Rechten van betrokkenen AVG: welke zijn er en hoe gebruikt u ze?

Gepubliceerd op 6 november 2025 · Laatst bijgewerkt op 29 oktober 2026

De AVG geeft u acht rechten om zelf te bepalen wat organisaties met uw persoonsgegevens doen: informatie, inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en bescherming tegen puur geautomatiseerde besluiten. Een organisatie moet binnen één maand op uw verzoek reageren; bij complexe of veelvuldige verzoeken mag zij dat met maximaal twee maanden verlengen, mits zij u dat binnen de eerste maand gemotiveerd laat weten (art. 12 lid 3 AVG).

Hieronder leest u per recht wat het inhoudt, wanneer het geldt en welke uitzonderingen er zijn. Ook leest u hoe u een verzoek indient, wat rechters over te brede verzoeken en over BKR-registraties hebben beslist, en wat u kunt doen als een organisatie niet of te laat reageert.

Welke rechten hebt u onder de AVG?

Hoofdstuk III van de Algemene verordening gegevensbescherming (art. 12-23) bevat acht rechten van betrokkenen. De Nederlandse aanvulling, onder meer over de gang naar de rechter, staat in de Uitvoeringswet AVG.

Tegen wie oefent u deze rechten uit?

Tegen de verwerkingsverantwoordelijke: de natuurlijke persoon of organisatie die het doel en de middelen van de verwerking bepaalt (art. 4 onder 7 AVG). Dat kan een bedrijf, vereniging of overheidsinstantie zijn. Wie dat is, staat meestal in de privacyverklaring.

Welke termijn, kosten en identificatie gelden bij een verzoek?

Een organisatie reageert binnen één maand op uw verzoek. Bij een complex of omvangrijk verzoek mag zij die termijn met maximaal twee maanden verlengen, als zij u dat binnen de eerste maand met redenen meedeelt (art. 12 lid 3 AVG).

Een verzoek is kosteloos. U krijgt één kopie van uw gegevens gratis; voor extra kopieën mag een redelijke vergoeding worden gevraagd (art. 15 lid 3 AVG). Bij kennelijk ongegronde of buitensporige verzoeken mag de organisatie een vergoeding vragen of weigeren (art. 12 lid 5 AVG). De verwerkingsverantwoordelijke mag uw identiteit verifiëren als zij daar redelijke twijfel over heeft (art. 12 lid 6 AVG), maar niet meer vragen dan nodig is. Dient u uw verzoek elektronisch in, dan ontvangt u het antwoord in beginsel ook elektronisch.

Hoe dient u een verzoek in?

Een verzoek heeft geen vaste vorm: een brief of e-mail is voldoende. Wees specifiek over welke gegevens en welke periode u bedoelt, houd de termijn van één maand in de gaten en bewaar bewijs van verzending.

1. Bepaal uw recht en de geadresseerde: richt uw verzoek aan de verwerkingsverantwoordelijke uit de privacyverklaring.
2. Formuleer concreet: welke gegevens of periode het betreft.
3. Identificeer uzelf: lever voldoende maar niet meer bewijs dan nodig, en scherm uw BSN en pasfoto af.
4. Verstuur en volg op: noteer de verzenddatum en stuur een herinnering als de reactie uitblijft.

Hoe belangrijk concreet formuleren is, laat een uitspraak van de Rechtbank Amsterdam van 27 juli 2022 zien. Iemand vroeg een gemeente in algemene bewoordingen om al zijn gegevens, inclusief alle e-mails, en reageerde niet op het verzoek om te specificeren. De gemeente mocht volstaan met een algemeen overzicht en drie deels geanonimiseerde afschriften; een zoektocht naar alle e-mails zou onevenredig veel kosten (ECLI:NL:RBAMS:2022:4217).

Welke formulering kunt u gebruiken?

Noem het artikel van de AVG waarop u zich beroept en omschrijf precies wat u vraagt. Bijvoorbeeld:

• “Ik doe een beroep op artikel 15 AVG en verzoek om inzage in en een kopie van mijn persoonsgegevens over de periode [van] tot [tot].”
• “Ik doe een beroep op artikel 17 AVG en verzoek om wissing van [gegevens] uit [systeem].”

Wat houdt het recht op informatie in?

Het recht op informatie (art. 12-14 AVG) verplicht de verwerkingsverantwoordelijke u duidelijk te informeren over de verwerking: de doelen en rechtsgrond, de identiteit en contactgegevens van de organisatie, de bewaartermijn, de ontvangers van uw gegevens, uw rechten, de mogelijkheid om een klacht in te dienen bij de toezichthouder, en eventuele geautomatiseerde besluitvorming. Meestal staat dit in de privacyverklaring. Een uitzondering geldt als u de informatie al hebt of, bij gegevens die niet van u zelf komen, als verstrekking onevenredig veel inspanning kost (art. 14 lid 5 AVG).

Wat houdt het recht op inzage en kopie in?

Het recht op inzage (art. 15 AVG) geeft u eerst uitsluitsel of een organisatie uw persoonsgegevens verwerkt. Is dat zo, dan krijgt u inzage en een kosteloze kopie, met informatie over de doelen, categorieën gegevens, ontvangers (ook bij doorgifte buiten de EU) en de bewaartermijn. Ter bescherming van anderen mag de organisatie gegevens van derden weglakken (art. 15 lid 4 AVG).

Een kopie van gegevens betekent niet altijd een kopie van hele documenten. De Rechtbank Amsterdam wees in de uitspraak van juli 2022 op de lijn van de Hoge Raad: u kunt in beginsel recht hebben op een, zo nodig deels zwartgemaakte, kopie van documenten met feitelijke of waarderende gegevens over u. Interne notities die uitsluitend voor intern overleg zijn bedoeld, vallen erbuiten.

Een voorbeeld ter illustratie: iemand vraagt bij een voormalig werkgever inzage in het personeelsdossier. De werkgever verstrekt de beoordelingen en correspondentie die op deze persoon zien, maar lakt namen en opmerkingen over collega’s weg. Dat is toegestaan, omdat het inzagerecht niet ten koste mag gaan van de rechten van derden.

Wat houdt het recht op rectificatie en aanvulling in?

Het recht op rectificatie en aanvulling (art. 16 AVG) laat u onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen. De organisatie informeert ontvangers aan wie de gegevens al zijn verstrekt over de wijziging (art. 19 AVG). Zij mag u vragen de onjuistheid te onderbouwen.

Wanneer hebt u recht op gegevenswissing?

Het recht op gegevenswissing, ook wel het recht om vergeten te worden (art. 17 AVG), geldt onder meer wanneer de gegevens niet meer nodig zijn, u uw toestemming intrekt, u met succes bezwaar maakt op grond van artikel 21, of de verwerking onrechtmatig is. Heeft de organisatie de gegevens openbaar gemaakt, dan moet zij redelijke stappen zetten om andere partijen over de wissing te informeren.

Dat geldt ook voor registraties in het kredietregister van BKR. De Hoge Raad oordeelde op 3 december 2021 dat zo’n registratie niet berust op een wettelijke plicht, maar op een gerechtvaardigd belang (art. 6 lid 1 onder f AVG). Daardoor kan de betrokkene zich beroepen op het recht op wissing en het recht van bezwaar, en moet een belangenafweging plaatsvinden (ECLI:NL:HR:2021:1814).

Wissing kan worden geweigerd als bewaren nodig is wegens een wettelijke plicht, een taak van algemeen belang of openbaar gezag, archivering in het algemeen belang of een rechtsvordering (art. 17 lid 3 AVG).

Wat houdt het recht op beperking van de verwerking in?

Met het recht op beperking (art. 18 AVG) laat u het verdere gebruik van uw gegevens tijdelijk stilzetten. Dit recht helpt zolang er nog discussie loopt over de verwerking. Het geldt in vier situaties:

• u betwist de juistheid van uw persoonsgegevens;
• de verwerking is onrechtmatig, maar u wilt geen wissing;
• de organisatie heeft de gegevens niet meer nodig, maar u wel voor een rechtsvordering;
• u hebt bezwaar gemaakt en de belangenafweging loopt nog.

Verdere verwerking mag dan alleen met uw toestemming, voor een rechtsvordering, ter bescherming van anderen of om gewichtige redenen van algemeen belang.

Wat houdt het recht op dataportabiliteit in?

Het recht op dataportabiliteit (art. 20 AVG) geeft u het recht om uw gegevens te ontvangen of rechtstreeks te laten overdragen aan een andere organisatie, in een gestructureerd en machineleesbaar formaat. Dit geldt alleen voor gegevens die geautomatiseerd worden verwerkt op basis van uw toestemming of een overeenkomst, en die u zelf hebt verstrekt. Rechtstreekse overdracht kan alleen als dit technisch haalbaar is, en mag de rechten van anderen niet schaden.

Hoe werkt het recht van bezwaar, ook tegen direct marketing?

Met het recht van bezwaar (art. 21 AVG) verzet u zich tegen verwerking op grond van een gerechtvaardigd belang of een taak van algemeen belang. Bij direct marketing is uw bezwaar doorslaggevend: ook profilering voor marketing moet dan direct stoppen. Bij andere verwerkingen mag de organisatie alleen doorgaan als zij dwingende gerechtvaardigde gronden aantoont die zwaarder wegen dan uw belangen, of voor een rechtsvordering. De organisatie moet dit recht uiterlijk bij het eerste contact apart en duidelijk onder uw aandacht brengen.

Wat zijn uw rechten bij geautomatiseerde besluitvorming en profilering?

U hebt het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, waaronder profilering, als dat rechtsgevolgen heeft of u op vergelijkbare wijze aanzienlijk treft (art. 22 AVG). Mag het toch, omdat het nodig is voor een overeenkomst of u uitdrukkelijk toestemming gaf, dan kunt u menselijke tussenkomst vragen, uw standpunt geven en het besluit aanvechten. Daarnaast hebt u recht op nuttige informatie over de onderliggende logica en de verwachte gevolgen (art. 15 lid 1 onder h AVG).

Welke uitzonderingen en beperkingen gelden er?

Uw rechten zijn niet onbeperkt. Artikel 23 AVG staat wettelijke beperkingen toe als die noodzakelijk zijn voor bijvoorbeeld nationale of openbare veiligheid, opsporing, belangrijke publieke belangen of de bescherming van de rechten van anderen. Nederland heeft die beperkingen uitgewerkt in artikel 41 van de Uitvoeringswet AVG.

In de praktijk botsen de rechten vooral op twee punten. Bij inzage mogen gegevens van derden worden weggelakt (art. 15 lid 4 AVG). En wissing kan botsen met een wettelijke bewaarplicht; vraag dan om beperking van de verwerking in plaats van wissing.

Wat kunt u doen als een organisatie niet meewerkt?

Stuur eerst schriftelijk een herinnering en bewaar uw bewijs. U kunt daarnaast een klacht indienen bij de Autoriteit Persoonsgegevens (art. 77 AVG). Voor de gang naar de rechter maakt het uit of u te maken hebt met een bedrijf of met de overheid.

Let op de termijn bij een bedrijf. In de BKR-zaak die uiteindelijk bij de Hoge Raad belandde, oordeelde de voorzieningenrechter in Amsterdam op 21 januari 2021 voorlopig dat de eiser te laat was: de organisatie had binnen de termijn gereageerd en hij was niet binnen zes weken naar de rechter gestapt (ECLI:NL:RBAMS:2021:174). De Hoge Raad heeft de vraag naar de gevolgen van die termijn in december 2021 niet beantwoord.

Waar gaat het in de praktijk vaak mis?

• Een algemeen verzoek om “alle gegevens” kan leiden tot een vraag om specificatie of een beperkt antwoord, zoals de Amsterdamse zaak uit 2022 laat zien.
• Vraagt een organisatie onevenredig veel identiteitsbewijs, bied dan een alternatief aan.
• Portabiliteit geldt alleen bij toestemming of overeenkomst, en alleen voor geautomatiseerde verwerking.
• Wie de zesweken-termijn van artikel 35 UAVG mist, kan zijn verzoek bij de rechter verliezen.

Verzoeken van betrokkenen goed afhandelen als organisatie

Als verwerkingsverantwoordelijke voorkomt u problemen door uw processen rond deze rechten in te richten binnen de kaders van artikel 12 tot en met 22 AVG.

• Houd de termijn van één maand aan, motiveer een verlenging binnen die maand en leg besluiten en bewijs vast.
• Vraag bij een breed verzoek tijdig om specificatie, en leg dat verzoek vast.
• Verifieer identiteit proportioneel en scherm gegevens van derden af bij inzage.
• Lever gegevens machineleesbaar aan waar portabiliteit geldt, en richt een proces in om verwerking te kunnen beperken.

Hoe wij helpen bij AVG-verzoeken

Wij staan zowel betrokkenen als organisaties bij; meer daarover leest u op de pagina van onze advocaat privacyrecht.

• Wij stellen uw verzoek om inzage, wissing of bezwaar op, met een beroep op het juiste artikel.
• Wij beoordelen of een weigering of weglakking past binnen de uitzonderingen van art. 15 lid 4 en art. 23 AVG.
• Wij stellen het verzoekschrift aan de rechtbank of de klacht bij de Autoriteit Persoonsgegevens op.
• Voor organisaties richten wij een werkwijze in voor verzoeken van betrokkenen, met termijnbewaking.

In het kort

• Een organisatie reageert binnen één maand; verlengen kan met twee maanden, mits gemotiveerd binnen die eerste maand.
• Een te breed inzageverzoek kan een beperkt antwoord opleveren (Rechtbank Amsterdam, 27 juli 2022).
• Ook tegen een BKR-registratie kunt u bezwaar maken en wissing vragen (Hoge Raad, 3 december 2021).
• Tegen een bedrijf stapt u binnen zes weken na het antwoord naar de rechtbank (art. 35 UAVG).

Veelgestelde vragen

Geldt een AVG-verzoek ook tegen een voormalige werkgever of dienstverlener? Ja. Zolang een organisatie uw persoonsgegevens verwerkt, is zij verwerkingsverantwoordelijke en moet zij op uw verzoek reageren, ook als de relatie is beëindigd.

Mag een organisatie mijn verzoek weigeren omdat ik er al eerder een heb gedaan? Alleen als het verzoek kennelijk ongegrond of buitensporig is, bijvoorbeeld door herhaling. Dat moet de organisatie aantonen (art. 12 lid 5 AVG).

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.