AVG Uitgelegd in Gewone Taal 2026: Complete Gids voor Nederland

De Algemene Verordening Gegevensbescherming (AVG) bestaat inmiddels al bijna acht jaar, maar voor veel Nederlanders blijft het een ingewikkeld verhaal. In 2026 speelt privacy een grotere rol dan ooit: kunstmatige intelligentie, biometrische gegevens en gepersonaliseerde advertenties maken het steeds belangrijker dat je weet welke rechten je hebt. In dit artikel leggen we de AVG uit in gewone taal, zonder juridisch jargon.

Wat is de AVG?

De AVG is de Europese privacywet die sinds 25 mei 2018 van kracht is. Deze verordening bepaalt hoe organisaties, bedrijven en overheden mogen omgaan met jouw persoonsgegevens. In het Engels heet de wet GDPR (General Data Protection Regulation). De AVG geldt in alle 27 EU-lidstaten en beschermt iedereen die in Europa woont.

Kort samengevat draait de AVG om één hoofdvraag: mag deze organisatie mijn gegevens verzamelen en gebruiken, en zo ja, waarom en hoelang? Als het antwoord op die vraag onduidelijk is, is er waarschijnlijk sprake van een overtreding.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens waarmee je een persoon direct of indirect kunt identificeren. Denk aan:

• Naam, adres en telefoonnummer
• E-mailadres en gebruikersnaam
• IP-adres en cookies
• Locatiegegevens
• Foto's en videobeelden
• Burgerservicenummer (BSN)
• Biometrische gegevens (vingerafdruk, gezichtsherkenning)

Sommige gegevens zijn extra gevoelig en heten bijzondere persoonsgegevens. Denk aan medische informatie, religieuze overtuiging, seksuele geaardheid of politieke voorkeur. Voor deze categorie gelden strengere regels.

De zes belangrijkste AVG-principes

De AVG rust op zes kernprincipes die iedere organisatie moet naleven bij het verwerken van persoonsgegevens.

1. Rechtmatigheid, behoorlijkheid en transparantie: Er moet een geldige reden zijn om gegevens te verwerken, en je moet weten wat er gebeurt.
2. Doelbinding: Gegevens mogen alleen worden gebruikt voor het doel waarvoor ze zijn verzameld.
3. Minimale gegevensverwerking: Niet meer gegevens verzamelen dan strikt noodzakelijk.
4. Juistheid: Gegevens moeten kloppen en up-to-date zijn.
5. Opslagbeperking: Gegevens niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid: Passende beveiliging tegen verlies of ongeautoriseerde toegang.

Jouw rechten volgens de AVG

De AVG geeft jou als burger acht concrete rechten. Deze rechten zijn de kern van de wet en gelden tegenover elke organisatie die jouw gegevens verwerkt.

1. Recht op inzage

Je mag opvragen welke gegevens een organisatie van jou heeft. Denk aan je klantprofiel bij een webshop, je medisch dossier bij de huisarts of je gegevens bij een socialemediaplatform. De organisatie moet binnen één maand reageren.

2. Recht op rectificatie

Kloppen je gegevens niet? Dan mag je vragen om correctie. Bijvoorbeeld een verkeerd adres, een oude telefoonnummer of een foutieve geboortedatum.

3. Recht op vergetelheid

Onder bepaalde voorwaarden mag je vragen om je gegevens te laten verwijderen. Bijvoorbeeld als de gegevens niet langer nodig zijn, of als je je toestemming intrekt.

4. Recht op beperking van verwerking

Je kunt vragen om de verwerking tijdelijk stop te zetten, bijvoorbeeld als je de juistheid van de gegevens betwist.

5. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een gangbaar formaat mee te nemen naar een andere dienstverlener. Handig bij het overstappen tussen bijvoorbeeld streamingdiensten of banken.

6. Recht op bezwaar

Je kunt bezwaar maken tegen bepaalde verwerkingen, zoals direct marketing of profilering.

7. Recht om niet onderworpen te worden aan geautomatiseerde besluitvorming

Beslissingen die uitsluitend door computers worden genomen en juridische gevolgen hebben (bijvoorbeeld een geweigerde hypotheek), mogen niet zomaar. Je hebt recht op menselijke tussenkomst.

8. Recht om een klacht in te dienen

Ben je het oneens met hoe een organisatie met je gegevens omgaat? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (AP). We hebben hier een complete gids over het indienen van een AP-klacht geschreven.

Wanneer mag een organisatie jouw gegevens verwerken?

De AVG kent zes wettelijke grondslagen. Een organisatie mag alleen gegevens verwerken als minimaal één van deze grondslagen van toepassing is.

Grondslag	Voorbeeld
Toestemming	Je vinkt aan dat je nieuwsbrieven wilt ontvangen
Uitvoering overeenkomst	Webshop heeft je adres nodig voor levering
Wettelijke verplichting	Werkgever geeft loongegevens door aan Belastingdienst
Vitaal belang	Ziekenhuis deelt medische data in noodgeval
Publieke taak	Gemeente verwerkt gegevens voor paspoortaanvraag
Gerechtvaardigd belang	Bedrijf gebruikt cameratoezicht tegen diefstal

Toestemming: wat is geldig in 2026?

Toestemming is een veelgebruikte grondslag, maar wel eentje met strikte eisen. Geldige toestemming volgens de AVG moet:

• Vrijelijk gegeven zijn (geen druk of chantage)
• Specifiek zijn (voor een concreet doel)
• Geïnformeerd zijn (je moet weten waar je ja op zegt)
• Ondubbelzinnig zijn (actief aanvinken, geen vooraf aangevinkte vakjes)

Cookiebanners waarbij "accepteren" een dikke groene knop is en "weigeren" een klein grijs linkje verstopt zit, voldoen niet aan de AVG. De AP heeft in 2025 opnieuw benadrukt dat weigeren net zo makkelijk moet zijn als accepteren.

Plichten voor organisaties

Naast rechten voor burgers legt de AVG stevige plichten op aan organisaties. Deze gelden zowel voor multinationals als voor de sportvereniging om de hoek.

Verwerkingsregister bijhouden

Organisaties moeten documenteren welke gegevens ze verwerken, waarom en hoelang. Dit register moet op verzoek van de AP kunnen worden overlegd.

Datalekken melden

Bij een datalek waarbij persoonsgegevens zijn getroffen, moet de organisatie dit binnen 72 uur melden bij de AP. Bij hoog risico moeten ook de betrokkenen worden geïnformeerd.

Privacy by design en by default

Nieuwe systemen moeten vanaf het ontwerp privacyvriendelijk zijn. Standaardinstellingen moeten de meest privacyvriendelijke optie zijn.

Functionaris Gegevensbescherming (FG)

Overheidsinstanties en organisaties die op grote schaal gegevens verwerken, moeten een FG aanstellen. Dit is een interne toezichthouder op privacy.

Boetes en handhaving

De AVG kent flinke boetes. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

In de praktijk zien we dat de AP steeds actiever handhaaft. Bekende Nederlandse voorbeelden:

• Boete van 750.000 euro voor een taxibedrijf vanwege ongeoorloofde vingerafdrukken van medewerkers
• Boetes van meerdere tonnen voor gemeenten na datalekken
• Miljoenenboetes voor big tech na ongeldige toestemming voor tracking

Wat verandert er in 2026?

De AVG zelf verandert niet, maar de context wel. Enkele belangrijke ontwikkelingen voor 2026:

AI Act en AVG

De Europese AI Act is inmiddels volledig van kracht. Deze wet werkt samen met de AVG en stelt extra eisen aan AI-systemen die persoonsgegevens gebruiken. Denk aan verplichte transparantie bij chatbots en verboden op bepaalde vormen van biometrische identificatie in de openbare ruimte.

Digital Services Act (DSA)

Grote onlineplatforms moeten meer transparantie bieden over profilering en advertenties. Dit versterkt de AVG-rechten in de digitale wereld.

Strengere cookiehandhaving

De AP heeft aangekondigd in 2026 stevig te gaan controleren op cookiebanners. Websites die weigeren moeilijker maken dan accepteren riskeren boetes.

Praktische tips om je privacy te beschermen

Je kunt zelf ook veel doen om je gegevens te beschermen. Enkele praktische stappen:

1. Weiger onnodige cookies: Klik niet klakkeloos op "accepteren". Ga naar de instellingen en weiger tracking cookies.
2. Gebruik sterke, unieke wachtwoorden: Een wachtwoordmanager helpt hierbij.
3. Zet tweefactorauthenticatie aan: Bij belangrijke accounts zoals e-mail en bankieren.
4. Deel minimaal: Geef alleen gegevens als het echt nodig is voor de dienst.
5. Controleer app-machtigingen: Heeft die zaklampapp echt toegang tot je contacten nodig?
6. Gebruik privacyvriendelijke tools: Kies bijvoorbeeld voor een browser met tracking-bescherming en overweeg encrypted DNS-diensten.
7. Blokkeer spamoproepen: Lees onze gids over spamoproepen blokkeren.

Ook bij het delen van links kun je op privacy letten. Sommige URL-shorteners verzamelen uitgebreide klikdata en verkopen die door. Met een privacybewuste dienst zoals Lunyb maak je korte links zonder dat je bezoekers worden getrackt door derde partijen. Meer weten? Lees onze handleiding over URL verkorten.

Wat te doen bij een AVG-overtreding?

Vermoed je dat een organisatie zich niet aan de AVG houdt? Volg dan deze stappen:

1. Neem eerst contact op met de organisatie zelf. Vraag om uitleg of om aanpassing.
2. Vraag om een reactie van de Functionaris Gegevensbescherming als die aanwezig is.
3. Dien een klacht in bij de AP als de organisatie niet meewerkt. Zie onze stap-voor-stap gids.
4. Overweeg een civiele procedure bij ernstige schade. Je kunt een schadevergoeding eisen via de rechter.

AVG voor kleine ondernemers

Ook als ZZP'er of kleine ondernemer moet je aan de AVG voldoen. Belangrijkste checklist:

• Stel een privacyverklaring op voor je website
• Zorg voor een verwerkersovereenkomst met leveranciers (bijvoorbeeld je boekhoudpakket)
• Houd een verwerkingsregister bij
• Beveilig je klantgegevens (encryptie, back-ups, beperkte toegang)
• Weet wat je moet doen bij een datalek
• Maak je cookiebanner AVG-conform

Veelgemaakte misverstanden over de AVG

"Je mag geen foto's meer op sociale media zetten"

Onjuist. Voor persoonlijk gebruik (huiselijke kring) geldt een uitzondering. Wel geldt: gebruik gezond verstand en respecteer de wensen van anderen.

"De AVG geldt niet voor kleine bedrijven"

Onjuist. De AVG geldt voor iedereen die persoonsgegevens verwerkt, ongeacht bedrijfsgrootte. Wel zijn sommige verplichtingen minder streng voor bedrijven onder de 250 medewerkers.

"Ik heb toestemming, dus ik mag alles"

Onjuist. Ook met toestemming moet je voldoen aan alle andere AVG-principes zoals doelbinding en minimale gegevensverwerking.

FAQ: Veelgestelde vragen over de AVG

Wat is het verschil tussen AVG en GDPR?

Geen inhoudelijk verschil. AVG is de Nederlandse naam (Algemene Verordening Gegevensbescherming), GDPR is de Engelse naam (General Data Protection Regulation). Het gaat om dezelfde Europese wet.

Hoe lang mag een organisatie mijn gegevens bewaren?

Niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Soms schrijft een andere wet een bewaartermijn voor, bijvoorbeeld zeven jaar voor administratieve gegevens bij de Belastingdienst. Vraag altijd aan de organisatie welke termijn zij hanteren.

Mag mijn werkgever mij monitoren tijdens het werk?

Alleen onder strikte voorwaarden. Er moet een gerechtvaardigd belang zijn, je moet vooraf geïnformeerd zijn, en de monitoring moet proportioneel zijn. Constante camerabewaking van individuele werknemers is meestal niet toegestaan.

Wat kost het om een klacht in te dienen bij de AP?

Niets. Een klacht indienen bij de Autoriteit Persoonsgegevens is volledig gratis. Je hebt geen advocaat nodig, al kan juridische bijstand handig zijn bij complexe zaken.

Geldt de AVG ook voor bedrijven buiten Europa?

Ja, als zij diensten aanbieden aan Europese burgers of hun gedrag monitoren. Amerikaanse tech-bedrijven als Google, Meta en Amazon moeten dus ook aan de AVG voldoen. Dit staat bekend als de "extraterritoriale werking" van de AVG.

Conclusie

De AVG blijft in 2026 een belangrijke bescherming voor iedereen die in Europa woont. Door je rechten te kennen en actief te gebruiken, zorg je ervoor dat organisaties zorgvuldig met je gegevens omgaan. Twijfel je? Vraag altijd om uitleg, en aarzel niet om een klacht in te dienen bij de AP als een organisatie zich niet aan de regels houdt. Privacy is geen luxe, maar een grondrecht.