Beantwoord verzoeken om inzage en verwijdering voor al je formulieren

Hoofdstuk III van de AVG geeft de mensen die je formulieren invullen een aantal rechten. De twee die je het vaakst tegenkomt:

• Inzage (artikel 15). Bevestiging of je hun gegevens verwerkt, een kopie daarvan, en informatie zoals de doeleinden, de ontvangers en hoe lang je ze bewaart.
• Verwijdering (artikel 17). Wissen wanneer, onder meer, de gegevens niet langer nodig zijn, toestemming is ingetrokken, of de persoon bezwaar maakt en er geen zwaarwegende reden is om ze te bewaren. Artikel 17, lid 3 noemt uitzonderingen, zoals gegevens die je moet bewaren om aan een wettelijke verplichting te voldoen.

Mensen kunnen ook om rectificatie (artikel 16) of beperking (artikel 18) vragen, een overdraagbare kopie krijgen van de gegevens die ze zelf hebben verstrekt wanneer de verwerking op toestemming of een overeenkomst berust (artikel 20), en bezwaar maken tegen verwerking op basis van gerechtvaardigd belang (artikel 21), die je dan alleen om dwingende gerechtvaardigde redenen mag voortzetten.

Artikel 12, lid 3 bepaalt de termijn: antwoord zonder onnodige vertraging en binnen één maand na ontvangst, met nog twee maanden verlenging voor complexe of talrijke verzoeken, mits je de persoon binnen de eerste maand informeert. Het antwoord is in de regel kosteloos (artikel 12, lid 5).

Als je redelijke twijfels hebt over wie het verzoek doet, mag je om informatie vragen om de identiteit te bevestigen (artikel 12, lid 6). Bij formuliergegevens is een evenredige controle vaak een reactie vanaf het e-mailadres dat in de inzendingen staat. Vraag niet om meer gegevens, zoals een scan van een identiteitsbewijs, dan het verzoek rechtvaardigt. De Richtsnoeren 01/2022 over het recht op inzage van het Europees Comité voor gegevensbescherming (EDPB) gaan uitgebreid in op identiteitscontroles en de reikwijdte van een kopie.

Jij bent de verwerkingsverantwoordelijke, dus het verzoek is aan jou om te beantwoorden. Formward is je verwerker en helpt je op grond van artikel 28, lid 3, onder e, en artikel 8 van de verwerkersovereenkomst met hulpmiddelen, in plaats van namens jou te antwoorden. Een verzoek dat rechtstreeks bij Formward binnenkomt, verwijzen we naar jou.

De DSAR-console staat in het dashboard onder Verzoeken van betrokkenen, beschikbaar vanaf het Personal-abonnement. Hij werkt op basis van e-mailadressen.

1. Zoeken. Voer het e-mailadres van de persoon in. De console doorzoekt elk formulier in de werkruimten waarvan je lid bent en vindt inzendingen waarin het adres ergens in de inhoud voorkomt, inclusief vrije tekstvelden en eerdere versies van bewerkte antwoorden. Resultaten worden per formulier gegroepeerd, met de datum, een voorbeeld en de namen van bijgevoegde bestanden. Verificaties van meldingsontvangers en acceptaties van de verwerkersovereenkomst die aan dat adres zijn gekoppeld, worden eveneens getoond.
2. Exporteren. Download het resultaat als JSON. Per overeenkomende inzending staan het formulier, de datum en een voorbeeld van de inhoud erin. Bij lange inzendingen of bijgevoegde bestanden open je de inzending in het dashboard om de persoon een volledige kopie te geven.
3. Wissen. Na een bevestiging verwijdert Formward alle overeenkomende inzendingen in al je formulieren, met de bijgevoegde bestanden, de antwoordgeschiedenis en de webhook-afleverlogs, plus de overeenkomende verificaties van ontvangers. Je krijgt een wiscertificaat als JSON-bestand: een hash van het e-mailadres, het aantal gewiste records, de betrokken formulieren en het tijdstip.
4. Geschiedenis. Elke zoekopdracht en verwijdering wordt vastgelegd in de aanvragengeschiedenis, en verwijderingen ook in het auditlogboek van de werkruimte. De persoon wordt daar aangeduid met een eenrichtingshash, nooit met zijn of haar e-mailadres.

Controleer één ding voordat je wist: de zoekopdracht vergelijkt het adres als tekst, dus anna@example.com komt ook overeen met joanna@example.com. Bekijk eerst de resultaten per formulier. Als een formulier nooit om een e-mailadres heeft gevraagd, zoek dan in de inzendingen op naam of telefoonnummer.

1. Noteer de datum waarop het verzoek binnenkwam, want de termijn van een maand begint dan.
2. Controleer de identiteit op een proportionele manier, meestal door te antwoorden op het adres dat bij ons bekend is.
3. Zoek in de DSAR-console, en daarna op de plekken die die niet kan zien: meldingsinboxen, spreadsheets, CRM's die via webhooks worden gevoed en geëxporteerde bestanden.
4. Bij inzage stuur je de kopie samen met de informatie uit artikel 15: doeleinden, ontvangers, bewaartermijn en de overige rechten van de persoon.
5. Bij verwijdering controleer je of een uitzondering uit artikel 17, lid 3 van toepassing is, wis je de gegevens en bewaar je het certificaat.
6. Antwoord binnen een maand, of licht binnen die maand de verlenging toe.

Een korte bewaartermijn maakt elk van deze stappen kleiner. Het sjabloon voor het contactformulier en de gids voor contactformulieren vragen allebei om een e-mailadres, en dat is waar de console op zoekt.