De Autoriteit Persoonsgegevens meldt in haar Klachtenrapportage 2025 een forse stijging: ruim 13.500 klachten en tips, 75% meer dan het jaar daarvoor. Dat is geen incidentele uitschieter. Het patroon is duidelijk: mensen weten de AP steeds beter te vinden. Daarbij gaan de klachten die binnenkomen vaak over hetzelfde onderwerp: organisaties die niet, te laat, of onvolledig reageren als iemand vraagt welke gegevens er over hem of haar worden verwerkt, of vraagt om verwijdering daarvan.
Voor grote partijen met een juridische afdeling is dat vervelend. Maar ook voor een fysiotherapiepraktijk, marketingbureau of zzp’er is dit risicovol: één gemiste termijn, en de kans dat een boze (ex-)klant of patiënt naar de AP stapt, is reëel.
Waarom dit nu extra relevant is
De AP laat weten dat organisaties vaak in eerste instantie verkeerd reageren zodra iemand een beroep doet op zijn privacyrechten. Juist daarom werkt de toezichthouder aan plannen om sneller te kunnen handhaven — met boetes — specifiek gericht op het uitblijven van een reactie op inzageverzoeken. Met andere woorden: het risico wordt uitgebreid van een boze klant die misschien klaagt naar ook een toezichthouder die actief kijkt of u binnen de gestelde termijnen reageert.
Het is daarom belangrijk om de eigen processen op het gebied van inzageverzoeken scherp tegen het licht te houden.
Waar het meestal misgaat
Uit de klachten die de AP ontvangt, herkennen wij bij Blueline een aantal terugkerende patronen bij de organisaties die wij adviseren:
- Een verzoek komt binnen via een algemeen e-mailadres of bij een medewerker die niet weet wat ermee te doen, en blijft liggen tot iemand er toevallig weer naar kijkt.
- Er wordt alleen in het CRM-systeem of patiëntendossier gezocht, terwijl de gevraagde gegevens ook in e-mails, notities, een boekhoudpakket of bij een externe verwerker staan.
- Uit voorzichtigheid wordt een volledig kopie van een identiteitsbewijs opgevraagd, terwijl dat voor een eenvoudig verzoek vaak niet nodig is (en juist weer een verwerking van extra gegevens!).
- De reactie bestaat uit een ruwe export van de verwerkte persoonsgegevens, zonder uitleg over doel, bewaartermijn of ontvangers hiervan.
Een proces dat wél standhoudt
Wij raden onze klanten aan het proces in drie fases te knippen, zodat er geen stap tussen wal en schip valt.
1. Bij binnenkomst Leg vast wanneer het verzoek binnenkwam — dat is de datum waarop de termijn van één maand start — en wie het oppakt. Bevestig de ontvangst kort aan de aanvrager. Vraag alleen aanvullende identificatie als er twijfel is; standaard een ID-kopie eisen is vaak disproportioneel. Het meest praktisch is om software te gebruiken die u door dit proces heen helpt.
2. Tijdens de uitvoering Doorzoek alle plekken waar de gegevens kunnen staan, niet alleen het voor de hand liggende systeem. Voor een fysiotherapiepraktijk betekent dit ook het EPD, agenda-notities en eventuele correspondentie met verwijzers. Voor een marketingbureau betekent het ook de mailinglijst-tool en advertentieplatformen. Leg per gevonden bron vast dat u hem heeft gecontroleerd. Verreweg de beste manier om deze stap efficiënt te doorlopen, is door uw gegevensstromen van tevoren in kaart te hebben gebracht. Onze software Blueline+ is hier geschikt voor.
3. Bij oplevering Reageer binnen de gestelde termijn (vaak één maand, bij ingewikkelde verzoeken drie maanden), en voeg een korte, begrijpelijke toelichting toe. Belangrijk is dat de verzoeker daadwerkelijk begrijpt wat er met zijn/haar persoonsgegevens is gebeurd. Lukt het niet binnen een maand, meld de verlenging én de reden dan binnen die eerste maand — na afloop van de termijn is dat te laat.
Bewaar van elk verzoek een klein dossier: ontvangstdatum, doorzochte bronnen, gemaakte afwegingen en verzenddatum. Ook dit kunt u in Blueline+ bijhouden. Mocht een aanvrager alsnog naar de AP stappen, dan toont dit dossier aan dat er zorgvuldig is gehandeld — vaak het verschil tussen een gesloten dossier en een onderzoek.
Hoe Blueline hierbij helpt
De meeste organisaties die wij spreken hebben geen probleem met de wil om goed te reageren — het ontbreekt aan een vast protocol en een duidelijk aanspreekpunt. Binnen Blueline+ zetten wij dat voor u op: één herkenbaar meldpunt, een sjabloon-workflow per type verzoek, en automatische bewaking van de termijn zodat niets blijft liggen.
Benieuwd hoe uw huidige proces zich verhoudt tot wat de AP verwacht? Neem gerust contact op.
