Je verzekeraar verhoogt je premie en verwijst naar “beschikbare gegevens”. Je vraagt welke gegevens dat zijn, en krijgt een vaag antwoord. Precies op dat moment heb je baat bij de GDPR, maar dan moet je wel weten hoe je die rechten concreet inzet. Deze gids loodst je stap voor stap door het proces van GDPR-rechten uitoefenen in België, met concrete brieven, deadlines en een duidelijk escalatiepad.
Je rechten op een rij, zonder juridisch jargon
De GDPR geeft je zes concrete rechten. Niet als abstract concept, maar als echte instrumenten die je kunt inzetten.
- Inzage: je mag opvragen welke gegevens een organisatie over jou heeft, waarom ze die hebben en met wie ze die delen.
- Correctie: foutieve gegevens laten verbeteren, bijvoorbeeld een verkeerd adres bij je bank of een verouderde medische aantekening bij je verzekeraar.
- Verwijdering (recht op vergetelheid): gegevens laten wissen wanneer ze niet langer nodig zijn of wanneer je je toestemming intrekt. Dit werkt niet altijd: als er een wettelijke bewaarplicht geldt (zoals bij belastingdossiers), mag de organisatie weigeren.
- Beperking: je vraagt om de verwerking tijdelijk stop te zetten terwijl een geschil loopt.
- Overdraagbaarheid: je gegevens in een leesbaar formaat opvragen om ze naar een andere dienstverlener over te zetten, handig bij het wisselen van energieleverancier of bank.
- Bezwaar: je kunt je verzetten tegen verwerking op basis van ‘gerechtvaardigd belang’, inclusief geautomatiseerde besluitvorming zoals kredietscoring of fraudedetectie.
Wie verwerkt jouw gegevens eigenlijk?
Voordat je een correctie of verwijdering vraagt, is een inzageverzoek de logische eerste stap. Je weet dan precies wat de organisatie over jou bijhoudt, op basis waarvan ze beslissingen nemen en met welke derde partijen ze informatie delen. Pas dan kun je gericht actie ondernemen. Stuur dus altijd eerst een inzageverzoek als je niet zeker weet wat er precies over jou is opgeslagen.
Het juiste kanaal kiezen per type organisatie
Niet elke organisatie benader je op dezelfde manier.
- Belgische webshops en bedrijven: zoek op hun website naar een privacybeleid of een contactpagina voor gegevensbescherming. Stuur je verzoek per e-mail naar de functionaris voor gegevensbescherming (DPO) als die vermeld staat, anders naar de algemene klantenservice.
- Banken en verzekeraars: zij zijn wettelijk verplicht een DPO aan te stellen. Zoek die contactgegevens op via hun website of jaarverslag. Vermeldt in je brief expliciet dat je een verzoek indient op grond van de AVG/GDPR.
- Overheidsdiensten: federale diensten en Vlaamse overheidsinstanties hebben eigen privacyloketten. Via Mijn Burgerprofiel (burgerprofiel.be) kun je bij sommige diensten al online inzage vragen met je eID of itsme-app.
- Grote techplatforms: Meta, Google en andere techbedrijven hebben hun Europese hoofdzetel in Ierland. Je kunt een verzoek indienen via hun online privacyportalen, maar je kunt ook de Ierse toezichthouder (DPC) inschakelen, of de Belgische GBA als de verwerking voornamelijk jou als Belgische gebruiker treft.
Modelbrief 1: verzoek tot inzage
Gebruik deze template en pas de vetgedrukte onderdelen aan:
Aan: [naam organisatie], t.a.v. de functionaris voor gegevensbescherming (DPO)
Betreft: Verzoek tot inzage persoonsgegevens op grond van artikel 15 AVG/GDPR
Geachte heer/mevrouw,
Ik, [volledige naam], wonende te [adres], verzoek u hierbij om inzage in alle persoonsgegevens die uw organisatie over mij verwerkt. Ik wil in het bijzonder weten: welke categorieën gegevens u bewaart, het doel van de verwerking, hoe lang u de gegevens bewaart, en met welke derde partijen u mijn gegevens deelt.
Ik ontvang de gevraagde informatie graag [per e-mail / per post] binnen de wettelijke termijn van één maand. Als bewijs van mijn identiteit voeg ik een kopie van mijn identiteitskaart bij.
Met vriendelijke groet, [naam, datum]
Voeg altijd een kopie van je identiteitskaart toe, maar verduister het rijksregisternummer als je dat niet noodzakelijk acht. Dat is je goed recht.
Modelbrief 2: verzoek tot correctie of verwijdering
Gebruik correctie voor foutieve of onvolledige gegevens. Gebruik verwijdering wanneer de gegevens niet langer nodig zijn voor het oorspronkelijke doel, wanneer je toestemming intrekt, of wanneer de verwerking onrechtmatig was.
Krijg je als antwoord dat de organisatie een ‘gerechtvaardigd belang’ inroept? Vraag dan schriftelijk om een concrete onderbouwing: welk belang, hoe zwaarwegend, en waarom dat belang zwaarder telt dan jouw privacyrecht. Dat dwingt hen tot een echte afweging.
Bij bezwaar tegen geautomatiseerde besluitvorming (zoals een geweigerde lening na een geautomatiseerde kredietcheck), vermeld je expliciet artikel 22 AVG/GDPR en vraag je om menselijke tussenkomst bij de beoordeling.
De structuur van deze brief is dezelfde als bij modelbrief 1, maar je vermeldt in het onderwerp ‘Verzoek tot correctie/verwijdering op grond van artikel 16/17 AVG/GDPR’ en beschrijft welke gegevens je wilt laten aanpassen of verwijderen en waarom.
De wettelijke klok tikt: termijnen die je moet kennen
Een organisatie heeft één maand de tijd om te reageren vanaf de dag dat je verzoek binnenkomt. Die termijn kan verlengd worden met twee extra maanden bij complexe of omvangrijke verzoeken, maar dan moeten ze je binnen de eerste maand al laten weten dat ze de termijn verlengen en waarom. Als ze niets laten horen, is dat op zich al een schending.
Geen antwoord of een weigeringsbrief? Zo escaleer je
Blijft een reactie uit of ben je het niet eens met de weigering, dan is er een duidelijk escalatiepad.
Stap 1. Stuur een herinneringsmail met een expliciete deadline van veertien dagen. Verwijs naar je oorspronkelijke verzoek en de wettelijke termijn.
Stap 2. Dien een klacht in bij de interne DPO van de organisatie als je die nog niet aangeschreven hebt. Soms is de DPO onwetend van wat de klantenservice doet.
Stap 3. Dien een klacht in bij de Gegevensbeschermingsautoriteit (GBA) via gegevensbeschermingsautoriteit.be. Je hebt nodig: een beschrijving van het probleem, kopieën van je correspondentie, bewijs dat je een verzoek hebt ingediend, en de reactie (of het uitblijven ervan) van de organisatie. De GBA bevestigt je klacht en kan een onderzoek starten.
Wat de GBA wel en niet voor jou doet
De GBA kan een organisatie berispen, aanbevelingen opleggen of zelfs boetes uitschrijven. Wat ze niet doet, is jou vertegenwoordigen in een rechtszaak of schadevergoeding voor jou innen. Wil je een financiële schadevergoeding, dan moet je naar de burgerlijke rechtbank. Dat spoor kun je wel parallel laten lopen aan een GBA-klacht. Een uitspraak of onderzoeksbevinding van de GBA kan overigens als bewijs dienen in een civiele procedure.
Drie veelgemaakte fouten die je verzoek doen mislukken
Te vaag formuleren. ‘Stuur me al mijn data’ is te breed en geeft de organisatie ruimte om te vertragen of gedeeltelijk te antwoorden. Specificeer: welke dienst, welk tijdvak, welke categorieën gegevens.
Geen identiteitsbewijs meesturen. Organisaties mogen je verzoek weigeren zolang ze je identiteit niet kunnen verifiëren. Stuur altijd een kopie mee van bij het eerste verzoek.
Een verwijderingsverzoek sturen tijdens een actieve contractrelatie. Als je nog klant bent bij een bank of verzekeraar, geldt een wettelijke bewaarplicht voor veel gegevens. Je verwijderingsverzoek zal dan terecht geweigerd worden. Wacht tot de contractrelatie is beëindigd, of vraag eerst om inzage en beperking van de verwerking.
Checklist: je verzoek in 10 minuten klaar
Gebruik deze beslisboom als naslagwerk.
- Wat wil je bereiken? Inzage (brief 1), correctie of verwijdering (brief 2), bezwaar (brief 2 met verwijzing naar artikel 21 of 22 AVG).
- Naar wie stuur je? DPO van het bedrijf, privacyloket van de overheid, of het online portaal van het techplatform.
- Bijlagen klaar? Kopie identiteitskaart (rijksregisternummer mag je afschermen).
- Termijn bijgehouden? Noteer de datum van verzending en tel één maand verder.
- Geen reactie na één maand? Start escalatie via stap 1 hierboven.
Begin altijd met een inzageverzoek, gebruik een concrete en goed onderbouwde brief, en houd de termijnen bij. De meeste organisaties reageren correct op een helder geformuleerd verzoek. Blijft een reactie uit of is ze onvolledig, dan heb je een duidelijk pad: escaleren naar de Gegevensbeschermingsautoriteit en, als het nodig is, naar de rechtbank. Je rechten staan op papier en ze zijn ook bruikbaar.
