AVG Uitgelegd in Gewone Taal: Complete Gids voor 2026

De Algemene Verordening Gegevensbescherming (AVG) bestaat al sinds 2018, maar nog steeds zijn veel mensen in de war over wat het precies betekent. In deze gids leggen we de AVG uit in gewone taal, zonder juridisch jargon, en kijken we naar wat er in 2026 belangrijk is om te weten.

Wat is de AVG? Een Definitie in Gewone Taal

De AVG is een Europese wet die regelt hoe organisaties met jouw persoonlijke gegevens mogen omgaan. In het Engels heet deze wet GDPR (General Data Protection Regulation). De wet geldt sinds 25 mei 2018 in alle EU-landen, inclusief Nederland en Belgie.

Simpel gezegd: de AVG bepaalt dat bedrijven, overheden en andere organisaties zorgvuldig moeten omgaan met jouw gegevens. Ze mogen niet zomaar alles verzamelen, opslaan of doorverkopen. Jij hebt rechten, en zij hebben plichten.

Waarom Bestaat de AVG?

Voor 2018 had elk EU-land zijn eigen privacywet. Dat zorgde voor verwarring en bedrijven konden makkelijk om regels heen werken door zich in een ander land te vestigen. De AVG zorgt voor een uniforme aanpak in heel Europa. Bovendien bood de oude wetgeving onvoldoende bescherming tegen het massaal verzamelen van data door techbedrijven.

Wat Zijn Persoonsgegevens Volgens de AVG?

Persoonsgegevens zijn alle gegevens die direct of indirect naar jou als persoon te herleiden zijn. Dat is breder dan veel mensen denken.

Voorbeelden van Persoonsgegevens

• Directe identificatie: naam, adres, telefoonnummer, e-mailadres, BSN
• Online identificatie: IP-adres, cookie-ID's, locatiegegevens, apparaat-ID
• Financieel: bankrekeningnummer, salarisgegevens, koopgedrag
• Bijzondere persoonsgegevens: gezondheid, religie, politieke voorkeur, seksuele geaardheid, etniciteit
• Biometrisch: vingerafdrukken, gezichtsherkenning, irisscans

Bijzondere persoonsgegevens zijn extra beschermd. Organisaties mogen deze in principe niet verwerken, tenzij er een hele specifieke wettelijke uitzondering geldt.

De 7 Basisprincipes van de AVG

De AVG draait om zeven kernprincipes. Elke organisatie die jouw data verwerkt, moet zich aan deze regels houden.

1. Rechtmatigheid, behoorlijkheid en transparantie: Verwerking moet een wettelijke basis hebben en je moet weten wat er gebeurt.
2. Doelbinding: Data mag alleen voor het opgegeven doel gebruikt worden.
3. Minimale gegevensverwerking: Niet meer verzamelen dan nodig.
4. Juistheid: Gegevens moeten kloppen en actueel zijn.
5. Opslagbeperking: Niet langer bewaren dan noodzakelijk.
6. Integriteit en vertrouwelijkheid: Beveiliging tegen verlies of misbruik.
7. Verantwoordingsplicht: De organisatie moet kunnen aantonen dat ze zich aan de regels houdt.

Jouw 8 Rechten Onder de AVG

Als burger heb je acht concrete rechten die je kunt uitoefenen tegenover elke organisatie die jouw gegevens verwerkt.

Overzicht van Privacyrechten

Recht	Wat betekent het?	Reactietermijn
Recht op inzage	Opvragen welke data men over je heeft	1 maand
Recht op rectificatie	Onjuiste data laten corrigeren	1 maand
Recht op vergetelheid	Data laten verwijderen	1 maand
Recht op beperking	Tijdelijk stoppen met verwerking	1 maand
Recht op dataportabiliteit	Data in leesbaar formaat ontvangen	1 maand
Recht van bezwaar	Bezwaar maken tegen verwerking	1 maand
Recht op informatie	Weten wat er met je data gebeurt	Bij verzameling
Geen geautomatiseerde besluitvorming	Recht op menselijke beoordeling	Op aanvraag

Wil je dieper ingaan op hoe je deze rechten praktisch uitoefent? Lees onze uitgebreide gids over privacy in Nederland en jouw rechten.

De Zes Grondslagen voor Gegevensverwerking

Een organisatie mag jouw gegevens alleen verwerken als er een geldige juridische basis is. De AVG kent zes grondslagen.

1. Toestemming

Jij geeft expliciet toestemming. Denk aan het aanvinken van een cookie-banner of het inschrijven voor een nieuwsbrief. Toestemming moet vrijelijk gegeven zijn en je moet die op elk moment kunnen intrekken.

2. Uitvoering van een Overeenkomst

Bij een online bestelling heeft de webshop je adres nodig om te bezorgen. Dat is een logische verwerking voor de uitvoering van het contract.

3. Wettelijke Verplichting

De Belastingdienst mag jouw gegevens verwerken omdat de wet dat voorschrijft.

4. Vitaal Belang

Bij een levensbedreigende situatie, bijvoorbeeld een ambulance die jouw medische dossier nodig heeft.

5. Algemeen Belang of Openbaar Gezag

Overheden die taken uitvoeren die in de wet zijn vastgelegd.

6. Gerechtvaardigd Belang

De vaagste grondslag. Een bedrijf heeft een legitiem belang dat zwaarder weegt dan jouw privacy. Denk aan fraudepreventie of beveiliging.

Wat Veranderde Er in 2026?

De AVG zelf is een verordening die niet jaarlijks wordt aangepast, maar de toepassing evolueert wel. In 2026 zijn er enkele belangrijke ontwikkelingen.

Strengere Handhaving op AI en Profiling

Met de komst van de EU AI Act in 2024 en de verdere implementatie in 2025 en 2026, kijken toezichthouders strenger naar geautomatiseerde besluitvorming. Bedrijven die AI-systemen gebruiken voor scoring, screening of profilering moeten extra transparant zijn.

Hogere Boetes en Meer Handhaving

De Autoriteit Persoonsgegevens (AP) in Nederland en de Gegevensbeschermingsautoriteit (GBA) in Belgie hebben meer budget en personeel gekregen. In 2025 zijn er recordboetes uitgedeeld, en die trend zet door in 2026.

Cookies en Tracking

De handhaving op cookiebanners is in 2026 strikter dan ooit. "Deceptive design" - waarbij accepteren makkelijker is dan weigeren - leidt steeds vaker tot boetes.

Boetes en Sancties: Wat Zijn de Risico's?

De AVG kent twee categorieen boetes voor overtredingen.

Maximale Boetes

• Lichtere overtredingen: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (welk bedrag het hoogst is)
• Zwaardere overtredingen: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet

Bekende AVG-Boetes

Bedrijf	Boete	Reden
Meta (Facebook)	1,2 miljard euro	Datatransfers naar VS
Amazon	746 miljoen euro	Onrechtmatige advertentietargeting
TikTok	345 miljoen euro	Onvoldoende bescherming kinderen
Google	50 miljoen euro	Onvoldoende transparantie

Praktische Tips voor Burgers

Hoe pas je de AVG toe in je dagelijks leven? Hier zijn concrete stappen.

1. Doe een Inzageverzoek

Vraag bij grote tech bedrijven op welke data ze over je hebben. Wil je weten wat Google precies over jou weet? Lees onze uitgebreide gids.

2. Wees Selectief met Cookies

Weiger tracking-cookies waar mogelijk. "Alleen functionele cookies" is meestal voldoende voor goede werking van een website.

3. Bescherm Jezelf op Openbare Netwerken

Op openbare WiFi-netwerken zijn je gegevens kwetsbaar. Gebruik HTTPS-verbindingen, versleutelde DNS en private browsers. Lees onze gids over veilig gebruik van openbaar WiFi voor concrete tips.

4. Gebruik Privacyvriendelijke Tools

Kies voor diensten die privacy serieus nemen. Bij URL-verkorting bijvoorbeeld is Lunyb een goede optie die geen overbodige trackingdata verzamelt en AVG-compliant werkt. Voor meer alternatieven, bekijk onze vergelijking van de beste URL-verkorters voor Belgische bedrijven.

5. Dien een Klacht In

Als een organisatie niet meewerkt, kun je een klacht indienen bij de Autoriteit Persoonsgegevens (Nederland) of de Gegevensbeschermingsautoriteit (Belgie).

Praktische Tips voor Ondernemers

Als ondernemer ben je verplicht de AVG na te leven. Dit zijn de belangrijkste actiepunten.

Verplichte Documenten en Processen

1. Verwerkingsregister: Documenteer welke gegevens je verwerkt, waarom en hoe lang.
2. Privacyverklaring: Een duidelijke uitleg op je website over wat je doet met data.
3. Verwerkersovereenkomsten: Sluit deze af met elke partij die voor jou data verwerkt (hosting, e-mailsoftware, accountant).
4. Beveiligingsmaatregelen: Versleuteling, toegangscontrole, regelmatige back-ups.
5. Datalekprocedure: Wat doe je bij een datalek? Je moet binnen 72 uur melden bij de AP.
6. DPIA: Bij risicovolle verwerkingen verplicht een Data Protection Impact Assessment uitvoeren.

Functionaris Gegevensbescherming (FG)

Sommige organisaties zijn verplicht een FG aan te stellen. Dit geldt vooral voor overheden, organisaties die op grote schaal persoonsgegevens verwerken, of organisaties die op grote schaal bijzondere persoonsgegevens verwerken.

Datalekken: Wat te Doen?

Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren raken of in verkeerde handen vallen. Denk aan een gestolen laptop, een hack, of een e-mail die naar de verkeerde persoon is verzonden.

De 72-Uurs Regel

Organisaties moeten een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het lek geen risico vormt voor betrokkenen. Bij hoog risico moeten ook de getroffen personen geinformeerd worden.

Wat Te Doen Als Slachtoffer?

1. Wijzig direct je wachtwoorden
2. Schakel tweefactorauthenticatie in
3. Houd je bankrekening in de gaten
4. Wees alert op phishing-pogingen
5. Overweeg een aangifte bij identiteitsfraude

De AVG en Marketing

Marketing en AVG zijn een complex onderwerp. De kernregels zijn duidelijk: je moet expliciete toestemming hebben voor het versturen van commerciele e-mails (B2C), en je moet altijd een uitschrijfmogelijkheid bieden.

Toegestane Marketing Zonder Aparte Toestemming

• E-mails aan bestaande klanten over vergelijkbare producten (soft opt-in)
• B2B-marketing in sommige gevallen
• Postreclame (met verzet-mogelijkheid)

Bij het gebruik van trackingpixels, conversiepixels of QR-codes voor marketing moet je transparant zijn. Lees meer in onze handleiding voor QR-codes over privacyvriendelijk gebruik.

Veelgemaakte AVG-Fouten

Veel organisaties denken AVG-compliant te zijn, maar maken nog steeds basisfouten.

• Geen verwerkersovereenkomst met hostingproviders of softwareleveranciers
• Te lange bewaartermijnen zonder rechtvaardiging
• Verplichte velden in formulieren die niet noodzakelijk zijn
• Pre-checked vinkjes voor toestemming (verboden)
• Onvolledige privacyverklaring zonder informatie over rechten
• Geen procedure voor inzageverzoeken
• Cookies plaatsen voor toestemming (alleen functionele mogen vooraf)

AVG en Internationale Datatransfers

Als data Europa verlaat, gelden extra regels. Sinds het Schrems II-arrest is datatransfer naar de VS extra problematisch. Het EU-US Data Privacy Framework van 2023 biedt een nieuwe basis, maar staat al onder druk en wordt mogelijk opnieuw aangevochten.

Voor bedrijven betekent dit: kies bij voorkeur voor Europese leveranciers, of zorg voor adequate waarborgen zoals Standard Contractual Clauses (SCCs).

Veelgestelde Vragen over de AVG

Wat is het verschil tussen AVG en GDPR?

Geen verschil. AVG (Algemene Verordening Gegevensbescherming) is de Nederlandse naam, GDPR (General Data Protection Regulation) is de Engelse naam. Het is dezelfde Europese wet.

Geldt de AVG ook voor eenmanszaken en ZZP'ers?

Ja, de AVG geldt voor iedereen die persoonsgegevens verwerkt in een beroeps- of bedrijfsmatige context. Een ZZP'er met een klantenbestand moet zich net zo goed aan de AVG houden als een groot bedrijf. Wel zijn sommige verplichtingen, zoals het aanstellen van een Functionaris Gegevensbescherming, alleen voor grotere organisaties.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Er is geen vaste termijn. Het uitgangspunt is: niet langer dan noodzakelijk voor het doel. Voor facturen geldt bijvoorbeeld een fiscale bewaarplicht van 7 jaar, voor sollicitatiegegevens is 4 weken standaard (met toestemming maximaal 1 jaar). Klantgegevens mogen bewaard worden zolang er een actieve relatie is, plus een redelijke periode daarna.

Wat als een bedrijf niet reageert op mijn AVG-verzoek?

Een organisatie heeft 1 maand de tijd om te reageren. Bij geen of onvoldoende reactie kun je een klacht indienen bij de Autoriteit Persoonsgegevens (Nederland) of de Gegevensbeschermingsautoriteit (Belgie). Beide instanties hebben online formulieren voor het indienen van klachten. Je kunt ook naar de rechter stappen voor een schadevergoeding.

Mag een werkgever camera's ophangen op de werkvloer?

Ja, maar onder strikte voorwaarden. Er moet een gerechtvaardigd belang zijn (zoals diefstalpreventie), medewerkers moeten geinformeerd worden, en de camera's mogen niet gericht zijn op plekken waar privacy verwacht wordt (toiletten, kleedkamers). Bovendien moet de ondernemingsraad instemmen en moet er een belangenafweging gedocumenteerd zijn.

Conclusie

De AVG is geen bureaucratische last, maar een fundamenteel kader dat jouw privacy beschermt in een steeds digitalere wereld. Of je nu burger bent die zijn rechten wil uitoefenen, of ondernemer die compliance wil regelen: kennis van de basisbeginselen is onmisbaar.

In 2026 wordt de handhaving alleen maar strenger, en de boetes groter. Tegelijkertijd worden de tools om je privacy te beschermen steeds beter. Door bewust om te gaan met je gegevens en kritisch te zijn over de diensten die je gebruikt, neem je weer controle over je digitale leven.