AVG Uitgelegd in Gewone Taal 2026: Complete Gids voor Nederlanders

De Algemene Verordening Gegevensbescherming (AVG) bestaat sinds 2018, maar voor veel mensen blijft het een wirwar van juridisch jargon. In deze gids leggen we de AVG uit in begrijpelijke taal: wat het is, welke rechten je hebt, wat organisaties moeten doen en hoe de Autoriteit Persoonsgegevens (AP) handhaaft in 2026.

Wat is de AVG?

De AVG is de Europese privacywet die bepaalt hoe organisaties met persoonsgegevens mogen omgaan. Ze geldt sinds 25 mei 2018 in alle EU-lidstaten, inclusief Nederland, en vervangt de oude Wet bescherming persoonsgegevens (Wbp).

In het kort: de AVG geeft jou controle over je eigen gegevens en legt bedrijven, overheden en verenigingen strikte verplichtingen op. Wie zich niet aan de regels houdt, riskeert boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet — welke hoger uitvalt.

Waarom bestaat de AVG?

Voor 2018 had elk EU-land zijn eigen privacywet. Dat leidde tot versnippering en zwakke bescherming in het digitale tijdperk. De AVG harmoniseert de regels, versterkt de rechten van burgers en past privacywetgeving aan op moderne technologieen zoals cloud, big data en AI.

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens die direct of indirect herleidbaar zijn tot een levend persoon. De definitie is breder dan veel mensen denken.

Voorbeelden van persoonsgegevens

Naam, adres, telefoonnummer, e-mailadres
IP-adres en cookie-ID's
Locatiegegevens van je telefoon
Pasfoto's en video-opnames
BSN-nummer, bankrekeningnummer
Stemopnames en biometrische data (vingerafdruk, gezicht)

Bijzondere persoonsgegevens

Sommige gegevens zijn extra gevoelig en vallen onder een strenger regime. Verwerking is in principe verboden, tenzij er een wettelijke uitzondering geldt:

Ras of etnische afkomst
Politieke voorkeur
Religieuze of levensbeschouwelijke overtuiging
Lidmaatschap van een vakbond
Gezondheidsgegevens
Seksuele geaardheid
Genetische en biometrische gegevens

De 7 kernprincipes van de AVG

Elke verwerking van persoonsgegevens moet voldoen aan zeven basisprincipes. Deze vormen het fundament van de wet.

Rechtmatigheid, behoorlijkheid en transparantie — Je moet weten wat er met je gegevens gebeurt en waarom.
Doelbinding — Gegevens worden alleen voor een vooraf vastgesteld, legitiem doel verzameld.
Minimale gegevensverwerking — Niet meer gegevens dan strikt noodzakelijk.
Juistheid — Gegevens moeten accuraat en actueel zijn.
Opslagbeperking — Niet langer bewaren dan nodig.
Integriteit en vertrouwelijkheid — Passende technische en organisatorische beveiliging.
Verantwoordingsplicht — De organisatie moet kunnen aantonen dat ze zich aan de regels houdt.

De zes grondslagen voor verwerking

Een organisatie mag jouw gegevens alleen verwerken als er een geldige juridische grondslag is. De AVG kent er zes.

Grondslag	Wanneer van toepassing	Voorbeeld
Toestemming	Als je vrijwillig, geinformeerd en expliciet akkoord gaat	Nieuwsbriefinschrijving
Overeenkomst	Nodig voor uitvoering van een contract	Bezorgadres voor webshop
Wettelijke verplichting	De wet dwingt de verwerking af	Belastingaangifte
Vitaal belang	Noodzakelijk om leven te beschermen	Medisch noodgeval
Algemeen belang	Publieke taak van de overheid	Gemeentelijke registratie
Gerechtvaardigd belang	Legitiem bedrijfsbelang, mits proportioneel	Fraudepreventie

Jouw rechten onder de AVG

De AVG geeft burgers acht concrete rechten. Elke organisatie moet binnen een maand reageren op een verzoek, kosteloos.

1. Recht op inzage

Je mag opvragen welke gegevens een organisatie van jou heeft, met welk doel en met wie ze gedeeld worden.

2. Recht op rectificatie

Onjuiste of onvolledige gegevens moeten worden gecorrigeerd of aangevuld.

3. Recht op vergetelheid

In bepaalde situaties kun je eisen dat gegevens worden gewist, bijvoorbeeld als ze niet meer nodig zijn of je toestemming intrekt.

4. Recht op beperking van verwerking

Je kunt vragen de verwerking tijdelijk stop te zetten, bijvoorbeeld tijdens een geschil over juistheid.

5. Recht op dataportabiliteit

Je mag je gegevens in een gestructureerd, machineleesbaar formaat ontvangen en overdragen aan een andere dienstverlener.

6. Recht van bezwaar

Je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of voor direct marketing.

7. Rechten rond geautomatiseerde besluitvorming

Je hebt het recht niet onderworpen te worden aan beslissingen die uitsluitend door algoritmes genomen worden, met rechtsgevolgen voor jou.

8. Recht om een klacht in te dienen

Je kunt altijd klagen bij de Autoriteit Persoonsgegevens (in Belgie bij de GBA). Lees onze gids over klacht indienen bij de GBA voor Belgische lezers.

Verplichtingen voor organisaties in 2026

Organisaties die persoonsgegevens verwerken dragen een reeks verantwoordelijkheden. In 2026 zijn deze verder aangescherpt door jurisprudentie van het Europees Hof en de AP.

Verwerkingsregister bijhouden

Elke organisatie met meer dan 250 medewerkers (en kleinere bij structurele verwerking) moet een register bijhouden met alle verwerkingsactiviteiten, doelen, categorieen gegevens en bewaartermijnen.

Privacyverklaring publiceren

Een helder, toegankelijk privacybeleid is verplicht. Het moet uitleggen welke gegevens worden verzameld, waarom, hoe lang, met wie gedeeld en welke rechten je hebt.

Beveiligingsmaatregelen

Passende technische en organisatorische maatregelen zijn verplicht. Denk aan end-to-end encryptie, toegangsbeheer, pseudonimisering en sterke wachtwoorden via een wachtwoordmanager.

Datalekken melden

Een datalek moet binnen 72 uur gemeld worden bij de AP, en bij hoog risico ook aan betrokkenen. Niet-melden is een zelfstandige overtreding.

Functionaris Gegevensbescherming (FG)

Overheidsinstanties en organisaties die op grote schaal gegevens verwerken moeten een FG aanstellen. Deze adviseert, controleert en is contactpersoon voor de AP.

DPIA uitvoeren

Een Data Protection Impact Assessment is verplicht bij verwerkingen met hoog privacyrisico, zoals grootschalige profilering of camerabewaking.

Verwerker versus verwerkingsverantwoordelijke

De AVG onderscheidt twee rollen die vaak door elkaar worden gehaald.

Rol	Betekenis	Voorbeeld
Verwerkingsverantwoordelijke	Bepaalt doel en middelen van verwerking	Webwinkel die klantgegevens opslaat
Verwerker	Verwerkt gegevens namens de verantwoordelijke	Cloudprovider, mailingdienst

Tussen beide partijen is een verwerkersovereenkomst verplicht. Deze legt vast welke gegevens verwerkt worden, met welke beveiliging en hoe lang.

AVG en internationale doorgifte

Persoonsgegevens doorgeven buiten de EU mag alleen als het ontvangende land een passend beschermingsniveau biedt. Na het Schrems II-arrest (2020) is doorgifte naar de VS complex geworden.

In 2023 trad het EU-US Data Privacy Framework in werking, maar in 2026 ligt dit opnieuw onder vuur. Veel organisaties werken daarom met Standard Contractual Clauses (SCC's) en aanvullende maatregelen zoals encryptie.

Handhaving door de Autoriteit Persoonsgegevens

De AP is de Nederlandse toezichthouder. In 2026 heeft de AP de capaciteit flink uitgebreid en wordt actiever gehandhaafd op onder meer AI-systemen, trackingcookies en datalekken.

Opvallende boetes

Uber: 290 miljoen euro voor onrechtmatige doorgifte naar de VS (2024)
Clearview AI: 30,5 miljoen euro voor onrechtmatig scrapen van gezichten
DPG Media: 475.000 euro voor identificatie bij inzageverzoeken

Hoe werkt handhaving?

De AP ontvangt klachten, signalen of start eigen onderzoek
Er volgt een inspectie en hoor en wederhoor
De AP kan waarschuwen, berispen, een last onder dwangsom opleggen of een boete
Beroep is mogelijk bij de bestuursrechter

Praktische AVG-checklist voor organisaties

Of je nu een eenmanszaak of grote onderneming runt, deze checklist helpt bij AVG-naleving in 2026:

Breng in kaart welke persoonsgegevens je verwerkt
Bepaal per verwerking een geldige grondslag
Stel een privacyverklaring op en publiceer deze zichtbaar
Houd een verwerkingsregister bij
Sluit verwerkersovereenkomsten met leveranciers
Implementeer passende beveiliging (encryptie, 2FA, back-ups)
Stel een datalekprocedure op met 72-uursmelding
Train medewerkers jaarlijks op privacybewustzijn
Richt een proces in voor inzage- en verwijderverzoeken
Voer DPIA's uit bij risicovolle verwerkingen

Voor marketing en linkbeheer kun je overwegen een privacyvriendelijke dienst zoals Lunyb te gebruiken: een URL-verkorter die geen persoonsgegevens trackt en voldoet aan de AVG. Vergelijk ook met andere opties in onze URL-verkorter review.

AVG-mythes ontkracht

Mythe 1: De AVG verbiedt alles

Onzin. De AVG verbiedt niets, maar stelt voorwaarden. Met een geldige grondslag en transparantie mag je bijna alles verwerken.

Mythe 2: Toestemming is altijd nodig

Nee. Toestemming is slechts een van de zes grondslagen. Vaak is "overeenkomst" of "gerechtvaardigd belang" passender.

Mythe 3: Kleine bedrijven zijn uitgezonderd

Fout. De AVG geldt voor elke organisatie, groot of klein. Alleen de verplichting tot een verwerkingsregister kent uitzonderingen.

Mythe 4: Boetes zijn louter theoretisch

Niet meer in 2026. De AP legt steeds vaker substantiele boetes op, ook aan het MKB.

FAQ: AVG uitgelegd

Geldt de AVG ook voor eenmanszaken en ZZP'ers?

Ja. Zodra je persoonsgegevens verwerkt — klantadressen, e-mailabonnees, cv's — ben je AVG-plichtig, ongeacht de bedrijfsgrootte. Alleen puur huishoudelijk gebruik is uitgezonderd.

Hoe lang mag ik klantgegevens bewaren?

Zo lang als noodzakelijk voor het doel. Fiscale verplichtingen vereisen 7 jaar, een nieuwsbriefabonnement eindigt bij uitschrijving. Leg bewaartermijnen vast in je verwerkingsregister en verwijder tijdig.

Wat moet ik doen bij een datalek?

Beoordeel direct het risico. Bij risico voor betrokkenen: binnen 72 uur melden bij de AP via het meldloket. Bij hoog risico: ook betrokkenen informeren. Documenteer altijd, ook als je niet meldt.

Mag ik Google Analytics nog gebruiken in 2026?

Alleen met strikte configuratie: IP-anonimisering, geen gegevensdoorgifte naar de VS zonder waarborgen, en expliciete cookietoestemming. Veel organisaties stappen over op EU-gebaseerde alternatieven zoals Matomo of Plausible.

Wat is het verschil tussen AVG en GDPR?

Niets inhoudelijks. AVG is de Nederlandse naam, GDPR (General Data Protection Regulation) is de Engelse benaming van dezelfde Europese verordening. Juridisch identiek.

Hoe dien ik een klacht in als organisatie mijn rechten schendt?

Richt eerst een schriftelijk verzoek aan de organisatie. Reageert deze niet binnen een maand of onvoldoende? Dan kun je kosteloos klagen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. Een gang naar de civiele rechter voor schadevergoeding staat ook open.