AVG Uitgelegd in Gewone Taal 2026: Complete Gids voor Iedereen

De Algemene Verordening Gegevensbescherming (AVG) bestaat al sinds 2018, maar voor veel mensen blijft het een ondoorgrondelijke wet vol juridisch jargon. In deze gids leggen we de AVG uit in gewone taal, met praktische voorbeelden die iedereen begrijpt. Of je nu een burger bent die zijn rechten wil kennen, of een ondernemer die zijn plichten wil naleven: na dit artikel weet je precies waar je aan toe bent in 2026.

Wat is de AVG in één zin?

De AVG is een Europese privacywet die bepaalt hoe organisaties met jouw persoonsgegevens mogen omgaan. Het geeft jou als burger controle over je eigen data en verplicht bedrijven, overheden en verenigingen om zorgvuldig met die informatie om te gaan. In het Engels heet de wet GDPR (General Data Protection Regulation), maar het is exact dezelfde regelgeving.

De kern van de AVG is simpel: jouw gegevens zijn van jou. Een organisatie mag ze alleen gebruiken als daar een geldige reden voor is, en jij hebt altijd het recht om te weten wat er met je data gebeurt.

Waarom bestaat de AVG?

Voor 2018 had elk EU-land zijn eigen privacywet. Dat was verwarrend voor bedrijven die in meerdere landen actief waren, en het beschermde burgers slecht tegen grote techbedrijven die massaal data verzamelden. De AVG loste dit op door één uniforme wet te maken voor alle 27 EU-lidstaten, plus IJsland, Liechtenstein en Noorwegen.

De belangrijkste doelen van de AVG zijn:

1. Burgers meer controle geven over hun persoonlijke informatie
2. Eén regelgeving voor heel Europa in plaats van 27 verschillende
3. Hoge boetes voor organisaties die de regels overtreden (tot 20 miljoen euro of 4% van de jaaromzet)
4. Transparantie over wat er met data gebeurt
5. Vertrouwen in de digitale economie versterken

Wat zijn persoonsgegevens precies?

Persoonsgegevens zijn alle informatie waarmee een persoon direct of indirect geïdentificeerd kan worden. Dit is veel breder dan de meeste mensen denken.

Voorbeelden van persoonsgegevens

• Naam, adres, telefoonnummer, e-mailadres
• Burgerservicenummer (BSN)
• IP-adres van je computer of telefoon
• Locatiegegevens van je smartphone
• Foto's en video's waarop je herkenbaar bent
• Cookies en online identificatiemiddelen
• Kentekens van auto's
• Stemopnames

Bijzondere persoonsgegevens (extra beschermd)

Sommige gegevens zijn zo gevoelig dat ze onder een strenger regime vallen. Deze mogen in principe helemaal niet verwerkt worden, tenzij er een specifieke uitzondering geldt:

• Ras of etnische afkomst
• Politieke opvattingen
• Religieuze of levensbeschouwelijke overtuigingen
• Gezondheidsgegevens
• Seksuele geaardheid
• Biometrische gegevens (vingerafdruk, gezichtsscan)
• Genetische gegevens
• Vakbondslidmaatschap

De zes grondslagen: wanneer mag data verwerkt worden?

Een organisatie mag persoonsgegevens alleen verwerken als er een van de zes wettelijke grondslagen van toepassing is. Zonder grondslag is de verwerking illegaal.

Grondslag	Wanneer van toepassing	Praktijkvoorbeeld
Toestemming	Als jij expliciet ja hebt gezegd	Nieuwsbrief inschrijving
Contract	Nodig om een overeenkomst uit te voeren	Adres nodig voor levering webshop
Wettelijke plicht	De wet verplicht de verwerking	Belastingdienst bewaart aangiftes
Vitaal belang	Om iemands leven te redden	Ziekenhuis in noodgeval
Algemeen belang	Publieke taak van overheid	Gemeente int gemeentelijke belastingen
Gerechtvaardigd belang	Redelijke reden, mits jouw rechten niet zwaarder wegen	Fraudepreventie door bank

Jouw acht rechten onder de AVG

De AVG geeft jou als burger acht concrete rechten. Elke organisatie is verplicht om binnen één maand op een verzoek te reageren, en dat is meestal gratis.

1. Recht op informatie

Je hebt recht om te weten welke gegevens een organisatie van jou verzamelt, waarom, hoe lang ze bewaard worden en met wie ze gedeeld worden. Dit staat meestal in een privacyverklaring op de website.

2. Recht op inzage

Je mag opvragen welke gegevens een organisatie precies van jou heeft. Je krijgt dan een kopie van al je data.

3. Recht op correctie (rectificatie)

Als er iets fout staat, mag je vragen om het te corrigeren. Bijvoorbeeld een verkeerd geboortejaar of een oud adres.

4. Recht op vergetelheid (verwijdering)

In veel gevallen mag je vragen om je gegevens volledig te laten wissen. Dit geldt bijvoorbeeld als je toestemming intrekt of als de data niet meer nodig is.

5. Recht op beperking

Je kunt vragen om de verwerking tijdelijk stop te zetten, bijvoorbeeld tijdens een onderzoek naar de juistheid.

6. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een gangbaar formaat te ontvangen, zodat je ze kunt meenemen naar een andere dienst. Denk aan het overzetten van je muzieklijsten of contacten.

7. Recht op bezwaar

Je mag bezwaar maken tegen bepaalde verwerkingen, met name direct marketing. Voor marketing moet dit altijd gehonoreerd worden.

8. Recht bij geautomatiseerde besluitvorming

Als een computer een besluit over jou neemt met belangrijke gevolgen (zoals een hypotheekafwijzing), heb je recht op menselijke tussenkomst en uitleg.

Plichten voor organisaties in 2026

Elk bedrijf, elke vereniging en elke overheid die persoonsgegevens verwerkt moet zich aan de AVG houden. De belangrijkste plichten in 2026 zijn:

Verwerkingsregister bijhouden

Organisaties moeten documenteren welke gegevens ze verwerken, waarom, en hoe ze beveiligd worden. Voor bedrijven met meer dan 250 medewerkers is dit verplicht, maar in de praktijk moet vrijwel iedereen zo'n register hebben.

Privacyverklaring publiceren

Een heldere, begrijpelijke privacyverklaring op de website is verplicht. Juridische taal die niemand begrijpt voldoet niet aan de AVG.

Passende beveiliging

Data moet technisch en organisatorisch goed beveiligd zijn. Denk aan sterke wachtwoorden, encryptie en toegangscontrole. Lees hierover ook onze ultieme gids over wachtwoordbeveiliging.

Datalekken melden

Bij een datalek moet de organisatie dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP) in Nederland of de Gegevensbeschermingsautoriteit (GBA) in België. Bij hoog risico moeten ook de betrokkenen geïnformeerd worden.

Functionaris Gegevensbescherming (FG)

Overheden en organisaties die op grote schaal gevoelige data verwerken moeten een FG aanstellen. Deze functionaris houdt intern toezicht op de naleving.

Data Protection Impact Assessment (DPIA)

Bij verwerkingen met hoog risico (bijvoorbeeld camera's op openbare plaatsen) moet vooraf een risicoanalyse worden uitgevoerd.

Belangrijke wijzigingen en trends in 2026

De AVG zelf is niet veranderd, maar de interpretatie en handhaving evolueren voortdurend. Dit zijn de belangrijkste ontwikkelingen voor 2026:

Strengere handhaving op cookies

Toezichthouders zijn kritischer geworden op cookie banners. "Alles accepteren" moet net zo makkelijk zijn als "alles weigeren". Verborgen weigerknoppen of misleidende ontwerpen (dark patterns) leiden tot boetes.

AI-Verordening (AI Act)

Sinds 2024 geldt de Europese AI-Verordening naast de AVG. Voor systemen die persoonsgegevens gebruiken (zoals gezichtsherkenning of profilering) gelden extra regels.

Data-transfers buiten de EU

Het doorgeven van data naar landen buiten Europa blijft complex. Met name transfers naar de VS staan onder juridische druk sinds meerdere rechtszaken.

Focus op minderjarigen

De bescherming van kinderen online krijgt in 2026 extra aandacht. Sociale media en gaming platforms moeten aantonen dat ze de leeftijd van gebruikers verifiëren.

Praktische voorbeelden uit het dagelijks leven

Voorbeeld 1: De sportclub

Je meldt je aan bij een tennisvereniging. Ze mogen je naam, adres en contributiegegevens verwerken (grondslag: contract). Maar ze mogen je gegevens niet zomaar delen met een sponsor voor reclame, tenzij je daar apart toestemming voor geeft.

Voorbeeld 2: De webshop

Een webshop mag je adres opslaan voor levering (contract) en factuur (wettelijke plicht: 7 jaar). Ze mogen je e-mail gebruiken voor bevestigingen, maar voor de nieuwsbrief hebben ze aparte toestemming nodig.

Voorbeeld 3: Foto's op sociale media

Als je herkenbare foto's van anderen deelt, verwerk je hun persoonsgegevens. Voor privégebruik geldt een uitzondering, maar bij bedrijfsmatig gebruik heb je toestemming nodig. Bewaar gevoelige foto's liever in een versleutelde kluis.

Voorbeeld 4: De werkgever

Je werkgever mag jouw gegevens verwerken voor het arbeidscontract. Maar constante camerabewaking of het lezen van je privé e-mails gaat te ver zonder duidelijke grondslag en informatievoorziening.

Wat als een organisatie de AVG overtreedt?

Als jij denkt dat een organisatie jouw rechten schendt, kun je verschillende stappen ondernemen:

1. Contact opnemen met de organisatie zelf. Vaak los je het snelst iets op door direct te vragen naar de Functionaris Gegevensbescherming.
2. Klacht indienen bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (AP), in België de GBA.
3. Naar de rechter stappen. Je kunt ook schadevergoeding eisen als je schade hebt geleden.

De boetes voor overtredingen zijn fors. In 2024 en 2025 zagen we boetes van honderden miljoenen voor grote techbedrijven. Ook kleine organisaties krijgen boetes: een sportclub die ledenlijsten lekte werd bijvoorbeeld beboet met tienduizenden euro's.

Zelf je privacy beschermen: praktische tips

Naast wat de AVG regelt, kun je zelf veel doen om je privacy te beschermen. Dit zijn de belangrijkste stappen:

• Gebruik een privacyvriendelijke browser. Bekijk onze vergelijking van de beste privacyvriendelijke browsers van 2026.
• Beperk cookies. Weiger tracking cookies en verwijder ze regelmatig.
• Deel minder op sociale media. Elke post is voor altijd te vinden.
• Gebruik sterke, unieke wachtwoorden voor elke dienst.
• Wees kritisch met apps. Geef alleen toestemming voor wat echt nodig is.
• Kort verdachte links veilig in. Wanneer je links deelt, kun je met een dienst als Lunyb URLs verkorten zonder dat er ongewenste tracking meelift, wat helpt om zowel jouw als je ontvangers' privacy te beschermen.
• Deel je locatie bewust. Lees onze gids over veilig je locatie delen met familie.

Veelgestelde vragen over de AVG

Geldt de AVG ook voor kleine bedrijven en zzp'ers?

Ja, de AVG geldt voor iedereen die persoonsgegevens verwerkt, ongeacht de grootte. Ook een zzp'er met een klantenbestand of een sportvereniging met ledenlijsten valt onder de AVG. Wel zijn sommige verplichtingen (zoals het aanstellen van een FG) alleen voor grotere organisaties.

Mag ik zomaar foto's van anderen op sociale media zetten?

Voor puur privégebruik (bijvoorbeeld een gedeelde familie-app) geldt een uitzondering in de AVG. Maar zodra je foto's openbaar deelt of voor zakelijke doeleinden gebruikt, heb je in principe toestemming nodig van de herkenbare personen. Vraag het gewoon even, dat voorkomt problemen.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Dat hangt af van de reden. De AVG zegt: niet langer dan nodig. Voor facturen geldt bijvoorbeeld een fiscale bewaartermijn van 7 jaar. Voor sollicitatiegegevens meestal 4 weken (of 1 jaar met toestemming). Een webshop moet je account verwijderen als je daar om vraagt en er geen wettelijke reden is om te bewaren.

Wat is het verschil tussen de AVG en de GDPR?

Er is geen verschil, het zijn dezelfde regels. AVG is de Nederlandse afkorting (Algemene Verordening Gegevensbescherming), GDPR is de Engelse (General Data Protection Regulation). Beide verwijzen naar dezelfde Europese verordening uit 2016 die sinds 25 mei 2018 van toepassing is.

Wat kost het om mijn gegevens op te vragen bij een bedrijf?

Niets. Een inzageverzoek onder de AVG is gratis. Alleen bij duidelijk buitensporige of herhaalde verzoeken mag een organisatie een redelijke vergoeding vragen of het verzoek weigeren. De organisatie moet binnen één maand reageren, met mogelijke verlenging van twee maanden bij complexe zaken.

Conclusie

De AVG is geen bureaucratische last, maar een fundamentele bescherming van jouw digitale identiteit. In 2026 is het belangrijker dan ooit om je rechten te kennen, want organisaties verzamelen meer data dan ooit. Onthoud de kern: jouw gegevens zijn van jou, elke organisatie heeft een geldige reden nodig om ze te verwerken, en je hebt altijd het recht om te weten wat er gebeurt. Met deze kennis kun je bewust omgaan met je privacy en indien nodig actie ondernemen.