Wat te doen met een afgewezen of genegeerd AVG-verzoek?

Inleiding

Heeft u een organisatie gevraagd om inzage in uw persoonsgegevens, verwijdering van een registratie, correctie van onjuiste gegevens of stopzetting van een verwerking? Dan moet de organisatie daar in beginsel binnen de AVG-termijnen op reageren. In de praktijk gebeurt dat niet altijd. Soms blijft een reactie uit, wordt slechts een deel van de informatie verstrekt of wordt het verzoek afgewezen. In zulke gevallen kan artikel 35 UAVG een route bieden naar de civiele rechter.

Wat artikel 35 UAVG wel en niet regelt

De Algemene verordening gegevensbescherming geeft betrokkenen verschillende rechten over hun persoonsgegevens. Het bekendste voorbeeld is het recht op inzage uit artikel 15 AVG. Daarnaast bestaan onder meer het recht op rectificatie, het recht op gegevenswissing, het recht op beperking van verwerking, het recht op overdraagbaarheid van gegevens en het recht van bezwaar. Deze rechten zijn opgenomen in de artikelen 15 tot en met 22 AVG.

Artikel 35 UAVG vormt in Nederland de civielrechtelijke route om een beslissing op zo’n AVG-verzoek te laten toetsen, voor zover het gaat om organisaties die niet als bestuursorgaan optreden. De procedure is daarmee geen algemene privacyprocedure. De kern is dat een betrokkene de rechter vraagt om een organisatie te verplichten alsnog volledig op een concreet AVG-verzoek te beslissen of dat verzoek alsnog toe te wijzen.

Dat onderscheid moet goed in de gaten gehouden worden. Een verzoek om schadevergoeding, een verklaring voor recht dat een gegevensverwerking onrechtmatig was of een discussie over contractuele verplichtingen valt niet automatisch onder artikel 35 UAVG. Zulke kwesties kunnen wel met privacyrecht samenhangen, maar vereisen vaak een andere juridische route, bijvoorbeeld een dagvaardingsprocedure op grond van artikel 6:162 BW of artikel 82 AVG.

Cliënten van financiële instellingen moeten. Een geschil over gegevensverwerking kan samenlopen met WWFT-cliëntenonderzoek door de bank, bezwaar tegen EVR-registratie, beëindiging van een bankrelatie of een procedure tegen een bank of financiële dienstverlener. Niet elk geschil daarover is echter meteen een artikel 35 UAVG-zaak. De vraag blijft steeds welk AVG-recht precies is ingeroepen en wat de organisatie daarop heeft beslist.

AVG-recht	Artikel	Wanneer kan artikel 35 UAVG relevant zijn?
Inzage	art. 15 AVG	U wilt weten welke persoonsgegevens een organisatie over u verwerkt of u wilt een kopie daarvan ontvangen.
Rectificatie	art. 16 AVG	U wilt dat onjuiste of onvolledige persoonsgegevens worden gecorrigeerd.
Gegevenswissing	art. 17 AVG	U wilt dat persoonsgegevens worden verwijderd, bijvoorbeeld een registratie die volgens u niet langer terecht is.
Beperking van verwerking	art. 18 AVG	U wilt dat de organisatie gegevens tijdelijk niet verder gebruikt, bijvoorbeeld zolang de juistheid of rechtmatigheid wordt betwist.
Kennisgeving aan ontvangers	art. 19 AVG	U wilt dat ontvangers van de gegevens worden geïnformeerd over rectificatie, verwijdering of beperking.
Dataportabiliteit	art. 20 AVG	U wilt persoonsgegevens in een overdraagbaar digitaal formaat ontvangen of laten doorsturen.
Bezwaar	art. 21 AVG	U maakt bezwaar tegen verwerking van persoonsgegevens, bijvoorbeeld tegen een registratie of risicobeoordeling.
Geautomatiseerde besluitvorming	art. 22 AVG	U wilt opkomen tegen een besluit dat uitsluitend automatisch is genomen en gevolgen voor u heeft.

Eerst een concreet AVG-verzoek, daarna pas de rechter

Uit de recente rechtspraak volgt duidelijk dat artikel 35 UAVG veronderstelt dat eerst een concreet AVG-verzoek bij de organisatie is ingediend. De rechter beoordeelt niet in abstracto of een organisatie zorgvuldig met persoonsgegevens omgaat, maar kijkt naar het verzoek dat eerder aan de verwerkingsverantwoordelijke is voorgelegd.

Dat blijkt bijvoorbeeld uit rechtbank Rotterdam 19 september 2025, ECLI:NL:RBROT:2025:11248. In die zaak ging het om een BKR-registratie door BMW Financial Services. De verzoeker wilde dat de rechtbank BMW zou veroordelen tot verwijdering van de registratie. De rechtbank kwam echter niet toe aan een inhoudelijke beoordeling, omdat de verzoeker nog geen bezwaar bij BMW had gemaakt tegen de registratie. De route naar de rechter stond daarom nog niet open. In een eventuele latere procedure zou eerst moeten kunnen worden aangetoond dat een verzoek tot verwijdering bij BMW was ingediend.

Een vergelijkbare lijn is zichtbaar in twee pensioenprocedures bij rechtbank Overijssel van 20 januari 2026, ECLI:NL:RBOVE:2026:283 en ECLI:NL:RBOVE:2026:284. Daar hadden verzoekers pensioenfondsen gevraagd om berekeningen, pensioeninformatie, overzichten en toelichting. De rechtbank oordeelde dat dergelijke verzoeken niet zonder meer kunnen worden aangemerkt als AVG-inzageverzoeken. Omdat geen voorafgaand verzoek om inzage in persoonsgegevens was gedaan, was er ook geen beslissing die via artikel 35 UAVG kon worden aangevochten.

Voor de praktijk betekent dit dat de formulering van het oorspronkelijke verzoek zwaar weegt. Een verzoek om “informatie” of “uitleg” kan onvoldoende zijn als daaruit niet blijkt dat de betrokkene een recht uit artikel 15 tot en met 22 AVG uitoefent. Dat geldt ook in financiële dossiers, bijvoorbeeld bij BKR-registraties, interne bankregistraties of gegevens die zijn verwerkt in het kader van complianceonderzoek.

De zeswekentermijn in artikel 35 UAVG

Artikel 35 lid 2 UAVG bevat een korte termijn. Wanneer een organisatie op het AVG-verzoek heeft geantwoord, moet het verzoekschrift in beginsel binnen zes weken na ontvangst van dat antwoord bij de rechtbank worden ingediend. Reageert de organisatie niet binnen de termijn van artikel 12 lid 3 AVG, dan is de indiening van het verzoekschrift niet aan die vaste zeswekentermijn gebonden.

Artikel 12 lid 3 AVG bepaalt dat de verwerkingsverantwoordelijke in beginsel binnen één maand na ontvangst van het verzoek informatie geeft over het gevolg dat aan het verzoek is gegeven. Die termijn kan bij complexiteit of een groot aantal verzoeken onder voorwaarden worden verlengd.

De Hoge Raad heeft in HR 15 september 2023, ECLI:NL:HR:2023:1216, verduidelijkt dat het verstrijken van de zeswekentermijn niet zonder meer betekent dat een kort geding onmogelijk is. De zaak ging over de vraag of iemand na afloop van de termijn uit artikel 35 lid 2 UAVG nog in kort geding verwijdering van persoonsgegevens kon vorderen. Volgens de Hoge Raad sluit het enkele verlopen van die termijn een kort geding niet per definitie uit.

Daarmee is de zeswekentermijn niet vrijblijvend geworden. Zij blijft belangrijk voor de reguliere verzoekschriftprocedure. De uitspraak laat vooral zien dat procesroutes naast elkaar kunnen bestaan, afhankelijk van de aard van het geschil, de spoedeisendheid en de precieze vordering. Bij financiële instellingen kan dat verschil relevant zijn wanneer de gegevensverwerking directe gevolgen heeft, bijvoorbeeld bij een registratie, blokkade, financieringsrelatie of toegang tot betaaldiensten.

De rechter kijkt naar het oorspronkelijke verzoek

Een tweede belangrijk punt is dat de rechter in een artikel 35 UAVG-procedure in beginsel kijkt naar het oorspronkelijke verzoek dat bij de organisatie is ingediend. Een betrokkene kan dat verzoek niet zonder meer tijdens de procedure sterk uitbreiden.

Dat volgt uit een uitspraak van de Rechtbank Amsterdam (18 september 2025, ECLI:NL:RBAMS:2025:7030). In die zaak had de verzoeker aan Risepoint, bekend van Unibet, gevraagd om een overzicht van zijn stortingstransacties. In de procedure werd het verzoek uitgebreid naar onder meer volledige inzage in transactie- en gokgeschiedenis, inzetpatronen, spelresultaten, speeltijden, marketing- en gedragsdata en interne analyses.

De rechtbank liet die uitbreiding niet toe. Artikel 35 UAVG ziet op het initiële verzoek dat bij de verwerkingsverantwoordelijke is ingediend. Als een betrokkene in de procedure ineens veel meer gegevens vraagt, krijgt de organisatie niet eerst de gelegenheid om daar buiten rechte op te reageren. Dat past niet bij de opzet van de verzoekschriftprocedure.

Deze uitspraak is ook buiten de context van online kansspelen relevant. Bij banken, kredietverstrekkers en andere financiële dienstverleners kunnen veel verschillende datasets bestaan: klantdossiers, transactiedata, interne risicoscores, compliancebevindingen, correspondentie, fraudemeldingen, BKR-gegevens, EVR- of IVR-registraties en WWFT-gerelateerde aantekeningen. Een verzoek dat slechts één onderdeel noemt, geeft niet automatisch toegang tot alle andere gegevensverwerkingen.

Inzagerecht tegenover bedrijfsgeheimen en systeemveiligheid

Het inzagerecht uit artikel 15 AVG is ruim, maar niet onbeperkt. Dat blijkt goed uit gerechtshof Amsterdam 14 april 2026, ECLI:NL:GHAMS:2026:961. Die zaak ging over een inzageverzoek aan X, voorheen Twitter. Een gebruiker had een tijdelijke accountbeperking gekregen na een bericht waarin het woord “kinderporno” voorkwam. Vervolgens vroeg hij inzage in persoonsgegevens die X over die beperking verwerkte, waaronder gegevens over accountbeperkingen en contentmoderatie.

X beriep zich onder meer op bedrijfsgeheimen, systeemveiligheid en bescherming van haar contentmoderatiesystemen. Het hof maakte een belangenafweging. Het inzagerecht is niet absoluut: rechten van derden en bedrijfsgeheimen kunnen een rol spelen. Tegelijk mag een beroep op zulke belangen er niet toe leiden dat de betrokkene feitelijk iedere relevante informatie wordt onthouden.

Het hof oordeelde dat X grotendeels inzage moest geven in de ongeredigeerde gegevens, maar dat namen van medewerkers en exacte tijdstippen mochten worden afgeschermd. Daarmee laat de uitspraak zien dat de rechter kan zoeken naar een evenwicht: voldoende transparantie voor de betrokkene, zonder dat interne systemen, medewerkers of derden onnodig worden blootgesteld.

Voor financiële instellingen is dit herkenbaar. Banken beroepen zich in privacy- en compliancegeschillen soms op fraudepreventie, interne risicomodellen, WWFT-verplichtingen, veiligheid van betalingsverkeer of bescherming van medewerkers. Die belangen kunnen reëel zijn, maar ontslaan de instelling niet automatisch van de plicht om betekenisvolle informatie te geven over de persoonsgegevens die worden verwerkt. De proportionaliteit van afscherming is dan een belangrijk juridisch toetsingspunt.

Praktische betekenis voor uw dossier

Artikel 35 UAVG is in financiële dossiers vooral waardevol wanneer het geschil scherp is afgebakend. Dat speelt bijvoorbeeld bij BKR-registraties, interne incidentenregisters, EVR- en IVR-registraties, klantonderzoeken, betaalrekeningblokkades of fraudeverdenkingen. In zulke zaken lopen privacyrecht en financieel recht vaak door elkaar. Het AVG-verzoek kan gaan over inzage, verwijdering, beperking of bezwaar tegen verwerking van persoonsgegevens, terwijl het onderliggende geschil draait om de vraag of de bank of financiële instelling mocht registreren, blokkeren, opzeggen of aanvullende informatie verlangen.

Bij IVR- en EVR-registraties is die afbakening extra belangrijk. Het gaat dan niet alleen om de vraag óf iemand geregistreerd staat, maar ook om de persoonsgegevens waarop de registratie is gebaseerd, de duur van de registratie, de motivering van de instelling en de proportionaliteit van het voortduren daarvan. Wie verwijdering of verdere inzage wil afdwingen, moet daarom eerst duidelijk maken welk AVG-recht wordt ingeroepen. Een te algemeen verzoek om “informatie” of “uitleg” kan later onvoldoende zijn om via artikel 35 UAVG succes te hebben. Meer over de gevolgen en aanpak van een EVR-registratie leest u op onze pagina over EVR-registraties. Meer over interne registraties leest u op onze pagina over IVR-registraties.

Ook bij financiële instellingen kunnen wettelijke bewaarplichten, fraudepreventie, WWFT-verplichtingen en integriteitsrisico’s zwaar wegen. Die belangen maken een afwijzing van een AVG-verzoek echter niet automatisch rechtmatig. De rechter zal steeds moeten kunnen beoordelen welke persoonsgegevens centraal staan, welk AVG-recht is ingeroepen, hoe de instelling daarop heeft gereageerd en waarom die reactie volgens de betrokkene tekortschiet.

Wie zijn wij?

Heeft u een AVG-verzoek gedaan en reageert een bank, verzekeraar, kredietverstrekker, platform of andere organisatie niet of onvoldoende? Dan kan het verstandig zijn om tijdig juridisch advies in te winnen. Financieel Recht Advocaten beoordeelt graag of artikel 35 UAVG de juiste route is, of dat een klacht, kort geding of andere civiele procedure meer voor de hand ligt.

Praktische FAQ’s