkeerde bestandsversie onjuist wordt uitgevoerd.
Voorbeeldbrief 3 — Inhoudelijk antwoord met bijlage
Het antwoord hieronder gaat uit van een positieve bevestiging dat gegevens worden verwerkt. Als u na passend onderzoek geen betreffende persoonsgegevens verwerkt, geef dat dan helder aan in plaats van lege standaardcategorieën te vullen. Pas rechten en geautomatiseerde besluitvorming aan de situatie aan. Een begeleidende brief en een goed geordende bijlage kunnen samen het antwoord vormen, mits de persoon beide daadwerkelijk en veilig kan ontvangen.
Geachte [naam],
Naar aanleiding van uw verzoek van [datum] bevestigen wij dat wij
persoonsgegevens over u verwerken. Bijgevoegd ontvangt u een kopie
van de betreffende gegevens in [bestanden/bijlagen], met uitleg
van gebruikte codes en de relevante context.
Over deze verwerking informeren wij u als volgt:
- Doeleinden: [concreet, gekoppeld aan de betreffende gegevens].
- Categorieën persoonsgegevens: [categorieën].
- Ontvangers: [concrete identiteit waar vereist; alleen waar
juridisch gerechtvaardigd categorieën, met passende toelichting].
- Bewaring: [termijn of criteria per relevante categorie].
- Herkomst: [alle beschikbare broninformatie voor gegevens die
niet bij u zijn verzameld].
- Geautomatiseerde besluitvorming: [vermeld of de toepasselijke
besluitvorming, inclusief profilering volgens artikel 22 lid 1 en lid 4,
voorkomt; geef dan nuttige informatie over logica, belang en
verwachte gevolgen].
- Internationale doorgifte: [indien van toepassing, informatie over
passende waarborgen volgens artikel 46].
U kunt rectificatie van onjuiste gegevens verzoeken. Ook kunt u
onder de toepasselijke wettelijke voorwaarden wissing, beperking
of bezwaar tegen verwerking verzoeken. Neem daarvoor contact op
via [contactgegevens]. U kunt een klacht indienen bij de Autoriteit
Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.
[Indien onderdelen beperkt worden: voeg de afzonderlijke,
concreet gemotiveerde beslissing en rechtsmiddeleninformatie toe.]
Met vriendelijke groet,
[organisatie]
Beperk alleen wat juridisch en feitelijk te rechtvaardigen is
Andere personen kunnen voorkomen in dezelfde correspondentie of hetzelfde personeelsdossier. Artikel 15 lid 4 beschermt hun rechten en vrijheden, maar hun aanwezigheid maakt het verzoek niet automatisch ongegrond. Beoordeel welke concrete schade kan ontstaan en of gerichte afscherming voldoende is. Het kan nodig zijn een naam of passage te beperken, terwijl de rest van het bericht betekenisvol beschikbaar blijft. Een algemene weigering van alle documenten met collega’s erin is geen passende standaardroute.
Nederland kent daarnaast beperkingen in de Uitvoeringswet AVG. Artikel 41 verlangt dat het buiten toepassing laten van de genoemde rechten en plichten noodzakelijk en evenredig is ter bescherming van een daarin genoemd belang. Het is geen algemene bedrijfsbelangenclausule. Onderbouw de toepasselijke grond, de gegevens waarop zij ziet, de gevolgen voor de verzoeker en waarom een minder vergaande oplossing onvoldoende is. Raadpleeg bij een lastig conflict passende juridische deskundigheid.
Een verzoek is niet kennelijk buitensporig alleen omdat het veel werk oplevert of na verloop van tijd wordt herhaald. Artikel 12 lid 5 legt de bewijslast bij de verantwoordelijke. Ook een redelijke vergoeding op die grond vereist onderbouwing. Daarnaast kan voor gevraagde verdere kopieën onder artikel 15 lid 3 een redelijke administratieve vergoeding gelden. Een nieuwe inzage in gewijzigde gegevens is niet automatisch hetzelfde als een extra exemplaar van een eerder geleverde kopie.
Voorbeeldbrief 4 — Specifieke gedeeltelijke weigering
Als u niet handelt, ook voor een deel van het verzoek, moet u de redenen zonder vertraging en uiterlijk binnen één maand na ontvangst meedelen. Daarbij horen de mogelijkheid van een klacht en een voorziening in rechte. De precieze Nederlandse procedure verschilt onder meer tussen beslissingen van bestuursorganen en andere verantwoordelijken. Vul de toepasselijke route en termijnen correct in; een generieke verwijzing naar juridische hulp is geen volledige vervanging daarvan.
Geachte [naam],
Wij beantwoorden uw verzoek van [datum] met [verstrekte onderdelen].
Wij verstrekken [nauwkeurig omschreven onderdeel] niet / slechts
gedeeltelijk, omdat [concrete feitelijke reden en toepasselijke
juridische grond].
Wij hebben onderzocht of [minder beperkende mogelijkheid] voldoende
bescherming biedt. Dat is hier [uitkomst met motivering]. Daarom
hebben wij uitsluitend [beperkte passages/gegevens] afgeschermd.
De overige gegevens ontvangt u in [bijlage].
U kunt over deze beslissing een klacht indienen bij de Autoriteit
Persoonsgegevens, www.autoriteitpersoonsgegevens.nl. U kunt ook een
voorziening in rechte vragen. Voor deze beslissing geldt
[toepasselijke procedure, bevoegde instantie en termijn; voeg bij
een bestuursrechtelijke beslissing de juiste bezwaar- en
rechtsmiddelenclausule toe].
Voor uitleg kunt u contact opnemen met [contact]. Dit beperkt uw
mogelijkheden van klacht of rechtsbescherming niet.
Met vriendelijke groet,
[organisatie]
Verlenging vraagt een concrete reden en tijdig bericht
Een verlenging is mogelijk wanneer dat nodig is gezien de complexiteit en het aantal verzoeken, met maximaal twee extra maanden. Een automatische standaardverlenging van ieder verzoek voldoet daar niet aan. Beschrijf welke concrete omstandigheden meer tijd vragen en waarom. Informeer de persoon binnen de eerste maand en blijf werken zonder onredelijke vertraging. Een bericht na het verstrijken van de eerste termijn herstelt de tijdige informatieplicht niet.
Geachte [naam],
Uw inzageverzoek ontvingen wij op [datum]. Vanwege [concrete
complexiteit en/of aantal verzoeken en waarom dit meer tijd vergt]
is een verlenging van de termijn noodzakelijk volgens artikel
12 lid 3 AVG.
Wij verlengen met [noodzakelijke periode, maximaal twee extra
maanden]. U ontvangt uiterlijk [correct berekende datum] informatie
over de afhandeling. Wij blijven uw verzoek zonder onredelijke
vertraging behandelen. [Vermeld reeds beschikbare onderdelen of
andere relevante voortgang, indien passend.]
Met vriendelijke groet,
[organisatie en contact]
Verstuur veilig en sluit het dossier controleerbaar af
Controleer vóór verzending de identiteit van de ontvanger, de bestanden en de afscherming. Verwijder bijvoorbeeld verborgen inhoud niet alleen visueel, maar zorg dat zij niet uit het geleverde bestand kan worden teruggehaald. Kies een kanaal dat past bij de gevoeligheid en omvang. Een tijdelijk downloadportaal kan geschikt zijn, maar moet de persoon een reële mogelijkheid geven de gegevens te ontvangen en te bewaren. Een link die praktisch onbruikbaar is, levert geen effectieve toegang.
Voor personeelsgegevens kunnen context en rechten van anderen extra beoordeling vragen. Een gelijktijdig verzoek om gegevenswissing of dataportabiliteit heeft eigen voorwaarden. Behandel die onderdelen herkenbaar zonder ze door elkaar te halen. Een machineleesbare export voor portabiliteit vervangt bijvoorbeeld niet vanzelf alle informatie die bij inzage moet worden gegeven.
Bewaar een proportionele verantwoording van zoekacties, beslissingen en verzending. Verzamel daarbij niet opnieuw onnodig grote kopieën van het dossier. De regels van dataminimalisatie gelden ook voor uw afhandelingsadministratie. Een hulpmiddel voor AVG-beheer kan taken en bewijs ordenen, maar controleer de werkelijke ondersteuning. Geen softwarebelofte vervangt het onderzoek naar ontbrekende bronnen of de beoordeling van een beperking.
Veelgestelde vragen
Begint de maand na de ontvangstbevestiging?
Nee. Artikel 12 lid 3 koppelt de termijn aan ontvangst van het verzoek. Een later intern registratiemoment of bevestigingsbericht mag niet als nieuwe start worden gebruikt. Bij noodzakelijke identiteitsverificatie kan onder de voorwaarden van de EDPB een opschorting gelden zolang de benodigde informatie wordt afgewacht. Vraag die informatie zonder onredelijke vertraging. Een ontvangstbevestiging of willekeurige verduidelijkingsvraag geeft geen nieuwe volledige maand.
Mag ik alleen een overzicht van gegevenscategorieën geven?
Nee, als u betreffende persoonsgegevens verwerkt moet u ook toegang tot de concrete gegevens en een kopie daarvan bieden, naast de informatie van artikel 15. De juiste vorm hangt af van de gegevens en hun context. Een getrouwe, begrijpelijke weergave kan vereisen dat relevante documentfragmenten of documenten worden verstrekt. Beoordeel eventuele beperkingen specifiek.
Waar kan de verzoeker terecht bij onenigheid?
De persoon kan een klacht indienen bij de Autoriteit Persoonsgegevens en beschikt over mogelijkheden van rechtsbescherming. Bij niet-handelen hoort die informatie bij de tijdige motivering van uw besluit. Vermeld de toepasselijke procedure correct en presenteer een intern overleg niet als verplichte voorwaarde om een klacht of rechtsmiddel te gebruiken.