Een klant vraagt zijn gegevens op: wat moet je leveren als AI je klantcontact doet?

Wat vraagt een klant precies als hij zijn gegevens opvraagt?

Artikel 15 AVG geeft iedere klant het recht om van je te horen of je persoonsgegevens over hem verwerkt. Doe je dat, dan mag hij die gegevens inzien en er een kopie van krijgen. De wet noemt dat het recht van inzage.

Aan zo'n verzoek zit geen vorm. De klant hoeft het woord "inzageverzoek" niet te gebruiken, hoeft geen formulier in te vullen, hoeft geen reden op te geven en hoeft niet naar een speciaal adres te mailen. "Stuur mij eens alles wat jullie over mij hebben" is een geldig verzoek. Een spraakbericht in WhatsApp ook.

Het gaat bovendien verder dan de gegevens zelf. Artikel 15 lid 1 somt op wat je erbij moet vertellen: waarvoor je de gegevens gebruikt, om welke soorten gegevens het gaat, aan wie je ze doorgeeft, hoe lang je ze bewaart of hoe je die termijn bepaalt, waar je ze vandaan hebt als ze niet van de klant zelf komen, en welke rechten hij verder heeft. Dat laatste rijtje is concreet: rectificatie, wissing, beperking van de verwerking, bezwaar, en het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Neem je geautomatiseerde besluiten over hem, dan moet je ook uitleggen welke logica daarachter zit en wat de gevolgen voor hem zijn.

Voor een ondernemer die AI inzet voor klantcontact zit de verrassing zelden in de klantkaart. Die is meestal snel gevonden. De verrassing zit in de gesprekken: de chats, de mailthreads, de samenvattingen die het systeem zelf heeft geschreven en de aantekeningen die het in je CRM heeft gezet. Dat zijn ook persoonsgegevens, en ze vallen gewoon onder hetzelfde verzoek.

Een inzageverzoek komt binnen via het kanaal waar de klant al zit

De meeste ondernemers stellen zich een inzageverzoek voor als een nette brief. In de praktijk komt het binnen tussen de gewone berichten door: in de chat op je site, in de zakelijke WhatsApp, in de algemene mailbox, of aan de telefoon. Precies daar waar je AI-assistent zit.

Dat is het eerste risico. Een AI-assistent die is ingericht om afspraken in te plannen en offertes uit te sturen, herkent "welke gegevens hebben jullie eigenlijk van mij?" niet automatisch als een juridisch verzoek. Hij kan het beantwoorden met een vriendelijke standaardzin en de conversatie sluiten. De termijn loopt op dat moment gewoon al.

Praktisch betekent dat twee dingen. Ten eerste: leg vast bij welke signalen een gesprek naar een mens moet. Vragen over inzage, verwijderen, bezwaar, afmelden en klachten horen daarbij. Ten tweede: zorg dat de datum van binnenkomst wordt vastgelegd, niet de datum waarop je het toevallig zag. De termijn begint bij ontvangst van het verzoek, niet bij het moment dat het op je bureau belandt.

Houd er ook rekening mee dat het verzoek niet altijd bij je binnenkomt. Klanten mailen soms de leverancier van de chatwidget of de partij die je telefonie doet. Spreek af dat zulke berichten onmiddellijk naar je worden doorgezet, want de klant heeft het recht tegenover jou, niet tegenover je leverancier.

Je hebt één maand, en verlengen mag alleen als je dat op tijd meldt

Artikel 12 AVG zegt het kort: je informeert de klant onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek over wat je ermee gedaan hebt. De Autoriteit Persoonsgegevens legt het in gewone taal uit: de organisatie moet binnen één maand reageren en laat dan weten of de gevraagde informatie komt, of dat het verzoek (deels) wordt geweigerd en waarom.

Daar zitten twee dingen in die vaak worden gemist. Het eerste: ook "nee" moet binnen die maand, met reden. Stilzwijgen is geen antwoord en geen weigering; het is simpelweg een overtreding van de termijn. Het tweede: de maand is een uiterste, geen doel. "Onverwijld" betekent dat je niet drie weken mag wachten omdat het toevallig past.

Verlengen kan wel. Artikel 12 lid 3 AVG staat toe dat je de termijn met nog eens twee maanden verlengt als het verzoek complex is of als er veel verzoeken tegelijk liggen. Maar dat is geen vrije keuze achteraf: je moet de klant binnen de eerste maand laten weten dat je verlengt en waarom je dat doet. Meld je het niet op tijd, dan heb je de termijn overschreden, ook als je later een keurig dossier levert.

Wanneer is een verzoek bij AI-klantcontact echt complex? Bijvoorbeeld als er drie jaar aan chat- en telefoongesprekken doorgenomen moet worden, of als gegevens van andere klanten in dezelfde gesprekken staan en je die er zorgvuldig uit moet halen. "Het is druk" is geen complexiteit.

Wat moet je leveren als de AI de gesprekken heeft gevoerd?

De vuistregel: alles wat over deze persoon gaat en herleidbaar is naar hem, ongeacht in welk systeem het staat. Dat het door een machine is opgeschreven, maakt niets uit. Een samenvatting die je AI-assistent van een telefoongesprek heeft gemaakt, is een persoonsgegeven zodra daar de naam of het telefoonnummer van de klant aan hangt.

Doe daarom eerst een inventarisatie van je eigen keten voordat het eerste verzoek binnenkomt. Waar staat wat? Een typische opstelling bij AI-klantcontact heeft gegevens op vier of vijf plaatsen tegelijk: de chatgeschiedenis bij de widget, de transcripten bij de telefonie, de berichten in WhatsApp Business, de mailthreads, en de velden en notities in het CRM. Vergeet je eigen zakelijke apparaten niet. De Belastingdienst wijst er in zijn eigen voorlichting op dat ook communicatiemiddelen die hoofdzakelijk privé worden gebruikt — een privé-mailadres, WhatsApp — tot de administratie kunnen behoren zodra ze ook zakelijk worden gebruikt. Wat administratie is, kan ook persoonsgegevens bevatten die onder een inzageverzoek vallen.

Wat een klant op grond van artikel 15 AVG mag opvragen, en waar dat bij een AI-klantcontactsysteem vandaan komt

Waar de klant recht op heeft	Waar dat bij AI-klantcontact staat	Waar het vaak misgaat
Bevestiging dat je gegevens over hem verwerkt	Klantkaart of CRM-record, plus de kanalen waarin hij voorkomt	Er wordt alleen in het CRM gezocht, niet in de chat- en belgeschiedenis
Een kopie van de persoonsgegevens zelf	Chatlogs, transcripten van telefoongesprekken, WhatsApp-berichten, mailthreads, formulierinzendingen	Alleen de laatste conversatie wordt geleverd, oudere gesprekken blijven onvermeld
De doeleinden van de verwerking	Je eigen verwerkingsregister en privacyverklaring	Er staat "klantenservice" en verder niets; training of analyse van gesprekken ontbreekt
De categorieën persoonsgegevens	Velden in het CRM plus wat er feitelijk in de gesprekken terechtkomt	Vrije tekst wordt vergeten, terwijl daar de gevoeligste dingen in staan
De ontvangers of categorieën ontvangers	AI-leverancier, telefonieaanbieder, berichtenplatform, hostingpartij, eventuele subverwerkers	Alleen de partij waarmee een contract is getekend wordt genoemd, niet wie daaronder hangt
De bewaartermijn of hoe je die bepaalt	Bewaarbeleid per systeem, inclusief logbestanden en back-ups	De ondernemer weet niet hoe lang de leverancier de logs standaard bewaart
De herkomst van gegevens die niet van hem komen	Ingekochte lijsten, formulieren van derden, koppelingen met andere systemen	Er wordt gedaan alsof alles rechtstreeks van de klant komt
Of er geautomatiseerde besluiten worden genomen	Routering, scoring of prioritering die het AI-systeem toepast	De ondernemer weet zelf niet welke automatische keuzes het systeem maakt
Zijn overige rechten en de klachtmogelijkheid	Vaste tekst in je antwoordbrief	De rechten worden niet genoemd, waardoor het antwoord onvolledig is

Let op het verschil tussen de gegevens en het model. Je hoeft niet uit te leggen hoe een taalmodel intern werkt. Je moet wel kunnen vertellen welke gegevens je aan dat systeem hebt gegeven, wie ze verder heeft gezien en waar ze nu nog staan. Als je die vraag niet kunt beantwoorden, is dat op zichzelf al een probleem — niet pas op het moment dat een klant belt.

In welke vorm lever je het aan, en mag je er iets voor vragen?

De hoofdregel uit artikel 12 AVG is dat je informatie beknopt, transparant, begrijpelijk en in duidelijke en eenvoudige taal verstrekt. Een ruwe database-export met kolomnamen als usr_ref en ts_utc voldoet daar niet aan. Zet er een leesbare toelichting bij die uitlegt wat de klant voor zich ziet.

Vraagt de klant elektronisch, dan lever je in een gangbaar elektronisch formaat, tenzij hij iets anders vraagt. Een pdf of een leesbaar tekstbestand per kanaal werkt in de praktijk goed: één deel met de klantgegevens uit het CRM, één deel met de gesprekken op chronologische volgorde, en één deel met de uitleg uit artikel 15 lid 1. Een chatgesprek lever je als leesbaar transcript, niet als JSON-dump.

Kosten: het antwoord is in beginsel kosteloos. Je mag geen administratiekosten rekenen omdat het je tijd kost. Artikel 12 AVG laat alleen bij kennelijk ongegronde of buitensporige verzoeken ruimte om een redelijke vergoeding te vragen of te weigeren, en dan moet je zelf kunnen aantonen dat het verzoek dat karakter heeft. Iemand die één keer per jaar zijn gegevens opvraagt, is dat niet.

Denk ook aan de verzendweg. Je stuurt een dossier met persoonsgegevens; dat hoort niet als losse bijlage naar een adres waarvan je niet zeker weet of het van de klant is. Lever bij voorkeur via een kanaal waarin de klant al bij je bekend is.

Hoe stel je vast dat de vrager echt de klant is?

Hier maken veel bedrijven twee tegengestelde fouten. De ene is dat er helemaal niet wordt gecontroleerd, waardoor het complete gespreksdossier van een klant naar een willekeurige mailer gaat. De andere is dat er standaard om een kopie van een identiteitsbewijs wordt gevraagd — meer gegevens dus, terwijl je er juist een aan het beoordelen bent.

De maat is artikel 5 lid 1 onder c AVG: gegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor het doel. Het doel hier is beperkt: vaststellen dat de vrager dezelfde persoon is als degene over wie je gegevens hebt. Meer heb je niet nodig.

Artikel 12 lid 6 AVG geeft de ruimte die je nodig hebt: heb je gegronde twijfel over de identiteit van de vrager, dan mag je om extra informatie vragen. Let op de volgorde. Eerst kijken of de twijfel er is, dan pas vragen. Werkbare aanpakken, van licht naar zwaar:

• Komt het verzoek van het e-mailadres of telefoonnummer dat al aan het klantdossier hangt en waarmee eerder is gecommuniceerd, dan is dat vaak al voldoende.
• Twijfel je, stuur dan een bevestigingsmail naar het adres dat bij je bekend is, in plaats van te antwoorden op het adres van de aanvrager.
• Vraag om een gegeven dat je al hebt en dat een derde niet zomaar weet, bijvoorbeeld een ordernummer of de datum van een afspraak.
• Pas als het echt niet anders kan, en bij gevoelige dossiers, kun je om een identiteitsbewijs vragen. Vraag dan om afscherming van de pasfoto en het burgerservicenummer, en bewaar de kopie niet.

Automatiseer deze stap niet volledig. Een AI-assistent die zelf besluit dat de identiteit voldoende vaststaat en vervolgens het hele dossier verstuurt, is een datalek met extra stappen. Laat het systeem het verzoek herkennen en klaarzetten; laat een mens beslissen dat het de deur uit mag.

Wat doe je als er gegevens van een ander in de gesprekken staan?

Dit is bij klantcontact eerder regel dan uitzondering. In een chat staat de naam van de partner die meekomt naar de afspraak. In een telefoontranscript noemt de klant een collega of een buurman. In een mailthread staat de accountmanager, en in een klachtgesprek staat een medewerker met naam en toenaam.

Artikel 15 lid 4 AVG zegt dat het recht om een kopie te krijgen geen afbreuk mag doen aan de rechten en vrijheden van anderen. Dat is geen vrijbrief om het verzoek af te wijzen. Het is een opdracht om af te wegen. Praktisch komt dat neer op drie dingen:

1. Lever wél wat over de verzoeker zelf gaat. Dat een gesprek ook een derde noemt, is geen reden om het hele gesprek achter te houden.
2. Scherm je iets af, doe dat gericht. Haal de naam of het nummer van de derde weg en laat de rest staan.
3. Leg uit dat en waarom je iets hebt afgeschermd. Een klant die een zwart balkje ziet zonder uitleg, dient eerder een klacht in dan een klant die leest dat daar gegevens van iemand anders stonden.

Namen van je eigen medewerkers zijn een apart geval. Dat een medewerker het gesprek voerde, mag de klant vaak gewoon weten. Interne beoordelingen van die medewerker horen niet in het pakket. Denk ook aan interne notities die over de klant gaan: die zijn wél persoonsgegevens van de klant en vallen dus binnen het verzoek, ook als ze weinig vleiend zijn. Dat is een goede reden om het toonvoorschrift voor interne aantekeningen scherp te houden, ook als een AI ze schrijft.

Wat als de gesprekken bij je AI-leverancier staan?

Bij ingekochte AI voor klantcontact staan de gegevens bijna altijd bij een ander. Dat verandert niets aan wie er verantwoordelijk is. Je bepaalt het doel en de middelen, dus je bent de verwerkingsverantwoordelijke; de leverancier is meestal verwerker. De klant richt zich tot jou en jij moet leveren.

Artikel 28 AVG regelt dat die verhouding in een overeenkomst wordt vastgelegd, met daarin onder meer wat de leverancier voor je doet en dat hij je bijstaat bij het vervullen van je plicht om te reageren op verzoeken van betrokkenen. Dat is precies de bepaling die je nodig hebt op de dag dat er een inzageverzoek ligt. Kijk daarom vóór het zover is naar drie punten in je verwerkersovereenkomst:

• Staat er dat de leverancier je helpt bij verzoeken van betrokkenen, en binnen welke termijn?
• Kun je de gegevens van één klant zelf exporteren, of ben je voor elke uitdraai afhankelijk van hun support?
• Welke subverwerkers zitten eronder, en kun je die noemen in je antwoord?

Een leverancier die pas na drie weken reageert, eet je wettelijke maand op. Test daarom één keer hoe lang een export duurt, met een eigen testklant, voordat je het onder tijdsdruk moet doen.

Mag je de gegevens weggooien nu de klant er toch naar vraagt?

Nee, en dit is een verleiding die serieus voorkomt: het verzoek komt binnen, iemand denkt "dan wissen we het gewoon" en de logs gaan weg. Dat is geen oplossing maar een verzwaring. Het inzageverzoek is al gedaan en je moet erop antwoorden; gegevens vernietigen nadat een verzoek is ontvangen, maakt van een administratieve klus een verantwoordingsprobleem.

Bovendien mag je niet alles wissen wat je kwijt wilt. Zakelijke communicatie kan tot je administratie horen — de Belastingdienst noemt zelf e-mail en WhatsApp als voorbeelden zodra ze zakelijk worden gebruikt — en daar gelden wettelijke bewaarplichten voor. Een klant die om inzage vraagt, wil trouwens meestal iets heel anders dan verwijdering; verwar de twee verzoeken niet.

De omgekeerde beweging is wel verstandig: zorg dat je vóór een verzoek weet welke bewaartermijn je per systeem hanteert en dat je die kunt uitleggen. Dan is de vraag "hoe lang bewaren jullie dit?" een kwestie van opzoeken en niet van improviseren.

Zo maak je van een inzageverzoek een routineklus

Het verschil tussen een paniekweek en een half uur werk zit bijna volledig in de voorbereiding. Vijf dingen die je nu kunt regelen, zonder jurist:

1. Maak een lijst van elke plek waar klantgegevens staan: CRM, chat, telefonie, WhatsApp, mailbox, formulieren, back-ups. Zet erbij wie er kan exporteren.
2. Leer je AI-assistent de signaalwoorden herkennen — inzage, mijn gegevens, verwijderen, bezwaar, AVG — en laat hem dan overdragen aan een mens, met de datum van binnenkomst erbij.
3. Zet één postbus of adres neer waar deze verzoeken samenkomen, en spreek met je leveranciers af dat ze verzoeken die bij hen binnenkomen daarheen doorzetten.
4. Maak één antwoordsjabloon met de vaste onderdelen uit artikel 15 lid 1, zodat je alleen nog de gegevens hoeft in te voegen.
5. Oefen het één keer op jezelf. Vraag je eigen gegevens op, doorloop de hele keten en klok hoe lang het duurt. Wat je daar tegenkomt, kom je straks ook tegen bij een echte klant.

Dit artikel is algemene uitleg over wat de wet zegt, geen juridisch advies over jouw specifieke situatie. Twijfel je bij een concreet verzoek — bijvoorbeeld omdat er bijzondere gegevens in het dossier zitten, omdat een derde bezwaar maakt, of omdat een verzoek samenvalt met een conflict of een claim — leg het dan voor aan een privacyjurist voordat je antwoordt.