AVG Uitgelegd in Gewone Taal (2026): Complete Gids

De Algemene Verordening Gegevensbescherming (AVG) bestaat al sinds 2018, maar voor veel mensen blijft het een ondoorzichtige brij van juridisch jargon. In 2026 is de wet actueler dan ooit: AI-systemen verwerken miljarden datapunten, datahandelaren bouwen gedetailleerde profielen, en de boetes van toezichthouders bereiken recordhoogtes. In deze gids leggen we de AVG uit in gewone taal, zonder de juridische mist.

Wat is de AVG precies?

De AVG (in het Engels: GDPR, General Data Protection Regulation) is een Europese wet die bepaalt hoe organisaties met persoonsgegevens mogen omgaan. Hij geldt sinds 25 mei 2018 in alle EU-lidstaten en is rechtstreeks toepasbaar, wat betekent dat Nederland hem niet apart hoefde om te zetten in nationale wetgeving.

In de kern draait de AVG om een simpel idee: jouw gegevens zijn van jou. Bedrijven en overheden mogen ze alleen gebruiken als ze daar een goede reden voor hebben, en ze moeten je uitleggen wat ze doen. In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de naleving.

Wat zijn persoonsgegevens?

Een persoonsgegeven is alles waarmee je een persoon direct of indirect kunt identificeren. Denk aan:

• Naam, adres, telefoonnummer, e-mailadres
• BSN, pasfoto, stem, vingerafdruk
• IP-adressen en cookie-ID's
• Locatiegegevens van je telefoon
• Online gedrag, zoekgeschiedenis, aankopen
• Medische gegevens, religie, politieke voorkeur (bijzondere categorie)

De 7 basisprincipes van de AVG

De AVG rust op zeven principes die elke organisatie moet volgen bij het verwerken van gegevens. Dit is het fundament waar alles op gebouwd is.

1. Rechtmatigheid, behoorlijkheid en transparantie - Je moet begrijpen wat er met je gegevens gebeurt.
2. Doelbinding - Gegevens die voor doel A verzameld zijn, mogen niet zomaar voor doel B gebruikt worden.
3. Minimale gegevensverwerking - Alleen verzamelen wat echt nodig is.
4. Juistheid - Gegevens moeten kloppen en actueel zijn.
5. Opslagbeperking - Gegevens niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid - Beveiliging tegen hacks en lekken.
7. Verantwoordingsplicht - Organisaties moeten kunnen aantonen dat ze zich aan de regels houden.

De 6 grondslagen: wanneer mag een bedrijf jouw gegevens gebruiken?

Een organisatie mag jouw gegevens niet zomaar verwerken. Ze moeten een van de zes wettelijke grondslagen hebben. Dit is cruciaal om te snappen, want veel bedrijven doen alsof toestemming de enige basis is - dat klopt niet.

Grondslag	Wanneer van toepassing	Voorbeeld
Toestemming	Je zegt expliciet ja	Nieuwsbrief abonnement
Overeenkomst	Nodig voor contract	Adres voor webshop-levering
Wettelijke plicht	Wet verplicht het	Belastingdienst-gegevens
Vitaal belang	Leven staat op spel	Spoedeisende hulp
Algemeen belang	Publieke taak	Statistieken CBS
Gerechtvaardigd belang	Legitiem bedrijfsbelang	Fraudepreventie

Toestemming is streng geregeld

Als een bedrijf jouw toestemming nodig heeft, moet die aan vier eisen voldoen: vrij gegeven, specifiek, geinformeerd en ondubbelzinnig. Een vooraf aangevinkt vakje of een cookiebanner met alleen een 'accepteren'-knop is dus geen geldige toestemming. Je moet ook net zo makkelijk je toestemming kunnen intrekken als geven.

Jouw rechten onder de AVG

Dit is misschien wel het belangrijkste deel voor jou als burger. De AVG geeft je acht concrete rechten die je kunt uitoefenen bij elke organisatie die jouw gegevens verwerkt.

1. Recht op inzage

Je mag opvragen welke gegevens een organisatie van jou heeft. Ze moeten binnen een maand reageren met een overzicht, inclusief waar ze de data vandaan hebben en met wie ze gedeeld zijn.

2. Recht op rectificatie

Kloppen jouw gegevens niet? Je mag correctie eisen. Een verkeerd geboortejaar bij een verzekeraar, een foutief adres bij de bank - allemaal te corrigeren.

3. Recht op vergetelheid

In bepaalde situaties mag je eisen dat je gegevens volledig gewist worden. Bijvoorbeeld als het doel is bereikt, als je je toestemming intrekt, of als de verwerking onrechtmatig was.

4. Recht op beperking

Je kunt vragen om de verwerking tijdelijk stil te leggen, bijvoorbeeld terwijl een geschil loopt over de juistheid van gegevens.

5. Recht op dataportabiliteit

Je mag je gegevens in een gangbaar formaat opvragen om mee te nemen naar een andere dienst. Denk aan je muziekgeschiedenis van Spotify of je contacten uit een e-mailprovider.

6. Recht van bezwaar

Tegen verwerking op basis van gerechtvaardigd belang of direct marketing kun je altijd bezwaar maken. Bij marketing moet dat bezwaar direct worden gehonoreerd.

7. Recht op menselijke tussenkomst

Bij volledig geautomatiseerde besluiten met rechtsgevolgen (bijvoorbeeld een hypotheekafwijzing door een algoritme) heb je recht op een menselijke beoordeling. In 2026 is dit extra relevant door AI-gestuurde beslissingen.

8. Recht om een klacht in te dienen

Komt een organisatie je rechten niet na? Dan kun je kosteloos een klacht indienen bij de Autoriteit Persoonsgegevens.

Wat moeten bedrijven doen?

Aan de andere kant van de medaille staan de plichten voor organisaties. Deze zijn vaak omvangrijk, vooral voor grotere partijen.

Verwerkingsregister

Elke organisatie met meer dan 250 medewerkers (en vaak ook kleinere bij structurele verwerking) moet een register bijhouden van alle verwerkingsactiviteiten. Welke data, waarom, hoe lang, wie heeft toegang.

Privacyverklaring

Een duidelijke, toegankelijke uitleg over hoe de organisatie met gegevens omgaat. Niet verstopt in 20 pagina's juridisch Engels, maar begrijpelijk voor de gemiddelde gebruiker.

Verwerkersovereenkomst

Werkt een bedrijf met externe partijen die data verwerken (zoals een hostingprovider of marketingbureau)? Dan moet er een contract zijn dat afspraken over beveiliging en gebruik vastlegt.

DPIA bij hoog risico

Bij verwerkingen met hoog privacyrisico (bijvoorbeeld systematische monitoring of grote hoeveelheden bijzondere gegevens) is een Data Protection Impact Assessment verplicht. Een gestructureerde risicoanalyse voorafgaand aan de verwerking.

Functionaris Gegevensbescherming

Overheidsorganisaties en bedrijven die op grote schaal gevoelige data verwerken, moeten een FG aanstellen. Deze interne toezichthouder adviseert en controleert de naleving.

Datalekken melden

Bij een datalek moet een organisatie binnen 72 uur melding doen bij de AP, tenzij het risico voor betrokkenen minimaal is. Zijn de gevolgen groot? Dan moeten ook de betrokken personen worden geinformeerd.

Boetes en handhaving in 2026

De AVG kent twee boetecategorieen die flink kunnen oplopen. Bij lichte overtredingen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bij zware overtredingen tot 20 miljoen euro of 4% van de omzet - de hoogste van de twee telt.

In de afgelopen jaren hebben de Europese toezichthouders miljarden aan boetes uitgedeeld. Grote techbedrijven kregen tikken voor onder andere oneerlijke toestemming, onrechtmatige doorgifte naar derde landen, en onvoldoende transparantie. In Nederland deelde de AP boetes uit aan onder meer de Belastingdienst, Uber en diverse ziekenhuizen voor datalekken en onzorgvuldige verwerking.

AVG en nieuwe technologie

De AVG is techneutraal geschreven, maar botst in de praktijk steeds vaker met nieuwe technologieen.

AI en machine learning

AI-modellen worden getraind op enorme datasets, vaak gescraped van het web. De AP heeft meermaals aangegeven dat dit op gespannen voet staat met de AVG, met name rond grondslag, transparantie en het recht op vergetelheid. De AI Act, die vanaf 2026 volledig in werking treedt, vult de AVG aan met specifieke regels voor hoog-risico AI-systemen.

Tracking en profilering

Datahandelaren bouwen gedetailleerde profielen op basis van cookies, pixels en apparaat-fingerprints. In onze gids over datahandelaren lees je uitgebreid hoe die handel werkt en hoe je er onder uit komt.

Encryptie en beveiliging

De AVG verplicht 'passende technische maatregelen'. In 2026 betekent dat vrijwel altijd sterke encryptie, zowel tijdens opslag als tijdens verzending. Lees meer in onze gids over end-to-end encryptie.

URL-verkorters en tracking

Veel klassieke URL-verkorters loggen klikgedrag, IP-adressen en apparaatinformatie - vaak voor marketingdoeleinden. Dat valt onder de AVG en vereist een grondslag en transparantie. Een privacyvriendelijke dienst als Lunyb is zo ontworpen dat er minimale persoonsgegevens worden verwerkt, waardoor je als afzender en als klikker beschermd blijft. Zie onze handleiding over URL verkorten voor meer uitleg.

Wat betekent de AVG voor jou als MKB'er?

Als ondernemer hoef je geen juridisch team te hebben om compliant te zijn. Een praktische stappenlijst:

1. Breng in kaart welke data je verwerkt - klantgegevens, nieuwsbriefabonnees, personeelsadministratie.
2. Bepaal per verwerking de grondslag - overeenkomst, toestemming, gerechtvaardigd belang?
3. Schrijf een privacyverklaring - duidelijk, in gewone taal, op je website.
4. Regel verwerkersovereenkomsten met alle leveranciers die data zien.
5. Beveilig je systemen - sterke wachtwoorden, 2FA, encryptie, back-ups.
6. Train je team - de meeste datalekken ontstaan door menselijke fouten.
7. Maak een datalekprocedure - wie doet wat binnen 72 uur bij een incident?
8. Reageer snel op verzoeken - inzage, verwijdering of correctie binnen een maand.

Veelgemaakte misverstanden

"De AVG verbiedt alles"

Onzin. De AVG verbiedt niets, maar stelt voorwaarden. Je mag prima data verwerken, mits je transparant bent en een grondslag hebt.

"Toestemming is altijd nodig"

Nee. Toestemming is slechts een van de zes grondslagen, en vaak niet de meest geschikte. Voor een factuur heb je bijvoorbeeld een overeenkomst-grondslag, geen toestemming.

"Visitekaartjes mag je niet bewaren"

Jawel. Zakelijke contacten verwerken op basis van gerechtvaardigd belang is gewoon toegestaan, mits proportioneel.

"De AVG geldt niet buiten Europa"

Mis. De AVG geldt voor elke organisatie die diensten aanbiedt aan of gedrag monitort van personen in de EU, waar ter wereld die organisatie ook gevestigd is.

Hoe dien je een klacht in bij de AP?

Als een organisatie jouw rechten schendt en niet reageert op een verzoek, kun je gratis een klacht indienen bij de Autoriteit Persoonsgegevens. De procedure:

1. Dien eerst zelf een verzoek in bij de organisatie en bewaar het bewijs.
2. Wacht de wettelijke reactietermijn af (meestal een maand).
3. Ga naar autoriteitpersoonsgegevens.nl en gebruik het klachtenformulier.
4. Lever bewijsstukken aan: communicatie, screenshots, data.
5. De AP beoordeelt de klacht en kan onderzoek instellen of handhavend optreden.

FAQ: Veelgestelde vragen over de AVG

Geldt de AVG ook voor particulieren?

In principe niet voor zuiver persoonlijk of huishoudelijk gebruik, zoals je privecontacten of familiefoto's. Zodra je gegevens voor zakelijke of publieke doeleinden gebruikt (bijvoorbeeld als zzp'er, verenigingsbestuurder of actief op sociale media met commerciele intenties), gelden de regels wel.

Mag mijn werkgever mijn e-mails lezen?

Alleen onder strikte voorwaarden. Er moet een gerechtvaardigd doel zijn (bijvoorbeeld fraudeonderzoek), proportionaliteit, voorafgaande informatie aan werknemers, en bij voorkeur instemming van de ondernemingsraad. Willekeurig meelezen is niet toegestaan.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Zo lang als nodig voor het doel waarvoor ze verzameld zijn, of zo lang als een wettelijke bewaartermijn vereist (bijvoorbeeld 7 jaar voor fiscale gegevens). Daarna moeten ze gewist of geanonimiseerd worden. Een vaste 'standaardtermijn' bestaat niet.

Wat is het verschil tussen de AVG en de UAVG?

De AVG is Europees. De UAVG (Uitvoeringswet AVG) is de Nederlandse wet die een paar nationale keuzes invult, bijvoorbeeld rond de leeftijd voor toestemming door minderjarigen (16 jaar in Nederland) en de rol van de AP. Beide samen vormen het geldend recht.

Kan ik schadevergoeding eisen bij een datalek?

Ja. De AVG geeft recht op vergoeding van materiele en immateriele schade door onrechtmatige verwerking. Je moet wel aantonen dat er daadwerkelijk schade is - alleen onrust is in de Nederlandse rechtspraak vaak onvoldoende, maar bij identiteitsfraude of concrete gevolgen is er zeker ruimte.

De AVG is geen papieren tijger meer. In 2026, met AI-regelgeving, strengere handhaving en meer bewustzijn bij consumenten, is het belangrijker dan ooit om te weten wat je rechten en plichten zijn. Deze gids is een startpunt - voor specifieke situaties blijft advies van een privacyjurist of de AP zelf de beste bron.