AVG Uitgelegd in Gewone Taal 2026: Complete Gids voor Iedereen

De Algemene Verordening Gegevensbescherming (AVG) bestaat sinds 2018, maar in 2026 begrijpen veel mensen nog steeds niet wat het precies inhoudt. De wet wordt vaak uitgelegd met juridische termen die niemand begrijpt. In deze gids leggen we de AVG uit in heldere, gewone taal, zodat je precies weet welke rechten je hebt en hoe je ze gebruikt.

Wat is de AVG in 1 zin?

De AVG is een Europese wet die jou de baas maakt over je eigen persoonsgegevens en bedrijven verplicht zorgvuldig met die gegevens om te gaan. Anders gezegd: het is jouw digitale grondrecht, vastgelegd in wetgeving die geldt in alle EU-landen, inclusief Nederland.

Waarom bestaat de AVG?

Voor 2018 hadden alle EU-landen hun eigen privacywetten. Bedrijven konden daardoor gemakkelijk de zwakste regels uitkiezen. De AVG (in het Engels: GDPR) heeft dit gelijkgetrokken: in heel Europa gelden nu dezelfde regels. Tegelijkertijd kreeg jij als burger meer macht over wat bedrijven met jouw gegevens doen.

Wat zijn persoonsgegevens precies?

Persoonsgegevens zijn alle informatie waarmee je direct of indirect herleidbaar bent tot een persoon. Dit is breder dan veel mensen denken.

Voorbeelden van persoonsgegevens

Direct herleidbaar: naam, adres, BSN, telefoonnummer, e-mailadres, pasfoto
Indirect herleidbaar: IP-adres, cookie-ID, locatiegegevens, kentekennummer
Bijzondere gegevens (extra beschermd): medische gegevens, religieuze overtuiging, politieke voorkeur, seksuele geaardheid, biometrische gegevens (vingerafdrukken, gezichtsherkenning)
Online gegevens: browsegeschiedenis, zoekopdrachten, kliks, advertentieprofielen

Zelfs een gebruikersnaam of een uniek apparaat-ID telt als persoonsgegeven als het op enige manier aan jou gekoppeld kan worden.

De 7 basisprincipes van de AVG

De AVG draait om zeven kernprincipes waaraan elke organisatie die jouw gegevens verwerkt moet voldoen.

Principe	Wat het betekent in gewone taal
Rechtmatigheid	Een bedrijf mag jouw gegevens alleen gebruiken als daar een geldige reden voor is
Doelbinding	Gegevens verzameld voor doel A mogen niet zomaar voor doel B worden gebruikt
Minimale gegevens	Niet meer verzamelen dan strikt nodig
Juistheid	Gegevens moeten kloppen en actueel zijn
Opslagbeperking	Niet langer bewaren dan nodig
Integriteit	Gegevens goed beveiligen tegen hackers en lekken
Verantwoording	Bedrijven moeten kunnen aantonen dat ze zich aan de regels houden

Jouw 8 rechten onder de AVG

Als burger heb je acht concrete rechten die je bij elk bedrijf, elke website en elke organisatie kunt opeisen. Hier is wat ze betekenen en hoe je ze gebruikt.

1. Recht op inzage

Je mag opvragen welke gegevens een bedrijf van jou heeft. Stuur een e-mail naar de privacy-afdeling met het verzoek om inzage. Ze moeten binnen 30 dagen reageren met een compleet overzicht.

2. Recht op rectificatie

Kloppen gegevens niet? Dan moet het bedrijf ze corrigeren. Denk aan een verkeerd geboortejaar, foutief adres of typefout in je naam.

3. Recht op vergetelheid

Je kunt eisen dat een bedrijf jouw gegevens compleet verwijdert. Dit geldt vooral als:

De gegevens niet meer nodig zijn voor het oorspronkelijke doel
Je je toestemming intrekt
Het bedrijf je gegevens onrechtmatig heeft verwerkt

4. Recht op beperking

Soms wil je gegevens niet verwijderd hebben maar tijdelijk "bevriezen". Bijvoorbeeld tijdens een conflict over de juistheid. Het bedrijf mag de gegevens dan niet gebruiken totdat de zaak is opgelost.

5. Recht op dataportabiliteit

Je mag je gegevens in een leesbaar formaat (bijvoorbeeld CSV of JSON) opvragen om mee te nemen naar een andere dienst. Handig als je bijvoorbeeld wisselt van streamingdienst of bank.

6. Recht van bezwaar

Je kunt bezwaar maken tegen specifieke verwerkingen, vooral tegen direct marketing. Een "uitschrijflink" onderaan een nieuwsbrief is hiervan een direct gevolg.

7. Recht op uitleg bij geautomatiseerde besluitvorming

Word je afgewezen voor een lening door een algoritme? Je hebt recht op uitleg waarom en op menselijke tussenkomst bij de beslissing.

8. Recht op toestemming intrekken

Heb je ooit toestemming gegeven? Je kunt die op elk moment intrekken, even gemakkelijk als je hem hebt gegeven.

Wanneer mag een bedrijf jouw gegevens gebruiken?

De AVG kent zes geldige redenen ("grondslagen") om gegevens te verwerken. Een bedrijf moet altijd minimaal een van deze hebben.

Toestemming: je hebt expliciet ja gezegd
Overeenkomst: nodig voor een contract (bijv. je adres voor levering)
Wettelijke verplichting: de wet schrijft het voor (bijv. fiscale administratie)
Vitale belangen: nodig om iemands leven te beschermen
Algemeen belang: taak van openbaar belang (vooral overheid)
Gerechtvaardigd belang: redelijk bedrijfsbelang dat opweegt tegen jouw privacy

Let op: voor bijzondere persoonsgegevens (zoals gezondheid) gelden strengere eisen en is meestal expliciete toestemming nodig.

Cookies en de AVG in 2026

Cookies zijn kleine bestanden die websites op je apparaat plaatsen. Onder de AVG (samen met de ePrivacy-regels) moeten websites toestemming vragen voor niet-essentiele cookies.

Welke cookies mogen zonder toestemming?

Functionele cookies (winkelwagen, taalvoorkeur, login)
Strikt noodzakelijke beveiligingscookies

Welke cookies vereisen toestemming?

Analytische cookies (Google Analytics, etc.)
Marketing- en advertentiecookies
Social media tracking cookies

In 2026 moet "nee" net zo makkelijk zijn als "ja". Cookiebanners die je dwingen om alles te accepteren zijn illegaal. Wil je meer weten over wie precies je gegevens verzamelt? Lees onze gids over datahandelaren en wie jouw gegevens verkoopt.

Wat moeten bedrijven doen om AVG-compliant te zijn?

Voor ondernemers en organisaties zijn er duidelijke verplichtingen onder de AVG.

Praktische verplichtingen

Verwerkingsregister bijhouden: overzicht van welke gegevens je verwerkt en waarom
Privacyverklaring publiceren: heldere uitleg op de website
Beveiligingsmaatregelen nemen: versleuteling, toegangsbeperking, back-ups
Datalekken melden: binnen 72 uur aan de Autoriteit Persoonsgegevens (AP)
Verwerkersovereenkomsten: met alle partijen die namens jou gegevens verwerken
DPIA uitvoeren: risicoanalyse bij hoge privacyrisico's
FG aanstellen: functionaris gegevensbescherming bij grote of risicovolle verwerkingen

Privacy by design en privacy by default

Bedrijven moeten privacy meenemen vanaf het allereerste ontwerp van een dienst (privacy by design) en de privacyvriendelijkste instellingen als standaard hanteren (privacy by default). Een sociaal netwerk dat standaard je profiel openbaar maakt, overtreedt dus de AVG.

Boetes onder de AVG in 2026

De AVG kent serieuze boetes om bedrijven aan te zetten tot naleving.

Type overtreding	Maximale boete
Lichtere overtredingen (administratie, meldingen)	10 miljoen euro of 2% wereldwijde omzet
Zwaardere overtredingen (basisprincipes, rechten)	20 miljoen euro of 4% wereldwijde omzet

In 2025 deelde de Autoriteit Persoonsgegevens in Nederland diverse boetes uit aan grote techbedrijven en zorginstellingen. De trend in 2026 is duidelijk: handhaving wordt strenger, vooral rond cookies, dataminimalisatie en internationale gegevensoverdracht.

De AVG in het dagelijks leven: praktische voorbeelden

Voorbeeld 1: De webwinkel

Je bestelt een product. De webwinkel mag je naam, adres en betaalgegevens opslaan (overeenkomst). Voor nieuwsbrieven moeten ze apart toestemming vragen. Na een paar jaar zonder activiteit moeten ze je gegevens verwijderen of anonimiseren.

Voorbeeld 2: De werkgever

Je werkgever mag noodzakelijke HR-gegevens bijhouden, maar mag niet zomaar je e-mails meelezen of camera's plaatsen zonder duidelijke reden en informatie vooraf.

Voorbeeld 3: De arts

Je medische gegevens zijn extra beschermd. De arts mag ze alleen delen met andere zorgverleners die direct bij je behandeling betrokken zijn, of met jouw uitdrukkelijke toestemming.

Voorbeeld 4: De URL-verkorter

Wanneer je een dienst gebruikt om links te verkorten, worden vaak click-data verzameld. Privacyvriendelijke alternatieven zoals Lunyb zijn ontworpen volgens AVG-principes en minimaliseren de gegevensverzameling. Voor wie hier dieper in wil duiken, hebben we een vergelijking tussen Bitly en TinyURL en een overzicht van gratis Bitly-alternatieven.

Hoe dien je een klacht in?

Als een bedrijf weigert je rechten te respecteren, kun je actie ondernemen.

Stappenplan klacht indienen

Schriftelijk verzoek: Stuur een formeel verzoek naar het bedrijf, bij voorkeur per aangetekende e-mail
Wacht 30 dagen: Het bedrijf moet binnen deze termijn reageren
Klacht bij AP: Geen reactie of een afwijzing? Dien een klacht in bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl
Schadevergoeding: Bij aantoonbare schade kun je via een advocaat een schadevergoeding eisen

AVG versus andere privacywetten

Naast de AVG bestaan er andere privacywetten waarmee je in 2026 te maken kunt krijgen.

Wet	Gebied	Belangrijkste verschil met AVG
AVG/GDPR	EU/EER	Sterke individuele rechten
UK GDPR	Verenigd Koninkrijk	Bijna identiek aan AVG
CCPA/CPRA	Californie	Focus op verkoop van gegevens
LGPD	Brazilie	Sterk geinspireerd door AVG
PIPL	China	Strenge eisen aan gegevensexport

Hoe bescherm je jezelf naast de AVG?

De AVG geeft je rechten, maar zelfbescherming blijft belangrijk. Hier zijn praktische tips:

Gebruik unieke, sterke wachtwoorden met een wachtwoordmanager
Activeer tweefactorauthenticatie waar mogelijk
Overweeg een betrouwbare VPN; lees onze analyse over gratis VPN versus betaald
Beperk het delen van persoonsgegevens tot het strikt noodzakelijke
Controleer regelmatig welke apps toegang hebben tot je gegevens
Lees privacyverklaringen, vooral de samenvatting

Veelgestelde vragen over de AVG

Geldt de AVG ook voor kleine bedrijven en zzp'ers?

Ja. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht grootte. Wel zijn sommige verplichtingen (zoals het aanstellen van een functionaris gegevensbescherming) alleen vereist bij grootschalige of risicovolle verwerkingen.

Mag mijn werkgever mijn berichten op de werklaptop lezen?

Alleen onder strikte voorwaarden: er moet een legitiem doel zijn, je moet vooraf duidelijk geinformeerd zijn en het moet proportioneel zijn. Algemene controle "voor de zekerheid" is niet toegestaan onder de AVG.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Zo lang als nodig voor het doel waarvoor ze verzameld zijn. Voor sommige zaken gelden wettelijke termijnen (bijvoorbeeld 7 jaar voor de fiscus). Daarna moeten gegevens worden verwijderd of geanonimiseerd. Een bedrijf moet een bewaartermijn kunnen onderbouwen.

Wat is het verschil tussen AVG en GDPR?

Geen. AVG is de Nederlandse naam (Algemene Verordening Gegevensbescherming) en GDPR is de Engelse naam (General Data Protection Regulation) van dezelfde Europese wet uit 2018.

Kost het indienen van een verzoek tot inzage geld?

Nee, het uitoefenen van je AVG-rechten is in principe gratis. Alleen bij excessieve of herhaalde verzoeken mag een bedrijf een redelijke vergoeding rekenen, maar dat is uitzonderlijk.

Conclusie

De AVG is in 2026 belangrijker dan ooit. Met steeds meer gegevensverwerking, AI en internationale gegevensstromen biedt deze wet jou krachtige rechten om de controle over je digitale leven te bewaren. Door je rechten te kennen en te gebruiken, dwing je bedrijven tot betere praktijken.

Begin klein: vraag bij een bedrijf op welke gegevens ze van je hebben, schrijf je uit van overbodige nieuwsbrieven en kies bewust voor diensten die privacy serieus nemen. Elke actie helpt om een privacyvriendelijker internet te bouwen voor iedereen.