AVG-verzoeken om gegevenswissing in Cyprus: beslisgids voor verwerkingsverantwoordelijken

Herken het verzoek en laat de antwoordtermijn lopen

Beoordeel de inhoud van een bericht, niet de titel. Een klant kan support vragen zijn account te verwijderen, een sollicitant kan HR vragen een cv weg te halen en een voormalige cliënt kan wissing van marketinggegevens verlangen. Niemand hoeft de AVG te noemen of een voorgeschreven formulier te gebruiken. Leg vast wanneer de organisatie het verzoek ontving, wat precies werd gevraagd, via welk kanaal en account, en wie de behandeling coördineert. Stuur verzoeken uit verkoop, klantenservice en personeelszaken direct door. Een vertraging bij interne doorzending is geen goede verklaring voor een te laat antwoord aan de betrokkene.

Artikel 12 verlangt handelen zonder onredelijke vertraging en in beginsel binnen één maand na ontvangst. Bij complexiteit of meerdere verzoeken zijn maximaal twee extra maanden mogelijk, maar de persoon moet binnen de eerste maand over verlenging en redenen worden geïnformeerd. Gebruik verlenging niet om te verbergen dat een team te laat aan de zoektocht begon. Een ontvangstbevestiging is praktisch, maar staat los van het inhoudelijke antwoord. Leg de gebruikte ontvangstdatum, termijnberekening en motivering van een eventuele verlenging vast. Bepaal welke juridische en technische handelingen vóór de vervaldag moeten zijn afgerond.

Eén bericht kan wissing combineren met inzage, bezwaar tegen marketing, rectificatie en sluiting van een account. Splits de juridische vragen en geef een begrijpelijk gecoördineerd antwoord. Het sluiten van een gebruikersaccount bewijst niet dat elke kopie van persoonsgegevens is gewist. Omgekeerd rechtvaardigt een wettelijk te bewaren factuur niet dat promotionele berichten blijven doorgaan. Geef elke gegevensset en elk doel een eigen status in het dossier: te wissen, beperkt te behouden onder een onderbouwde uitzondering, door te melden of nader te onderzoeken. Zo kan het uiteindelijke antwoord precies beschrijven wat werkelijk is gedaan.

Lees ook: gids voor inzageverzoeken.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen; Cypriotische commissaris voor gegevensbescherming: AVG-overzicht en rechten van betrokkenen

Controleer identiteit evenredig en bepaal de gegevensomvang

Bij redelijke twijfel over iemands identiteit mag de verwerkingsverantwoordelijke aanvullende informatie vragen. Het risico verschilt tussen een verzoek uit een ingelogd account en een onbekend e-mailadres dat verwijdering van andermans personeelsdossier verlangt. Vraag alleen wat nodig is om de twijfel op te lossen en documenteer waarom die bestaat. Eis niet standaard van iedereen een paspoortkopie wanneer accountverificatie of een beperktere controle volstaat. Het versturen van identiteitsdocumenten via een onveilig kanaal kan een nieuw gegevensbeschermingsprobleem veroorzaken terwijl men het eerste probeert op te lossen. Kies per geval het minimale veilige verificatiemiddel.

Breng gegevenslocaties in kaart: klantaccount, CRM, supporttickets, facturatie, marketinglijsten, analytics-identificatoren, documentopslag, personeelsdossiers, oudere systemen en verwerkers. Vraag de eigenaren van die systemen welke persoonsgegevens over deze persoon aanwezig zijn en voor welke doeleinden. Een redelijke zoektocht volgt bekende gegevensstromen en eindigt niet bij de hoofddatabase van de app. Een knop “account verwijderen” kan een aangesloten mailplatform of een oude export ongemoeid laten. Registreer onderzochte systemen, zoekmethode, gebruikte identificatoren en resultaten. Let op variaties in adres of klantnummer zonder gegevens van een andere persoon verkeerd toe te wijzen.

Verduidelijk een werkelijk onduidelijke omvang wanneer dat nodig is, zonder verduidelijking tot hindernis te maken. De persoon kan één dienstaccount bedoelen of alle relaties met de organisatie. Heeft het bedrijf verschillende rollen, waaronder verwerker voor een andere verwerkingsverantwoordelijke, bepaal dan wie doelen en middelen van juist deze verwerking vaststelt. Een verwerker hoort het verzoek volgens zijn overeenkomst door te sturen en niet zelfstandig de gegevens van zijn opdrachtgever te wissen. Houd de bedoeling van de verzoeker tijdens de beoordeling in beeld. Leg zo nodig uit welke gegevensbestanden onder de gekozen uitleg vallen.

Lees ook: gids voor inzage in persoonsgegevens.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen

Toets de gronden van artikel 17 per verwerkingsdoel

Artikel 17 lid 1 noemt situaties waarin persoonsgegevens zonder onredelijke vertraging moeten worden gewist. Daaronder vallen gegevens die niet meer nodig zijn voor het oorspronkelijke doel, intrekking van toestemming zonder andere dragende grondslag, een geslaagd bezwaar onder artikel 21, onrechtmatige verwerking, een wettelijke wisplicht en bepaalde gegevens van kinderen bij diensten van de informatiemaatschappij. Stel voor iedere verwerking vast welke grond toepasselijk is. Antwoord niet enkel dat het “recht om vergeten te worden” absoluut is. Verschillende kopieën van hetzelfde e-mailadres kunnen een andere uitkomst hebben wanneer doel en rechtsgrond uiteenlopen.

Het doel is beslissend. Een adres dat uitsluitend voor een op toestemming gebaseerde nieuwsbrief is verzameld, kan na intrekking overbodig zijn. Hetzelfde adres op een betaalde factuur kan onder een afzonderlijke wettelijke verplichting vallen. Heretiketteer marketing op basis van toestemming na de intrekking niet achteraf als contractueel noodzakelijk alleen om de lijst te blijven gebruiken. Wis daarentegen geen wettelijk vereiste factuur omdat marketingtoestemming eindigt. Leg gegevenscategorie, oorspronkelijk doel, rechtsgrond, huidige noodzaak en beslissing vast. Daarmee worden zowel te ruime wissing als te ruime bewaring toetsbaar.

Maakt de persoon bezwaar tegen direct marketing, dan verlangen artikel 21 leden 2 en 3 dat verwerking voor dat doel stopt. Beoordeel ook de bijbehorende wisgrond van artikel 17 lid 1 onder c en of een minimale blokkadelijst nodig blijft om nieuwe ongewenste berichten te voorkomen. Bezwaar tegen verwerking in het algemeen belang of op grond van gerechtvaardigde belangen kent een andere toets volgens artikel 21 lid 1. De juridische route beïnvloedt de uitkomst. Een standaardsjabloon dat ieder verzoek “intrekking van toestemming” noemt, kan de werkelijke afweging verbergen. Noteer afzonderlijk welke reclame stopte en welke andere verwerkingen nog moeten worden beoordeeld.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen

Pas uitzonderingen beperkt toe en leg gedeeltelijke wissing uit

Artikel 17 lid 3 beperkt wissing voor zover verwerking noodzakelijk is voor bepaalde redenen. Het gaat onder meer om vrijheid van meningsuiting en informatie, een wettelijke verplichting of bepaalde publieke taken, volksgezondheid, beschermde archief- en onderzoeksdoelen en de instelling, uitoefening of onderbouwing van rechtsvorderingen. “Noodzakelijk” is doorslaggevend. Wijs op de concrete wet of aannemelijke vordering die bewaring van bepaalde gegevens rechtvaardigt; houd niet alles voor denkbaar toekomstig gebruik. Beperk zowel de hoeveelheid achterblijvende gegevens als verdere toegang en gebruik. Controleer of afgeschermde toegang in de systemen ook werkelijk wordt afgedwongen.

Een Cypriotische onderneming kan transactiegegevens voor fiscale of boekhoudkundige verplichtingen moeten bewaren of documenten voor een concreet geschil nodig hebben. Verifieer de toepasselijke regeling en periode voor dat type record in plaats van in elk privacyantwoord één universeel aantal jaren op te nemen. Scheid een financieel document van een marketingprofiel of dubbele supportexport. Een verzoek kan dus voor sommige gegevens worden ingewilligd en voor andere onderbouwd geweigerd. Noem categorieën en redenen duidelijk. De algemene zin “wegens wettelijke verplichtingen kunnen wij niets wissen” verbergt de beslissing die per onderdeel werkelijk vereist is.

Het gecoördineerde EDPB-rapport uit 2026 beschrijft problemen met wisvoorwaarden, afweging van uitzonderingen en bewaartermijnen. Maak voor iedere betwiste categorie een kort beslisdocument: aangevoerde wisgrond, reden voor bewaring, juridische bron, noodzaak, beperking van gebruik en herzieningsdatum. Wordt een rechtsvordering aangevoerd, benoem dan het geschil of de geloofwaardige aanspraak en beoordeel opnieuw wanneer deze is geëindigd. Wees voorzichtig met anonimisering: een zwak alternatief waarmee heridentificatie mogelijk blijft, is geen gegevenswissing. Test de methode ook tegen andere gegevens waarover de organisatie beschikt.

Lees ook: gids voor datalekken.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: gecoördineerd handhavingsrapport 2026 over het recht op gegevenswissing

Voer de wissing uit in systemen, bij verwerkers en back-ups

Zet de juridische beslissing om in acties per systeem. Wis of onomkeerbaar anonimiseer toepasselijke records in de klantapplicatie, CRM, marketingomgeving, tickettool, documentopslag en overige gevonden systemen. Noteer methode en voltooiingsdatum. Handelt een verwerker voor de verantwoordelijke, stuur dan een nauwkeurige instructie via het afgesproken kanaal en vraag om bevestiging of uitleg van een beperking. Een gesloten supportticket of verwijderd account bewijst niet dat alle betreffende gegevens zijn behandeld. Wijs ook iemand aan voor ontbrekende antwoorden van leveranciers, mislukte technische taken en de hercontrole daarvan.

Back-ups vereisen een technisch eerlijk plan. Een actieve back-up kan mogelijk niet selectief worden aangepast zonder herstelbaarheid te schaden, maar mag geen onbeperkte verborgen kopie worden die later terugkeert in actief gebruik. Documenteer rotatieperioden, toegangsbeperkingen en een herstelprocedure die de wisbeslissing opnieuw toepast voordat teruggezette gegevens worden gebruikt. Het EDPB-rapport van 2026 noemt verwijdering uit back-ups als terugkerende moeilijkheid. Beloof geen onmiddellijke verwijdering uit iedere back-up als de architectuur dat niet kan waarmaken. Leg de werkelijk gebruikte maatregel uit en test of zij ook na een herstel werkt.

Controleer uitvoering met gerichte zoekopdrachten en bewijs, niet alleen met een afgeronde werkkaart. Test dat de persoon uit actieve marketing is verwijderd, niet meer in het dienstenaccount voorkomt en niet door een nachtelijke synchronisatie opnieuw wordt aangemaakt. Bewaar beperkt bewijs van verzoek, beslissing en antwoord voor verantwoordingsplicht, met een eigen bewaartermijn en beperkte toegang. Een wislog mag niet onnodig de persoonsgegevens dupliceren die men juist wilde verwijderen. Leg vast welke verwerker nog moet bevestigen en wanneer een fout in een verwijdertaak opnieuw wordt gecontroleerd.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: gecoördineerd handhavingsrapport 2026 over het recht op gegevenswissing

Informeer ontvangers en behandel openbaar gemaakte gegevens

Artikel 19 verlangt dat een verantwoordelijke die persoonsgegevens aan ontvangers heeft verstrekt, de wissing aan ieder van hen meedeelt, behalve waar dit onmogelijk is of onevenredige inspanning vergt. Op verzoek moet de persoon over deze ontvangers worden geïnformeerd. Houd een ontvangerskaart bij zodat bekend is welke dienstverleners, partners of andere partijen de relevante gegevens kregen. Een algemene leverancierslijst helpt, maar de concrete zaak gaat over de werkelijke ontvangers van de gewiste gegevens. Registreer verstuurde berichten en een gedocumenteerde onmogelijkheid of onevenredige inspanning. Onderzoek onduidelijke doorgiften met de betrokken teams.

Artikel 17 lid 2 voegt een plicht toe wanneer de verantwoordelijke gegevens openbaar maakte en tot wissing verplicht is. Rekening houdend met beschikbare technologie en uitvoeringskosten moet hij redelijke maatregelen nemen om andere verantwoordelijken die de gegevens verwerken te informeren over het verzoek tot verwijdering van links, kopieën of reproducties. Dat is geen garantie dat het hele internet kan worden opgeschoond. Bepaal wat de organisatie zelf publiceerde, waar zij materiaal direct kan verwijderen en welke andere verantwoordelijken bericht moeten krijgen. Bewaar bewijs van de redelijke stappen en ontvangen reacties.

Verwar een instructie aan een verwerker niet met de meldplicht aan ontvangers van artikel 19 of de stappen voor openbare gegevens van artikel 17 lid 2. De werkzaamheden kunnen elkaar operationeel raken, maar hebben verschillende juridische voorwaarden. Een platform kan een profiel uit de eigen database wissen, een e-mailprovider instructie geven en afzonderlijk een andere verantwoordelijke berichten die een openbaar adresboek heeft gekopieerd. Maak voor deze routes aparte onderdelen in het dossier. Eén vakje “leveranciers ingelicht” kan anders een niet-onderzochte publicatie verbergen.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen

Communiceer een duidelijke beslissing, ook bij afwijzing

Vertel de persoon welke gegevens zijn gewist, welke blijven en waarom, in taal die zonder toegang tot interne systemen begrijpelijk is. Onthul bij het uitleggen van categorieën geen gegevens van anderen of gevoelige beveiligingsdetails. Artikel 12 verlangt beknopte, transparante en begrijpelijke informatie. Als de verantwoordelijke niet op het verzoek handelt, moet hij binnen één maand de redenen noemen en wijzen op de mogelijkheid van een klacht bij een toezichthoudende autoriteit en een rechterlijk rechtsmiddel. Een stille accountverwijdering of de vage mededeling “verzoek verwerkt” laat de betrokkene niet beoordelen wat is gebeurd.

Wees precies over gedeeltelijke wissing. Bevestig bijvoorbeeld dat advertentiegegevens en profiel zijn verwijderd, terwijl bepaalde facturen onder een gecontroleerde wettelijke verplichting blijven en niet voor marketing worden gebruikt. Heeft een back-up beperkte toegang en een geplande rotatie, beschrijf dan die praktische grens juist. Neem geen rechtsgrond of wettelijke bewaartermijn in het antwoord op die niemand heeft gecontroleerd. Bewaar antwoorddatum, kanaal en letterlijke inhoud in het dossier. Zo blijft zichtbaar wat juridisch werd besloten en welke technische stappen werkelijk zijn uitgevoerd.

Een termijnverlenging of vraag naar identiteit vraagt een eigen bericht. Als complexiteit meer tijd noodzakelijk maakt, meld dit met redenen binnen de eerste maand. Bij redelijke twijfel over identiteit legt u uit welke minimale extra gegevens via welk veilig kanaal nodig zijn. Breng niet standaard een vergoeding in rekening: artikel 12 staat een redelijke vergoeding of weigering alleen toe wanneer de verantwoordelijke kan aantonen dat een verzoek kennelijk ongegrond of buitensporig is, met name door herhaling. Documenteer dat bewijs voordat u deze uitzondering toepast.

Lees ook: gids voor het inzagerecht.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen

Maak de beoordeling herhaalbaar en toets de uitvoering

Ontwerp een dossiersjabloon met ontvangstdatum, identiteitscontrole, onderzochte systemen, artikel-17-grond, eventuele uitzondering per categorie, wistaken, berichten aan ontvangers, behandeling van back-ups, antwoord en opvolging. Geef de privacyverantwoordelijke ruimte om meningsverschillen tussen systeemeigenaren over de noodzaak van bewaring op te lossen. Oefen met een CRM-lead, nieuwsbriefadres, betaalde factuur, supportticket en export bij een verwerker. De juiste uitkomst kan per record verschillen hoewel zij allemaal over dezelfde persoon gaan. Leg de motivering zo vast dat een collega de beslissing later kan controleren.

Herzie gegevenskaart en normaal bewaarschema wanneer herhaalde wisverzoeken dezelfde verouderde records blootleggen. Als de organisatie routinematig informatie langer bewaart dan nodig voor het doel, zit het basisprobleem in het gewone gegevensbeheer en niet alleen in verzoekafhandeling. De gecoördineerde EDPB-actie signaleert ontbrekende procedures, onvoldoende uitleg, zwakke anonimisering en onzekerheid over back-ups. Meet of antwoorden tijdig uitgaan en verwijderingen daadwerkelijk door integraties heen komen. Alleen het aantal gesloten tickets zegt weinig over feitelijke naleving.

Controleer ten slotte wijzigingen in de technische omgeving. Een nieuwe marketingtool, cloudback-up of supportprovider kan een gegevenskopie toevoegen die het oude proces niet bereikt. Werk instructies aan verwerkers en ontvangerskaart bij wanneer contracten veranderen. Oefen een herstel om te voorkomen dat een gewist profiel opnieuw verschijnt. Een goed geschreven besluit heeft pas waarde als de technische uitvoering ermee overeenstemt. Houd deze gids gescheiden van een inzageprocedure: wissing is een juridische en operationele beoordeling per doel; inzage gaat om informatie en een kopie, niet om zoeken en verwijderen.

Lees ook: Data Act-gids voor productgegevens.

Grondslag en toelichting: Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21; Europees Comité voor gegevensbescherming: gecoördineerd handhavingsrapport 2026 over het recht op gegevenswissing

Primaire bronnen en toepassingsgebied

Bronnen gecontroleerd: 7 oktober 2026. Deze gids betreft de Republiek Cyprus. Voorbeelden zijn hypothetisch en geen klantendossiers. Controleer de actuele officiële vereisten voordat u een aanvraag indient.

• Verordening (EU) 2016/679, AVG, artikelen 12, 17, 19 en 21
• Europees Comité voor gegevensbescherming: eerbiediging van rechten van betrokkenen
• Europees Comité voor gegevensbescherming: gecoördineerd handhavingsrapport 2026 over het recht op gegevenswissing
• Cypriotische commissaris voor gegevensbescherming: AVG-overzicht en rechten van betrokkenen

Praktische gidsen over dit onderwerp

• Bezwaar tegen direct marketing in Cyprus: stoppen en blokkeren onder de AVG

  Praktisch proces bij AVG-artikel 21 in Cyprus: stop direct marketing, beperk de blokkadelijst en controleer CRM, leveranciers, advertentiedoelgroepen en antwoorden.