AVG Uitgelegd in Gewone Taal 2026: Complete Gids voor Nederlanders

De Algemene Verordening Gegevensbescherming (AVG) is sinds 2018 van kracht, maar voor veel Nederlanders blijft het een ondoorzichtige wet vol juridisch jargon. In dit artikel leggen we de AVG uit in gewone taal: wat het is, welke rechten je hebt, wat bedrijven wel en niet mogen, en hoe je in 2026 effectief opkomt voor je privacy.

Wat is de AVG? Een korte definitie

De AVG (Algemene Verordening Gegevensbescherming) is de Europese privacywet die regelt hoe organisaties met jouw persoonsgegevens om mogen gaan. In het Engels heet deze wet GDPR (General Data Protection Regulation). De AVG geldt sinds 25 mei 2018 in alle EU-lidstaten en vervangt de oude Wet bescherming persoonsgegevens.

Het doel is eenvoudig: jou meer controle geven over je eigen gegevens. Of het nu gaat om je naam, e-mailadres, locatie of surfgedrag — bedrijven moeten zich aan strikte regels houden wanneer ze deze informatie verzamelen, opslaan of delen.

Voor wie geldt de AVG?

De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van mensen in de EU. Dat betekent:

• Nederlandse bedrijven, groot en klein
• Buitenlandse bedrijven die zich op de Europese markt richten (denk aan Google, Meta, Amazon)
• Overheidsinstanties, scholen en zorginstellingen
• Verenigingen, stichtingen en zelfs eenmanszaken met een klantenbestand

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens waarmee een natuurlijk persoon direct of indirect identificeerbaar is. Dit is breder dan veel mensen denken.

Voorbeelden van persoonsgegevens

• Direct identificerend: naam, adres, telefoonnummer, BSN, e-mailadres, pasfoto
• Indirect identificerend: IP-adres, cookie-ID, kenteken, locatiegegevens
• Bijzondere persoonsgegevens: medische gegevens, religieuze overtuiging, seksuele geaardheid, biometrische data, politieke voorkeur

Bijzondere persoonsgegevens vallen onder een streng regime: verwerking is in principe verboden, tenzij er een specifieke wettelijke uitzondering geldt of je nadrukkelijk toestemming geeft.

De 7 basisprincipes van de AVG

De AVG is gebaseerd op zeven kernprincipes. Elke organisatie moet deze respecteren bij het verwerken van persoonsgegevens.

1. Rechtmatigheid, behoorlijkheid en transparantie — Je moet weten wat er met je gegevens gebeurt.
2. Doelbinding — Gegevens mogen alleen worden gebruikt voor het doel waarvoor ze zijn verzameld.
3. Minimale gegevensverwerking — Niet meer verzamelen dan strikt nodig.
4. Juistheid — Gegevens moeten correct en actueel zijn.
5. Opslagbeperking — Gegevens niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid — Beveiliging tegen ongeoorloofde toegang.
7. Verantwoordingsplicht — Organisaties moeten kunnen aantonen dat ze aan de regels voldoen.

Jouw rechten onder de AVG in 2026

De AVG geeft je acht concrete rechten. Deze rechten zijn de praktische vertaling van de wet en je kunt ze direct uitoefenen bij elke organisatie die jouw gegevens verwerkt.

1. Recht op informatie

Bedrijven moeten je in duidelijke taal vertellen welke gegevens ze verzamelen, waarom, hoe lang ze die bewaren en met wie ze die delen. Dit gebeurt meestal via een privacyverklaring.

2. Recht op inzage

Je mag een kopie opvragen van alle persoonsgegevens die een organisatie van jou heeft. Binnen één maand moet het bedrijf gratis een overzicht leveren.

3. Recht op rectificatie

Kloppen je gegevens niet? Je kunt eisen dat ze worden gecorrigeerd of aangevuld.

4. Recht op vergetelheid

Je kunt verzoeken om verwijdering van je gegevens, bijvoorbeeld als ze niet meer nodig zijn of als je je toestemming intrekt. Wil je weten hoe je je hele online aanwezigheid kunt opschonen? Lees dan onze gids over het beheren van je digitale voetafdruk.

5. Recht op beperking

Je kunt vragen om de verwerking tijdelijk te stoppen, bijvoorbeeld terwijl je bezwaar maakt.

6. Recht op dataportabiliteit

Je hebt het recht je gegevens in een gangbaar digitaal formaat te ontvangen en over te dragen aan een andere dienst.

7. Recht op bezwaar

Je kunt bezwaar maken tegen verwerking, bijvoorbeeld tegen direct marketing of profilering.

8. Rechten bij geautomatiseerde besluitvorming

Je hebt recht op menselijke tussenkomst als een algoritme een belangrijk besluit over jou neemt (zoals een kredietweigering).

Wanneer mag een organisatie jouw gegevens verwerken?

Een organisatie heeft een wettelijke grondslag nodig om jouw gegevens te mogen verwerken. De AVG noemt zes grondslagen:

Grondslag	Voorbeeld
Toestemming	Je vinkt aan dat je nieuwsbrief wilt ontvangen
Overeenkomst	Webshop heeft je adres nodig voor levering
Wettelijke verplichting	Werkgever moet salaris doorgeven aan Belastingdienst
Vitaal belang	Ziekenhuis deelt gegevens bij levensbedreigende situatie
Algemeen belang	Gemeente verwerkt gegevens voor publieke taak
Gerechtvaardigd belang	Bedrijf gebruikt beveiligingscamera tegen diefstal

Zonder een geldige grondslag is de verwerking onrechtmatig — en kan een organisatie een boete krijgen.

Toestemming: de strengste vorm

Wanneer een organisatie zich beroept op jouw toestemming, gelden er strenge eisen. Toestemming moet zijn:

• Vrij — Je mag niet onder druk worden gezet
• Specifiek — Voor een duidelijk omschreven doel
• Geïnformeerd — Je weet waarmee je instemt
• Ondubbelzinnig — Een actieve handeling (geen vooraf aangevinkte vakjes)

Daarom zie je tegenwoordig overal cookiebanners waarin je actief moet kiezen. Vooraf aangevinkte tracking cookies zijn dus expliciet verboden.

Datalekken en de AVG

Een datalek is een inbreuk waarbij persoonsgegevens verloren gaan of in verkeerde handen vallen. Denk aan een gehackte database, een verloren laptop of een verkeerd geadresseerde e-mail met klantgegevens.

Meldplicht datalekken

Organisaties moeten een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP), tenzij het waarschijnlijk geen risico vormt voor betrokkenen. Bij hoog risico moeten ook de getroffen personen worden geïnformeerd.

Ben je zelf slachtoffer geworden van een datalek? Lees dan ons complete stappenplan voor datalek-slachtoffers voor concrete acties die je direct kunt nemen.

AVG-boetes: hoe hoog kunnen ze oplopen?

De AVG kent twee boetecategorieën. De maximale boetes zijn bewust hoog gesteld om naleving af te dwingen, zelfs bij grote techbedrijven.

Categorie	Maximale boete	Voorbeeld overtreding
Lichtere overtredingen	€10 miljoen of 2% van jaaromzet	Geen register van verwerkingen bijhouden
Zware overtredingen	€20 miljoen of 4% van jaaromzet	Verwerken zonder grondslag, schenden van rechten

De hoogste straf — afhankelijk van welke het hoogst uitvalt — geldt. Grote techbedrijven hebben in Europa al miljardenboetes gekregen onder de AVG.

De Autoriteit Persoonsgegevens (AP)

De AP is de Nederlandse toezichthouder die toeziet op naleving van de AVG. Zij kunnen onderzoeken instellen, boetes opleggen en handhavend optreden. Voor consumenten is de AP het belangrijkste loket om klachten in te dienen.

Hoe dien je een AVG-klacht in?

1. Neem eerst contact op met het bedrijf zelf (functionaris voor gegevensbescherming, FG)
2. Krijg je geen of onvoldoende reactie binnen 1 maand? Dien een klacht in bij de AP via autoriteitpersoonsgegevens.nl
3. Verzamel bewijsmateriaal: e-mails, screenshots, verzonden verzoeken
4. Beschrijf duidelijk welk recht is geschonden
5. De AP onderzoekt de klacht en kan handhavend optreden

AVG in de praktijk: wat betekent dit voor jou in 2026?

In 2026 is de AVG volwassen geworden. Er ligt nu acht jaar aan jurisprudentie, en bedrijven kunnen zich niet langer verschuilen achter "we wisten het niet". Tegelijk groeit het aantal datalekken explosief door AI-toepassingen, slimme apparaten en steeds geavanceerdere cyberaanvallen.

Praktische tips om je AVG-rechten te benutten

• Vraag regelmatig inzage bij bedrijven waarvan je vermoedt dat ze veel over je weten
• Laat je gegevens verwijderen bij oude accounts die je niet meer gebruikt
• Lees privacyverklaringen — al is het kort — voordat je een account aanmaakt
• Gebruik veilige tools die privacy serieus nemen. Een dienst zoals Lunyb biedt bijvoorbeeld een AVG-conforme URL-verkorter die geen invasieve tracking gebruikt
• Beveilig je accounts met sterke, unieke wachtwoorden — lees onze ultieme gids voor wachtwoordbeveiliging

AVG en datahandelaren

Een groot grijs gebied blijft de wereld van datahandelaren (data brokers). Zij verzamelen op grote schaal gegevens en verkopen die door — vaak zonder dat consumenten daar bewust van zijn. De AVG geeft je het recht om je gegevens hier op te vragen en te laten verwijderen. Lees meer over wie jouw persoonlijke gegevens verkoopt en wat je eraan kunt doen.

Veelvoorkomende misverstanden over de AVG

"De AVG verbiedt het delen van gegevens"

Nee. De AVG verbiedt geen verwerking — die regelt het. Met een geldige grondslag mag een organisatie prima gegevens verwerken.

"Kleine bedrijven hoeven zich niet aan de AVG te houden"

Onjuist. De AVG geldt voor elke organisatie, ongeacht omvang. Sommige administratieve verplichtingen zijn lichter voor kleine organisaties, maar de basisregels gelden voor iedereen.

"Toestemming via cookiebanner is altijd geldig"

Niet als de banner misleidend is, geen weigerknop heeft, of voorgeselecteerde keuzes toont. De AP heeft hier in 2024 en 2025 al meerdere bedrijven op aangepakt.

"Mijn gegevens zijn al overal, het maakt niet meer uit"

Wel degelijk. Elk recht dat je uitoefent vermindert je digitale voetafdruk en verlaagt het risico op identiteitsfraude.

Conclusie

De AVG is geen droge wet maar een krachtig gereedschap dat je als consument kunt gebruiken. Door je rechten te kennen en actief te benutten, krijg je meer grip op wie wat van je weet. In 2026 is bewustzijn rond privacy belangrijker dan ooit — datalekken, AI-training op persoonsgegevens en agressieve marketing maken het noodzakelijk dat je de regels kent.

Begin klein: vraag bij één bedrijf inzage in je gegevens, verwijder een oud account, of stel een betere privacyinstelling in. Elke stap helpt.

Veelgestelde vragen over de AVG

Wat is het verschil tussen AVG en GDPR?

Geen verschil. AVG is de Nederlandse term, GDPR (General Data Protection Regulation) is de Engelse term voor exact dezelfde Europese wet uit 2016, die sinds 25 mei 2018 wordt gehandhaafd.

Hoe lang heeft een bedrijf om op mijn AVG-verzoek te reageren?

Een organisatie moet binnen één maand reageren op je verzoek om inzage, correctie of verwijdering. Bij complexe verzoeken mag deze termijn met maximaal twee maanden worden verlengd, mits je daarover bent geïnformeerd.

Kan ik een AVG-verzoek doen zonder identiteitsbewijs te tonen?

Bedrijven mogen om identificatie vragen om misbruik te voorkomen, maar mogen niet meer gegevens eisen dan strikt nodig. Een gedeeltelijk afgeschermde kopie van je ID (BSN en pasfoto onleesbaar) is meestal voldoende.

Wat kost het indienen van een AVG-klacht bij de AP?

Niets. Het indienen van een klacht bij de Autoriteit Persoonsgegevens is volledig gratis. Je hebt ook geen advocaat nodig — je kunt het zelf doen via het online klachtenformulier.

Geldt de AVG ook voor bedrijven buiten de EU?

Ja, als zij diensten of producten aanbieden aan mensen in de EU of hun gedrag monitoren. Een Amerikaans bedrijf met een Nederlandstalige webshop moet zich dus aan de AVG houden.