Privacy in Nederland: Jouw Rechten op een Rij (2026)

Privacy is in Nederland geen luxe maar een grondrecht. Onder de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) heb je als Nederlandse burger acht concrete rechten waarmee je grip krijgt op wat bedrijven en overheden met jouw persoonsgegevens doen. Toch weet uit onderzoek van de Autoriteit Persoonsgegevens (AP) blijkt dat minder dan een derde van de Nederlanders weet welke rechten ze precies hebben.

In deze gids zetten we al je privacyrechten in Nederland overzichtelijk op een rij, met praktische voorbeelden, stappenplannen en wat je kunt doen als een organisatie weigert mee te werken.

Wat is privacy onder Nederlands recht?

Privacy in Nederland betekent het recht om controle te houden over jouw persoonlijke informatie en hoe deze wordt verzameld, gebruikt en gedeeld. Dit recht is verankerd in artikel 10 van de Grondwet, artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM), en sinds 25 mei 2018 in de Europese AVG.

De Autoriteit Persoonsgegevens (AP) is in Nederland de toezichthouder die controleert of organisaties zich aan de regels houden. De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is.

Wat zijn persoonsgegevens precies?

Persoonsgegevens zijn alle gegevens die direct of indirect naar jou te herleiden zijn. Denk aan:

Naam, adres en woonplaats (NAW-gegevens)
E-mailadres en telefoonnummer
BSN-nummer en identiteitsdocumenten
IP-adres en cookies
Locatiegegevens van je telefoon
Foto's en videobeelden
Financiele gegevens en betaalpatronen

Bijzondere persoonsgegevens, zoals gezondheidsdata, religie, seksuele voorkeur of biometrische gegevens, krijgen extra bescherming en mogen meestal alleen met expliciete toestemming verwerkt worden.

De 8 privacyrechten onder de AVG

De AVG geeft je acht concrete rechten die je tegenover elke organisatie kunt uitoefenen, of dat nu een webshop, je werkgever, een ziekenhuis of een overheidsinstantie is.

1. Recht op informatie

Organisaties moeten je vooraf duidelijk informeren welke gegevens ze verzamelen, waarvoor, hoe lang ze deze bewaren en met wie ze ze delen. Dit gebeurt meestal via een privacyverklaring op de website. Deze moet in begrijpelijke taal geschreven zijn, dus geen onleesbare juridische teksten.

2. Recht op inzage

Je hebt het recht om te vragen welke persoonsgegevens een organisatie van jou verwerkt. Dit heet een inzageverzoek. De organisatie moet binnen een maand reageren en je een kopie van je gegevens verstrekken, gratis.

3. Recht op rectificatie

Kloppen je gegevens niet? Dan mag je eisen dat deze worden gecorrigeerd of aangevuld. Denk aan een verkeerd adres bij een verzekeraar of een onjuiste geboortedatum bij je bank.

4. Recht op vergetelheid (verwijdering)

Onder bepaalde voorwaarden mag je eisen dat je gegevens worden gewist. Bijvoorbeeld als:

De gegevens niet langer nodig zijn voor het oorspronkelijke doel
Je je toestemming intrekt
Je bezwaar maakt tegen de verwerking
De gegevens onrechtmatig zijn verwerkt

Let op: dit recht is niet absoluut. Banken moeten bijvoorbeeld wettelijk verplicht zeven jaar je transactiegegevens bewaren.

5. Recht op beperking van de verwerking

Tijdens een geschil of onderzoek mag je vragen om de verwerking tijdelijk stop te zetten. De gegevens worden dan wel bewaard, maar niet actief gebruikt.

6. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een gestructureerd, gangbaar en machineleesbaar formaat (zoals CSV of JSON) op te vragen, zodat je deze kunt meenemen naar een andere dienstverlener. Handig bij overstappen van bank, energieleverancier of sociale netwerken.

7. Recht van bezwaar

Je mag bezwaar maken tegen het gebruik van je gegevens, bijvoorbeeld voor direct marketing. Bij marketing moet de organisatie altijd stoppen zodra je bezwaar maakt, zonder discussie.

8. Recht op menselijke tussenkomst bij geautomatiseerde besluiten

Word je afgewezen voor een lening door een algoritme? Of krijg je een hogere verzekeringspremie op basis van AI-analyse? Je hebt het recht op een menselijke heroverweging van zulke beslissingen.

Overzicht: Wanneer geldt welk recht?

Recht	Wanneer toepassen	Reactietermijn
Inzage	Altijd	1 maand
Rectificatie	Bij onjuiste gegevens	1 maand
Verwijdering	Bij niet meer noodzakelijke gegevens	1 maand
Beperking	Tijdens geschil	Direct
Dataportabiliteit	Bij overstap naar andere dienst	1 maand
Bezwaar	Bij direct marketing of gerechtvaardigd belang	Direct bij marketing
Menselijke tussenkomst	Bij geautomatiseerde besluiten	Redelijke termijn

Hoe dien je een privacyverzoek in?

Het uitoefenen van je rechten is in Nederland gratis en relatief eenvoudig. Volg dit stappenplan:

Identificeer de verwerkingsverantwoordelijke. Dit is meestal het bedrijf of de organisatie die je gegevens verwerkt. Hun contactgegevens staan in de privacyverklaring.
Schrijf een duidelijk verzoek. Vermeld je naam, contactgegevens, welk recht je uitoefent en eventueel om welke specifieke gegevens het gaat.
Bewijs je identiteit. Organisaties mogen vragen om identificatie, maar mogen geen kopie van je volledige paspoort eisen. Streep je BSN en pasfoto door, of gebruik de KopieID-app van de overheid.
Verstuur per e-mail of aangetekende post. Bewaar altijd een kopie en het verzendbewijs.
Wacht maximaal een maand. Bij complexe verzoeken mag deze termijn verlengd worden met twee maanden, mits je daarover wordt geinformeerd.

Voorbeeldtekst inzageverzoek

"Geachte heer/mevrouw, hierbij dien ik een verzoek tot inzage in op grond van artikel 15 AVG. Ik verzoek u mij binnen een maand een volledig overzicht te verstrekken van alle persoonsgegevens die u van mij verwerkt, inclusief de doeleinden, ontvangers en bewaartermijnen. Met vriendelijke groet, [naam]."

Wat als een organisatie niet meewerkt?

Helaas reageren niet alle organisaties netjes op privacyverzoeken. Dit zijn je opties als je geen of een onbevredigend antwoord krijgt:

Stap 1: Stuur een herinnering

Geef de organisatie een laatste termijn van 14 dagen en wijs ze expliciet op artikel 12 AVG.

Stap 2: Klacht bij de Autoriteit Persoonsgegevens

Via autoriteitpersoonsgegevens.nl kun je een klacht indienen. De AP behandelt klachten gratis en kan boetes opleggen of dwingende maatregelen nemen.

Stap 3: Gang naar de rechter

Je kunt ook naar de civiele rechter stappen voor een dwangsom of schadevergoeding. Voor consumenten is er ook de mogelijkheid van een collectieve actie via stichtingen zoals de Consumentenbond of Bits of Freedom.

Specifieke situaties in Nederland

Privacy op de werkvloer

Werkgevers mogen niet zomaar je e-mail of internetgebruik monitoren. Er moet een legitiem doel zijn, je moet vooraf geinformeerd zijn, en er moet een ondernemingsraad-akkoord zijn. Cameratoezicht in de kantine of toilet is altijd verboden.

Privacy bij de zorg

Je medisch dossier valt onder extra strenge regels. Je hebt recht op inzage, een kopie (gratis), en je mag aantekeningen laten toevoegen. Het Landelijk Schakelpunt (LSP) deelt alleen gegevens als je expliciet toestemming hebt gegeven.

Privacy en de overheid

Ook de overheid moet zich aan de AVG houden. De Belastingdienst-toeslagenaffaire toonde aan hoe ernstig het kan misgaan. Je kunt bij elke overheidsinstantie inzage- en correctieverzoeken indienen, en bij vermoeden van profilering om uitleg vragen.

Privacy en cookies

Websites mogen tracking cookies pas plaatsen na expliciete toestemming. Een vooraf aangevinkte checkbox is niet geldig. Cookiebanners die het weigeren moeilijker maken dan accepteren zijn in strijd met de regels, zoals de AP meermaals heeft bevestigd.

Praktische tips om je privacy te beschermen

Je rechten kennen is een ding, ze actief beschermen is een ander. Hier zijn concrete stappen:

Gebruik versleutelde communicatie. Apps zoals Signal bieden end-to-end versleuteling voor berichten. Lees meer over end-to-end encryptie.
Blokkeer trackers op je telefoon. Tientallen apps verzamelen achter de schermen data. Onze handleiding over trackers blokkeren helpt je daarbij.
Gebruik privacyvriendelijke tools. Bij het delen van links online kun je met diensten zoals Lunyb URL's verkorten zonder dat je gevolgd wordt door advertentienetwerken, in tegenstelling tot veel grote URL-shorteners.
Beheer toestemmingen actief. Trek toestemming voor nieuwsbrieven, apps en cookies regelmatig in.
Beveilig je accounts. Gebruik tweefactorauthenticatie en unieke wachtwoorden via een wachtwoordmanager.
Wees alert op phishing. Lees hoe je oplichting via telefoonnummers herkent.

Privacy voor ondernemers en zzp'ers

Heb je een eigen onderneming? Dan ben je zelf verwerkingsverantwoordelijke voor je klantgegevens. Je moet een verwerkingsregister bijhouden, een privacyverklaring publiceren, datalekken binnen 72 uur melden bij de AP, en bij hogere risico's een DPIA (Data Protection Impact Assessment) uitvoeren. Voor MKB-ondernemers in Nederland en Belgie hebben we een gerelateerde gids over cybersecurity voor KMO's.

Wat verandert er in 2026?

Naast de AVG komen er nieuwe Europese regels die je privacy verder versterken:

AI Act: Strengere regels voor het gebruik van AI bij besluitvorming over personen.
Data Act: Meer controle over data uit slimme apparaten (IoT).
Digital Services Act (DSA): Verbod op gepersonaliseerde advertenties voor minderjarigen.
ePrivacy Verordening: Vervangt naar verwachting de huidige cookiewet en verscherpt regels rond tracking.

Veelgemaakte fouten bij privacyverzoeken

Te vaag verzoek: "Ik wil al mijn data" leidt vaak tot vertraging. Wees specifiek waar mogelijk.
Geen identificatie meesturen: Hierdoor kan de organisatie het verzoek vertragen of weigeren.
Verkeerde organisatie aanschrijven: Check eerst wie de verwerkingsverantwoordelijke is.
Te snel naar de AP stappen: Geef de organisatie eerst de wettelijke maand de tijd.

FAQ: Veelgestelde vragen over privacy in Nederland

Mag een werkgever mijn WhatsApp-berichten lezen?

Nee, ook niet op een zakelijke telefoon, tenzij er een zwaarwegend gerechtvaardigd belang is, je vooraf bent geinformeerd, en er een ondernemingsraad-akkoord ligt. Privecommunicatie op een werktelefoon valt nog steeds onder het briefgeheim.

Kan ik mijn gegevens bij Google of Facebook laten verwijderen?

Ja, ook Amerikaanse bedrijven moeten zich aan de AVG houden als ze diensten aanbieden in de EU. Via de privacy-instellingen of via een formeel verzoek kun je verwijdering eisen. Bij weigering kun je naar de Ierse toezichthouder DPC (waar veel Big Tech-bedrijven hun EU-hoofdkantoor hebben) of naar de Nederlandse AP.

Hoeveel kost het indienen van een privacyverzoek?

Niets. Het uitoefenen van je AVG-rechten is altijd gratis. Alleen bij kennelijk ongegronde of buitensporige herhaalverzoeken mag een organisatie een redelijke vergoeding vragen of het verzoek weigeren.

Wat is het verschil tussen AVG en UAVG?

De AVG is de Europese verordening die direct geldt in alle EU-lidstaten. De UAVG is de Nederlandse uitvoeringswet die op specifieke onderdelen invulling geeft, zoals de regels rond BSN-gebruik, journalistieke uitzonderingen en de bevoegdheden van de Autoriteit Persoonsgegevens.

Kan ik schadevergoeding eisen bij een datalek?

Ja. Zowel materiele schade (bijvoorbeeld door identiteitsfraude) als immateriele schade (stress, verlies van controle) komen in aanmerking. Het Europees Hof bevestigde in 2023 dat ook bij geringe schade een vergoeding mogelijk is, hoewel je het causale verband moet aantonen.

Conclusie

Privacy in Nederland is geen abstract begrip maar een verzameling concrete, afdwingbare rechten. Van het opvragen van je gegevens tot het laten verwijderen ervan, van bezwaar maken tegen profilering tot het meenemen van je data naar een nieuwe dienst: de AVG geeft je krachtige tools om grip te houden op je digitale identiteit.

De sleutel ligt in het kennen en actief uitoefenen van deze rechten. Begin klein: stuur eens een inzageverzoek naar een bedrijf waar je al jaren klant bent. Je zult versteld staan van wat ze allemaal opslaan. En onthoud: bij twijfel kun je altijd terecht bij de Autoriteit Persoonsgegevens, gratis en zonder advocaat.