GDPR en je privacyrechten: wat kun je doen?

Onder de GDPR (in België ook de AVG genoemd) heb je het recht om je persoonsgegevens in te kijken, te laten verbeteren of te laten wissen, en om bezwaar te maken tegen het gebruik ervan. Je oefent die rechten uit met een verzoek aan de organisatie, die in principe binnen een maand moet antwoorden. Reageert ze niet of weigert ze onterecht, dan dien je gratis klacht in bij de Gegevensbeschermingsautoriteit (GBA). Wil je ook een schadevergoeding, dan loopt dat via de rechtbank.

In dit artikel lees je welke rechten je precies hebt, hoe je ze uitoefent, wat je doet bij een datalek of onrechtmatige content online, en wanneer een advocaten privacy- en mediarecht je vooruithelpt.

Welke rechten geeft de GDPR je?

De Algemene Verordening Gegevensbescherming geeft elke burger een reeks concrete rechten tegenover organisaties die persoonsgegevens verwerken:

• Recht op inzage. Je mag opvragen welke gegevens een organisatie over je bijhoudt en waarvoor.
• Recht op verbetering. Kloppen je gegevens niet, dan moet de organisatie ze corrigeren.
• Recht op gegevenswissing. Ook bekend als het recht op vergetelheid. In bepaalde gevallen moet de organisatie je gegevens verwijderen, bijvoorbeeld als ze niet langer nodig zijn.
• Recht van bezwaar. Je kunt je verzetten tegen bepaalde verwerkingen, zoals direct marketing.
• Recht op overdraagbaarheid. Je mag je gegevens in een bruikbaar formaat opvragen om ze naar een andere dienst over te dragen.

Deze rechten gelden tegenover bedrijven, overheden, verenigingen en zowat elke organisatie die je gegevens verwerkt.

Hoe oefen je je rechten uit?

Je richt een verzoek aan de organisatie, het liefst schriftelijk zodat je een bewijs hebt. Veel bedrijven hebben een privacyverklaring of een contactpunt, soms een functionaris voor gegevensbescherming (DPO). Wees duidelijk over welk recht je inroept en over welke gegevens het gaat.

De organisatie moet in principe binnen een maand reageren. Bij ingewikkelde of talrijke verzoeken mag ze die termijn met twee maanden verlengen, maar dan moet ze je dat tijdig laten weten. Het uitoefenen van je rechten is in principe gratis. Enkel bij kennelijk ongegronde of buitensporige verzoeken mag ze een redelijke vergoeding vragen of weigeren.

Klacht indienen bij de Gegevensbeschermingsautoriteit

Reageert de organisatie niet, of weigert ze onterecht je gegevens te wissen of te corrigeren, dan kun je terecht bij de Gegevensbeschermingsautoriteit (GBA), de Belgische privacywaakhond. Een klacht indienen is gratis en kan online, per post of ter plaatse.

Zorg dat je dossier compleet is: je identiteit, een heldere beschrijving van het probleem en bewijsstukken zoals je oorspronkelijke verzoek en de reactie (of het uitblijven ervan). De GBA onderzoekt de klacht en kan de organisatie aanmaningen, berispingen of geldboetes opleggen. Hou er rekening mee dat dit een procedure is die tijd vraagt en niet altijd tot het resultaat leidt dat jij voor ogen hebt.

Wat doe je bij een datalek?

Bij een datalek raken persoonsgegevens verloren, gewijzigd of in verkeerde handen. Een organisatie die een ernstig lek vaststelt, moet dat in principe binnen 72 uur melden aan de GBA. Brengt het lek een hoog risico voor jou mee, dan moet ze jou ook verwittigen.

Word je slachtoffer van een datalek, neem dan deze stappen:

• Verander de betrokken wachtwoorden en zet waar mogelijk tweestapsverificatie aan.
• Let op verdachte berichten en fraude, zeker phishing die inspeelt op de gelekte gegevens.
• Bewaar alle bewijs, zoals de melding die je kreeg en verdachte e-mails.
• Dien indien nodig een klacht in bij de GBA als de organisatie haar verplichtingen niet nakwam.

Onrechtmatige content, laster en online reputatie

Privacyrecht raakt ook aan je reputatie online. Staat er onrechtmatige content over je op het internet, bijvoorbeeld foto’s zonder toestemming of achterhaalde informatie, dan kun je via het recht op vergetelheid verwijdering of de-indexering vragen bij de website of de zoekmachine.

Gaat het verder en is er sprake van laster en eerroof, dan kom je op het terrein van het mediarecht en mogelijk het strafrecht. Laster en eerroof zijn misdrijven wanneer iemand bewust kwaadwillige en onbewezen beschuldigingen verspreidt die je eer aantasten. Hier liggen de zaken juridisch gevoeliger, want de vrijheid van meningsdrukking weegt mee in de afweging. Een advocaat helpt inschatten of een uitlating onrechtmatig is en welke stappen, van een ingebrekestelling tot een procedure, het meeste kans maken.

Klacht bij de GBA of schadevergoeding via de rechtbank?

Dit verschil is belangrijk. Een klacht bij de GBA richt zich op het naleven van de privacyregels. De GBA kan een organisatie sanctioneren, maar kent jou geen geld toe voor de schade die je leed.

Wil je een schadevergoeding voor materiële of morele schade, dan moet je naar de burgerlijke rechtbank. Daar moet je aantonen dat er een fout was, dat je schade hebt en dat er een verband tussen beide bestaat. De twee wegen sluiten elkaar niet uit: een vaststelling door de GBA kan je positie voor de rechtbank versterken. Een gdpr advocaat helpt je kiezen welke route, of welke combinatie, het zinvolst is in jouw situatie.

Wanneer schakel je een privacy- of mediarechtadvocaat in?

Voor een eenvoudig inzageverzoek heb je geen advocaat nodig. Maar in een aantal gevallen is juridische hulp het overwegen waard:

• Als particulier wanneer een organisatie blijft weigeren, wanneer je schade leed door een datalek of een privacyschending, of wanneer onrechtmatige content of laster je reputatie raakt.
• Als onderneming die zelf GDPR-compliant moet zijn: bij het opstellen van privacyverklaringen en verwerkersovereenkomsten, bij de aanpak van een datalek, of bij een onderzoek of klacht via de GBA.

Een advocaat beoordeelt je dossier, voert de communicatie met de tegenpartij of de GBA, en bouwt waar nodig een procedure op. Twijfel je of jouw situatie er een is voor een specialist? Vergelijk de advocaten privacy- en mediarecht in onze gids of laat je gratis match maken met een advocaat die past bij jouw vraag en budget.