Wat houdt het recht op dataportabiliteit in?
Ben je ontevreden over je huidige aanbieder van een dienst, bijvoorbeeld voor het streamen van muziek, maar ben je bang om gegevens kwijt te raken als je overstapt? De Algemene Verordening Gegevensbescherming (‘AVG’) geeft jou de mogelijkheid om de persoonsgegevens te ontvangen die een organisatie van je heeft zodat je deze mee kan nemen naar een andere aanbieder. Dit heet het recht op overdraagbaarheid van gegevens, ook wel het recht op dataportabiliteit (art. 20 AVG).
Voor gebruikers brengt dit recht meerdere voordelen met zich mee. Denk bijvoorbeeld aan het overzetten van muziek uit favoriete afspeellijsten of het opvragen van jouw bestelgeschiedenis, waardoor een andere webshop betere aanbevelingen kan geven.
Bij welke organisaties kan een verzoek worden ingediend?
Het recht op dataportabiliteit kan worden uitgeoefend tegen zogenaamde ‘verwerkingsverantwoordelijken’. Dit is degene die alleen of samen met anderen het doel en middelen (het “hoe” en “waarom”) van een verwerking van persoonsgegevens vaststelt. Hieronder vallen aanbieders van onder andere webshops, sociale media en streamingsdiensten. Dit zijn echter slechts enkele voorbeelden van organisaties waar een verzoek kan worden ingediend.
In principe dient iedere organisatie die als verwerkingsverantwoordelijke jouw persoonsgegevens verwerkt te voldoen aan een verzoek tot dataportabiliteit, tenzij dit in uitzonderlijke gevallen echt niet mogelijk is. Een organisatie moet dan een motivering geven van het besluit om jouw gegevens niet over te dragen. Je hebt als gebruiker of klant dan altijd de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP).
Welke gegevens kunnen worden opgevraagd?
Een organisatie moet alle gegevens overdragen die jij hebt verstrekt, bijvoorbeeld door registratie via een online formulier. Daarnaast vallen ook gegevens die zijn verstrekt tijdens het gebruik van een dienst onder dit recht. Denk hierbij aan IP-adressen, je zoekgeschiedenis of je locatiegegevens.
Let op: het gaat alleen om gegevens die een organisatie heeft verzameld op basis van jouw toestemming of omdat de organisatie de gegevens nodig had voor de uitvoering van een overeenkomst. Denk bij dit laatste bijvoorbeeld aan adresgegevens die een webshop nodig heeft om jouw bestelling te kunnen bezorgen. Andere gegevens vallen helaas niet onder het recht op dataportabiliteit.
Let op: afgeleide gegevens vallen niet onder dit recht. Dit zijn gegevens die de organisatie heeft verkregen door verstrekte persoonsgegevens te analyseren. Denk bijvoorbeeld aan gegenereerde profielen van klanten of gebruikers. Wel is het in sommige gevallen mogelijk om inzage in deze gegevens te krijgen door gebruik te maken van het zogeheten recht op inzage (art. 15 AVG).
Hoe dien je een verzoek in bij een organisatie?
Een verzoek tot dataportabiliteit dien je altijd schriftelijk in bij een organisatie. De Autoriteit Persoonsgegevens heeft een voorbeeldbrief ter beschikking gesteld om dit proces snel en eenvoudig te maken. Organisaties dienen zo snel mogelijk aan dit verzoek te voldoen. De uiterste termijn voor verstrekking van gegevens is één maand. In ingewikkelde gevallen kan dit met twee maanden worden verlengd, onder de voorwaarde dat een organisatie dit aan je meldt.
Heb je hulp nodig bij het indienen van een verzoek tot dataportabiliteit? Dien dan een aanvraag in via het aanvraagformulier.