AVG Uitgelegd in Gewone Taal (2026): De Complete Gids

De Algemene Verordening Gegevensbescherming (AVG) bestaat sinds mei 2018, maar zelfs in 2026 worstelen veel ondernemers en consumenten met de vraag: wat betekent deze wet nu eigenlijk in de praktijk? In dit artikel leggen we de AVG uit in gewone taal, zonder juridisch jargon, maar met alle informatie die je nodig hebt om te snappen wat jouw rechten en plichten zijn.

Wat is de AVG precies?

De AVG is een Europese privacywet die regelt hoe organisaties met persoonsgegevens mogen omgaan. De wet geldt sinds 25 mei 2018 in alle EU-lidstaten en vervangt de oude Nederlandse Wet bescherming persoonsgegevens (Wbp). In het Engels heet de wet GDPR (General Data Protection Regulation) - je komt beide termen tegen, maar ze betekenen exact hetzelfde.

Het doel van de AVG is simpel: mensen meer controle geven over hun eigen persoonsgegevens en organisaties dwingen om zorgvuldig met die data om te gaan. Bij overtreding kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens die (direct of indirect) herleidbaar zijn tot een levend persoon. Denk aan:

• Naam, adres, woonplaats
• E-mailadres en telefoonnummer
• IP-adres en cookie-ID's
• Foto's en video's waarop iemand herkenbaar is
• Burgerservicenummer (BSN)
• Locatiegegevens van een smartphone
• Medische gegevens, religie, seksuele voorkeur (bijzondere categorieen)

Voor wie geldt de AVG?

De AVG geldt voor iedere organisatie die persoonsgegevens verwerkt van personen in de Europese Unie. Dat betekent: niet alleen Europese bedrijven, maar ook Amerikaanse of Aziatische organisaties die diensten leveren aan EU-burgers moeten zich aan de AVG houden.

Concreet valt hieronder:

1. Bedrijven - van eenmanszaken tot multinationals
2. Overheidsinstanties - gemeenten, ministeries, uitvoeringsorganisaties
3. Verenigingen en stichtingen - sportclubs, goede doelen, kerken
4. Zelfstandigen (ZZP'ers) - iedereen die klantgegevens bijhoudt
5. Scholen en zorginstellingen - met vaak bijzondere categorieen data

Alleen strikt persoonlijk gebruik (zoals je eigen adresboek thuis) valt buiten de AVG.

De 7 kernprincipes van de AVG

De AVG rust op zeven principes die als een soort morele kompas werken voor iedere gegevensverwerking. Elke keer dat je iets doet met persoonsgegevens, moet je deze principes toepassen.

1. Rechtmatigheid, behoorlijkheid en transparantie

Je mag gegevens alleen verwerken als je daar een geldige juridische basis voor hebt (zie verderop) en je moet daar duidelijk over communiceren.

2. Doelbinding

Verzamel gegevens alleen voor een specifiek, expliciet en gerechtvaardigd doel. Klantgegevens verzameld voor een bestelling mag je niet zomaar gebruiken voor marketing.

3. Minimale gegevensverwerking

Verzamel niet meer dan strikt noodzakelijk. Heb je alleen een e-mailadres nodig voor een nieuwsbrief? Vraag dan geen geboortedatum.

4. Juistheid

Zorg dat gegevens correct en up-to-date zijn. Verkeerde data moet je corrigeren of verwijderen.

5. Opslagbeperking

Bewaar gegevens niet langer dan nodig. Hanteer duidelijke bewaartermijnen.

6. Integriteit en vertrouwelijkheid

Beveilig gegevens tegen ongeautoriseerde toegang, verlies of vernietiging. Denk aan encryptie, sterke wachtwoorden en toegangsbeheer.

7. Verantwoordingsplicht

Je moet kunnen aantonen dat je aan de AVG voldoet. Documentatie is dus geen luxe, maar een verplichting.

De 6 grondslagen voor gegevensverwerking

Je mag persoonsgegevens alleen verwerken als je een van de zes wettelijke grondslagen hebt. Zonder grondslag: geen verwerking.

Grondslag	Wanneer van toepassing	Voorbeeld
Toestemming	Persoon geeft actief en vrij toestemming	Aanmelden nieuwsbrief
Overeenkomst	Nodig voor uitvoering contract	Adres voor bezorging
Wettelijke verplichting	Wet verplicht verwerking	Salarisadministratie
Vitaal belang	Leven of gezondheid in gevaar	Medisch noodgeval
Publieke taak	Overheidstaak uitvoeren	Gemeente int belasting
Gerechtvaardigd belang	Legitiem belang, afweging vereist	Fraudepreventie

Jouw rechten als betrokkene

Als burger heb je onder de AVG acht concrete rechten die je kunt uitoefenen tegenover elke organisatie die jouw gegevens verwerkt.

1. Recht op informatie

Organisaties moeten je actief informeren welke gegevens ze verwerken en waarom, meestal via een privacyverklaring.

2. Recht op inzage

Je mag opvragen welke gegevens een organisatie precies van jou heeft. Ze moeten binnen een maand reageren.

3. Recht op rectificatie

Onjuiste gegevens moeten worden aangepast op jouw verzoek.

4. Recht op vergetelheid

In veel gevallen kun je vragen om je gegevens te laten verwijderen, bijvoorbeeld als ze niet meer nodig zijn.

5. Recht op beperking van verwerking

Je kunt vragen om verwerking tijdelijk te stoppen, bijvoorbeeld tijdens een geschil.

6. Recht op dataportabiliteit

Je mag je gegevens in een gangbaar formaat opvragen en overdragen naar een andere aanbieder.

7. Recht van bezwaar

Je kunt bezwaar maken tegen verwerkingen, met name voor direct marketing.

8. Rechten bij geautomatiseerde besluitvorming

Je hebt recht op menselijke tussenkomst bij belangrijke automatische beslissingen (zoals kredietbeoordelingen).

Reageert een organisatie niet of onvoldoende? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Verplichtingen voor organisaties

Organisaties die persoonsgegevens verwerken hebben in 2026 een lijst aan concrete verplichtingen. Dit zijn de belangrijkste.

Verwerkingsregister bijhouden

Organisaties met meer dan 250 medewerkers (of bij structurele/gevoelige verwerking ook kleinere) moeten een register bijhouden van alle verwerkingsactiviteiten: wat verwerken ze, waarom, hoe lang bewaren ze het, en met wie delen ze het.

Privacyverklaring publiceren

Iedere website die persoonsgegevens verwerkt (en dat is bijna iedere website via cookies of contactformulieren) heeft een duidelijke privacyverklaring nodig.

Datalekken melden

Bij een datalek moet je binnen 72 uur melding doen bij de Autoriteit Persoonsgegevens, en soms ook bij de betrokkenen zelf. Denk aan gestolen laptops, gehackte databases of foutief verzonden e-mails met persoonsgegevens.

Verwerkersovereenkomsten sluiten

Werk je met externe partijen die persoonsgegevens verwerken (hostingpartij, mailingsysteem, boekhouder)? Dan moet je een verwerkersovereenkomst sluiten waarin afspraken over beveiliging en verantwoordelijkheden staan.

Functionaris voor Gegevensbescherming (FG)

Overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken zijn verplicht een FG aan te stellen. Voor andere organisaties is dit optioneel.

Data Protection Impact Assessment (DPIA)

Bij verwerkingen met een hoog privacyrisico (bijvoorbeeld cameratoezicht of grootschalige profilering) moet je vooraf een DPIA uitvoeren om risico's in te schatten.

Boetes en handhaving in 2026

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder. In 2026 is de AP actiever dan ooit, met inmiddels honderden opgelegde boetes. De boetes vallen in twee categorieen:

• Lagere categorie: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet
• Hogere categorie: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet

Voorbeelden van boetes in Nederland:

• Booking.com kreeg 475.000 euro voor te late melding van datalek
• Belastingdienst kreeg 3,7 miljoen euro voor de Fraude Signalering Voorziening
• DPG Media kreeg 525.000 euro voor het niet respecteren van inzageverzoeken

Praktische AVG-tips voor kleine ondernemers

Ben je ZZP'er of heb je een klein bedrijf? Deze concrete stappen brengen je in 2026 een heel eind.

1. Maak een inventarisatie van alle plekken waar je persoonsgegevens opslaat: e-mail, CRM, boekhouding, contactformulier, nieuwsbrief.
2. Schrijf een privacyverklaring die begrijpelijk is voor gewone mensen (geen copy-paste juridische tekst).
3. Zet cookies op orde met een correcte cookiebanner die actieve toestemming vraagt.
4. Sluit verwerkersovereenkomsten met tools als Mailchimp, Google Workspace, of je hostingpartij.
5. Beveilig je systemen met sterke wachtwoorden, tweefactorauthenticatie en regelmatige updates.
6. Train jezelf en medewerkers in het herkennen van phishing en social engineering.
7. Bewaartermijnen instellen: gooi oude klantdata weg wanneer die niet meer nodig is.
8. Datalekprotocol klaar hebben: wie doet wat als er iets misgaat?

AVG en marketing: wat mag wel en niet?

Marketingactiviteiten vormen een grijs gebied waar veel bedrijven de mist ingaan. De hoofdregel is: hoe minder invasief, hoe soepeler de regels.

E-mailmarketing

Voor commerciele e-mails aan nieuwe prospects heb je expliciete toestemming nodig (opt-in). Voor bestaande klanten mag je onder de zogeheten soft opt-in mailen over vergelijkbare producten, mits je een makkelijke afmeldoptie biedt.

Tracking en analytics

Voor cookies die niet strikt noodzakelijk zijn (analytics, marketing, personalisatie) heb je toestemming nodig. Google Analytics gebruik je alleen met de juiste anonimiseringsinstellingen en verwerkersovereenkomst.

URL-tracking en linkbeheer

Bij het delen van links op social media of in campagnes wil je vaak inzicht in kliks, maar zonder de privacy van bezoekers te schenden. Privacy-vriendelijke URL-shorteners zoals Lunyb tracken kliks op een geaggregeerd niveau zonder invasieve profilering, wat mooi past bij het AVG-principe van dataminimalisatie. Lees ook onze vergelijking van Lunyb en Bitly voor de verschillen op privacyvlak.

Wat verandert er in 2026?

De AVG zelf is stabiel, maar het speelveld eromheen verandert continu. In 2026 zijn deze ontwikkelingen relevant:

• AI Act: De Europese AI-verordening werkt aanvullend op de AVG voor systemen die persoonsgegevens gebruiken.
• Data Act: Nieuwe regels over data delen tussen bedrijven en consumenten.
• ePrivacy Verordening: Al jarenlang in voorbereiding, maar in 2026 nog altijd niet definitief. Regelt cookies en elektronische communicatie strenger.
• Strengere handhaving op internationale doorgifte: Met name doorgifte naar de VS blijft juridisch complex na Schrems II en het Data Privacy Framework.
• Focus op AI en profilering: Toezichthouders letten steeds beter op geautomatiseerde besluitvorming.

Veelgemaakte AVG-fouten

Deze fouten kom je in de praktijk vaak tegen - voorkom ze in je eigen organisatie.

1. Vooraf aangevinkte vakjes: Toestemming moet actief zijn, dus geen default-vinkjes.
2. Alle klantgegevens 10 jaar bewaren voor de zekerheid: Alleen wat wettelijk verplicht is (bijvoorbeeld boekhouding 7 jaar).
3. Kopieen ID-bewijzen zonder noodzaak: BSN afplakken en alleen scannen wanneer echt nodig.
4. Onversleutelde e-mails met gevoelige data: Gebruik beveiligde verzending voor privacy-gevoelige informatie.
5. Geen antwoord op inzageverzoeken: Dit leidt vaak tot klachten en boetes.

Conclusie

De AVG is geen bureaucratisch monster, maar een set logische regels die uitgaan van respect voor persoonlijke gegevens. Als je vanuit gezond verstand redeneert (alleen verzamelen wat nodig is, transparant zijn, goed beveiligen, en mensen hun rechten laten uitoefenen) dan zit je qua AVG al voor 80% goed.

Voor de resterende 20% is documentatie, structuur en soms juridisch advies nodig. Maar laat je niet gek maken: de AVG beschermt niet alleen consumenten, maar bouwt ook vertrouwen tussen jou en je klanten. En dat vertrouwen is in 2026 waardevoller dan ooit.

Veelgestelde vragen over de AVG

Geldt de AVG ook voor eenmanszaken en ZZP'ers?

Ja, absoluut. Zodra je persoonsgegevens verwerkt (klantnamen, e-mailadressen, facturen) valt je activiteit onder de AVG. De omvang van je bedrijf maakt niet uit, alleen de aard en schaal van de verwerking bepaalt hoe zwaar bepaalde verplichtingen (zoals een FG of DPIA) zijn.

Wat is het verschil tussen AVG en GDPR?

Er is geen verschil. AVG is de Nederlandse afkorting (Algemene Verordening Gegevensbescherming) en GDPR is de Engelse afkorting (General Data Protection Regulation) van exact dezelfde Europese wet. Ze worden door elkaar gebruikt.

Hoe lang mag ik klantgegevens bewaren?

Er is geen vaste termijn: het hangt af van het doel. Fiscale gegevens moeten 7 jaar bewaard (Belastingdienst-verplichting). Sollicitatiegegevens meestal maximaal 4 weken (of 1 jaar met toestemming). Nieuwsbrief-inschrijvingen zolang iemand ingeschreven blijft. Documenteer je bewaartermijnen expliciet.

Moet ik een cookiebanner hebben op mijn website?

Als je website cookies gebruikt die niet strikt functioneel zijn (dus tracking, analytics, marketing, personalisatie), dan moet je vooraf actieve toestemming vragen via een cookiebanner. Alleen functionele cookies (bijvoorbeeld voor een winkelwagen) mag je zonder toestemming plaatsen.

Wat moet ik doen bij een datalek?

Bepaal binnen 72 uur of het datalek waarschijnlijk risico's oplevert voor betrokkenen. Zo ja, meld het bij de Autoriteit Persoonsgegevens via hun online loket. Bij hoog risico moet je ook de betrokkenen zelf informeren. Documenteer ieder datalek in een intern register, ook als je geen melding doet.