AVG Uitgelegd in Gewone Taal: Complete Gids voor 2026

De Algemene Verordening Gegevensbescherming (AVG) bestaat inmiddels bijna acht jaar, maar voor veel mensen blijft de wet een ondoorzichtige verzameling juridische begrippen. In deze gids leggen we de AVG uit in gewone taal, zodat je als burger, ondernemer of medewerker precies weet wat de regels in 2026 betekenen voor jouw persoonsgegevens.

Wat is de AVG? Een korte definitie

De AVG (Algemene Verordening Gegevensbescherming) is een Europese privacywet die sinds 25 mei 2018 van kracht is. De wet bepaalt hoe organisaties met persoonsgegevens van Europese burgers mogen omgaan en welke rechten burgers hebben om controle over hun gegevens uit te oefenen.

In het Engels heet de AVG de GDPR (General Data Protection Regulation). Het is dezelfde wet, alleen onder een andere naam. De AVG geldt in alle 27 EU-lidstaten en ook voor organisaties buiten de EU die gegevens verwerken van Europese burgers.

Waarom is de AVG er gekomen?

Voor 2018 had elk EU-land zijn eigen privacywetgeving. Dat maakte het voor bedrijven ingewikkeld en voor burgers onduidelijk welke bescherming ze konden verwachten. De AVG harmoniseerde die regels tot een eenduidig kader met stevige rechten voor burgers en hoge boetes voor overtreders (tot 20 miljoen euro of 4% van de wereldwijde jaaromzet).

Wat zijn persoonsgegevens volgens de AVG?

Persoonsgegevens zijn alle gegevens die te herleiden zijn naar een identificeerbaar persoon. Dit is breder dan veel mensen denken en omvat niet alleen namen of adressen.

Voorbeelden van persoonsgegevens

• Naam, adres, telefoonnummer, e-mailadres
• IP-adressen en cookie-ID's
• Locatiegegevens van je telefoon
• Foto's en video's waarop je herkenbaar bent
• Stemopnames
• Bankrekeningnummers en betaalgegevens
• Online gebruikersnamen en profielen

Bijzondere persoonsgegevens

Sommige gegevens vallen onder de categorie "bijzondere persoonsgegevens" en krijgen extra bescherming. Denk aan:

• Gezondheidsgegevens
• Religieuze of levensbeschouwelijke overtuigingen
• Politieke voorkeuren
• Seksuele geaardheid
• Biometrische gegevens (vingerafdrukken, gezichtsherkenning)
• Ras of etnische afkomst

Deze gegevens mogen in principe alleen verwerkt worden met uitdrukkelijke toestemming of op basis van een beperkt aantal wettelijke uitzonderingen.

De zes grondslagen: wanneer mag een organisatie gegevens verwerken?

Een organisatie mag persoonsgegevens alleen verwerken als daar een wettelijke grondslag voor is. De AVG kent zes grondslagen, en minstens één daarvan moet van toepassing zijn.

1. Toestemming: de persoon heeft duidelijk "ja" gezegd (bijvoorbeeld door een cookiebanner te accepteren).
2. Overeenkomst: de verwerking is nodig om een contract uit te voeren (bijvoorbeeld een bestelling verwerken).
3. Wettelijke verplichting: de wet schrijft de verwerking voor (bijvoorbeeld fiscale bewaarplicht).
4. Vitaal belang: de verwerking beschermt iemands leven of gezondheid (bijvoorbeeld bij een medisch noodgeval).
5. Algemeen belang: taken van publiek belang, vaak door overheden.
6. Gerechtvaardigd belang: het bedrijfsbelang weegt zwaarder dan de privacyinbreuk, mits dat goed onderbouwd is.

Veel bedrijven leunen op "gerechtvaardigd belang" voor marketingactiviteiten, maar dat vereist altijd een belangenafweging die schriftelijk vastgelegd moet zijn.

Jouw rechten onder de AVG uitgelegd

De AVG geeft je acht fundamentele rechten als burger. Hier is wat ze betekenen in de praktijk.

1. Recht op inzage

Je mag een organisatie vragen welke persoonsgegevens zij over jou verwerken. Binnen een maand moeten ze je een overzicht geven, inclusief het doel van de verwerking en met wie de gegevens gedeeld worden.

2. Recht op rectificatie

Als gegevens onjuist of onvolledig zijn, mag je verlangen dat ze gecorrigeerd worden. Denk aan een verkeerd adres bij je bank of een foutieve geboortedatum bij een verzekeraar.

3. Recht op vergetelheid

Je kunt verzoeken dat je gegevens volledig verwijderd worden. Dit recht is niet absoluut: als een organisatie een wettelijke bewaarplicht heeft, kunnen ze het verzoek weigeren. Meer hierover lees je in onze gids over het indienen van een vergetelheidsverzoek.

4. Recht op beperking van verwerking

Je kunt vragen om tijdelijk te stoppen met het verwerken van je gegevens, bijvoorbeeld tijdens een lopend geschil over de juistheid ervan.

5. Recht op dataportabiliteit

Je mag je gegevens in een gangbaar formaat opvragen en overdragen aan een andere dienst. Dit is handig als je bijvoorbeeld wisselt van e-mailprovider of sociale netwerk.

6. Recht op bezwaar

Tegen verwerkingen op basis van gerechtvaardigd belang of direct marketing kun je bezwaar maken. Bij marketing moet de organisatie altijd stoppen; bij andere gronden moet er een afweging plaatsvinden.

7. Recht om niet onderworpen te worden aan automatische besluitvorming

Als een algoritme zelfstandig beslissingen neemt die je significant raken (zoals een kredietafwijzing), heb je recht op menselijke tussenkomst en uitleg.

8. Recht om geinformeerd te worden

Organisaties moeten transparant communiceren over welke gegevens ze verzamelen, waarom, en hoe lang. Dit gebeurt meestal via een privacyverklaring.

Wat moeten organisaties doen? De AVG-verplichtingen

Elke organisatie die persoonsgegevens verwerkt, moet voldoen aan een reeks verplichtingen. Hier zijn de belangrijkste.

Verwerkingsregister bijhouden

Organisaties met meer dan 250 medewerkers (en kleinere organisaties die structureel of risicovol verwerken) moeten een verwerkingsregister bijhouden. Daarin staat precies welke gegevens worden verwerkt, voor welk doel en hoe lang.

Privacyverklaring publiceren

Elke website of dienst moet een duidelijke privacyverklaring hebben die in begrijpelijke taal uitlegt hoe gegevens worden verwerkt.

Datalekken melden

Bij een datalek moet de organisatie binnen 72 uur een melding doen bij de Autoriteit Persoonsgegevens (AP). Als het lek een hoog risico vormt voor betrokkenen, moeten die ook geinformeerd worden.

Privacy by design en default

Privacy moet vanaf het ontwerp van een systeem of dienst worden ingebouwd, niet achteraf toegevoegd. Standaardinstellingen moeten de meest privacyvriendelijke optie zijn.

Data Protection Impact Assessment (DPIA)

Bij risicovolle verwerkingen (bijvoorbeeld grootschalige monitoring of gevoelige gegevens) moet een impact assessment uitgevoerd worden voordat de verwerking begint.

Functionaris voor Gegevensbescherming (FG)

Overheidsinstellingen en organisaties die op grote schaal persoonsgegevens verwerken moeten een FG aanstellen. Deze functionaris adviseert, controleert en is aanspreekpunt voor betrokkenen en de toezichthouder.

AVG-boetes in 2026: wat staat er op het spel?

De AVG kent twee niveaus van boetes, afhankelijk van de ernst van de overtreding.

Categorie	Maximale boete	Voorbeelden van overtredingen
Lagere categorie	10 miljoen euro of 2% jaaromzet	Geen verwerkingsregister, geen DPIA, FG niet aangesteld
Hogere categorie	20 miljoen euro of 4% jaaromzet	Schenden van grondbeginselen, negeren van rechten, onwettige doorgifte

De hoogste boete wordt toegepast (het maximum of het percentage, afhankelijk van welke hoger is). In Nederland handhaaft de Autoriteit Persoonsgegevens; in Belgie is dat de Gegevensbeschermingsautoriteit (GBA). Wil je een klacht indienen? Lees dan onze gids over klachten indienen bij de GBA.

AVG en nieuwe technologieen in 2026

De AVG is technologieneutraal geschreven, maar nieuwe ontwikkelingen stellen de interpretatie op de proef.

Kunstmatige intelligentie en de AI Act

Sinds de AI Act in 2024 in werking trad, werken AVG en AI-regelgeving samen. Bij gebruik van AI voor persoonsgegevens moeten organisaties zowel aan privacyregels als aan AI-transparantieregels voldoen.

Biometrische technologie

Gezichtsherkenning en vingerafdrukscans vallen onder bijzondere persoonsgegevens. De AP heeft in 2025 meerdere boetes opgelegd aan werkgevers die vingerafdrukken gebruikten voor tijdregistratie zonder geldige grondslag.

Data buiten de EU

Doorgifte van gegevens naar landen buiten de EU (zoals de VS) blijft complex. Het EU-US Data Privacy Framework biedt een basis, maar juridische uitdagingen blijven. Organisaties moeten zorgvuldig beoordelen welke diensten ze gebruiken.

Praktische tips voor burgers

Wat kun je zelf doen om je AVG-rechten te benutten en je privacy te beschermen?

1. Lees privacyverklaringen van diensten die je gebruikt, in elk geval de samenvatting.
2. Weiger onnodige cookies via de cookiebanner; alleen functionele cookies zijn verplicht.
3. Dien een inzageverzoek in bij organisaties waar je benieuwd bent naar wat ze over je weten.
4. Gebruik privacyvriendelijke tools zoals encrypted messaging, private browsers en diensten die minimale data verzamelen. Voor het veilig delen van links kun je een tool als Lunyb gebruiken die verkorte URL's aanmaakt zonder onnodige tracking.
5. Houd je digitale voetafdruk klein. Onze gids over het beheren van je digitale voetafdruk helpt je op weg.
6. Bescherm gevoelige bestanden met encryptie. Zie onze handleiding over foto's verbergen in een versleutelde kluis.

Praktische tips voor organisaties

Of je nu een kleine onderneming hebt of een middelgrote organisatie leidt, deze stappen helpen om AVG-conform te werken.

1. Breng in kaart welke gegevens je verwerkt en waarom. Zonder dat overzicht kun je nergens aan voldoen.
2. Stel een privacyverklaring op in gewone taal.
3. Train je medewerkers over basisprincipes van gegevensbescherming.
4. Implementeer technische maatregelen zoals encryptie, toegangscontrole en back-ups.
5. Sluit verwerkersovereenkomsten af met leveranciers die namens jou gegevens verwerken.
6. Documenteer alles: toestemmingen, belangenafwegingen, DPIA's en incidenten.

Belgische KMO's vinden aanvullende praktische informatie in onze gids over cybersecurity voor KMO's.

Veelgemaakte misverstanden over de AVG

"De AVG verbiedt alles"

Dat klopt niet. De AVG verbiedt geen verwerking; ze stelt voorwaarden. Met de juiste grondslag en transparantie mag je veel.

"Toestemming is altijd nodig"

Nee. Toestemming is een van de zes grondslagen. Vaak is een andere grondslag beter passend.

"Alleen grote bedrijven moeten zich zorgen maken"

Ook een eenmanszaak die klantgegevens bijhoudt valt onder de AVG. De schaal bepaalt wel welke verplichtingen zwaarder wegen.

"Een verwerkingsregister is alleen voor groten"

De drempel van 250 medewerkers is niet absoluut. Kleine organisaties die structureel, risicovol of bijzondere gegevens verwerken, moeten ook een register bijhouden.

Veelgestelde vragen over de AVG in 2026

Wat is het verschil tussen AVG en GDPR?

Er is geen inhoudelijk verschil. AVG is de Nederlandse afkorting (Algemene Verordening Gegevensbescherming) en GDPR de Engelse (General Data Protection Regulation). Beide verwijzen naar dezelfde Europese verordening uit 2016 die sinds 2018 van kracht is.

Hoe lang mag een organisatie mijn gegevens bewaren?

De AVG schrijft geen vaste bewaartermijnen voor. Organisaties moeten gegevens niet langer bewaren dan noodzakelijk voor het doel. Voor sommige gegevens gelden wettelijke bewaarplichten (bijvoorbeeld 7 jaar voor fiscale administratie). Je hebt het recht de bewaartermijnen op te vragen.

Kan ik een organisatie dwingen mijn gegevens te verwijderen?

Ja, mits er geen wettelijke bewaarplicht of ander zwaarwegend belang in de weg staat. Dien een gemotiveerd verzoek in. Als het wordt geweigerd, kun je naar de Autoriteit Persoonsgegevens of in Belgie naar de Gegevensbeschermingsautoriteit stappen.

Wat moet ik doen als ik een datalek ontvang?

Als je een melding krijgt dat je gegevens zijn gelekt: wijzig direct wachtwoorden van betrokken accounts, activeer tweefactorauthenticatie, let op phishingpogingen, en controleer je bankafschriften. Bewaar de melding; je hebt mogelijk recht op schadevergoeding als er schade ontstaat.

Geldt de AVG ook voor organisaties buiten de EU?

Ja. Als een organisatie buiten de EU gegevens verwerkt van mensen in de EU (bijvoorbeeld omdat ze diensten of goederen aanbieden), is de AVG van toepassing. Deze organisaties moeten vaak een EU-vertegenwoordiger aanstellen.

Conclusie

De AVG is in 2026 nog steeds de ruggengraat van gegevensbescherming in Europa. De wet lijkt complex, maar in de kern gaat het om een simpel principe: organisaties moeten zorgvuldig en transparant met jouw gegevens omgaan, en jij hebt het recht om controle uit te oefenen. Door je rechten te kennen en bewust om te gaan met privacyinstellingen, haal je het meeste uit de bescherming die de wet biedt. Voor organisaties geldt: investeer in een goede basis, want AVG-naleving is geen eenmalig project maar een doorlopend proces.