Inzageverzoek beantwoorden: voorbeeldbrieven AVG

Een inzageverzoek beantwoordt u binnen één maand na ontvangst, met een volledig overzicht van de persoonsgegevens die u van de betrokkene verwerkt en de informatie uit artikel 15 AVG: doelen, categorieën, ontvangers, bewaartermijn en de bron. U mag de identiteit van de verzoeker controleren, maar niet standaard om een kopie van het identiteitsbewijs vragen. Hieronder vindt u voorbeeldbrieven voor elke fase: bevestiging met identiteitscheck, volledig antwoord, gedeeltelijke afwijzing en verlenging.

De identiteitscheck is een valkuil. DPG Media kreeg in 2022 een boete van 525.000 euro van de AP, onder meer omdat het bij inzageverzoeken standaard een kopie van het identiteitsbewijs eiste. Dat is disproportioneel: de check moet passen bij het risico.

Key Takeaways

• Termijn: 1 maand, met 2 maanden verlenging bij complexe of talrijke verzoeken (art. 12 lid 3 AVG).
• Vraag niet standaard om een kopie-ID; gebruik een proportionele identiteitscheck (DPG Media, €525.000, 2022).
• Het antwoord is in beginsel kosteloos (art. 12 lid 5 AVG).
• U mag gegevens van derden afschermen en u op de uitzonderingen van art. 41 UAVG beroepen.
• Documenteer elk verzoek en de reactie — de AP toetst de afhandeling bij klachten.

De vier fasen van afhandeling

Een inzageverzoek doorloopt vier stappen: ontvangst bevestigen en identiteit checken, gegevens verzamelen, beoordelen wat u wel en niet verstrekt, en het antwoord versturen. De onderliggende juridische basis leest u in de gids over het inzagerecht van betrokkenen.

Fase	Actie	Termijn
1. Ontvangst	Bevestigen + identiteit checken	Direct
2. Verzamelen	Zoeken in alle systemen	Binnen de maand
3. Beoordelen	Rechten derden, uitzonderingen	Binnen de maand
4. Antwoord	Volledig of gedeeltelijk	Uiterlijk 1 maand

Voorbeeldbrief 1 — Bevestiging en identiteitscheck

Geachte [naam],

Wij hebben uw inzageverzoek op [datum] ontvangen. Om zeker te weten dat wij de gegevens aan de juiste persoon verstrekken, controleren wij uw identiteit. Kunt u [twee gegevens bevestigen die bij ons bekend zijn, bijvoorbeeld uw klantnummer en geboortedatum]? Een kopie van uw identiteitsbewijs is niet nodig.

U ontvangt binnen één maand na deze bevestiging ons volledige antwoord.

Vraag alleen om een kopie-ID bij een aantoonbaar hoog risico (bijvoorbeeld toegang tot gevoelige medische gegevens), en laat de verzoeker dan de pasfoto en het BSN afdekken.

Zoek de balans tussen twee risico’s. Verstrekt u gegevens aan de verkeerde persoon, dan is dat zelf een datalek. Maar stelt u een onnodig zware identiteitscheck als drempel op, dan frustreert u een wettelijk recht en riskeert u een klacht — precies de fout waarvoor DPG Media werd beboet. De maatstaf is proportionaliteit: bij een verzoek om alledaagse klantgegevens volstaat het bevestigen van enkele bij u bekende kenmerken; alleen bij werkelijk gevoelige gegevens is een zwaardere verificatie te rechtvaardigen. Vraag nooit meer bewijs dan het risico van de betreffende gegevens rechtvaardigt.

Voorbeeldbrief 2 — Volledig antwoord

Geachte [naam],

Naar aanleiding van uw inzageverzoek treft u hierbij een overzicht aan van de persoonsgegevens die wij van u verwerken:

• Gegevens: [opsomming]
• Doeleinden: [per verwerking]
• Ontvangers: [categorieën]
• Bewaartermijn: [termijn of criteria]
• Herkomst: [bron, indien niet van uzelf verkregen]

U heeft het recht op rectificatie, verwijdering, beperking en bezwaar. Ook kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.

Verstrek een begrijpelijk overzicht, geen ruwe databasedump. De betrokkene heeft recht op een kopie van de gegevens, niet noodzakelijk op de onderliggende documenten in hun geheel.

Waar u vaak gegevens over het hoofd ziet

Het inzagerecht strekt zich uit tot alle systemen waarin persoonsgegevens van de verzoeker staan — niet alleen de klant- of personeelsdatabase. Denk aan e-mailcorrespondentie, notities in een CRM, logbestanden, telefoonnotities, back-ups en berichten in samenwerkingsplatforms. Juist die verspreide bronnen worden vergeten, en een onvolledig antwoord is een frequente grond voor een klacht.

Loop daarom bij elk verzoek systematisch uw verwerkingslandschap langs. Een actueel verwerkingsregister is hierbij onmisbaar: het vertelt u in welke systemen welke categorieën gegevens staan, zodat u weet waar u moet zoeken. Zonder die kaart is de kans groot dat u een bron mist en het verzoek onvolledig beantwoordt.

Voorbeeldbrief 3 — Gedeeltelijke afwijzing

Soms kunt u niet alles verstrekken, bijvoorbeeld omdat gegevens van derden erin verweven zitten of omdat een uitzondering geldt (art. 41 UAVG, bijvoorbeeld ter bescherming van rechten van anderen).

Wij verstrekken u de gevraagde gegevens, met uitzondering van [categorie]. Deze bevatten persoonsgegevens van derden / vallen onder [uitzondering art. 41 UAVG]. Wij hebben deze passages afgeschermd om de rechten van anderen te beschermen.

Motiveer elke weigering. Een ongemotiveerde of te ruime afwijzing is een frequente reden voor een klacht bij de Autoriteit Persoonsgegevens. Weiger nooit méér dan strikt nodig: het uitgangspunt is verstrekken, en de uitzondering moet u per passage kunnen onderbouwen. Een pauschale weigering “omdat er ook gegevens van collega’s in staan” houdt geen stand — u schermt de betreffende passages af en verstrekt de rest.

Voorbeeldbrief 4 — Verlenging

Vanwege de complexiteit en omvang van uw verzoek verlengen wij de reactietermijn met twee maanden, conform artikel 12 lid 3 AVG. U ontvangt uiterlijk [datum] ons volledige antwoord.

Verstuur de verlenging binnen de eerste maand. Verlengen na afloop van de termijn is te laat.

Bijzondere situaties

Voor personeelsdossiers gelden aanvullende aandachtspunten; zie de gids over de AVG voor werkgevers. Wordt gevraagd om verwijdering in plaats van inzage, dan volgt u de route van het recht op vergetelheid.

Hoe Legiscope hierbij helpt

Het lastigste aan een inzageverzoek is het volledig doorzoeken van alle systemen binnen de maand. Legiscope gebruikt het verwerkingsregister als kaart van waar welke gegevens staan, zodat u bij een verzoek weet welke systemen u moet raadplegen en niets over het hoofd ziet.

FAQ

Mag ik een kopie van het identiteitsbewijs vragen?

Niet standaard. De identiteitscheck moet proportioneel zijn. Vaak volstaat het bevestigen van enkele bij u bekende gegevens. De AP beboette DPG Media in 2022 met 525.000 euro onder meer voor het standaard eisen van een kopie-ID bij inzageverzoeken.

Binnen welke termijn moet ik een inzageverzoek beantwoorden?

Binnen één maand na ontvangst. Bij complexe of talrijke verzoeken mag u met twee maanden verlengen (art. 12 lid 3 AVG), mits u de verzoeker daarover binnen de eerste maand informeert.

Mag ik kosten in rekening brengen?

In beginsel niet: het eerste antwoord is kosteloos (art. 12 lid 5 AVG). Alleen bij kennelijk ongegronde of buitensporige verzoeken — bijvoorbeeld herhaalde identieke verzoeken — mag u een redelijke vergoeding vragen of het verzoek weigeren. De bewijslast dat een verzoek buitensporig is, ligt bovendien bij u; ga daar dus terughoudend mee om. Ook een tweede inzageverzoek na verloop van tijd is in beginsel gewoon kosteloos, want gegevens veranderen.

Wat als het verzoek gegevens van anderen bevat?

U mag de gegevens van derden afschermen om hun rechten te beschermen (art. 15 lid 4 AVG en art. 41 UAVG). Verstrek de rest en motiveer welke passages u om welke reden heeft weggelaten.

Hoe leg ik de afhandeling van een inzageverzoek vast?

Documenteer per verzoek de ontvangstdatum, de identiteitscheck, de doorzochte systemen, wat u wel en niet heeft verstrekt en de verzenddatum van het antwoord. Deze vastlegging dient twee doelen: u kunt de wettelijke termijn aantoonbaar bewaken, en bij een klacht laat u zien dat u het verzoek zorgvuldig en volledig heeft afgehandeld. Bewaar het dossier van het verzoek zelf ook niet langer dan nodig — het bevat immers persoonsgegevens van de verzoeker.

---

Bronnen: de AVG-tekst op EUR-Lex en de informatie over het inzagerecht van de Autoriteit Persoonsgegevens.