Het recht op rectificatie geeft een persoon aanspraak op verbetering van onjuiste persoonsgegevens die over hem of haar worden verwerkt. Daarnaast kan die persoon, rekening houdend met het doel van de verwerking, onvolledige gegevens laten aanvullen, bijvoorbeeld met een aanvullende verklaring. Artikel 16 AVG verlangt correctie zonder onredelijke vertraging. Het is geen algemeen recht om iedere onwelgevallige beoordeling te vervangen door de eigen voorkeur.
Voor organisaties bestaat de taak uit meer dan het wijzigen van één veld. Zij moeten het verzoek herkennen, de juistheid onderzoeken, waar nodig het gebruik beperken, relevante kopieën corrigeren en ontvangers informeren volgens artikel 19. Deze gids beschrijft die samenhang en de Nederlandse rechtsbescherming. Voor de Basisregistratie Personen gelden bijzondere wettelijke regels; die worden hieronder afzonderlijk behandeld en mogen niet met de algemene AVG-termijn worden vermengd.
Juistheid wordt beoordeeld in de context van het doel
Een verkeerde geboortedatum of een aan de verkeerde persoon gekoppelde aankoop is meestal een duidelijk voorbeeld van onjuiste informatie. Andere situaties vragen meer uitleg. Een historisch adres kan juist zijn als het dossier beschrijft waar iemand tijdens een eerdere overeenkomst woonde, maar onjuist worden gebruikt wanneer het systeem dat adres nog als actueel bezorgadres aanmerkt. Dezelfde tekenreeks krijgt betekenis door de functie die zij in de verwerking vervult.
Vraag daarom welk gegeven wordt betwist, wat volgens de verzoeker correct is en waarom het verschil relevant is. Dat helpt de organisatie gericht onderzoek te doen. Het recht vereist niet dat de verzoeker een perfecte juridische analyse indient. Een begrijpelijke mededeling dat een rekening bij de verkeerde klant staat, kan al aanleiding zijn om de onjuistheid te onderzoeken en het verzoek als rectificatieverzoek te behandelen.
Het juistheidsbeginsel van artikel 5 AVG geldt bovendien doorlopend. Een organisatie moet redelijke maatregelen treffen om onjuiste gegevens, gelet op de verwerkingsdoeleinden, te wissen of te verbeteren. Zij hoeft dus niet passief te wachten totdat iedere getroffen persoon afzonderlijk klaagt. Als een importfout meerdere klantdossiers raakt, moet ook de oorzaak en mogelijke omvang van die fout worden onderzocht.
Aanvullen betekent niet onbeperkt verklaringen toevoegen
Artikel 16 koppelt het recht op aanvulling aan de doeleinden van de verwerking. Een dossier kan een onvolledig beeld geven doordat een relevante latere gebeurtenis ontbreekt. Denk aan een betaling die wel is ontvangen maar niet bij de eerder geregistreerde achterstand is verwerkt. De oorspronkelijke gebeurtenis hoeft niet te worden ontkend om de actuele stand volledig te maken. Een gedateerde aanvulling kan juist het noodzakelijke onderscheid bewaren.
De organisatie moet beoordelen of de voorgestelde toevoeging ontbrekende relevante informatie aanvult. Een verzoeker kan niet zonder meer eisen dat een uitgebreid betoog over een ongerelateerd conflict in ieder systeem wordt opgeslagen. Leg in een gedeeltelijke afwijzing uit welke informatie wel wordt toegevoegd, welke niet en waarom. Zo blijft de beslissing verbonden met het doel van het dossier in plaats van met een algemene voorkeur voor korte of lange verklaringen.
Een aanvulling hoort ook zichtbaar genoeg te zijn om verkeerd gebruik te voorkomen. Een verklaring in een los bestand helpt weinig wanneer medewerkers uitsluitend een overzichtsscherm bekijken dat nog een onvolledig beeld toont. Koppel de informatie op een manier die de relevante gebruikers bereikt. Tegelijk moet u vermijden dat de aanvulling meer persoonsgegevens verspreidt dan voor het doel nodig is.
Feiten, meningen en professionele beoordelingen onderscheiden
Een professionele beoordeling kan persoonsgegevens bevatten zonder dat ieder inhoudelijk meningsverschil een recht op herschrijving oplevert. De vraag is onder meer of correct is vastgelegd wie welke beoordeling op welk moment gaf en op welke gegevens deze betrekking had. Een oordeel dat ten onrechte aan de verzoeker wordt toegeschreven, of een beoordeling gebaseerd op een verkeerd gekoppeld dossier, kan wel degelijk aanleiding geven tot correctie.
De formulering dat meningen nooit kunnen worden gerectificeerd is daarom te absoluut. Onderzoek de feitelijke onderdelen, de toeschrijving en de context. Het is mogelijk dat een historische beoordeling correct als toenmalige beoordeling blijft staan, terwijl een onjuiste datum wordt hersteld of relevante informatie wordt aangevuld. Dat is iets anders dan de oorspronkelijke deskundige verplichten achteraf een andere professionele conclusie te formuleren.
Bij medische, arbeidsrechtelijke of andere specialistische dossiers kunnen daarnaast eigen wettelijke rechten en procedures gelden. Presenteer een algemene AVG-uitleg niet als vervanging van die regels. Benoem in de reactie welke onderdelen via rectificatie zijn beoordeeld en of voor een inhoudelijk geschil een andere route relevant is. Een andere route ontslaat de organisatie niet van het behandelen van een daadwerkelijk onjuist persoonsgegeven.
Een verzoek ontvangen en veilig aan het juiste dossier koppelen
Maak duidelijk waar mensen een correctie kunnen vragen, bijvoorbeeld via een privacyadres of een geschikte accountfunctie. Een aangeboden formulier kan helpen, maar de organisatie moet de uitoefening van rechten faciliteren. Een herkenbaar verzoek mag niet enkel worden genegeerd omdat het via de klantenservice binnenkomt. Zorg dat medewerkers het kunnen doorsturen zonder de datum van ontvangst administratief te laten verdwijnen.
Bij redelijke twijfel over de identiteit mag de organisatie aanvullende informatie vragen die nodig is om de identiteit te bevestigen. Vraag niet standaard om een volledig identiteitsdocument als een bestaande veilige accountomgeving of andere beperkte verificatie volstaat. De gekozen controle moet passen bij de gegevens en het risico dat een onbevoegde persoon een dossier laat veranderen. Identificatie mag zelf geen onnodige nieuwe gegevensverzameling worden.
Bewaar de oorspronkelijke ontvangst, de inhoud van het verzoek en de noodzakelijke correspondentie. Vermeld welke systemen worden onderzocht en wie de beslissing neemt. Dat kan in een bestaand proces voor betrokkenenrechten gebeuren. Het inzagerecht onder de AVG gaat vaak aan rectificatie vooraf, maar een afzonderlijk inzageverzoek is geen verplichte voorwaarde om een reeds bekende fout te laten herstellen.
De maandtermijn is een wettelijke grens
Volgens artikel 12 lid 3 AVG verstrekt de verantwoordelijke zonder onredelijke vertraging en in ieder geval binnen één maand na ontvangst informatie over het gevolg dat aan het verzoek is gegeven. Eén maand is niet hetzelfde als een intern streefdoel of een vaste periode van dertig dagen. Artikel 16 verlangt daarnaast de correctie zelf zonder onredelijke vertraging. Een eenvoudig vastgestelde fout moet dus niet onnodig blijven bestaan tot de laatste dag van de antwoordtermijn.
Een verlenging met maximaal twee maanden is mogelijk wanneer dat noodzakelijk is, rekening houdend met de complexiteit en het aantal verzoeken. De verzoeker moet binnen de eerste maand worden geïnformeerd over de verlenging en de redenen daarvoor. Een standaardzin dat de organisatie het druk heeft, laat niet zien waarom verlenging in het concrete geval nodig is. Plan tijdig welk onderzoek nog ontbreekt en wanneer het kan worden afgerond.
Als de organisatie geen gevolg geeft aan het verzoek, moet zij volgens artikel 12 lid 4 zonder vertraging en uiterlijk binnen één maand de redenen meedelen, met informatie over de mogelijkheid van een klacht bij een toezichthouder en een voorziening in rechte. Dit geldt ook wanneer zij vindt dat de gegevens juist zijn. Stilte of uitsluitend een automatische ontvangstbevestiging vormt geen inhoudelijke afhandeling.
De afhandeling is in beginsel kosteloos. Alleen onder de voorwaarden van artikel 12 lid 5, bij kennelijk ongegronde of buitensporige verzoeken, kan een redelijke vergoeding worden gevraagd of behandeling worden geweigerd. De organisatie moet dat karakter kunnen aantonen. Een correctie die extra werk veroorzaakt, is daardoor nog niet buitensporig; soms laat juist dat werk zien dat het gegevensbeheer onvoldoende is ingericht.
Tijdens het onderzoek kan beperking nodig zijn
Wie de juistheid van persoonsgegevens betwist, heeft op grond van artikel 18 lid 1 onder a recht op beperking gedurende de periode die de verantwoordelijke nodig heeft om de juistheid te controleren. Dat is een afzonderlijke bescherming naast de uiteindelijke correctie. Zij kan voorkomen dat een betwist gegeven ondertussen opnieuw wordt gebruikt voor een nadelige beslissing. Beoordeel dus niet alleen wat later moet worden gewijzigd, maar ook wat tijdens het onderzoek nog mag gebeuren.
Beperking betekent niet dat de gegevens noodzakelijk meteen worden verwijderd. Zij mogen worden opgeslagen, terwijl ander gebruik slechts onder de voorwaarden van artikel 18 lid 2 is toegestaan, bijvoorbeeld met toestemming of voor rechtsvorderingen. Een interne markering werkt alleen als betrokken medewerkers en systemen die daadwerkelijk respecteren. Leg vast welk gebruik wordt tegengehouden en wie eventuele toegestane uitzonderingen beoordeelt.
Voordat een verkregen beperking wordt opgeheven, moet de betrokkene worden geïnformeerd. Een wijziging van de status in de interne database is daarvoor niet voldoende. De bijzondere BRP-regels vormen een uitzondering op de algemene uitleg in deze paragraaf. Pas artikel 18 daarom niet automatisch toe op het bijhouden van de Basisregistratie Personen; de wet maakt daar een expliciete afwijking.
Corrigeer de relevante keten van systemen en ontvangers
Zoek na vaststelling van de fout de relevante vindplaatsen. Een klantnummer kan bijvoorbeeld voorkomen in het primaire dossier, een ondersteuningsomgeving en een export die dagelijks wordt vernieuwd. Als alleen de eerste vindplaats wordt aangepast, kan een volgende synchronisatie de fout opnieuw invoeren. Bepaal daarom waar de bron ligt en welke afgeleide gegevens opnieuw moeten worden opgebouwd.
Artikel 19 AVG verplicht de verantwoordelijke iedere ontvanger aan wie de persoonsgegevens zijn verstrekt over de rectificatie te informeren, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. Dit is geen onvoorwaardelijke plicht om ieder denkbaar persoon te benaderen. De organisatie moet wel weten welke verstrekkingen relevant waren en een beroep op de uitzondering concreet kunnen onderbouwen. Gewone administratieve onhandigheid rechtvaardigt niet vanzelf het achterwege laten van berichten.
Als de betrokkene daarom verzoekt, informeert de verantwoordelijke hem of haar over die ontvangers. Een afhandelingsbericht kan bovendien praktisch uitleggen welke systemen zijn aangepast en welke kennisgevingen zijn gedaan. Maak daarbij onderscheid tussen een eigen uitgevoerde correctie en een bericht aan een zelfstandige andere organisatie. U kunt niet zonder controle beloven dat iedere derde op datzelfde moment zijn hele administratie heeft gewijzigd.
Voor een verwerker moet de noodzakelijke medewerking in de werkafspraken zijn geregeld. Artikel 28 verlangt passende ondersteuning bij verzoeken, rekening houdend met de aard van de verwerking. De uitleg over de verwerkersovereenkomst volgens artikel 28 helpt die ondersteuning concreet te maken. Een leverancier is overigens niet automatisch verwerker; de feitelijke rol bepaalt welke afspraken en verantwoordelijkheden gelden.
Een hypothetisch betalingsdossier volledig herstellen
Stel dat een webwinkel een betaling aan het verkeerde klantnummer koppelt. De echte betaler krijgt vervolgens een herinnering en de andere klant ziet een onjuiste betaalstatus. Onderzoek eerst de bewijsstukken en de koppeling. Het veranderen van alleen de zichtbare status lost het onderliggende probleem niet op als het boekhoudsysteem of de volgende import nog de verkeerde relatie gebruikt.
De webwinkel corrigeert in dit voorbeeld de koppeling, beoordeelt het gebruik van de betwiste achterstand tijdens het onderzoek en controleert welke herinneringen of verstrekkingen al zijn gedaan. Wanneer een incassodienst onjuiste gegevens heeft ontvangen, moet artikel 19 worden toegepast. De reactie aan de klant vermeldt begrijpelijk wat is hersteld. Zij hoeft geen onnodige gegevens over de andere klant te bevatten om de eigen correctie toe te lichten.
Onderzoek daarnaast of de fout een beveiligingsinbreuk met persoonsgegevens opleverde, bijvoorbeeld doordat rekeninginformatie aan de verkeerde persoon zichtbaar werd. Een administratieve onjuistheid is niet automatisch een datalek. Als wel een persoonsgegevensinbreuk bestaat, gelden de afzonderlijke risico- en meldregels. Het praktische artikel over een datalek melden bij de AP helpt om die beoordeling los van de rectificatie uit te voeren.
Alle persoonsgegevensinbreuken worden gedocumenteerd, ook als een externe melding niet nodig is. Een te melden inbreuk wordt zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisneming gemeld; latere melding vereist een motivering. Bij waarschijnlijk hoog risico volgt de afzonderlijke beoordeling van informatie aan betrokkenen volgens artikel 34 en zijn uitzonderingen. Een correctie achteraf maakt een eerdere ongeoorloofde verstrekking niet ongedaan.
Nederlandse bijzonderheden: BRP en kredietgegevens
De Wet basisregistratie personen bevat een eigen uitwerking van correctieverzoeken. Artikel 2.58 verlangt dat het verzoek de gewenste wijzigingen bevat en regelt uitvoering door het college van burgemeester en wethouders volgens de betreffende wettelijke afdeling. De algemene uitleg over klantdossiers is daarom niet rechtstreeks een volledig stappenplan voor een gemeentelijke basisregistratie.
De BRP-termijn is in beginsel vier weken. Voor zover noodzakelijk kan deze telkens met acht weken worden verlengd wanneer het verzoek gegevens over de burgerlijke staat of nationaliteit betreft; de gemeente deelt die verlenging onmiddellijk mee. Artikel 2.58a verklaart artikel 18 AVG niet van toepassing op de bijhouding van gegevens in de basisregistratie. Deze verschillen laten zien waarom een standaardbrief met alleen de algemene maandtermijn daar onvolledig kan zijn.
Bij kredietregistraties moet onderscheid worden gemaakt tussen feitelijke juistheid en de vraag of een overigens juiste registratie nog mag worden verwerkt. Een verkeerde betalingsdatum of verwisselde identiteit kan een correctievraag opleveren. Een verzoek om een juiste historische registratie wegens actuele persoonlijke omstandigheden te verwijderen vraagt een andere beoordeling, bijvoorbeeld onder de toepasselijke regels over wissing of bezwaar. Noem beide soorten verzoeken niet zonder meer rectificatie.
Het recht op vergetelheid behandelt verwijdering en de bijbehorende voorwaarden en uitzonderingen. Het recht op dataportabiliteit betreft weer een andere vraag: bepaalde gegevens verkrijgen of overdragen in een bruikbare vorm. De rechten kunnen samen worden ingeroepen, maar een organisatie moet voor ieder onderdeel de juiste voorwaarden toepassen en helder antwoorden.
Bij afwijzing bestaan verschillende rechtsmiddelen
In Nederland bevat de Uitvoeringswet AVG regels voor rechtsbescherming. Volgens artikel 34 geldt een schriftelijke beslissing van een bestuursorgaan op de betreffende AVG-verzoeken als een besluit onder de Algemene wet bestuursrecht. Daarbij hoort de toepasselijke bestuursrechtelijke route. De rechtsmiddelenvermelding in het besluit is belangrijk; een procedure tegen een private organisatie volgt niet automatisch dezelfde weg.
Voor een beslissing van een ander dan een bestuursorgaan biedt artikel 35 UAVG een verzoekschriftprocedure bij de rechtbank. Het verzoekschrift wordt in beginsel binnen zes weken na ontvangst van het antwoord ingediend. Heeft de verantwoordelijke niet binnen de AVG-termijn geantwoord, dan is de indiening volgens die bepaling niet aan een termijn gebonden. Voor het indienen van dit verzoekschrift is geen advocaat verplicht. Andere procedurele vragen en eventuele kosten moeten afzonderlijk worden beoordeeld.
Een persoon kan daarnaast gebruikmaken van het recht om bij de toezichthouder te klagen. De uitleg over een klacht indienen bij de Autoriteit Persoonsgegevens helpt de feiten en correspondentie te ordenen. Neem niet zonder nadere wettelijke grond aan dat een klacht elke gerechtelijke termijn stilzet. Bewaar daarom de ontvangstdatum, de beslissing en informatie over de gekozen procedure zorgvuldig.
Een duidelijke eindreactie en duurzame correctie
Een bruikbare reactie benoemt het betwiste gegeven, de uitkomst van het onderzoek en de uitgevoerde correctie of aanvulling. Als slechts een deel wordt toegewezen, moet het resterende verschil herkenbaar blijven. De voorbeeldbrief voor een inzageverzoek kan helpen bij het ordenen van correspondentie, maar een rectificatieantwoord moet de concrete fout en beslissing behandelen en niet alleen een nieuwe gegevenskopie toesturen.
Beperkingen van rechten moeten een wettelijke basis en een passende motivering hebben. Artikel 41 UAVG kent specifieke mogelijkheden voor zover een beperking noodzakelijk en evenredig is ter bescherming van de genoemde belangen. Een verwijzing naar bedrijfsbeleid of een lopend conflict volstaat niet. Controleer ook of een bijzondere wettelijke regeling van toepassing is voordat een standaardantwoord wordt gebruikt.
Bewaar ten slotte genoeg informatie om de afhandeling te kunnen verantwoorden zonder oude foutieve gegevens onnodig opnieuw operationeel te maken. Een controleerbaar wijzigingsspoor kan zinvol zijn, maar moet een duidelijk doel en beperkte toegang hebben. Onderzoek terugkerende fouten in formulieren, koppelingen en importbestanden. Rectificatie werkt pas duurzaam wanneer het herstelde gegeven niet bij de volgende verwerking opnieuw door dezelfde fout wordt overschreven.