AVG Uitgelegd in Gewone Taal (2026): Complete Gids voor Burgers en Bedrijven

De Algemene Verordening Gegevensbescherming (AVG) bestaat inmiddels bijna acht jaar, maar voor veel mensen blijft het een onduidelijk juridisch kluwen. Toch raakt deze wet jouw dagelijkse leven: elke keer dat je een cookiebanner wegklikt, een nieuwsbrief ontvangt of je gegevens achterlaat bij een webshop, is de AVG op de achtergrond actief. In deze gids leggen we in 2026 de AVG uit in gewone taal, zonder juridisch jargon, met praktische voorbeelden voor zowel burgers als ondernemers.

Wat is de AVG eigenlijk?

De AVG is een Europese privacywet die sinds 25 mei 2018 in heel de EU geldt en bepaalt hoe organisaties met jouw persoonsgegevens mogen omgaan. In het Engels heet dezelfde wet GDPR (General Data Protection Regulation). Het is dus letterlijk dezelfde wetgeving, alleen in een andere taal.

De kerngedachte is simpel: jouw gegevens zijn van jou. Organisaties mogen ze alleen gebruiken als daar een goede reden voor is, en jij moet altijd kunnen weten wat er met je data gebeurt. Doen ze dat niet goed, dan kan de Autoriteit Persoonsgegevens (AP) in Nederland forse boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Waarom bestaat de AVG?

Voor 2018 had elke EU-lidstaat zijn eigen privacywet. Dat was onwerkbaar voor bedrijven die internationaal werken, en consumenten hadden in het ene land meer bescherming dan in het andere. Daarnaast groeide de bezorgdheid over hoe grote techbedrijven persoonsgegevens verzamelden en verhandelden. De AVG moest hier een eind aan maken door strenge, uniforme regels op te stellen.

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle informatie waarmee een persoon direct of indirect geïdentificeerd kan worden. Dat is breder dan de meeste mensen denken.

Voorbeelden van persoonsgegevens:

• Naam, adres, telefoonnummer, e-mailadres
• IP-adres en apparaat-ID's
• Locatiegegevens
• Foto's en video's waarin je herkenbaar bent
• Burgerservicenummer (BSN)
• Bankrekeningnummers
• Cookies die jouw gedrag volgen

Daarnaast kent de AVG bijzondere persoonsgegevens, waarvoor extra strenge regels gelden: gezondheidsinformatie, religieuze overtuigingen, politieke voorkeuren, seksuele geaardheid, etnische afkomst, biometrische data en strafrechtelijke gegevens. Deze mogen bedrijven in principe helemaal niet verwerken, tenzij er een expliciete wettelijke uitzondering is.

De zes grondslagen: wanneer mag een organisatie jouw data gebruiken?

Een organisatie mag jouw persoonsgegevens alleen verwerken als er minstens één van zes wettelijke grondslagen van toepassing is. Dit is misschien wel het belangrijkste principe van de AVG.

1. Toestemming — Je hebt actief en vrijwillig ja gezegd (bijvoorbeeld een aangevinkte checkbox).
2. Uitvoering van een overeenkomst — Nodig om een contract uit te voeren, zoals je adres doorgeven aan de bezorger.
3. Wettelijke verplichting — De wet verplicht de verwerking, zoals de Belastingdienst die inkomensgegevens bijhoudt.
4. Vitaal belang — Om iemands leven te redden, bijvoorbeeld in een medische noodsituatie.
5. Algemeen belang of openbaar gezag — Taken van overheidsinstanties.
6. Gerechtvaardigd belang — Een legitieme zakelijke reden, mits de belangen van de betrokkene niet zwaarder wegen.

Veel bedrijven leunen op "gerechtvaardigd belang", maar die grondslag wordt vaak misbruikt. De AP heeft hier in 2024 en 2025 strenger op gecontroleerd.

Jouw rechten als burger onder de AVG

De AVG geeft je acht concrete rechten tegenover elke organisatie die jouw gegevens verwerkt. Hieronder zie je ze overzichtelijk op een rij.

Recht	Wat het betekent	Praktisch voorbeeld
Recht op inzage	Opvragen welke data over jou wordt bijgehouden	Vraag Google of Meta om je volledige dataprofiel
Recht op rectificatie	Onjuiste gegevens laten corrigeren	Verkeerd adres bij een webshop laten aanpassen
Recht op vergetelheid	Je gegevens laten wissen	Account verwijderen bij een oud forum
Recht op beperking	Tijdelijk pauzeren van verwerking	Tijdens een geschil over data-accuraatheid
Recht op dataportabiliteit	Je data in bruikbaar formaat meenemen	Je muziekgeschiedenis exporteren naar een nieuwe dienst
Recht van bezwaar	Bezwaar maken tegen verwerking	Stoppen met profilering voor advertenties
Rechten rond geautomatiseerde besluiten	Niet onderworpen aan puur AI-besluiten	Afgewezen hypotheek door algoritme aanvechten
Recht op informatie	Duidelijk weten wat er met je data gebeurt	Begrijpelijke privacyverklaring eisen

Organisaties moeten binnen één maand reageren op zo'n verzoek. Reageren ze niet of weigeren ze onterecht, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Benieuwd wat Google allemaal van je weet? Lees onze gids over wat Google over jou weet.

Wat moeten bedrijven doen om AVG-compliant te zijn?

Of je nu een eenmanszaak hebt of een multinational runt, de AVG geldt zodra je persoonsgegevens verwerkt. Hieronder de belangrijkste verplichtingen in 2026.

1. Een duidelijke privacyverklaring

Elk bedrijf moet een begrijpelijke privacyverklaring hebben waarin staat welke data wordt verzameld, waarom, hoe lang en met wie het wordt gedeeld. "Juridische wartaal" is sinds de uitspraken van 2023 niet meer acceptabel: het moet in gewone taal.

2. Verwerkingsregister bijhouden

Organisaties met meer dan 250 medewerkers — en kleinere organisaties die structureel of risicovol verwerken — moeten een register bijhouden van alle verwerkingsactiviteiten.

3. Verwerkersovereenkomsten sluiten

Als je data deelt met leveranciers (zoals je e-mailprovider, boekhoudpakket of hostingbedrijf), moet je met hen een verwerkersovereenkomst sluiten. Daarin staat precies wat zij wel en niet met de data mogen doen.

4. Datalekken binnen 72 uur melden

Komt er data op straat te liggen, bijvoorbeeld door een hack of een verloren laptop? Dan moet je dit binnen 72 uur melden bij de AP, en in sommige gevallen ook aan de betrokkenen. Zorg voor goede encryptie om de impact van lekken te beperken.

5. Privacy by design en by default

Nieuwe systemen en diensten moeten vanaf de tekentafel privacyvriendelijk zijn. Standaardinstellingen moeten de meest privacyvriendelijke opties zijn, niet de meest datahongerige.

6. Een Functionaris Gegevensbescherming (FG)

Overheidsinstanties en organisaties die op grote schaal persoonsgegevens verwerken, moeten een FG aanstellen. Deze onafhankelijke functionaris houdt intern toezicht op naleving van de AVG.

Cookies, tracking en de AVG

Cookies en trackers zijn een van de meest zichtbare uitingen van de AVG, met de inmiddels alomtegenwoordige cookiebanners. Maar niet elke banner voldoet aan de regels.

Een correcte cookiebanner moet:

• Weigeren even makkelijk maken als accepteren
• Geen vooraf aangevinkte vakjes bevatten
• Geen trackers plaatsen vóór toestemming
• Specifieke informatie geven per categorie cookies
• Toestemming net zo gemakkelijk intrekbaar maken

De AP heeft in 2024 en 2025 meerdere grote boetes opgelegd aan bedrijven met misleidende cookiebanners. In de praktijk worden jouw gegevens vaak doorverkocht aan datahandelaren. Lees meer over wie jouw gegevens verkoopt.

AVG en marketing: wat mag wel en niet?

Marketing is een gebied waar AVG-overtredingen veel voorkomen. Een paar duidelijke regels op een rij.

E-mailmarketing

Je mag alleen commerciële e-mails sturen aan mensen die daar expliciet toestemming voor hebben gegeven. Uitzondering: bestaande klanten mag je soortgelijke producten aanbieden, zolang ze zich makkelijk kunnen afmelden.

Link-tracking en campagneanalyse

Marketeers willen weten of hun campagnes werken. Dat mag, maar privacyvriendelijk. Gebruik tools die geanonimiseerde statistieken bieden in plaats van individuele profielen opbouwen. Platforms zoals Lunyb bieden korte links met privacyvriendelijke analytics waarmee je campagneresultaten meet zonder persoonsgegevens onnodig op te slaan. Vergelijk ook de beste link-tracking tools van 2026.

Profilering

Mensen in groepen indelen op basis van gedrag mag, mits je transparant bent en mensen bezwaar kunnen maken. Voor gevoelige profilering (zoals financiële of gezondheidsprofielen) heb je expliciete toestemming nodig.

Boetes en handhaving in 2026

De handhaving van de AVG is de afgelopen jaren flink opgevoerd. In 2024 en 2025 werden recordboetes uitgedeeld, met name aan grote techbedrijven. Maar ook MKB'ers krijgen vaker een boete of waarschuwing.

Overtreding	Maximale boete	Voorbeeld
Lichte overtredingen	10 miljoen euro of 2% jaaromzet	Geen verwerkingsregister bijhouden
Zware overtredingen	20 miljoen euro of 4% jaaromzet	Verwerken zonder grondslag, rechten van betrokkenen schenden
Niet melden datalek	Tot 10 miljoen euro	Datalek pas na weken melden aan AP

De AP focust zich in 2026 met name op AI-toepassingen, biometrische systemen, cookiebanners en de verwerking van kinderdata. Ook het nieuwe samenspel met de AI Act maakt handhaving complexer.

Praktische checklist voor burgers

Wat kun jij zelf doen om je rechten onder de AVG te gebruiken?

1. Vraag inzage op bij diensten waar je al jaren klant bent — je zult verbaasd zijn wat ze bewaren.
2. Verwijder oude accounts die je niet meer gebruikt via het recht op vergetelheid.
3. Lees cookiebanners en klik niet automatisch op accepteren.
4. Controleer app-permissies op je telefoon regelmatig.
5. Meld overtredingen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Praktische checklist voor bedrijven

Als ondernemer wil je AVG-boetes voorkomen. Deze stappen helpen daarbij:

1. Breng in kaart welke persoonsgegevens je verwerkt en waarom.
2. Documenteer per verwerking welke grondslag van toepassing is.
3. Werk je privacyverklaring bij in gewone taal.
4. Sluit verwerkersovereenkomsten met alle leveranciers.
5. Implementeer technische beveiliging zoals encryptie en toegangscontrole.
6. Train je medewerkers minimaal jaarlijks over privacy.
7. Zorg voor een procedure om datalekken binnen 72 uur te melden.
8. Maak een proces voor het afhandelen van verzoeken van betrokkenen.

Veelgemaakte misverstanden over de AVG

"De AVG verbiedt het delen van namen"

Onjuist. De AVG verbiedt niets specifiek — het stelt eisen aan hóe je gegevens verwerkt. Namen delen mag prima, mits er een grondslag is.

"Alleen grote bedrijven moeten zich eraan houden"

Onjuist. Ook een eenmanszaak die een klantbestand bijhoudt, valt onder de AVG.

"Toestemming is altijd nodig"

Onjuist. Er zijn zes grondslagen, en toestemming is er maar één van. Vaak is "uitvoering van een overeenkomst" een logischer basis.

"Ik mag geen klantgegevens meer bewaren"

Onjuist. Je mag ze bewaren zolang dat nodig is voor het doel, en je moet een redelijke bewaartermijn vaststellen.

Veelgestelde vragen

Wat is het verschil tussen AVG en GDPR?

Geen enkel verschil — het is dezelfde wet. AVG is de Nederlandse term (Algemene Verordening Gegevensbescherming), GDPR is de Engelse (General Data Protection Regulation). Beide termen worden door elkaar gebruikt.

Geldt de AVG ook voor buitenlandse websites?

Ja, als een website zich richt op EU-burgers of hun gedrag monitort, moet die zich aan de AVG houden, ongeacht waar het bedrijf gevestigd is. Dit heet het territorialiteitsbeginsel.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Zolang dat redelijkerwijs nodig is voor het oorspronkelijke doel. Fiscale gegevens moeten bijvoorbeeld 7 jaar bewaard worden, een nieuwsbriefabonnee kun je bewaren zolang die geabonneerd is. Na het doel moeten gegevens verwijderd of geanonimiseerd worden.

Kan ik een boete krijgen als particulier?

De AVG geldt niet voor zuiver persoonlijk of huishoudelijk gebruik. Je adresboekje of vakantiefoto's vallen er dus niet onder. Maar als je bijvoorbeeld een beveiligingscamera richt op de openbare weg, kan dat wél onder de AVG vallen.

Wat moet ik doen als een bedrijf mijn verzoek negeert?

Herinner het bedrijf eerst schriftelijk, met verwijzing naar de AVG en de maand-termijn. Reageert het nog niet, dien dan een klacht in bij de Autoriteit Persoonsgegevens. De AP kan onderzoek doen en handhavend optreden.

Tot slot

De AVG is geen bureaucratische rem op innovatie, maar een fundamentele erkenning dat jouw gegevens van jou zijn. Door de wet te begrijpen — als burger én als ondernemer — kun je beter beslissen welke data je deelt en met wie. En dat is in een wereld waarin dataprofielen steeds waardevoller worden, belangrijker dan ooit.