AVG Uitgelegd in Gewone Taal 2026: Wat Je Echt Moet Weten

De Algemene Verordening Gegevensbescherming (AVG) is al sinds 2018 van kracht, maar voor veel mensen blijft het een wirwar van juridische termen. In deze gids leggen we de AVG uit in gewone taal: wat betekent het voor jou als consument, wat moeten bedrijven doen, en welke ontwikkelingen zijn er in 2026?

Wat is de AVG eigenlijk?

De AVG (Algemene Verordening Gegevensbescherming) is een Europese wet die regelt hoe organisaties met jouw persoonsgegevens mogen omgaan. In het Engels heet dit de GDPR (General Data Protection Regulation). De wet geldt sinds 25 mei 2018 in alle EU-landen, inclusief Nederland.

Simpel gezegd: de AVG geeft jou controle over je eigen gegevens. Bedrijven, overheden en verenigingen mogen niet zomaar alles met jouw informatie doen wat ze willen. Ze moeten zich aan strikte regels houden, anders riskeren ze hoge boetes.

Waarom bestaat de AVG?

Voor 2018 had elk EU-land zijn eigen privacywetten. Dat was een puinhoop, zeker met het internet dat geen grenzen kent. De AVG zorgt voor eenduidige regels in heel Europa. Belangrijkste doelen:

• Burgers meer controle geven over hun persoonsgegevens
• Eenduidige privacyregels in heel Europa
• Bedrijven verantwoordelijk houden voor datalekken
• Transparantie afdwingen over wat er met data gebeurt

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens waarmee je een persoon kunt identificeren, direct of indirect. Dat is breder dan je misschien denkt.

Voorbeelden van persoonsgegevens

• Direct identificerend: naam, adres, telefoonnummer, e-mailadres, BSN, pasfoto
• Indirect identificerend: IP-adres, cookie-ID, locatiegegevens, online gebruikersnamen
• Bijzondere persoonsgegevens: gezondheidsgegevens, religieuze overtuiging, seksuele geaardheid, etnische afkomst, politieke voorkeur, biometrische data

Bijzondere persoonsgegevens zijn extra gevoelig en vallen onder nog strengere regels. Een huisarts mag bijvoorbeeld niet zomaar je medisch dossier delen met een verzekeraar.

Jouw 8 rechten onder de AVG

De AVG geeft jou als burger acht specifieke rechten. Dit is waarschijnlijk het belangrijkste onderdeel om te onthouden, want deze rechten kun je direct inroepen bij elk bedrijf of elke organisatie.

1. Recht op informatie

Een organisatie moet je duidelijk vertellen welke gegevens ze verzamelen, waarom, hoe lang ze die bewaren en met wie ze die delen. Dit staat meestal in de privacyverklaring.

2. Recht op inzage

Je mag opvragen welke persoonsgegevens een organisatie van jou heeft. Ze moeten je binnen een maand een kopie geven, meestal gratis.

3. Recht op rectificatie

Zijn je gegevens incorrect of onvolledig? Dan heb je recht op correctie. Denk aan een verkeerd geboortedatum bij je bank.

4. Recht op vergetelheid

In bepaalde gevallen moet een organisatie jouw gegevens verwijderen. Bijvoorbeeld als de gegevens niet meer nodig zijn, of als je je toestemming intrekt.

5. Recht op beperking van verwerking

Je kunt vragen om het gebruik van je gegevens tijdelijk stop te zetten, bijvoorbeeld als je bezwaar hebt ingediend dat nog wordt behandeld.

6. Recht op dataportabiliteit

Je mag je gegevens in een gangbaar formaat opvragen en meenemen naar een andere dienst. Denk aan het overzetten van je muziekgeschiedenis naar een andere streamingdienst.

7. Recht op bezwaar

Je mag bezwaar maken tegen bepaalde vormen van verwerking, met name tegen direct marketing. Dat laatste bezwaar moet altijd worden gehonoreerd.

8. Recht met betrekking tot geautomatiseerde besluitvorming

Beslissingen die alleen door algoritmes worden genomen (bijvoorbeeld een afwijzing van een lening) moeten door een mens herzien kunnen worden.

Wat moeten bedrijven doen onder de AVG?

Elke organisatie die persoonsgegevens verwerkt, van ZZP'er tot multinational, moet aan de AVG voldoen. Hier zijn de belangrijkste verplichtingen in begrijpelijke taal.

Grondslag voor verwerking

Een bedrijf mag gegevens alleen verwerken als er een wettelijke basis voor is. De AVG kent zes grondslagen:

Grondslag	Voorbeeld
Toestemming	Nieuwsbrief abonnement
Uitvoering overeenkomst	Adresgegevens voor webshopbestelling
Wettelijke verplichting	Belastinggegevens bewaren
Vitaal belang	Medische noodsituatie
Algemeen belang	Overheidstaken
Gerechtvaardigd belang	Fraudepreventie

Belangrijkste verplichtingen in een notendop

1. Verwerkingsregister bijhouden: een overzicht van alle gegevensverwerkingen
2. Privacyverklaring publiceren: begrijpelijk uitleggen wat er met data gebeurt
3. Datalekken melden: binnen 72 uur bij de Autoriteit Persoonsgegevens (AP)
4. Verwerkersovereenkomsten sluiten: met leveranciers die data verwerken
5. DPIA uitvoeren: risicoanalyse bij hoog-risicoverwerkingen
6. Privacy by design: privacy inbouwen in systemen en processen
7. FG aanstellen: een Functionaris Gegevensbescherming bij bepaalde organisaties

De Autoriteit Persoonsgegevens: de waakhond

In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de naleving van de AVG. De AP kan onderzoek doen, waarschuwingen geven en boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is.

Bekende AVG-boetes in Nederland

• Belastingdienst (3,7 miljoen): voor de Fraude Signalering Voorziening
• Booking.com (475.000): te late melding datalek
• UWV (900.000): onvoldoende beveiliging bestanden
• TikTok (750.000): privacyverklaring niet in het Nederlands

Als consument kun je bij de AP een klacht indienen als je denkt dat een organisatie jouw rechten schendt. Dat is gratis en kan online via autoriteitpersoonsgegevens.nl.

Wat verandert er in 2026?

De AVG zelf verandert niet fundamenteel in 2026, maar er zijn belangrijke ontwikkelingen die samenhangen met de wet.

De AI Act in werking

De Europese AI Act, die vanaf 2026 volledig van toepassing is, legt extra eisen op aan organisaties die AI gebruiken met persoonsgegevens. Hoog-risico AI-systemen moeten transparant zijn, auditbaar en non-discriminerend.

Strengere handhaving cookiewalls

De AP heeft aangekondigd in 2026 strenger te handhaven op cookiewalls en nep-toestemming. Websites die je dwingen cookies te accepteren voordat je de inhoud kunt zien, riskeren boetes.

Datahandelaren onder vuur

De handel in persoonsgegevens krijgt meer aandacht. Lees meer over datahandelaren en wie jouw gegevens verkoopt voor een compleet overzicht.

Data Governance Act en Data Act

Nieuwe EU-wetten vullen de AVG aan. De Data Act regelt wie toegang heeft tot IoT-data (bijvoorbeeld van je slimme auto of thermostaat) en versterkt jouw positie als consument.

Praktische tips: AVG toepassen in je dagelijks leven

De AVG is pas waardevol als je er ook gebruik van maakt. Hier zijn concrete manieren om je privacy actief te beschermen.

Voor consumenten

1. Vraag inzage aan: stuur eens een inzageverzoek naar een bedrijf waar je veel bij koopt
2. Trek toestemming in: uitschrijven van nieuwsbrieven en marketing moet altijd mogelijk zijn
3. Weiger cookies: alle niet-noodzakelijke cookies mogen geweigerd worden
4. Dien klachten in: gebruik de AP als een bedrijf niet reageert
5. Beperk data delen: geef niet meer informatie dan strikt noodzakelijk
6. Gebruik privacyvriendelijke tools: kies diensten die minimale data verzamelen, zoals een URL-verkorter als Lunyb die geen tracking vereist

Voor kleine ondernemers

1. Maak een verwerkingsregister, ook al ben je ZZP'er
2. Publiceer een eenvoudige maar complete privacyverklaring
3. Sluit verwerkersovereenkomsten met je hosting- en e-mailprovider
4. Beveilig laptops en telefoons met encryptie en sterke wachtwoorden
5. Bewaar gegevens niet langer dan nodig
6. Train jezelf en medewerkers op privacybewustzijn

AVG vs. andere privacywetten

Veel mensen verwarren de AVG met andere wetten. Hier het verschil in gewone taal.

Wet	Waar	Waarover
AVG/GDPR	Hele EU	Persoonsgegevens algemeen
UAVG	Nederland	Nederlandse invulling van AVG
Telecommunicatiewet	Nederland	Cookies en direct marketing
ePrivacy Verordening	EU (in behandeling)	Elektronische communicatie
CCPA	Californie	Amerikaanse variant

Veelgemaakte misverstanden over de AVG

"De AVG verbiedt alles"

Onzin. De AVG verbiedt niks, maar stelt voorwaarden. Je mag prima gegevens verwerken, als het maar transparant en met een geldige grondslag gebeurt.

"Ik moet overal toestemming voor vragen"

Nee. Toestemming is slechts een van de zes grondslagen. Voor een webshopbestelling heb je bijvoorbeeld geen toestemming nodig om een adres te verwerken, dat valt onder uitvoering van de overeenkomst.

"Visitekaartjes vallen niet onder AVG"

Jawel. Zodra je een visitekaartje opslaat in een systeem, ben je persoonsgegevens aan het verwerken.

"Alleen grote bedrijven moeten zich zorgen maken"

Fout. De AVG geldt voor iedereen die persoonsgegevens verwerkt, van sportvereniging tot eenmanszaak. Alleen puur persoonlijke verwerking (zoals je eigen adresboek) valt eronder uit.

Wat te doen bij een datalek?

Een datalek is een inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan of in verkeerde handen vallen. Dat varieert van een gestolen laptop tot een hack van een database.

Als je zelf getroffen bent

1. Wijzig onmiddellijk je wachtwoord bij de getroffen dienst
2. Wijzig datzelfde wachtwoord ook op andere plekken (als je dat helaas gebruikt)
3. Activeer tweestapsverificatie waar mogelijk
4. Houd je bankafschriften extra in de gaten
5. Wees extra alert op phishing en spam-oproepen

Als je zelf een datalek veroorzaakt

Je moet het binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek risico oplevert voor betrokkenen. Bij hoog risico moet je ook de getroffen personen zelf informeren.

Lunyb en de AVG

Veel tools die je dagelijks gebruikt verzamelen meer data dan je denkt. Bij diensten als URL-verkorters geldt dat ook. Lunyb is bewust ontworpen met privacy als uitgangspunt: minimale dataverzameling, geen verkoop van gegevens aan derden en volledige transparantie over wat er wordt opgeslagen. Dat past precies bij de geest van de AVG.

Voor Belgische ondernemers hebben we ook een specifieke gids over gegevensbescherming voor Belgische bedrijven.

Veelgestelde vragen

Geldt de AVG ook voor bedrijven buiten de EU?

Ja, als ze diensten aanbieden aan EU-burgers of hun gedrag monitoren. Een Amerikaanse webshop die aan Nederlanders verkoopt, moet dus ook aan de AVG voldoen. Dit heet het territoriaal toepassingsgebied.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Niet langer dan nodig voor het doel waarvoor ze zijn verzameld. Voor sommige gegevens gelden wettelijke bewaartermijnen (bijvoorbeeld zeven jaar voor fiscale administratie), voor andere moet het bedrijf zelf een redelijke termijn bepalen en motiveren.

Wat kost een inzageverzoek?

In principe niets. Een bedrijf mag alleen bij kennelijk ongegronde of buitensporige verzoeken een redelijke vergoeding vragen. Zie je daar een factuur voor? Dan is dat verdacht en kun je klacht indienen bij de AP.

Mogen werkgevers mijn e-mails lezen?

Alleen onder strikte voorwaarden. Er moet een duidelijk belang zijn, het moet proportioneel zijn, medewerkers moeten vooraf geinformeerd zijn en er moet een protocol zijn. Zomaar meelezen is niet toegestaan.

Wat is het verschil tussen een verwerker en verwerkingsverantwoordelijke?

De verwerkingsverantwoordelijke bepaalt waarom en hoe data wordt verwerkt (bijvoorbeeld een webshop). De verwerker voert dit uit namens de verantwoordelijke (bijvoorbeeld de hostingprovider). Tussen beiden moet een verwerkersovereenkomst zijn.

Kan ik schadevergoeding eisen bij een AVG-overtreding?

Ja. Als je materiele of immateriele schade lijdt door een AVG-overtreding, kun je schadevergoeding eisen bij de rechter. Er zijn inmiddels diverse zaken waarin consumenten honderden tot duizenden euro's toegewezen kregen.

Conclusie

De AVG is geen bureaucratisch monster, maar een krachtig instrument om jouw privacy te beschermen. Als je weet wat je rechten zijn en hoe je ze inroept, heb je echt iets aan deze wet. In 2026 blijft de AVG het fundament van Europese privacybescherming, aangevuld met nieuwe regels rondom AI en data-governance. Neem je privacy serieus: lees privacyverklaringen, weiger onnodige cookies, dien inzageverzoeken in en kies bewust voor privacyvriendelijke diensten.