AVG Uitgelegd in Gewone Taal 2026: Wat Je Echt Moet Weten

De Algemene Verordening Gegevensbescherming (AVG) bestaat sinds mei 2018, maar voor veel mensen blijft het een abstract juridisch document. In deze gids leggen we de AVG uit in gewone taal, met praktische voorbeelden en de belangrijkste updates voor 2026. Of je nu burger bent, ondernemer of werknemer: na het lezen weet je precies wat je rechten en plichten zijn.

Wat is de AVG precies?

De AVG is een Europese wet die bepaalt hoe organisaties met persoonsgegevens mogen omgaan. Persoonsgegevens zijn alle gegevens waarmee je iemand direct of indirect kunt identificeren: naam, e-mailadres, telefoonnummer, IP-adres, foto, locatiegegevens en zelfs cookie-ID's.

De wet is sinds 25 mei 2018 in heel de Europese Unie van kracht en vervangt oudere nationale privacywetten. In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op naleving. In Belgie is dat de Gegevensbeschermingsautoriteit (GBA).

Waarom bestaat de AVG?

De digitale wereld is explosief gegroeid. Bedrijven verzamelen enorme hoeveelheden gegevens over ons gedrag, voorkeuren en identiteit. De AVG geeft burgers controle terug: jij bepaalt wat er met jouw gegevens gebeurt, niet het bedrijf dat ze verzamelt.

De zeven basisprincipes van de AVG

Elke organisatie die persoonsgegevens verwerkt, moet zich houden aan zeven kernprincipes. Dit zijn de bouwstenen van de hele verordening.

1. Rechtmatigheid, behoorlijkheid en transparantie: verwerking moet eerlijk zijn en duidelijk uitgelegd worden.
2. Doelbinding: gegevens mogen alleen voor een specifiek, vooraf vastgesteld doel gebruikt worden.
3. Minimale gegevensverwerking: verzamel alleen wat echt nodig is.
4. Juistheid: gegevens moeten correct en up-to-date zijn.
5. Opslagbeperking: gegevens niet langer bewaren dan nodig.
6. Integriteit en vertrouwelijkheid: gegevens moeten goed beveiligd zijn.
7. Verantwoordingsplicht: de organisatie moet kunnen aantonen dat ze zich aan de regels houdt.

Jouw acht rechten onder de AVG

De AVG geeft je als burger acht concrete rechten. Deze kun je uitoefenen bij elk bedrijf of elke organisatie die gegevens over jou verwerkt.

1. Recht op inzage

Je mag opvragen welke persoonsgegevens een organisatie van jou heeft. Denk aan je klantprofiel, aankoophistorie of welke categorieen gegevens er zijn opgeslagen. Het bedrijf moet binnen een maand reageren.

2. Recht op rectificatie

Zijn gegevens onjuist of onvolledig? Je mag ze laten aanpassen. Denk aan een verkeerd geboortedatum of een oud adres.

3. Recht op vergetelheid

In veel situaties kun je eisen dat je gegevens volledig worden gewist. Dit geldt bijvoorbeeld als de gegevens niet meer nodig zijn, als je toestemming intrekt, of als de verwerking onrechtmatig was. Lees onze complete handleiding over het indienen van een vergetelheidsverzoek voor de precieze stappen.

4. Recht op beperking van verwerking

Je kunt een organisatie vragen om tijdelijk te stoppen met het verwerken van jouw gegevens, bijvoorbeeld terwijl een geschil loopt.

5. Recht op dataportabiliteit

Je mag je gegevens in een gestructureerd, machineleesbaar formaat opvragen en meenemen naar een andere dienstverlener. Handig bij overstappen tussen banken, energieleveranciers of sociale netwerken.

6. Recht van bezwaar

Tegen bepaalde verwerkingen (zoals direct marketing) kun je altijd bezwaar maken. Het bedrijf moet dan stoppen, tenzij er zwaarwegende gerechtvaardigde gronden zijn.

7. Recht om niet onderworpen te worden aan geautomatiseerde besluitvorming

Als een algoritme beslissingen over je neemt met rechtsgevolgen (zoals een afgewezen lening), heb je recht op menselijke tussenkomst en uitleg.

8. Recht om toestemming in te trekken

Toestemming die je ooit gaf (bijvoorbeeld voor een nieuwsbrief) mag je altijd intrekken. Het moet net zo eenvoudig zijn om in te trekken als om te geven.

Wanneer mag een organisatie jouw gegevens verwerken?

Een organisatie heeft altijd een geldige grondslag nodig om persoonsgegevens te verwerken. De AVG kent precies zes mogelijke grondslagen - meer zijn er niet.

Grondslag	Wanneer van toepassing	Praktijkvoorbeeld
Toestemming	Je geeft actief akkoord	Nieuwsbrief abonneren
Overeenkomst	Nodig voor contractuitvoering	Bezorgadres bij webshop
Wettelijke verplichting	Wet verplicht de verwerking	Belastingadministratie
Vitaal belang	Leven of gezondheid in gevaar	Medische noodsituatie
Algemeen belang	Publieke taak	Gemeentelijke dienstverlening
Gerechtvaardigd belang	Belang bedrijf weegt zwaarder	Fraudepreventie

Wat moeten bedrijven doen om AVG-compliant te zijn?

Voor organisaties betekent de AVG dat ze hun gegevensverwerking goed moeten documenteren en beveiligen. Dit zijn de belangrijkste verplichtingen in 2026.

Register van verwerkingsactiviteiten

Elke organisatie met meer dan 250 medewerkers (en vaak ook kleinere) moet bijhouden welke persoonsgegevens worden verwerkt, voor welk doel, hoe lang ze worden bewaard en wie er toegang toe heeft.

Privacyverklaring

Op elke website moet een heldere privacyverklaring staan. Daarin leg je uit welke gegevens je verzamelt, waarom, hoe lang en met welke partijen je ze deelt.

Verwerkersovereenkomsten

Als je persoonsgegevens laat verwerken door een externe partij (bijvoorbeeld een hostingprovider of e-mailmarketingdienst), moet je daar een verwerkersovereenkomst mee sluiten.

Data Protection Impact Assessment (DPIA)

Bij verwerkingen met een hoog privacyrisico moet je vooraf een DPIA uitvoeren: een gestructureerde risicoanalyse. Denk aan grootschalige profilering of camerabewaking in openbare ruimtes.

Functionaris voor Gegevensbescherming (FG)

Overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken, moeten een FG aanstellen - een interne privacy-toezichthouder.

Datalekmeldingen

Een datalek moet binnen 72 uur gemeld worden bij de AP. Zijn de risico's hoog voor betrokkenen? Dan moeten ook de slachtoffers worden geinformeerd.

Boetes onder de AVG: wat kost een overtreding?

De AVG heeft serieuze tanden. De maximale boete is 20 miljoen euro of 4% van de wereldwijde jaaromzet - afhankelijk van wat hoger is. In 2024 en 2025 zijn er flinke boetes uitgedeeld, en die trend zet zich voort.

Voorbeelden van redenen voor boetes:

• Geen geldige grondslag voor gegevensverwerking
• Onvoldoende beveiliging (datalekken)
• Niet reageren op inzageverzoeken
• Cookies plaatsen zonder toestemming
• Doorgifte van gegevens naar derde landen zonder adequate waarborgen

Vermoed je dat een organisatie zich niet aan de AVG houdt? Je kunt een klacht indienen bij de toezichthouder. Lees onze stap-voor-stap handleiding voor het indienen van een AP-klacht.

Bijzondere persoonsgegevens: extra bescherming

Sommige gegevens zijn zo gevoelig dat de AVG er extra regels voor heeft. Deze bijzondere persoonsgegevens mogen in principe niet verwerkt worden, behalve in strikt afgebakende uitzonderingen.

• Ras of etnische afkomst
• Politieke opvattingen
• Religieuze of levensbeschouwelijke overtuigingen
• Lidmaatschap vakbond
• Genetische en biometrische gegevens
• Gezondheidsgegevens
• Seksueel gedrag of geaardheid
• Strafrechtelijke gegevens

Verwerking is bijvoorbeeld toegestaan met uitdrukkelijke toestemming, voor medische doeleinden of op basis van een specifieke wettelijke grondslag.

Cookies en de AVG in 2026

Cookies en vergelijkbare trackingtechnologieen vallen onder zowel de AVG als de ePrivacy-richtlijn. In 2026 is handhaving op cookiebanners strenger dan ooit.

Wat moet een geldige cookiebanner doen?

1. Vooraf duidelijk informeren over welke cookies gebruikt worden
2. Geen trackingcookies plaatsen voordat je toestemming hebt
3. Weigeren moet net zo makkelijk zijn als accepteren
4. Geen voorgeselecteerde vinkjes of "dark patterns"
5. Toestemming moet eenvoudig in te trekken zijn

De AP controleert actief op cookiewalls en misleidende banners. Veel grote Nederlandse websites hebben in 2024-2025 waarschuwingen of boetes ontvangen vanwege oneerlijke cookie-praktijken.

Internationale gegevensoverdracht

Persoonsgegevens doorgeven naar landen buiten de Europese Economische Ruimte (EER) mag alleen als die landen een vergelijkbaar beschermingsniveau bieden. Sinds het EU-US Data Privacy Framework (2023) is overdracht naar gecertificeerde Amerikaanse bedrijven weer eenvoudiger geworden, maar bedrijven moeten alsnog documenteren welke waarborgen er zijn.

Voor doorgifte naar landen zonder adequaatheidsbesluit zijn Standard Contractual Clauses (SCC's) nodig, aangevuld met een Transfer Impact Assessment.

Praktische privacytips voor jezelf

De AVG geeft je rechten, maar je kunt ook zelf veel doen om je privacy te beschermen. Een paar praktische tips voor 2026:

• Minimaliseer wat je deelt: gebruik niet overal je echte e-mailadres. Overweeg aliassen of wegwerpadressen.
• Deel geen rauwe lange URL's met tracking parameters: gebruik een privacyvriendelijke linkverkorter zoals Lunyb om tracking-ID's uit URL's te verwijderen voordat je ze deelt.
• Lees privacyverklaringen (de samenvatting): veel sites hebben nu korte versies met de essentie.
• Oefen je rechten actief uit: vraag jaarlijks bij enkele diensten op welke gegevens ze van je hebben.
• Herken phishing en oplichting: wees alert op verdachte telefoontjes - zie onze gids over oplichtingsnummers melden.

AVG in Belgie: wat is anders?

De AVG is Europees, dus de kern is in Belgie en Nederland hetzelfde. Toch zijn er verschillen in uitvoering en handhaving. In Belgie is de GBA de toezichthouder en gelden aanvullende nationale regels in de Kaderwet van 30 juli 2018. Meer details lees je in onze gids Privacy Online in Belgie 2026.

Belangrijke ontwikkelingen in 2026

De AVG staat niet stil. Dit zijn de ontwikkelingen die je in 2026 moet kennen:

• AI Act: de Europese AI-verordening werkt samen met de AVG en legt extra eisen op aan algoritmes die persoonsgegevens gebruiken.
• Data Act: nieuwe regels over gebruik en delen van (ook niet-persoonlijke) data.
• Digital Services Act (DSA): extra verplichtingen voor grote online platforms rond transparantie en profilering.
• Strengere handhaving op cookies: toezichthouders focussen op consent management platforms.
• Meer boetes voor datalekken: vooral als beveiliging aantoonbaar onder de maat was.

Veelgestelde vragen over de AVG

Geldt de AVG ook voor kleine bedrijven en ZZP'ers?

Ja. De AVG maakt geen onderscheid in bedrijfsgrootte. Zodra je persoonsgegevens verwerkt - en dat doe je als je klanten of nieuwsbrieflezers hebt - geldt de verordening. Wel zijn sommige verplichtingen (zoals het register van verwerkingsactiviteiten) soepeler voor organisaties onder de 250 medewerkers, maar vaak alsnog verplicht.

Mag ik mijn klantgegevens voor altijd bewaren?

Nee. Je mag gegevens alleen bewaren zolang ze nodig zijn voor het doel waarvoor je ze verzamelt. Voor fiscale administratie geldt bijvoorbeeld een wettelijke bewaartermijn van 7 jaar. Marketinggegevens moet je eerder opruimen. Leg per categorie gegevens een bewaartermijn vast.

Wat is het verschil tussen een verwerker en een verwerkingsverantwoordelijke?

De verwerkingsverantwoordelijke bepaalt waarom en hoe gegevens verwerkt worden (bijvoorbeeld jij als ondernemer). De verwerker voert de verwerking uit in opdracht (bijvoorbeeld je hostingprovider of e-mailmarketingtool). Tussen beide partijen moet een verwerkersovereenkomst bestaan.

Hoe lang heeft een organisatie om op mijn inzageverzoek te reageren?

Binnen een maand na ontvangst. Bij complexe verzoeken mag dit met twee maanden verlengd worden, mits je daarover wordt geinformeerd. Een inzageverzoek is in principe gratis - alleen bij kennelijk ongegronde of buitensporige verzoeken mag een redelijke vergoeding gevraagd worden.

Wat moet ik doen als ik denk dat mijn gegevens onrechtmatig verwerkt worden?

Neem eerst contact op met de organisatie zelf. Reageren ze niet of ben je niet tevreden? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (NL) of de Gegevensbeschermingsautoriteit (BE). Je kunt ook naar de civiele rechter stappen voor schadevergoeding.

Conclusie

De AVG lijkt complex, maar in de kern draait het om een simpel idee: jij hebt controle over jouw persoonsgegevens. Organisaties mogen ze gebruiken, maar alleen eerlijk, transparant en met respect voor jouw rechten. In 2026 wordt handhaving strenger en komen er nieuwe wetten bij die naast de AVG werken.

Als burger loont het om je rechten te kennen en actief uit te oefenen. Als ondernemer is AVG-compliance geen last maar een kwaliteitskeurmerk - klanten vertrouwen bedrijven die zorgvuldig met gegevens omgaan. Hoe meer we allemaal privacy serieus nemen, hoe gezonder het digitale landschap wordt.