Je ontvangt een e-mail: iemand vraagt om een kopie van alle gegevens die je over hem hebt. De standaardreactie bij veel organisaties is meteen: stuur een kopie van je paspoort mee, anders kunnen we niks doen. Maar klopt dat wel? Misschien vraagt iemand alleen om te weten welk e-mailadres bij zijn account staat. Misschien gaat het om een volledig medisch dossier. Die twee situaties verdienen een heel andere aanpak, en de AVG is daar duidelijk over. Proportionele verificatie bij een AVG-verzoek betekent dat je de zwaarte van je check afstemt op het risico van dat specifieke verzoek, niet op de gemakkelijkste standaardprocedure.

Het probleem: standaard te veel of te weinig vragen

Organisaties kiezen vaak voor één van twee extremen. Ze vragen bij elk inzageverzoek automatisch een kopie ID op, of ze versturen gegevens op basis van een enkel e-mailadres zonder verdere controle. Beide aanpakken zijn problematisch. De eerste belemmert mensen onnodig in het uitoefenen van hun rechten. De tweede maakt datalekken mogelijk als een kwaadwillende zich voordoet als iemand anders.

De Autoriteit Persoonsgegevens (AP) ziet bij klachten en onderzoeken beide scenario’s regelmatig terugkomen. Een webshop die bij een simpele afmeldbevestiging om een legitimatiebewijs vraagt, schrikt mensen af. Een zorginstelling die een medisch dossier verstuurt op basis van naam en geboortedatum alleen, neemt onverantwoorde risico’s. Wat je nodig hebt, is een aanpak die meeschaalt met het gewicht van het verzoek.

Het proportionaliteitsbeginsel: wat zegt artikel 12 AVG?

Artikel 12 van de AVG stelt dat verificatiemaatregelen de uitoefening van rechten niet onnodig mogen bemoeilijken. De tekst is bewust ruim geformuleerd: de verantwoordelijke mag de identiteit controleren, maar alleen als er gerede twijfel bestaat over de identiteit van de verzoeker. En zelfs dan moet de gevraagde informatie in verhouding staan tot de gevoeligheid van de gegevens.

Dat is een actieve plicht. Je kunt je niet verschuilen achter een procedure die voor iedereen gelijk is, ongeacht het risico. Proportionele verificatie bij een AVG-verzoek vereist een bewuste afweging per situatie.

De twee variabelen die de zwaarte bepalen

Voordat je besluit hoe je verifieert, stel je jezelf twee vragen. Ten eerste: hoe gevoelig zijn de gevraagde gegevens? Ten tweede: hoe groot is de kans op misbruik in deze specifieke context? Een verzoek via een ingelogde sessie in een beveiligde omgeving heeft een andere risicocontext dan een verzoek via een algemeen info-adres zonder verdere aanknopingspunten.

Die twee factoren samen bepalen welke verificatiedrempel proportioneel is. Hieronder werk ik dat per categorie uit.

Categorie 1: laagrisicoverzoeken

Denk aan een nieuwsbriefafmelding, een verzoek om te weten welk e-mailadres is opgeslagen, of een verzoek tot verwijdering van een reactie op een blog. De gegevens zijn niet gevoelig en de kans op serieuze schade bij vergissing is klein, zeker niet als het om persoonsgegevens gaat die weinig risico opleveren.

Hier volstaat een e-mailbevestiging via een unieke, tijdgebonden link. Dat is het mechanisme dat je ook bij een wachtwoordreset gebruikt, en dat is geen toeval: het bewijst dat de verzoeker toegang heeft tot het opgegeven e-mailadres. Geen kopie ID nodig, geen aanvullende vragen. Een ID-eis bij dit type verzoek is disproportioneel en wordt door de AP als drempelverhoging beschouwd die rechten beperkt.

Categorie 2: middenrisicoverzoeken

Bestelgeschiedenissen, accountgegevens, voorkeursprofielen of een overzicht van verstrekte adressen vallen hier onder. De gegevens zijn persoonlijker, maar niet bijzonder in de zin van artikel 9 AVG.

Een combinatie van twee zwakke factoren is hier proportioneel. Denk aan een inlogtoken gecombineerd met een klantnummer, of een verificatie via het bij de account geregistreerde e-mailadres plus een geboortedatum. Je vraagt dus twee dingen tegelijk, maar allebei zijn het gegevens die de echte klant redelijkerwijs bij de hand heeft. De combinatie maakt spoofing moeilijker zonder dat je iemand door hoepels laat springen.

Een webshop die in de zomer van 2026 een piek in verzoeken ziet na een datalek bij een derde partij, doet er goed aan ook in dit segment even te registreren of er sprake is van verhoogd misbruikrisico. In dat geval mag je tijdelijk een extra stap toevoegen, mits je dat intern documenteert.

Categorie 3: hoogrisicoverzoeken

Financiële gegevens, een BSN, strafrechtelijke informatie of gegevens die iemand ernstig kunnen schaden als ze in verkeerde handen vallen: hier is stevigere verificatie gerechtvaardigd.

Wat de AP als acceptabel beschouwt: een gecombineerde verificatie waarbij de verzoeker een persoonlijk account gebruikt én aanvullend bewijs levert, of een verificatie via een erkend middel zoals DigiD bij overheidsinstanties. Wat expliciet niet mag: een onbeveiligde kopie van een identiteitsbewijs opvragen via e-mail, zonder instructies over afscherming van het BSN en de MRZ-strook. Als je toch een ID-kopie vraagt, moet je duidelijk uitleggen wat de verzoeker moet afschermen en hoe je het document na verwerking vernietigt, conform je bewaartermijnen. Dat leg je ook vast.

Categorie 4: bijzondere persoonsgegevens

Medische dossiers, biometrische data, gegevens over iemands seksuele gerichtheid of etnische afkomst vallen onder artikel 9 AVG. De lat ligt het hoogst.

DigiD of eHerkenning is hier een proportioneel middel, maar alleen als de organisatie dat systeem al rechtmatig gebruikt en de verzoeker er redelijkerwijs toegang toe heeft. Een kleine Amsterdamse sportvereniging die vraagt om DigiD-verificatie voor een inzageverzoek in ledengegevens, schiet haar doel voorbij: dat middel is niet beschikbaar voor private organisaties zonder specifieke machtiging. In dat geval is een gecombineerde methode met twee sterke factoren plus een schriftelijke bevestiging een realistischer alternatief.

Zorgverleners, scholen en andere organisaties die structureel bijzondere persoonsgegevens verwerken, doen er goed aan dit vooraf in een verwerkersovereenkomst en intern beleidsdocument vast te leggen.

De kopie-ID-valkuil

Veel organisaties vragen reflexmatig om een kopie van een identiteitsbewijs, voor elk type verzoek. Dat is begrijpelijk: het voelt als een sluitend bewijs. Maar de AP oordeelt consequent dat een ID-kopie bij laag- of middenrisicoverzoeken disproportioneel is. Bovendien introduceert de onbeveiligde verzending via e-mail zelf een datarisico, precies het tegenovergestelde van wat je wilt bereiken.

Gebruik een kopie ID alleen als laatste redmiddel bij hoog- of hoogste risicocategorieën, met duidelijke instructies over afscherming, en vernietigd het document zodra de verificatie is afgerond. Dat documenteer je in je verwerkingsregister.

Gerede twijfel als drempelcriterium

Mag je überhaupt om aanvullend bewijs vragen? Alleen als je gerede twijfel hebt over de identiteit van de verzoeker. Dat is geen vrije keuze: je moet de twijfel kunnen onderbouwen. Voorbeelden van gerede twijfel zijn een verzoek via een e-mailadres dat niet overeenkomt met de opgeslagen contactgegevens, ongebruikelijke verzoekpatronen of tegenstrijdige informatie in het verzoek zelf.

Leg die afweging intern vast, in je verwerkingsregister of een begeleidend beleidsdocument. Als de AP een klacht onderzoekt, wil ze weten waarom je welke stap hebt gezet.

Praktijkoverzicht: verzoektype en proportionele verificatie

Verzoektype Gegevenscategorie Maximaal proportionele verificatie Valkuilen
Nieuwsbriefafmelding, contactgegevens Laagrisico Unieke bevestigingslink per e-mail ID-kopie vragen is disproportioneel
Bestelgeschiedenis, accountprofiel Middenrisico Twee zwakke factoren (bijv. e-mail + klantnummer) Eén factor te weinig; ID-kopie te zwaar
Financiële gegevens, BSN Hoogrisico Twee sterke factoren of beveiligde ID-kopie met instructies Onbeveiligde ID-kopie via e-mail
Medisch dossier, biometrische data Bijzonder (art. 9) DigiD/eHerkenning (indien beschikbaar) of twee sterke factoren + schriftelijke bevestiging DigiD inzetten zonder machtiging; te weinig verificatie

Wat als de identiteit onzeker blijft?

Als je na proportionele verificatie de identiteit niet kunt vaststellen, zijn er drie opties. Je informeert de verzoeker dat je het verzoek niet kunt uitvoeren en legt uit wat er nodig is om dat wel te doen. Je voert het verzoek gedeeltelijk uit op basis van de wél geverifieerde gegevens. Of je weigert en documenteert waarom.

Volledig weigeren zonder toelichting is alleen AVG-conform als de identiteit redelijkerwijs niet te verifiëren is én je dat kunt aantonen. Informeren en gedeeltelijk uitvoeren heeft in de meeste gevallen de voorkeur: het respecteert het recht van de betrokkene en beperkt je aansprakelijkheidsrisico.

Een intern verificatiebeleid opstellen: vier elementen

Een werkbaar en auditeerbaar verificatiebeleid bevat minimaal vier onderdelen.

  • Een categorisering van je gegevenszodat medewerkers snel weten in welke risicoklasse een verzoek valt.
  • Een beslisboom of stappenplan per categorie, met de toegestane verificatiemethoden en de drempel voor gerede twijfel.
  • Vastlegging in het verwerkingsregisterinclusief hoe lang je verificatiedocumenten bewaart en hoe je ze vernietigt.
  • Een evaluatiemomentminimaal eens per jaar, om het beleid te toetsen aan actuele AP-uitspraken en wijzigingen in je gegevensverwerking.

Met dit beleid op papier kun je bij een klacht of AP-onderzoek aantonen dat je bewuste, gedocumenteerde keuzes hebt gemaakt. Dat is precies wat toezichthouders willen zien.