AVG Uitgelegd in Gewone Taal: Complete Gids voor 2026

De Algemene Verordening Gegevensbescherming (AVG) bestaat al sinds 2018, maar voor veel mensen blijft het een mistig juridisch onderwerp. In deze gids leggen we de AVG uit in gewone, begrijpelijke taal, zodat je precies weet welke rechten je hebt en wat bedrijven met jouw gegevens mogen doen in 2026.

Wat is de AVG eigenlijk?

De AVG (Algemene Verordening Gegevensbescherming) is een Europese privacywet die regelt hoe organisaties met persoonsgegevens van burgers moeten omgaan. In het Engels heet deze wet GDPR (General Data Protection Regulation). Het doel is simpel: jij bepaalt wat er met jouw gegevens gebeurt, niet het bedrijf dat ze verzamelt.

De wet geldt sinds 25 mei 2018 in alle EU-lidstaten, dus ook in Nederland. De Autoriteit Persoonsgegevens (AP) is in Nederland de toezichthouder die toeziet op naleving en boetes kan uitdelen. Die boetes zijn fors: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een bedrijf.

Waarom werd de AVG ingevoerd?

Voor 2018 had elke EU-lidstaat zijn eigen privacywet. Dat was rommelig voor bedrijven die in meerdere landen actief waren, en het beschermingsniveau verschilde per land. De AVG harmoniseert dit: één wet, dezelfde regels, voor heel Europa. Daarnaast werd duidelijk dat de oude regels niet meer pasten bij het tijdperk van big data, sociale media en cloudopslag.

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens die direct of indirect naar een persoon zijn te herleiden. Dat is een veel bredere definitie dan de meeste mensen denken.

Voorbeelden van persoonsgegevens:

• Naam, adres, telefoonnummer en e-mailadres
• IP-adressen en cookie-identifiers
• Burgerservicenummer (BSN)
• Foto's en video's waarop je herkenbaar bent
• Locatiegegevens van je telefoon
• Surfgedrag en zoekgeschiedenis
• Stem- en biometrische gegevens

Bijzondere persoonsgegevens

Sommige categorieën gegevens zijn extra gevoelig en daarom extra beschermd. Hieronder vallen gegevens over:

• Ras of etnische afkomst
• Politieke opvattingen
• Religieuze overtuiging
• Lidmaatschap van een vakbond
• Gezondheid en seksuele geaardheid
• Genetische en biometrische gegevens

Voor het verwerken van deze gegevens gelden strengere regels en is in de meeste gevallen expliciete toestemming nodig.

De 7 basisprincipes van de AVG

De AVG draait om zeven kernprincipes waar elke organisatie zich aan moet houden bij het verwerken van persoonsgegevens.

1. Rechtmatigheid, behoorlijkheid en transparantie – Verwerking moet legaal, eerlijk en duidelijk zijn voor betrokkenen.
2. Doelbinding – Gegevens mogen alleen voor een specifiek, vooraf bepaald doel worden gebruikt.
3. Minimale gegevensverwerking – Verzamel alleen wat strikt nodig is.
4. Juistheid – Gegevens moeten kloppen en actueel zijn.
5. Opslagbeperking – Gegevens niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid – Gegevens moeten beveiligd zijn tegen ongeautoriseerde toegang.
7. Verantwoordingsplicht – Organisaties moeten kunnen aantonen dat ze aan de AVG voldoen.

Jouw 8 rechten onder de AVG

De AVG geeft jou als burger acht concrete rechten. Veel mensen weten niet dat ze deze rechten hebben, terwijl ze enorm krachtig zijn.

1. Recht op informatie

Je hebt het recht om te weten welke gegevens een organisatie van je verzamelt, waarom, en wat ze ermee doen. Dit staat meestal in de privacyverklaring.

2. Recht op inzage

Je mag opvragen welke persoonsgegevens een organisatie van jou heeft. Het bedrijf moet binnen één maand een kopie verstrekken, gratis.

3. Recht op rectificatie

Kloppen je gegevens niet? Dan heb je het recht om ze te laten corrigeren of aanvullen.

4. Recht op vergetelheid

In bepaalde gevallen kun je eisen dat je gegevens worden verwijderd. Bijvoorbeeld als ze niet meer nodig zijn voor het oorspronkelijke doel, of als je je toestemming intrekt.

5. Recht op beperking van de verwerking

Je kunt vragen om het gebruik van je gegevens tijdelijk stop te zetten, bijvoorbeeld als je de juistheid ervan betwist.

6. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een machineleesbaar formaat te ontvangen en over te dragen aan een andere dienst.

7. Recht van bezwaar

Je kunt bezwaar maken tegen verwerking, bijvoorbeeld tegen direct marketing of profilering.

8. Recht bij geautomatiseerde besluitvorming

Je hebt het recht om niet onderworpen te worden aan een besluit dat uitsluitend gebaseerd is op geautomatiseerde verwerking, als dit aanzienlijke gevolgen voor je heeft.

Wat moeten bedrijven doen onder de AVG?

Voor bedrijven en organisaties brengt de AVG concrete verplichtingen met zich mee. Hier de belangrijkste op een rij.

Verplichting	Wat houdt het in?	Voor wie?
Verwerkingsregister	Bijhouden welke gegevens je verwerkt en waarom	Vrijwel alle organisaties
Privacyverklaring	Transparante uitleg aan klanten over gegevensgebruik	Alle organisaties
Verwerkersovereenkomst	Contract met externe partijen die gegevens verwerken	Bij inhuur derden
Datalekmelding	Binnen 72 uur melden bij de AP	Alle organisaties
Functionaris Gegevensbescherming (FG)	Aanstellen van een privacy-officer	Overheden, grootschalige verwerkers
DPIA	Privacy-impactassessment uitvoeren bij risicovolle verwerking	Bij hoog risico
Privacy by design	Privacy meenemen vanaf het ontwerp van een product	Alle organisaties

Wat verandert er in 2026?

De AVG zelf wordt niet drastisch gewijzigd, maar het handhavingslandschap evolueert wel. In 2026 zien we de volgende ontwikkelingen.

Strengere handhaving op AI en profilering

Met de Europese AI Act die volledig van kracht is geworden, kijken toezichthouders strenger naar de combinatie van AI-systemen en persoonsgegevens. Bedrijven die AI gebruiken voor besluitvorming moeten extra goed kunnen uitleggen hoe hun algoritmes werken.

Cookie-handhaving wordt grimmiger

De AP heeft aangekondigd vaker boetes op te leggen aan websites met misleidende cookie-banners. "Dark patterns" waarbij accepteren makkelijker wordt gemaakt dan weigeren, zijn expliciet verboden.

Internationale gegevensoverdracht

De regels rond doorgifte van gegevens naar landen buiten de EU, met name de VS, blijven complex. Het EU-US Data Privacy Framework staat onder druk en nieuwe rechtszaken kunnen de spelregels opnieuw veranderen.

Meer aandacht voor datahandelaren

De ondoorzichtige markt van databrokers krijgt meer aandacht van toezichthouders. Lees meer over wie jouw persoonlijke gegevens verkoopt en hoe je dit kunt stoppen.

Praktische tips: zo gebruik je je AVG-rechten

Theorie is mooi, maar hoe pas je dit toe in de praktijk? Hier een stappenplan om je rechten daadwerkelijk uit te oefenen.

1. Identificeer de organisatie – Bepaal welk bedrijf jouw gegevens verwerkt. Dit staat meestal in de privacyverklaring.
2. Stuur een schriftelijk verzoek – Mail naar het opgegeven privacy-contact. Vermeld duidelijk welk recht je inroept.
3. Bewijs je identiteit – De organisatie mag (beperkt) bewijs vragen dat jij het echt bent. Stuur nooit een complete kopie van je ID; gebruik bijvoorbeeld de KopieID-app om gevoelige delen af te schermen.
4. Wacht maximaal één maand – De wettelijke responstijd. Bij complexe verzoeken mag dit met twee maanden worden verlengd, maar dat moet wel worden gemeld.
5. Klacht indienen bij de AP – Reageert het bedrijf niet of onvoldoende? Dien dan kosteloos een klacht in bij de Autoriteit Persoonsgegevens.

Datalekken: wat zijn jouw rechten?

Een datalek is een inbreuk op de beveiliging waarbij persoonsgegevens in verkeerde handen vallen of verloren gaan. Organisaties moeten datalekken binnen 72 uur melden bij de AP. Als het datalek een hoog risico vormt voor jou als betrokkene, moeten ze jou ook persoonlijk informeren.

Wat te doen als je betrokken bent bij een datalek?

• Wijzig direct je wachtwoorden, met name bij de getroffen dienst en alle plekken waar je hetzelfde wachtwoord gebruikt. Bekijk onze ultieme gids voor wachtwoordbeveiliging.
• Activeer tweefactorauthenticatie waar mogelijk.
• Houd je bankrekening en creditcardafschriften extra goed in de gaten.
• Wees alert op phishingmails die misbruik maken van je gelekte gegevens.
• Controleer of er signalen zijn dat je telefoon is gehackt.

Voor wie geldt de AVG?

De AVG geldt voor elke organisatie die persoonsgegevens van EU-burgers verwerkt, ongeacht waar die organisatie gevestigd is. Een Amerikaans bedrijf dat klanten in Nederland heeft, moet zich dus ook aan de AVG houden.

Uitzonderingen

Er zijn enkele uitzonderingen op de AVG:

• Persoonlijk of huishoudelijk gebruik (je telefoonboek thuis valt er niet onder)
• Journalistieke, academische, artistieke of literaire doeleinden (deels)
• Nationale veiligheid en defensie
• Bepaalde activiteiten van politie en justitie (waarvoor een aparte richtlijn geldt)

AVG en URL-verkorters

Ook URL-verkorters verwerken persoonsgegevens, denk aan IP-adressen en klikgedrag. Bij een AVG-conforme dienst zoals Lunyb krijg je transparantie over wat er wordt opgeslagen, kun je analytische tracking uitschakelen en worden gegevens niet doorverkocht aan derden. Dit is een belangrijk verschil met sommige andere aanbieders die je klikdata commercieel exploiteren.

Veelgemaakte misverstanden over de AVG

"Toestemming is altijd nodig"

Onjuist. Toestemming is slechts één van de zes wettelijke grondslagen voor verwerking. Anderen zijn: uitvoering van een contract, wettelijke verplichting, vitaal belang, algemeen belang en gerechtvaardigd belang.

"De AVG verbiedt foto's op sociale media"

Onjuist. Persoonlijk gebruik valt buiten de AVG. Voor verenigingen en bedrijven liggen de regels wel anders.

"Kleine bedrijven hoeven niets te doen"

Onjuist. De AVG geldt voor alle organisaties die persoonsgegevens verwerken, ongeacht de grootte. Sommige verplichtingen (zoals een FG) gelden alleen voor grotere of risicovollere organisaties.

"AVG en privacy zijn hetzelfde"

Niet helemaal. Privacy is een breed concept; de AVG regelt specifiek de bescherming van persoonsgegevens. Privacy omvat ook bijvoorbeeld het recht op een persoonlijke levenssfeer.

Hoe bescherm je jezelf naast de AVG?

De AVG is een geweldige basis, maar je kunt zelf ook veel doen om je privacy te versterken.

• Gebruik sterke, unieke wachtwoorden en een wachtwoordmanager
• Activeer tweefactorauthenticatie op alle belangrijke accounts
• Wees terughoudend met het delen van persoonsgegevens online
• Lees privacyverklaringen voordat je een dienst gebruikt
• Gebruik privacyvriendelijke browsers en zoekmachines
• Schakel encryptie in voor je DNS-verkeer
• Wees voorzichtig met het delen van je locatie, ook met familie
• Doe regelmatig een omgekeerde afbeelding zoeken om te kijken waar je foto's online opduiken

Veelgestelde vragen

Kan ik een boete krijgen als ik per ongeluk de AVG overtreed?

Voor particulieren is dit zeldzaam, omdat persoonlijk gebruik buiten de AVG valt. Voor organisaties is de pakkans afhankelijk van de ernst van de overtreding. De AP kijkt onder andere naar opzet, schade en of er adequate maatregelen waren getroffen. Vaak begint het met een waarschuwing of last onder dwangsom voordat er daadwerkelijk een boete volgt.

Hoe lang mag een bedrijf mijn gegevens bewaren?

De AVG noemt geen vaste termijnen. Het principe is: niet langer dan noodzakelijk voor het doel. Voor sommige gegevens gelden wettelijke bewaarplichten (bijvoorbeeld zeven jaar voor belastinggegevens). Een organisatie moet kunnen onderbouwen waarom een bepaalde bewaartermijn wordt gehanteerd.

Mag mijn werkgever mijn e-mails lezen?

Slechts onder strikte voorwaarden. De werkgever moet een gerechtvaardigd belang hebben, je vooraf hebben geïnformeerd in een protocol, en het moet proportioneel zijn. Steekproefsgewijze controle op spam of veiligheid mag eerder dan structurele monitoring van alle communicatie.

Wat doe ik als een bedrijf niet reageert op mijn AVG-verzoek?

Stuur eerst een herinnering. Reageert het bedrijf nog steeds niet binnen de wettelijke termijn van één maand, dan kun je gratis een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. De AP kan een onderzoek instellen en boetes opleggen.

Geldt de AVG ook voor cookies?

Ja, voor zover cookies persoonsgegevens verwerken (zoals tracking cookies). Daarnaast geldt voor cookies ook de Telecommunicatiewet (ePrivacy-richtlijn), die voorschrijft dat je voorafgaande toestemming moet geven voor niet-functionele cookies. De cookiebanner is dus een resultaat van zowel AVG als ePrivacy.

Conclusie

De AVG is geen bureaucratische plaag, maar een krachtig stuk wetgeving dat jouw rechten als burger beschermt in een digitale wereld waar gegevens het nieuwe goud zijn. In 2026 wordt de handhaving steviger en breder, met name op het gebied van AI, cookies en internationale gegevensoverdracht. Door je rechten te kennen en actief in te zetten, krijg je grip op wat er met jouw gegevens gebeurt.

Begin klein: vraag bij één bedrijf inzage in je gegevens, lees een privacyverklaring kritisch door, of stel jezelf de vraag welke diensten je echt nodig hebt. Privacy is geen luxe maar een grondrecht, en de AVG geeft je de gereedschappen om dat recht te claimen.