AVG verzoeken bij buitenlandse bedrijven: hoe werkt dat?

Je hebt vast wel eens gehoord van de AVG, de Algemene Verordening Gegevensbescherming. Het is die wet die ervoor zorgt dat bedrijven in Nederland en Europa netjes met je persoonsgegevens omgaan.

Maar wat als je je gegevens wilt opvragen of wilt laten verwijderen bij een bedrijf dat niet in Europa zit? Denk aan een Amerikaanse streamingdienst, een Chinees webshop of een Canadese app. Werkt dat dan hetzelfde?

Het antwoord is: ja en nee. Het is soms een beetje een grijs gebied, maar er zijn duidelijke regels.

Laten we dit stap voor stap uitzoeken, zodat je precies weet wat je kunt doen.

De wereldwijde reikwijdte van de AVG

Veel mensen denken dat de AVG alleen geldt voor bedrijven die fysiek in Europa zijn gevestigd. Dat is niet helemaal waar.

De wet is strenger dan je denkt. De AVG heeft een ‘extraterritoriale werking’. Een mooi woord, maar het betekent simpelweg: de wet geldt voor elk bedrijf dat diensten of producten aanbiedt aan mensen in de Europese Unie, ongeacht waar het bedrijf zelf gevestigd is.

Stel je voor: je bestelt een shirt bij een webshop in de Verenigde Staten en zij leveren gewoon bij jou thuis in Amsterdam.

Of je downloadt een app van een bedrijf uit Singapore en geeft toestemming voor je locatie. Op dat moment valt dat bedrijf onder de strengste privacywet ter wereld: de AVG. Zij moeten zich dus aan Europese regels houden, ook al zitten ze aan de andere kant van de oceaan.

Hoe vraag je je gegevens op bij een buitenlands bedrijf?

Wil je weten welke gegevens een bedrijf van jou heeft? Dat heet een inzagerecht.

Dit werkt in principe hetzelfde, ongeacht waar het bedrijf zit. Je stuurt een e-mail of gebruikt een contactformulier op hun website. Meestal staat er een aparte pagina voor privacy of contact in de footer van de site.

Een handige tip: wees duidelijk en beleefd, maar wel zakelijk. Je hoeft geen heel verhaal te schrijven.

Een simpele zin volstaat: “Geachte heer/mevrouw, op grond van de AVG vraag ik inzage in de persoonsgegevens die u van mij verwerkt.

Ik ontvang graag een overzicht binnen 30 dagen.” Voeg je naam, adres en eventueel je gebruikersnaam toe, zodat ze je kunnen vinden. Het bedrijf is wettelijk verplicht om binnen een maand te reageren. Soms mogen ze deze termijn met twee maanden verlengen, maar ze moeten je dan wel uitleggen waarom.

Hier wordt het lastiger. Een bedrijf in Amerika of China luistert niet per se naar een e-mail van jou.

Ze hebben misschien geen vestiging in Europa waartoe je kunt ‘stappen’. Toch zijn ze verplicht te reageren. Als ze niets doen, kun je een klacht indienen bij de toezichthouder in Europa.

Wat als het bedrijf niet reageert?

In Nederland is dat de Autoriteit Persoonsgegevens (AP). De AP kan contact opnemen met buitenlandse autoriteiten, maar dat proces kan lang duren.

Het is dus geen garantie op een snelle oplossing, maar het is wel je sterkste wapen.

Vergeten worden: het recht op verwijdering

Naast inzage heb je ook het recht om vergeten te worden. Dit betekent dat een bedrijf jouw persoonsgegevens moet verwijderen, tenzij ze een geldige reden hebben om ze te bewaren (bijvoorbeeld voor een wettelijke verplichting).

Dit recht geldt ook voor buitenlandse bedrijven. Stel je voor: je hebt een account bij een Canadese website en je wilt niet meer dat ze je e-mailadres hebben.

Dan vraag je om verwijdering. Je stuurt een e-mail met een verzoek tot ‘wissing’ van je gegevens. Bedrijven zoals Meta (Facebook) of Google hebben hier speciale formulieren voor, zelfs als ze in de VS zitten.

Die formulieren vind je meestal in de privacy-instellingen van hun app of website. Let op: sommige buitenlandse bedrijven weten niet precies wat de AVG inhoudt. Ze kunnen je verzoek negeren of een standaardantwoord sturen. Als dat gebeurt, is het slim om te weten wat de plichten van een bedrijf zijn na een verwijderverzoek. Schrijf bijvoorbeeld: “Ik verzoek u om mijn gegevens te verwijderen op grond van artikel 17 van de AVG.” Dit toont aan dat je je rechten kent en serieus bent.

Wat als het bedrijf niet meewerkt?

Het kan frustrerend zijn als een buitenlands bedrijf je verzoek negeert. Vooral als het om een klein bedrijf gaat of een bedrijf in een land met minder strenge privacywetten. Wil je liever weten hoe je een inzageverzoek indient bij een Nederlands bedrijf? Dat proces is vaak een stuk eenvoudiger.

Toch zijn er stappen die je kunt nemen. Als het bedrijf een vertegenwoordiger heeft in de EU, kun je daar contact mee opnemen.

Veel grote buitenlandse bedrijven, zoals Apple of Amazon, hebben een Europese vestiging (bijvoorbeeld in Luxemburg of Ierland). Deze vestiging valt onder de AVG en is verantwoordelijk voor de gegevens van Europese gebruikers. Je kunt je verzoek dus rechtstreeks naar die Europese vestiging sturen. Als er geen Europese vestiging is, blijft de Autoriteit Persoonsgegevens je beste optie.

Je kunt een klacht indienen via hun website. Let wel: de AP kan niet zomaar boetes opleggen aan bedrijven buiten Europa, maar ze kan wel samenwerken met internationale toezichthouders.

In landen met een ‘adequaatheidsbesluit’ (zoals het Verenigd Koninkrijk, Canada of Japan) is die samenwerking beter geregeld dan in landen zonder zo’n besluit.

Praktische tips voor buitenlandse bedrijven

Om teleurstelling te voorkomen, is het slim om van tevoren te checken waar een bedrijf zit en hoe serieus ze zijn met privacy.

Kijk op hun website naar een privacyverklaring. Staat er iets over de AVG? Hebben ze een Europese vestiging? Zo ja, dan is de kans groter dat ze je verzoek serieus nemen.

Gebruik ook tools zoals de website van de Autoriteit Persoonsgegevens. Daar vind je informatie over welke landen voldoen aan de Europese privacy-normen.

Als je een app downloadt uit een land dat niet op die lijst staat, wees dan extra voorzichtig met je gegevens.

Een andere tip: gebruik een e-mailadres dat je alleen voor dit soort verzoeken gebruikt. Zo voorkom je dat je persoonlijke inbox vol spam komt te staan. En bewaar altijd een kopie van je verzoek en de reactie (of het gebrek daaraan). Dat is handig als je later een klacht indient.

Conclusie: wees realistisch maar niet bang

AVG-verzoeken bij buitenlandse bedrijven zijn niet altijd even makkelijk, maar ze zijn zeker niet onmogelijk.

De wet beschermt jou, ook als het bedrijf ver weg zit. Het belangrijkste is dat je weet wat je rechten zijn en hoe je ze kunt uitoefenen.

Wees duidelijk, beleefd en vasthoudend. En als het echt niet lukt, schakel dan de Autoriteit Persoonsgegevens in. Onthoud: privacy is een recht, geen gunst. Of je nu te maken hebt met een bedrijf om de hoek of aan de andere kant van de wereld.