Moet een bedrijf het wissen van mijn persoonsgegevens bevestigen?

U heeft een bedrijf verzocht om uw persoonsgegevens te verwijderen conform de Algemene Verordening Gegevensbescherming (AVG/GDPR), maar daarna blijft het oorverdovend stil. Zelfs als het bedrijf uw gegevens effectief heeft gewist, is het niet antwoorden op uw verzoek een overtreding. Een bedrijf is wettelijk verplicht om u binnen een maand te informeren over de actie die het heeft ondernomen naar aanleiding van uw vraag.

Een beslissing van de Belgische Gegevensbeschermingsautoriteit (GBA) van 2 juli 2025 (nr. 114/2025) onderstreept deze cruciale communicatieplicht.

De feiten: een verzoek tot wissing zonder antwoord

De zaak die voor de GBA kwam, was eenvoudig maar zeer herkenbaar. Een burger ontving marketingmails van een bedrijf en besloot zijn rechten onder de AVG uit te oefenen. Op 22 november 2024 diende hij een formeel verzoek in bij het bedrijf om al zijn persoonsgegevens te wissen en hem uit alle mailinglijsten te verwijderen.

Toen er geen enkele reactie kwam, diende de man op 27 december 2024 een klacht in bij de Gegevensbeschermingsautoriteit.

In haar verweer stelde het bedrijf dat het de gegevens wel degelijk had gewist, conform het verzoek. De reden dat de verzoeker hierover nooit werd ingelicht, was volgens het bedrijf te wijten aan een “menselijke fout”.

De beslissing: wissen is niet voldoende, informeren is een plicht

De Geschillenkamer van de GBA oordeelde dat het bedrijf, ondanks het feit dat het de gegevens had gewist, toch een inbreuk had gepleegd op de AVG.

De kern van de beslissing ligt in artikel 12.3 van de AVG. Dit artikel stelt dat een verwerkingsverantwoordelijke (het bedrijf) verplicht is om de betrokkene (de burger) “onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek” informatie te verstrekken over het gevolg dat aan het verzoek is gegeven.

Het bedrijf had de gegevens gewist, maar had nagelaten de verzoeker hiervan op de hoogte te stellen binnen de wettelijke termijn. De GBA oordeelde dat dit een duidelijke schending van de AVG vormt en legde het bedrijf een formele waarschuwing op.

Juridische analyse en duiding

Deze beslissing is een belangrijke herinnering aan het principe van de accountability of ‘verantwoordingsplicht’ uit artikel 5.2 van de AVG. Een organisatie moet niet alleen de regels van de AVG naleven, maar moet ook kunnen aantonen dat zij deze naleeft. De communicatieplicht uit artikel 12 is een essentieel onderdeel van die bewijslast.

De ratio decidendi van de GBA is helder: de uitoefening van de rechten van de betrokkene (zoals het recht op gegevenswissing uit artikel 17 GDPR) genereert een actieve informatieplicht voor de verwerkingsverantwoordelijke. Het is een tweeledige verplichting: (1) de actie uitvoeren (wissen, corrigeren, inzage geven) en (2) de betrokkene hierover informeren. Het argument van de “menselijke fout” wordt door de GBA niet aanvaard als een geldige rechtvaardigingsgrond. Binnen de AVG is de verwerkingsverantwoordelijke immers gehouden om de nodige technische en organisatorische maatregelen te treffen om de correcte naleving van de regels te garanderen. Een geïsoleerde fout wijst vaak op een structureel gebrek in de interne procedures.

Wat dit concreet betekent

• Voor u als consument of burger: Uw AVG-rechten houden niet op bij het indienen van een verzoek. U heeft het recht om binnen een maand een duidelijke en inhoudelijke reactie te ontvangen. Een eenvoudige ontvangstbevestiging volstaat niet. Krijgt u geen reactie, dan kunt u, net als de klager in deze zaak, een klacht indienen bij de Gegevensbeschermingsautoriteit.
• Voor bedrijven (verwerkingsverantwoordelijken): Het is cruciaal om robuuste interne procedures te hebben voor de opvolging van verzoeken van betrokkenen. Zorg niet alleen voor een correcte inhoudelijke behandeling (bv. het effectief wissen van data), maar ook voor een sluitend communicatie- en opvolgingssysteem. Een verzoek mag pas als ‘afgehandeld’ worden beschouwd nadat de betrokkene correct en tijdig is geïnformeerd. Het negeren van deze communicatieplicht kan leiden tot sancties, variërend van een waarschuwing tot een geldboete.

Veelgestelde vragen (FAQ)

1. Wat is de termijn waarbinnen een bedrijf moet reageren op mijn vraag tot gegevenswissing?
Een bedrijf moet in principe binnen één maand na ontvangst van uw verzoek reageren. Deze termijn kan in complexe gevallen met twee maanden worden verlengd, maar dan moet het bedrijf u binnen de eerste maand informeren over deze verlenging en de redenen daarvoor.

2. Is een automatische ontvangstbevestiging een geldig antwoord?
Nee. De Geschillenkamer benadrukt in haar beslissing expliciet dat een ontvangstbevestiging niet kan worden beschouwd als een inhoudelijk antwoord op een verzoek. U moet een bevestiging krijgen van de maatregelen die zijn genomen.

3. Waar werden de gegevens van de klager oorspronkelijk verzameld?
In deze specifieke zaak gaf het bedrijf aan de gegevens van de klager te hebben verzameld via de Kruispuntbank van Ondernemingen (KBO).

Conclusie

De plicht om te handelen en de plicht om te informeren zijn twee zijden van dezelfde medaille onder de AVG. Een bedrijf dat uw verzoek tot het wissen van gegevens uitvoert maar u daarover niet inlicht, schendt de wet. Deze uitspraak van de GBA bevestigt dat transparante en tijdige communicatie geen bijzaak is, maar een fundamentele verplichting.