AVG inzageverzoek na een afwijzing of ghosting: een gids voor developers (2026)

Een AVG-inzageverzoek is een schriftelijk verzoek, op basis van Artikel 15 van Verordening (EU) 2016/679, waarin je een organisatie vraagt om te bevestigen of zij jouw persoonsgegevens verwerkt en om je een kopie en de bijbehorende informatie te verstrekken. Als een bedrijf je heeft afgewezen, of stil is geworden na je laatste gesprek, bevat het waarschijnlijk nog steeds je CV, je contactgegevens en de interne aantekeningen over jou, en heb je het recht om deze in te zien. Als ze deze hebben verwijderd, moeten ze nog steeds bevestigen of ze gegevens over jou verwerken.

Kort samengevat:

• Inzage (Art. 15): je krijgt een kopie van je gegevens plus de doeleinden, categorieën, ontvangers, de geplande bewaartermijn, de bron van de gegevens en eventuele informatie over geautomatiseerde besluitvorming.
• Verwijdering (Art. 17): je kunt het bedrijf vragen om je gegevens te verwijderen wanneer dit bijvoorbeeld niet langer nodig is voor de doeleinden waarvoor ze zijn verzameld of wanneer ze onrechtmatig zijn verwerkt. Er zijn uitzonderingen, waaronder juridische claims.
• Termijn (Art. 12(3)): één maand na ontvangst, verlengbaar met nog eens twee maanden, maar alleen als het bedrijf je binnen de eerste maand vertelt waarom.
• Kosten (Art. 12(5)): gratis, tenzij het verzoek overduidelijk ongegrond of excessief is.
• Geen reden nodig, geen formulier vereist: de EDPB zegt dit expliciet in haar richtlijnen over het recht op inzage.

Waarom een developer de moeite zou nemen

Een afwijzingsmail vertelt je meestal niets. Ghosting vertelt je nog minder. Een inzageverzoek is een van de weinige middelen die een bedrijf dwingt om iets concreets te produceren: wat ze over jou hebben vastgelegd, waar ze het vandaan hebben en met wie ze het hebben gedeeld.

Redenen waarom mensen er daadwerkelijk een sturen:

• Je wilt weten wat het bedrijf heeft bewaard uit je sollicitatiegesprekken, inclusief interne evaluatienotities en eventuele scores.
• Je vermoedt dat een automatische filter je heeft afgewezen en wilt weten of het bedrijf aangeeft dat er een geautomatiseerd besluit is genomen (Art. 15(1)(h)).
• Je hebt een CV, een take-home of een portfolio gestuurd en wilt weten dat deze niet onbeperkt in een database blijft staan.
• Je wilt dat het bedrijf alles verwijdert na een slecht proces.

Geen van deze redenen vereist een rechtvaardiging. De Guidelines 01/2022 van de EDPB stellen dat de betrokkene geen redenen hoeft op te geven voor een inzageverzoek, en dat het niet aan de verwerkingsverantwoordelijke is om te beoordelen of het verzoek je zal helpen (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).

Stap 1: bepaal wie de verwerkingsverantwoordelijke is

Het recht wordt uitgeoefend tegen de verwerkingsverantwoordelijke, de organisatie die bepaalt waarom en hoe je gegevens worden verwerkt. Bij een directe sollicitatie is dat meestal de werkgever waarop je hebt gesolliciteerd. Als je via een recruiter of een sollicitatieplatform hebt gesolliciteerd, kan het meer dan één partij zijn, en een verwerker kan namens de verwerkingsverantwoordelijke antwoorden indien de overeenkomst tussen hen dit voorziet (zoals de Spaanse autoriteit, de AEPD, uitlegt op de pagina over het uitoefenen van rechten).

Zoek naar de privacyverklaring op de carrièrepagina van het bedrijf. Onder de artikelen 13 en 14 moet de verklaring de verwerkingsverantwoordelijke noemen en, indien van toepassing, de contactgegevens van de functionaris voor gegevensbescherming (DPO) verstrekken. Art. 38(4) stelt dat betrokkenen de DPO kunnen contacteren over alle kwesties met betrekking tot de verwerking en de uitoefening van hun rechten, dus het adres van de DPO, indien aanwezig, is een goede plek om het verzoek naartoe te sturen.

De richtlijnen van de EDPB zeggen dat er geen verplicht formaat is en dat je niet verplicht bent om het eigen aanvraagkanaal van het bedrijf te gebruiken: je mag het verzoek sturen naar een officieel contactpunt van de verwerkingsverantwoordelijke. Ze zeggen ook dat een verwerkingsverantwoordelijke niet verplicht is om actie te ondernemen op verzoeken die zijn verzonden naar volstrekt willekeurige of overduidelijk onjuiste adressen. Gebruik de privacycontactpersoon, de DPO of de recruitmentcontactpersoon die in de privacyverklaring wordt genoemd, en niet de inbox van een willekeurige medewerker.

Stap 2: schrijf het verzoek

Houd het kort, met alles wat het bedrijf nodig heeft op het eerste scherm:

1. Wie je bent, met voldoende details om je te kunnen vinden: volledige naam, het e-mailadres waarmee je hebt gesolliciteerd, de functie en de geschatte data.
2. Wat je vraagt: bevestiging of het bedrijf je persoonsgegevens verwerkt, een kopie daarvan, en de informatie vermeld in Art. 15(1)(a) tot en met (h) en, indien relevant, Art. 15(2).
3. De wettelijke grondslag: Art. 15 GDPR, met de termijn van één maand onder Art. 12(3).
4. Een voorkeursformaat: wanneer je het verzoek elektronisch verstuurt en niet anders vraagt, bepaalt Art. 15(3) dat de kopie in een gangbaar elektronisch formaat moet worden verstrekt.
5. Een datum: noteer de datum waarop je het verstuurt en bewaar het bewijs van verzending en, indien mogelijk, van ontvangst (een leesbevestiging, een ticketnummer of een ontvangstbevestiging), omdat de termijn loopt vanaf het moment van ontvangst door het bedrijf.

Wat Art. 15(1) zegt dat je kunt verkrijgen, als checklist om in je verzoek te plakken:

Art. 15 item	Wat je moet vragen
(a)	De doeleinden van de verwerking
(b)	De categorieën van persoonsgegevens
(c)	Ontvangers of categorieën van ontvangers, inclusief in derde landen
(d)	De geplande bewaartermijn, of de criteria die worden gebruikt om deze vast te stellen
(e)	Je recht op rectificatie, wissen, beperking en bezwaar
(f)	Je recht om een klacht in te dienen bij een toezichthoudende autoriteit
(g)	De bron van de gegevens, indien deze niet bij jou zijn verzameld
(h)	Het bestaan van geautomatiseerde besluitvorming, inclusief profilering, onder Art. 22(1) en (4), en betekenisvolle informatie over de onderliggende logica en de gevolgen en implicaties daarvan voor jou

Item (g) is van belang als een recruiter je op een openbaar profiel heeft gevonden of als een derde partij je CV heeft doorgegeven. Item (h) is degene die je moet opnemen als je een screeningtool vermoedt.

De AEPD publiceert een formulier voor het recht op inzage (gelinkt vanaf hun pagina over het derecho de acceso), wat nuttig is als sjabloon, zelfs als je verzoek naar een bedrijf in een andere lidstaat gaat.

Stap 3: begrijp de termijn van één maand

Artikel 12(3) is de zin die ertoe doet. De verwerkingsverantwoordelijke moet zonder onnodige vertraging en in ieder geval binnen één maand na ontvangst informatie verstrekken over de ondernomen actie op je verzoek. De termijn kan indien nodig met nog eens twee maanden worden verlengd, rekening houdend met de complexiteit en het aantal verzoeken, en de verwerkingsverantwoordelijke moet je binnen de eerste maand informeren over de verlenging, inclusief de redenen.

Twee praktische gevolgen:

• De klok begint te lopen bij ontvangst, niet op de dag waarop je vindt dat je bericht had moeten ontvangen. Bewaar de verzonden e-mail of het ontvangstbewijs.
• Zwijgen is geen verlenging. Een verlenging telt alleen als het bedrijf je hier binnen de eerste maand over heeft geïnformeerd, inclusief de redenen. Art. 12(4) voegt toe dat als de verwerkingsverantwoordelijke besluit om helemaal niet te handelen, hij je binnen één maand moet vertellen waarom, en over je recht om een klacht in te dienen bij een toezichthoudende autoriteit en om een rechtsmiddel aan te vragen.

Art. 12(6) geeft het bedrijf de mogelijkheid om om aanvullende informatie te vragen als er redelijke twijfels zijn over wie je bent. De EDPB-richtlijnen stellen dat een dergelijk verzoek evenredig moet zijn. Als je een antwoord krijgt waarin om een identiteitsbewijs wordt gevraagd, geef dan wat redelijkerwijs nodig is en niet meer.

Stap 4: beslis of je om verwijdering moet vragen

Artikel 17 geeft je het recht om je gegevens zonder onnodige vertraging te laten wissen wanneer een van de genoemde gronden van toepassing is. Voor een afgewezen aanvrager zijn de gronden die het meest waarschijnlijk van toepassing zijn dat de gegevens niet langer nodig zijn voor de doeleinden waarvoor ze zijn verzameld (Art. 17(1)(a)), of dat ze onrechtmatig zijn verwerkt (Art. 17(1)(d)). Als het bedrijf vertrouwde op jouw toestemming om je in een talentpool te houden en je trekt deze in, is Art. 17(1)(b) van toepassing wanneer er geen andere rechtsgrond is.

Het recht is niet absoluut. Art. 17(3) somt uitzonderingen op, waaronder wanneer verwerking noodzakelijk is voor de instelling, uitoefening of verdediging van een rechtsvordering (Art. 17(3)(e)). Een bedrijf kan daarop wijzen wanneer het gespreksverslagen bewaart, maar de uitzondering dekt alleen wat daadwerkelijk nodig is voor een vordering, en alleen voor zolang een dergelijke vordering nog ingesteld kan worden. Het bedrijf moet je nog steeds vertellen wat het doet en waarom, onder dezelfde Art. 12-deadlines, omdat Art. 12(3) van toepassing is op verzoeken onder Arts. 15 tot 22.

Volgorde is belangrijk. Als je een verwijderingsverzoek samen met een inzageverzoek stuurt, mag het bedrijf eerst de verwijdering uitvoeren, en de gegevens die je wilde zien kunnen dan verdwenen zijn. (De EDPB stelt dat een verwerkingsverantwoordelijke geen gegevens mag verwijderen om het beantwoorden van een inzageverzoek te vermijden, en zegt in zijn eigen voorbeeld over sollicitaties dat inzage eerst komt en verwijdering daarna; Guidelines 01/20 naar, par. 39.) Doe voor de zekerheid een van deze dingen:

• Stuur eerst het inzageverzoek en het verwijderingsverzoek nadat je het antwoord hebt ontvangen, of
• Vraag beide in één bericht aan en vermeld dat de kopie onder Art. 15 moet worden verstrekt voordat de verwijdering wordt uitgevoerd.

Dit is praktisch advies, niet iets wat de Verordening vereist: het volgt uit het feit dat verwijdering het materiaal verwijdert dat een inzageverzoek je zou tonen.

Stap 5: wanneer het bedrijf niet antwoordt, of slecht antwoordt

Als de termijn van één maand (of een verlenging waar je over bent geïnformeerd) is verstreken, is een korte feitelijke herinnering waarin de datum van ontvangst en Art. 12(3) worden geciteerd de gebruikelijke eerste stap.

Die herinnering is een praktische volgorde, geen juridische voorwaarde. Art. 77(1) geeft je het recht om een klacht in te dienen bij een toezichthoudende autoriteit, in het bijzonder in de Lidstaat van je gewone verblijfplaats, je werkplek of de plaats van de vermeende inbreuk. De autoriteit moet je informeren over de voortgang en de uitkomst van de klacht, inclusief de mogelijkheid tot een rechtsmiddel (Art. 77(2)). Als de autoriteit de klacht niet behandelt of je niet binnen drie maanden informeert, geeft Art. 78(2) je het recht op een effectief rechtsmiddel tegen de autoriteit.

De EDPB vermeldt de nationale autoriteiten van de EU en EER, met links, op de pagina “Our members”. In Spanje is die autoriteit de AEPD.

Zaken om in een klacht op te nemen: de data, een kopie van je verzoek, het bewijs van ontvangst, elk antwoord en de ontbrekende items die je onder Art. 15(1) verwachtte.

Gerelateerde artikelen

• Hoe je een ghost job posting herkent in 2026
• Je sollicitatie is door een AI-screener gegaan: wat kandidaten in de EU hieraan kunnen doen
• Je hebt het recht om te weten of een AI je interviewt

FAQ

Hoe lang heeft een bedrijf de tijd om te reageren op een AVG-inzageverzoek?

Eén maand na ontvangst van het verzoek (Art. 12(3) AVG). De verwerkingsverantwoordelijke kan dit indien nodig met nog eens twee maanden verlengen, maar moet je binnen de eerste maand informeren over de verlenging en de redenen daarvoor.

Moet ik uitleggen waarom ik mijn gegevens wil?

Nee. De Guidelines 01/2022 van de EDPB stellen dat de betrokkene geen redenen hoeft op te geven en dat de verwerkingsverantwoordelijke niet mag beoordelen of het verzoek je zal helpen.

Kan een bedrijf mij kosten in rekening brengen voor een inzageverzoek?

Normaal gesproken niet. Art. 1amine 12(5) stelt dat informatie en acties onder Arts. 15 tot 22 gratis zijn. Een redelijke vergoeding of een weigering is alleen mogelijk als het verzoek overduidelijk ongegrond of excessief is, en de verwerkingsverantwoordelijke draagt de bewijslast hiervan. De verwerkingsverantwoordelijke mag een redelijke vergoeding in rekening brengen voor verdere kopieën (Art. 15(3)).

Moet ik inzage en verwijdering in dezelfde e-mail vragen?

Het is veiliger om eerst om inzage te vragen. Als je beide tegelijk wilt, geef dan expliciet aan dat de kopie moet worden verstrekt voordat de gegevens worden verwijderd.

Wat als het bedrijf mijn verzoek negeert?

Stuur een korte herinnering met vermelding van de datum van ontvangst en Art. 12(3). Je kunt op elk moment een klacht indienen bij een toezichthoudende autoriteit onder Art. 77, in de praktijk met je oorspronkelijke verzoek en het ontbrekende of ontoereikende antwoord.

Bronnen

• Regulation (EU) 2016/679 (GDPR), Official Journal, Arts. 12, 13, 14, 15, 17, 38(4), 77 en 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
• European Data Protection Board, Guidelines 01/2022 over rechten van betrokkenen, recht op inzage, versie 2.1, aangenomen 28 maart 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
• Dezelfde richtlijnen, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
• European Data Protection Board, Our members (nationale toezichthoudende autoriteiten) — https://www.edpb.europa.eu/about-edpb/our-members_en
• Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
• Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
• Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf

Dit artikel beschrijft algemene EU-gegevensbeschermingsregels voor informatieve doeleinden. Het is geen juridisch advies. Hoe een verzoek wordt afgehandeld, hangt af van de verwerkingsverantwoordelijke, de lidstaat en jouw feiten; als je in een geschil bent, neem dan contact op met een advocaat of je nationale gegevensbeschermingsautoriteit.

Een inzageverzoek is eenvoudiger wanneer je kunt aangeven om welk bedrijf het gaat, welke rol en wanneer. Als je bij veel bedrijven solliciteert, houdt Xeito per sollicitatie één dossier bij met de bedrijfsnaam, één van zeven statussen (geïnteresseerd, gesolliciteerd, telefonische screening, technisch interview, interview op locatie, aanbod, afgewezen) en vrije tekstnotities, en het registreert de sollicitatiedatum wanneer je een baan als gesolliciteerd markeert via Xeito. Het genereert of verstuurt geen inzage- of verwijderingsverzoeken; het is een overzicht van je eigen sollicitaties, geen juridisch hulpmiddel.