Je krijgt een e-mail van een klant: haar achternaam staat al twee jaar verkeerd gespeld in je nieuwsbriefsysteem, en ze wil dat je dat corrigeert. Wat doe je nu? Gewoon aanpassen en klaar? Bijna, maar niet helemaal. Onder de AVG geldt het recht op correctie als een volwaardig betrokkenenrecht, en als je de afhandeling niet zorgvuldig documenteert, loop je alsnog risico. Dit stappenplan laat je zien hoe je een correctieverzoek van begin tot eind correct afhandelt, zonder juridisch handboek.

Wanneer is een correctieverzoek geldig?

Artikel 16 van de AVG geeft iedereen het recht om onjuiste persoonsgegevens te laten corrigeren en onvolledige gegevens aan te laten vullen, dit is één van de betrokkenenrechten onder de AVG. Dat klinkt eenvoudig, maar er zijn grenzen. Het recht geldt alleen voor feitelijk aantoonbaar onjuiste of verouderde gegevens, of voor ontbrekende informatie die relevant is voor het verwerkingsdoel.

Een verzoek is ontvankelijk als iemand aantoont dat een gegeven objectief onjuist is. Denk aan een verkeerd gespeld adres, een verouderd telefoonnummer of een foutief geboortejaar. Een verzoek is niet ontvankelijk als iemand het simpelweg oneens is met een beoordeling of een mening die je als verwerkingsverantwoordelijke hebt vastgelegd. Een klant die wil dat je een intern kredietrisico-oordeel aanpast omdat hij het er niet mee eens is, heeft daarvoor niet automatisch grond op basis van artikel 16.

Stap 1: Verificeer de identiteit zonder te overdrijven

Voordat je iets aanpast, moet je weten wie je voor je hebt. Tegelijk mag je hier niet doorslaan. De AVG stelt expliciet dat je geen disproportionele hoeveelheid gegevens mag opvragen om iemand te identificeren.

Praktisch gezien is dit hoe je het aanpakt: vraag de verzoeker om te bevestigen welk e-mailadres of klantnummer hij bij je heeft, en combineer dat met een eenvoudige verificatievraag zoals de postcode van zijn adres. Voor een webshop met een klantenaccount is inloggen in de eigen omgeving vaak al voldoende verificatie. Vraag nooit een kopie van een paspoort tenzij je gerede twijfel hebt over de identiteit en het verwerkingsdoel dat rechtvaardigt. Neem dan ook een kopie van alléén het gezicht en het paspoortnummer, en vernietig die na verificatie.

Stap 2: Bevestig ontvangst en leg de datum vast

De wettelijke termijn van één maand begint te lopen op de dag dat je het verzoek ontvangt, niet op de dag dat je het leest. Stuur daarom direct na ontvangst een automatische of handmatige ontvangstbevestiging en leg de exacte datum intern vast. Dit is letterlijk je startpistool.

Gebruik bij voorkeur een vast e-mailadres zoals privacy@jouwdomain.nl en koppel daar een taakbeheersysteem aan. Een correctieverzoek dat binnenkomt via de algemene info-inbox en drie weken later pas wordt herkend, is een klassieke manier om de termijn te overschrijden. Bij een ingewikkeld verzoek of een drukke periode mag je de termijn eenmalig met twee maanden verlengen, maar je moet de verzoeker daar vóór het einde van de eerste maand van op de hoogte stellen.

Stap 3: Toets het verzoek inhoudelijk

Is het gegeven aantoonbaar onjuist, onvolledig of verouderd? Dit is het moment waarop je feitelijk onderzoek doet. Vergelijk het bestaande gegeven met de onderbouwing die de verzoeker levert. Een klant die aantoont dat zijn bedrijfsadres is gewijzigd met een uittreksel uit het Handelsregister, heeft een sterke onderbouwing. Een abonnee die claimt dat zijn naam anders gespeld moet worden, kun je verifiëren aan de hand van zijn e-mailhandtekening of een eerder document.

Als je twijfelt, mag je om aanvullend bewijs vragen. Leg ook die uitwisseling vast. Het gaat er bij een audit niet alleen om dát je hebt gecorrigeerd, maar ook waarom je tot die conclusie bent gekomen.

Stap 4: Voer de correctie door in alle systemen

Dit is waar het in de praktijk vaak misgaat. Je past het adres aan in je CRM, maar vergeet de e-maillijst in Mailchimp, de exportbestanden die je accountant bewaart, en de back-upkopie op je NAS. Maak een overzicht van alle plekken waar het betreffende gegeven leeft en ga die systematisch langs.

Concrete plekken om aan te denken: je klantenbeheersysteem, je nieuwsbriefsoftware, je facturatiesysteem, eventuele analytics-koppelingen met gebruikers-ID’s, spreadsheets in gedeelde mappen en automatisch gemaakte back-ups. Back-ups zijn lastig: in veel gevallen is het technisch onwerkbaar om één gegeven in een back-up aan te passen. Documenteer dat je dit hebt afgewogen en noteer dat de back-up bij eerstvolgende verwerking wordt bijgewerkt, of dat de back-up uitsluitend voor herstel na calamiteiten wordt bewaard en niet actief wordt verwerkt.

Stap 5: Informeer derde partijen

Artikel 19 van de AVG verplicht je om partijen aan wie je de gegevens hebt doorgegeven te informeren over de correctie. Denk aan een verzenddienst die met een oud bezorgadres werkt, een incassobureau waaraan je klantgegevens hebt verstrekt, of een samenwerkingspartner die jouw klantenlijst gebruikt voor een gezamenlijke campagne.

Stuur die partijen een beknopte kennisgeving en bewaar de bevestiging. Als het technisch onmogelijk of onevenredig bezwarend is om alle ontvangers te informeren, noteer je dat met uitleg in je verwerkingsregister. De verzoeker heeft op jouw verzoek ook het recht om te weten aan wie je de informatie hebt doorgegeven, net zoals je onder de AVG moet omgaan met het recht op vergetelheid dus transparantie is hier dubbel belangrijk.

Stap 6: Stuur een schriftelijke bevestiging aan de verzoeker

Zodra de correctie is doorgevoerd, stuur je de verzoeker een duidelijke bevestiging. Vermeld daarin precies wat er is gewijzigd, op welke datum, en in welke systemen. Schrijf in begrijpelijke taal, zonder vaktermen. Vermeld ook of je derde partijen hebt geïnformeerd en zo ja, welke.

Voorbeeld van een heldere formulering: “Wij hebben op 18 juli 2026 je achternaam gewijzigd van ‘Jansen’ naar ‘Janssen’ in ons klantsysteem en onze nieuwsbriefdatabase. Wij hebben ook onze verzenddienst PostNL hiervan op de hoogte gesteld.” Zo weet de verzoeker precies wat er is gebeurd en hoeft hij niet opnieuw contact op te nemen.

Stap 7: Documenteer de afhandeling in je verwerkingsregister

De AVG vraagt je om te kunnen aantonen dat je compliant bent. Een afgehandeld correctieverzoek hoort thuis in je verwerkingsregister of in een apart logboek voor betrokkenenverzoeken. Noteer de ontvangstdatum, de aard van het verzoek, de beslissing die je hebt genomen, de systemen waar je de correctie hebt doorgevoerd, de communicatie met derde partijen en de bevestiging aan de verzoeker.

Dit hoeft geen ingewikkeld document te zijn. Een eenvoudige spreadsheet met die kolommen is al voldoende voor een ZZP’er of kleine webshop. Het gaat erom dat je bij een eventuele klacht bij de Autoriteit Persoonsgegevens kunt laten zien dat je het verzoek serieus hebt genomen en tijdig hebt afgehandeld.

Wanneer mag je een verzoek weigeren?

Je mag een correctieverzoek weigeren als het gegeven feitelijk juist is en de verzoeker dat niet met bewijs kan weerleggen. Of als het gaat om een subjectief oordeel dat rechtmatig is vastgelegd. Communiceer een weigering altijd schriftelijk, binnen de termijn van één maand, met een duidelijke uitleg van de reden. Wijs de verzoeker ook op zijn recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens en om bezwaar te maken via de rechter. Stuur geen vage afwijzing zonder uitleg, dat vergroot juist de kans op een formele klacht.

Wat moet je privacyverklaring vermelden?

Je privacyverklaring moet het recht op correctie expliciet noemen. Verplichte elementen zijn: een beschrijving van het recht zelf, hoe de verzoeker contact kan opnemen (bij voorkeur een specifiek e-mailadres), welke informatie hij daarbij moet meesturen voor verificatie, en binnen welke termijn hij een reactie kan verwachten.

Een praktisch voorbeeld van hoe je dat formuleert: “Je hebt het recht om onjuiste of onvolledige persoonsgegevens te laten corrigeren. Stuur daarvoor een e-mail naar privacy@jouwdomain.nl met een omschrijving van het gegeven dat je wilt laten wijzigen en, indien mogelijk, een onderbouwing. Wij reageren binnen één maand na ontvangst.” Simpel, concreet en volledig.

Intern proces inrichten: zorg dat het niet in een inbox verdwijnt

De grootste praktische uitdaging is niet de kennis van de wet, maar de organisatie. Wijs één persoon of rol aan die verantwoordelijk is voor de afhandeling van privacyverzoeken. Voor een eenmanszaak ben je dat zelf. Voor een kleine webshop met twee medewerkers wijs je er één aan als aanspreekpunt.

Maak een vast kanaal aan voor inkomende verzoeken, communiceer dat kanaal in je privacyverklaring en monitor het actief. Stel een herinnering in als er na drie dagen geen actie is ondernomen op een binnengekomen verzoek. Een correctieverzoek dat stil blijft liggen omdat iedereen dacht dat de ander het zou oppakken, is een veelvoorkomende reden voor een klacht bij de AP. Het systeem hoeft niet ingewikkeld te zijn, als het maar werkt.

De meeste correctieverzoeken zijn eenvoudig af te handelen als je het proces vooraf goed inricht: verificatie, systeemcorrectie, documentatie en waar nodig een kennisgeving aan derde partijen. Zorg ook dat je privacyverklaring duidelijk beschrijft hoe bezoekers een verzoek kunnen indienen. Gebruik daarvoor de gratis privacyverklaring generator op deze site, zodat die tekst meteen op de juiste manier is opgenomen.