Het recht op dataportabiliteit geeft mensen onder bepaalde voorwaarden toegang tot een herbruikbare gegevensset. Artikel 20 AVG omvat het ontvangen van persoonsgegevens die zij aan een verantwoordelijke hebben verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat, en het doorgeven daarvan aan een andere verantwoordelijke zonder belemmering. Waar dat technisch mogelijk is, kan de persoon ook rechtstreekse overdracht verlangen. Het recht kan worden gebruikt om van dienst te wisselen, maar overstappen is geen verplichte reden voor het verzoek.
Dataportabiliteit heeft een eigen reikwijdte. De relevante verwerking moet geautomatiseerd plaatsvinden en berusten op toestemming, waaronder toepasselijke uitdrukkelijke toestemming, of op de uitvoering van een overeenkomst volgens artikel 6 lid 1 onder b. Verder moet het gaan om gegevens die de persoon heeft verstrekt. Deze voorwaarden moeten samen worden beoordeeld. Een bestand kan gegevens bevatten die wel onder artikel 20 vallen en gegevens waarvoor alleen een ander recht van toepassing is.
Begin bij de verwerking, niet bij de exportknop
Stel eerst vast wat de persoon vraagt. Wil hij een kopie om te begrijpen welke gegevens u verwerkt, een bestand om zelf te gebruiken of rechtstreekse overdracht aan een andere organisatie? Een verzoek hoeft de juiste juridische term niet te bevatten. Leg bij twijfel begrijpelijk uit welke mogelijkheden bestaan, zonder te verlangen dat de persoon eerst zijn belangen motiveert. Een verzoek om “al mijn gegevens” kan aanleiding zijn om zowel toegang als overdraagbaarheid te bespreken.
Beoordeel vervolgens de betreffende verwerkingen. Eén klantrecord kan contactgegevens voor een overeenkomst, een nieuwsbrieftoestemming, wettelijke factuurgegevens en een intern risicoprofiel bevatten. Het feit dat alles in dezelfde database staat, geeft die onderdelen niet dezelfde juridische status. De rechtsgronden van artikel 6 moeten aansluiten op de werkelijke doeleinden. Een organisatorische indeling in één klantenbestand vervangt die analyse niet.
Een verwerkingsregister kan helpen de processen, categorieën en systemen te vinden. De rechtsgrond is niet uitdrukkelijk als verplicht veld in artikel 30 opgenomen, maar een koppeling met die beoordeling is praktisch nuttig. Controleer of de beschrijving nog klopt en of dezelfde gegevens voor verschillende doelen worden gebruikt. Een verouderd label “contract” in het register is geen voldoende bewijs dat alle gegevens in een export onder artikel 20 vallen.
Welke grondslagen en verwerkingen kwalificeren?
De contractroute vergt noodzakelijkheid voor een overeenkomst met de betrokkene of voor op diens verzoek genomen maatregelen voorafgaand aan een overeenkomst. Niet iedere commerciële relatie voldoet daaraan. De contactpersoon van een zakelijke klant is bijvoorbeeld niet vanzelf persoonlijk partij bij het contract met zijn werkgever. Onderzoek de betreffende relatie voordat u de verwerkingsgrond en de gevolgen voor portabiliteit vaststelt. Zet een onjuiste grondslag niet voort alleen omdat zij een eenvoudiger exportbesluit oplevert.
Bij toestemming gaat het om de verwerking die daadwerkelijk daarop berust. Verwerking op grond van een wettelijke verplichting, gerechtvaardigd belang of een publieke taak valt niet door die grondslag onder artikel 20. De uitsluiting van taken van algemeen belang en openbaar gezag staat ook uitdrukkelijk in lid 3. Dat betekent niet dat de persoon geen inzage of andere rechten heeft. Leg een gedeeltelijke uitkomst daarom per onderdeel uit en wijs niet het hele verzoek af omdat één categorie buiten portabiliteit valt.
De verwerking moet bovendien geautomatiseerd zijn. Een uitsluitend papieren dossier valt niet onder dit recht. Een gemengd proces vraagt een beoordeling van de geautomatiseerd verwerkte gegevens die aan de overige voorwaarden voldoen. Dat een organisatie een digitaal document kan maken van een papieren dossier betekent niet automatisch dat de oorspronkelijke verwerking daardoor onder artikel 20 valt. Omgekeerd is een digitaal systeem niet uitgezonderd omdat een medewerker af en toe handmatig gegevens toevoegt.
Verstrekte gegevens omvatten meer dan ingevulde formulieren
Gegevens die de persoon bewust invult, zoals contactgegevens en een zelf aangemaakte lijst, vormen het duidelijke vertrekpunt. De uitleg van “verstrekt” omvat volgens de richtsnoeren over dataportabiliteit ook bepaalde gegevens die door gebruik van de dienst worden waargenomen, zoals een gebruiksgeschiedenis. Het onderscheid is dus niet simpelweg tussen handmatig ingevoerde informatie en alles wat een systeem heeft vastgelegd.
Denk aan een dienst die de activiteiten van de gebruiker registreert en op basis daarvan een interesseprofiel berekent. De waargenomen activiteiten kunnen binnen de reikwijdte vallen als de andere voorwaarden zijn vervuld. Het door de aanbieder afgeleide profiel of de berekende score valt volgens die uitleg niet onder de verstrekte gegevens. Maak dit onderscheid op inhoud, niet op bestandsnaam: een kolom met het label “klantinvoer” kan nog steeds een afgeleide waarde bevatten.
Afgeleide informatie kan wel persoonsgegevens zijn waarop het inzagerecht van toepassing is. Dat recht heeft een ruimere materiële reikwijdte en kent eigen voorwaarden en beperkingen. Als iemand beide rechten uitoefent, kan een passende reactie dus bestaan uit een overdraagbaar bestand met kwalificerende gegevens en aanvullende toegangsinformatie over andere persoonsgegevens. Licht toe waarom de onderdelen verschillen, zonder de persoon opnieuw door het volledige aanvraagproces te sturen.
Het formaat moet hergebruik ondersteunen
De AVG noemt geen verplicht universeel bestandsformaat. CSV, JSON of XML kunnen passend zijn, afhankelijk van de gegevens en hun structuur. Het gaat om een gestructureerd, gangbaar en machineleesbaar resultaat. Een bestandsextensie is geen bewijs: een tekstveld met daarin een ongestructureerde kopie van een heel dossier wordt niet vanzelf bruikbaar doordat het bestand op CSV eindigt.
Voeg de informatie toe die nodig is om de gegevens te begrijpen en opnieuw te gebruiken. Dat kan een uitleg zijn van kolomnamen, eenheden, datumformaten, tijdzones, codes en de relatie tussen bestanden. Een temperatuurwaarde zonder eenheid of een transactie zonder betekenisvolle veldnamen kan technisch leesbaar en toch moeilijk bruikbaar zijn. Deze toelichting moet de gegevens verklaren zonder nieuwe, niet gevraagde profielen te creëren of onnodige gegevens over andere personen mee te sturen.
Een platte PDF of een afdruk is doorgaans geen geschikte manier om een herbruikbare gegevensset te leveren. Beoordeel echter de werkelijke structuur en functionaliteit, in plaats van een absolute uitspraak dat ieder documentformaat per definitie wel of niet aan artikel 20 voldoet. Voor inzage kan een begrijpelijke elektronische kopie passend zijn terwijl diezelfde kopie de portabiliteitsvraag niet oplost. De wijze van levering moet dus aansluiten op het uitgeoefende recht.
Controleer een export voordat u hem verzendt. Kunnen de bestanden worden geopend, blijven tekens en datums correct en kloppen aantallen en onderlinge verwijzingen? Een proefimport in een passende afzonderlijke omgeving kan helpen, zonder te beloven dat iedere toekomstige ontvanger het bestand probleemloos kan verwerken. Artikel 20 verplicht niet om alle systemen onderling technisch gelijk te maken. Wel moet u onnodige belemmeringen voor de persoon vermijden en een daadwerkelijk bruikbaar resultaat bieden.
Gegevens van anderen zijn geen automatische reden voor uitsluiting
Een berichtenhistorie of transactieoverzicht kan zowel de verzoeker als andere personen betreffen. Artikel 20 lid 4 verlangt dat het recht geen afbreuk doet aan de rechten en vrijheden van anderen. Dat vereist een concrete beoordeling van mogelijke nadelige effecten en passende bescherming. Het betekent niet dat iedere naam van een derde uit elke gegevensset moet verdwijnen of dat gemengde bestanden in hun geheel buiten het recht vallen.
Beoordeel de context van de informatie en het beoogde gebruik door de ontvanger. Een contactnaam kan nodig zijn om de eigen correspondentie te begrijpen, terwijl andere velden een onnodig gedetailleerd beeld van de gesprekspartner geven. Onderzoek gerichte beperking, veilige overdracht of andere waarborgen voordat u gegevens uitsluit. Als u onderdelen achterhoudt, leg dan uit welke beoordeling daaraan ten grondslag ligt. Een standaardzin over derden geeft de persoon onvoldoende inzicht in de uitkomst.
De ontvangende organisatie heeft een eigen verantwoordelijkheid. Zij mag gegevens over andere personen niet automatisch gebruiken voor haar eigen marketing of profilering omdat die gegevens in een portabiliteitsbestand zijn meegekomen. Ook voor de gegevens van de verzoeker moet zij haar rol, doeleinden en rechtmatigheid beoordelen. De opdracht om over te dragen creëert geen onbeperkte vrijstelling van de overige AVG-eisen voor de ontvanger.
Rechtstreekse overdracht is een afzonderlijke uitvoeringsvraag
Artikel 20 lid 1 geeft het recht om de gegevens te ontvangen. Lid 2 voegt rechtstreekse overdracht toe wanneer die technisch mogelijk is. Als een directe verbinding ontbreekt, verdwijnt het recht op een geschikte eigen kopie niet. Maak daarom eerst duidelijk welk deel u kunt uitvoeren en welk concreet technisch obstakel de gevraagde directe route belemmert. Gebruik een algemene stelling dat koppelingen lastig zijn niet als vervanging voor die beoordeling.
Controleer wie de ontvangende verantwoordelijke is en welk adres of overdrachtskanaal werkelijk bij hem hoort. Een door de verzoeker aangeleverd e-mailadres kan fout zijn of door iemand anders worden gebruikt. De wijze van verificatie moet passen bij het risico, zonder onnodige identiteitsgegevens te verzamelen. Leg vast welke instructie u uitvoert en voorkom dat een export wordt doorgestuurd naar een leverancier die alleen toevallig bij de organisatie bekend is.
Beoordeel ook beveiliging en eventuele doorgifte buiten de Europese Economische Ruimte. Een portabiliteitsverzoek heft de regels van hoofdstuk V niet op. Wanneer een internationale doorgifte aan de orde is, moet de passende juridische route worden onderzocht; er is geen algemene portabiliteitsuitzondering voor iedere bestemming. De gegevens rechtstreeks aan de persoon verstrekken kan een andere situatie zijn dan doorgifte aan een nieuwe verantwoordelijke, maar vraagt eveneens een veilige uitvoering.
Termijn, verificatie en een gedeeltelijk antwoord
Informeer de persoon zonder onredelijke vertraging en uiterlijk binnen één maand na ontvangst over de actie op zijn verzoek. Bij noodzaak kan de termijn met nog twee maanden worden verlengd vanwege de complexiteit en het aantal verzoeken. Binnen de eerste maand moet u de verlenging en de redenen daarvan meedelen. Een interne registratie of ontvangstbevestiging start niet automatisch een nieuwe termijn. Organiseer de behandeling daarom vanaf het eerste ontvangen verzoek.
Bij redelijke twijfel over de identiteit kunt u noodzakelijke aanvullende informatie vragen. Vraag niet standaard een volledige identiteitskopie omdat er een export wordt gemaakt. Gebruik waar passend een bestaand veilig account of een andere betrouwbare methode die aansluit op de relatie. Noteer waarom extra informatie nodig was en beperk de verzameling. De beginselen van dataminimalisatie gelden ook voor de behandeling van een privacyverzoek.
Als u niet of slechts gedeeltelijk handelt, moet u zonder vertraging en uiterlijk binnen één maand de redenen meedelen, met informatie over een klacht bij de toezichthouder en een voorziening in rechte. Een afwijzing moet dus niet alleen zeggen dat gegevens buiten artikel 20 vallen, maar uitleggen waarom. U kunt daarbij onderscheiden welke gegevens wel worden verstrekt en welke eventueel via inzage beschikbaar zijn. Praktische formuleringen vindt u bij het beantwoorden van inzageverzoeken, met aanpassing aan het daadwerkelijk uitgeoefende recht.
De afhandeling is in beginsel kosteloos. Artikel 12 lid 5 kent een beperkte mogelijkheid van een redelijke vergoeding of weigering bij kennelijk ongegronde of buitensporige verzoeken; de verantwoordelijke draagt de bewijslast. Een lastige export of herhaald verzoek is niet automatisch buitensporig. Beoordeel de omstandigheden en voorkom dat normale uitoefening van een recht in de praktijk afhankelijk wordt gemaakt van een betaalde dienst.
Nederlandse praktijk: houd bijzondere overdrachtsregelingen apart
De op de AP-website beschikbare handleiding over de AVG is opgesteld in opdracht van het ministerie van Justitie en Veiligheid en bespreekt zowel de voorwaarden als de herbruikbare vorm. De wettelijke analyse blijft per verwerking nodig. Een sector waarin overstappen belangrijk is, valt niet om die reden volledig onder artikel 20.
Bij een energiedienst kunnen door gebruik waargenomen gegevens kwalificeren als de verwerking op een passende toestemming of overeenkomst berust en geautomatiseerd is. Een financiële toepassing kan daarnaast onder specifieke regels over toegang tot betaalgegevens vallen. Een zorgdossier kan eigen overdrachts- en patiëntenrechten kennen, ook wanneer de betreffende verwerking op een wettelijke of andere grond berust. Deze routes moeten afzonderlijk worden beoordeeld; PSD2 of een zorgregeling is niet simpelweg een andere naam voor artikel 20.
Hetzelfde geldt voor nummerbehoud, overstapdiensten of contractuele exportmogelijkheden. Een leverancier kan een ruimere export aanbieden dan juridisch onder dataportabiliteit valt. Benoem dan of het om uitvoering van een recht, een wettelijke sectorregeling of een vrijwillige dienstverlening gaat. Zo vermijdt u dat een beperking in de ene route onterecht als beperking van alle mogelijkheden wordt voorgesteld. Vraag zo nodig welke concrete uitkomst de persoon wil bereiken, zonder hem een motiveringsplicht op te leggen.
Overdracht beëindigt andere verplichtingen niet
Een portabiliteitsverzoek is geen automatische opzegging of verwijderingsopdracht. Artikel 20 laat het recht op gegevenswissing onverlet, maar dat recht moet afzonderlijk worden beoordeeld wanneer het wordt uitgeoefend. De oorspronkelijke organisatie kan bepaalde gegevens nog voor een zelfstandig rechtmatig doel nodig hebben. Omgekeerd biedt het feit dat iemand een kopie heeft gekregen geen nieuwe reden om oude gegevens langer te bewaren.
Controleer fouten voordat zij onnodig worden verspreid, zonder het portabiliteitsverzoek te veranderen in een langdurig correctieproject. Als de persoon aangeeft dat gegevens onjuist zijn, kan daarnaast het recht op rectificatie spelen. Maak duidelijk welke versie is verstrekt en hoe een relevante correctie wordt verwerkt. Verander historische gegevens niet ongemerkt om een nettere export te maken; een kopie moet de inhoud getrouw weergeven.
Bewaar een beperkte verantwoording van de afhandeling: het ontvangen verzoek, de scopebeslissing, het gebruikte formaat, relevante controles, de bestemming en de verzenddatum. Sla niet zonder noodzaak blijvend een extra volledige export op in het verzoekdossier. Ook dat dossier bevat persoonsgegevens en vraagt een eigen bewaaraanpak. Met een herhaalbaar proces voorkomt u zowel te brede verstrekking als onnodige vertraging door telkens opnieuw alle keuzes uit te zoeken.
Veelgestelde vragen
Moet ik een kredietscore in het portabiliteitsbestand opnemen?
Een door de organisatie berekende score is doorgaans afgeleid en valt volgens de richtsnoeren niet onder de verstrekte gegevens van artikel 20. De onderliggende door de persoon verstrekte of door gebruik waargenomen gegevens kunnen wel kwalificeren als de overige voorwaarden zijn vervuld. De score kan daarnaast onder het inzagerecht vallen. Geef dus een onderscheidend antwoord in plaats van de volledige aanvraag af te wijzen.
Volstaat een CSV-bestand altijd?
Nee. De structuur, betekenis en inhoud bepalen of de export werkelijk bruikbaar is. Controleer veldnamen, coderingen, eenheden en relaties tussen gegevens. Een CSV met alleen onverklaarde codes of één groot tekstblok lost de vraag niet vanzelf op. Kies een passend gangbaar formaat en voeg de toelichting toe die nodig is om de geleverde gegevens te begrijpen.
Moet ik altijd rechtstreeks aan een concurrent leveren?
De persoon heeft recht op directe overdracht wanneer die technisch mogelijk is. Controleer de concrete mogelijkheid, de identiteit van de bestemming en veilige uitvoering. Ontbreekt een passende directe route, dan moet u nog steeds beoordelen hoe u de persoon zelf de kwalificerende gegevens kunt geven. Een voorkeur om klanten te behouden is geen geldige technische belemmering.
Mag ik alle gegevens van derden uit de export verwijderen?
Niet zonder inhoudelijke beoordeling. Onderzoek welke gegevens ook de verzoeker betreffen, welke nadelige effecten voor anderen kunnen ontstaan en hoe die kunnen worden voorkomen. Gerichte afscherming of andere waarborgen kunnen passend zijn, maar een algemene uitsluiting van gemengde informatie doet geen recht aan artikel 20. Leg beperkingen en de gekozen bescherming begrijpelijk uit.