Privacy in Nederland: Jouw Rechten op een Rij (2026)

Privacy is in Nederland een grondrecht. Dankzij de Algemene Verordening Gegevensbescherming (AVG) en de Nederlandse Uitvoeringswet AVG (UAVG) heb je verregaande controle over je persoonsgegevens. Toch weten veel Nederlanders niet precies welke rechten ze hebben, hoe ze deze kunnen inroepen en bij wie ze terechtkunnen als het misgaat. In dit artikel zetten we al jouw privacyrechten in Nederland overzichtelijk op een rij, inclusief praktische voorbeelden en stappenplannen.

Wat is privacy volgens de Nederlandse wet?

Privacy is het recht om zelf te bepalen wie welke informatie over jou mag verzamelen, bewaren en gebruiken. In Nederland wordt dit recht beschermd door artikel 10 van de Grondwet, de AVG (sinds 25 mei 2018) en de UAVG. De toezichthouder is de Autoriteit Persoonsgegevens (AP) in Den Haag.

De AVG geldt voor alle organisaties die persoonsgegevens verwerken van mensen in de EU, ongeacht waar het bedrijf gevestigd is. Dat betekent dat ook grote techbedrijven uit de VS of Azië zich aan deze regels moeten houden wanneer ze jouw gegevens verwerken.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens waarmee een persoon direct of indirect geidentificeerd kan worden. Denk aan:

Naam, adres, telefoonnummer en e-mailadres
BSN, paspoortnummer en kentekennummer
IP-adres en cookie-ID's
Locatiegegevens en biometrische data
Medische gegevens, geloofsovertuiging en seksuele geaardheid (bijzondere categorie)

De 8 privacyrechten onder de AVG

De AVG kent acht concrete rechten die je kunt uitoefenen tegenover elke organisatie die jouw gegevens verwerkt. Hieronder bespreken we ze een voor een.

1. Recht op informatie

Organisaties moeten je in duidelijke taal vertellen welke gegevens ze verzamelen, waarom, hoe lang ze deze bewaren en met wie ze deze delen. Dit gebeurt meestal via een privacyverklaring op de website. De informatie moet beknopt, transparant en begrijpelijk zijn, niet verstopt in juridische vaktaal.

2. Recht op inzage

Je mag opvragen welke persoonsgegevens een organisatie van jou heeft. De organisatie moet binnen een maand reageren en een kopie van jouw gegevens verstrekken, in principe gratis. Dit heet een inzageverzoek of DSAR (Data Subject Access Request).

4. Recht op rectificatie

Kloppen jouw gegevens niet? Dan heb je het recht om ze te laten corrigeren of aanvullen. Dit geldt bijvoorbeeld voor een verkeerd adres bij je zorgverzekeraar of een foutief geboortejaar in een klantenbestand.

5. Recht op vergetelheid (verwijdering)

In bepaalde situaties mag je eisen dat je gegevens volledig worden verwijderd. Dit geldt onder meer wanneer:

De gegevens niet meer nodig zijn voor het oorspronkelijke doel
Je je toestemming intrekt
De gegevens onrechtmatig zijn verwerkt
Verwijdering wettelijk verplicht is

Let op: dit recht is niet absoluut. Een bank mag bijvoorbeeld jouw transactiegegevens 7 jaar bewaren vanwege de fiscale bewaarplicht.

6. Recht op beperking van verwerking

Twijfel je over de juistheid van gegevens of over de rechtmatigheid van de verwerking? Dan kun je vragen om de verwerking tijdelijk stop te zetten tot er duidelijkheid is. De gegevens blijven dan bewaard, maar mogen niet actief gebruikt worden.

7. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een gangbaar, machineleesbaar formaat (zoals CSV of JSON) mee te nemen naar een andere dienstverlener. Dit is handig bij het overstappen van bijvoorbeeld de ene streamingdienst naar de andere.

8. Recht van bezwaar

Je kunt bezwaar maken tegen verwerking van je gegevens, vooral bij direct marketing. Bij direct marketing is dit recht absoluut: de organisatie moet onmiddellijk stoppen. Bij andere verwerkingen op basis van gerechtvaardigd belang moet je bezwaar inhoudelijk onderbouwen.

9. Rechten rond geautomatiseerde besluitvorming

Je mag niet onderworpen worden aan uitsluitend geautomatiseerde besluiten (inclusief profilering) als dit juridische gevolgen heeft. Denk aan een geweigerde kredietaanvraag door een algoritme. Je hebt recht op menselijke tussenkomst en uitleg.

Overzicht: welke grondslag mag een organisatie gebruiken?

Een organisatie mag jouw gegevens alleen verwerken als er een geldige grondslag is. De AVG kent er zes:

Grondslag	Voorbeeld	Toestemming nodig?
Toestemming	Nieuwsbrief abonnement	Ja, expliciet
Overeenkomst	Webshop verzendt bestelling	Nee
Wettelijke verplichting	Werkgever bewaart loonstroken	Nee
Vitaal belang	Medische noodhulp	Nee
Algemeen belang	Belastingdienst int belasting	Nee
Gerechtvaardigd belang	Fraudepreventie bank	Nee, mits afgewogen

Zo dien je een privacyverzoek in

Wil je een van je rechten uitoefenen? Volg dit stappenplan:

Zoek het contactadres: meestal staat in de privacyverklaring een e-mailadres (vaak privacy@bedrijf.nl) of een online formulier.
Formuleer je verzoek duidelijk: geef aan welk recht je inroept (inzage, verwijdering, etc.) en op welke verwerking het betrekking heeft.
Bewijs je identiteit: de organisatie mag redelijkerwijs vragen om identificatie, maar nooit een kopie van je paspoort zonder BSN af te schermen.
Noteer de datum: de wettelijke reactietermijn is 1 maand, bij complexe verzoeken verlengbaar met 2 maanden.
Bewaar bewijs: screenshots, e-mails en verzendbevestigingen zijn belangrijk als je later een klacht moet indienen.

Voorbeeldbrief inzageverzoek

"Geachte heer/mevrouw, hierbij verzoek ik u op grond van artikel 15 AVG om inzage in alle persoonsgegevens die uw organisatie van mij verwerkt. Graag ontvang ik tevens informatie over de verwerkingsdoeleinden, ontvangers en bewaartermijnen. Mijn gegevens zijn: [naam, geboortedatum, klantnummer]. Ik verzoek u binnen een maand te reageren. Met vriendelijke groet, [naam]."

Wat te doen bij een datalek?

Een datalek is elk incident waarbij persoonsgegevens in verkeerde handen vallen, verloren gaan of ongewenst wijzigen. Organisaties moeten een ernstig datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens en, als er een hoog risico is, ook bij de betrokkenen.

Ben je slachtoffer van een datalek? Dan is het verstandig om direct je wachtwoorden te wijzigen en te controleren of je gegevens elders zijn uitgelekt. Lees hiervoor onze gids Is Mijn Wachtwoord Gelekt? Zo Controleer je het in 2026.

Klacht indienen bij de Autoriteit Persoonsgegevens

Reageert een organisatie niet (naar behoren) op jouw verzoek, of vermoed je dat je rechten geschonden worden? Dan kun je gratis een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. De AP kan onderzoek doen en boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een bedrijf.

Daarnaast kun je naar de civiele rechter stappen om schadevergoeding te eisen, bijvoorbeeld voor immateriele schade zoals stress of reputatieschade. Collectieve claims via stichtingen (zoals de Stichting Data Bescherming Nederland) worden steeds gebruikelijker.

Praktische tips om je privacy zelf te beschermen

Rechten uitoefenen is belangrijk, maar preventie is nog beter. Hier zijn concrete stappen om minder gegevens achter te laten:

Browser en apparaten

Gebruik een privacyvriendelijke browser met ingebouwde trackerblokkering. Zie onze top 7 vergelijking van privacybrowsers.
Schakel locatietoegang uit voor apps die het niet nodig hebben.
Blokkeer trackers op je telefoon met onze complete gids trackers blokkeren.
Overweeg encrypted DNS (zoals DNS over HTTPS) om je surfgedrag af te schermen.

Wachtwoorden en accounts

Gebruik een wachtwoordmanager en genereer unieke wachtwoorden per dienst.
Activeer tweefactorauthenticatie (2FA) overal waar mogelijk.
Ruim oude accounts op die je niet meer gebruikt.

Online delen van informatie

Elke keer dat je iets deelt, overweeg wie het kan zien. Deel bijvoorbeeld geen directe links naar persoonlijke documenten of foto's. Gebruik in plaats daarvan een URL-shortener zoals Lunyb met wachtwoordbeveiliging en vervaldatum. Zo houd je controle over wie toegang heeft, en kun je links intrekken wanneer je wilt. Meer uitleg vind je in onze handleiding voor eigen korte links.

Specifieke situaties in Nederland

Privacy op het werk

Werkgevers mogen niet zomaar je e-mail of browsegedrag monitoren. Er moet een gerechtvaardigd belang zijn, de maatregel moet proportioneel zijn en medewerkers moeten vooraf geinformeerd worden. De ondernemingsraad heeft instemmingsrecht bij invoering van personeelsvolgsystemen.

Privacy in de zorg

Medische gegevens vallen onder de bijzondere categorie en genieten extra bescherming. Zorgverleners hebben beroepsgeheim en mogen alleen gegevens delen met expliciete toestemming of op basis van een wettelijke plicht. Je hebt recht op inzage in je medisch dossier.

Camerabeelden en openbare ruimte

Je buurman mag geen camera op jouw tuin richten. Winkels en gemeentes mogen cameratoezicht alleen gebruiken bij een duidelijk doel, kenbaar via borden. Beelden worden meestal maximaal 4 weken bewaard, tenzij er een incident is.

Kinderen en privacy

In Nederland geldt dat kinderen onder de 16 jaar toestemming van ouders nodig hebben voor onlinediensten die hun gegevens verwerken. Scholen moeten extra zorgvuldig omgaan met leerlinggegevens en bijvoorbeeld geen foto's zonder toestemming publiceren.

Veelgemaakte misverstanden over privacy

Er circuleren veel mythes rond privacyrechten. Enkele veelvoorkomende:

"Als ik niets te verbergen heb, maakt privacy niet uit." Privacy gaat niet om verbergen, maar om controle en autonomie. Data kan jaren later tegen je gebruikt worden.
"Toestemming via cookiebanner is altijd geldig." Nee, toestemming moet vrij, specifiek, geinformeerd en ondubbelzinnig zijn. Een vooraangevinkt vakje telt niet.
"Google kan niets vergeten." Je kunt verwijdering uit zoekresultaten aanvragen via het 'right to be forgotten'-formulier.
"Gratis diensten mogen alles." Ook gratis diensten moeten zich aan de AVG houden. 'Betalen met je data' is geen vrijbrief.

Conclusie

Je privacyrechten in Nederland zijn stevig verankerd in de AVG en UAVG. Je hebt recht op informatie, inzage, correctie, verwijdering, beperking, dataportabiliteit, bezwaar en bescherming tegen puur automatische besluitvorming. Door deze rechten actief te gebruiken en zelf bewuste keuzes te maken over wat je deelt, houd je grip op je digitale leven. Twijfel je of een organisatie zich aan de regels houdt? De Autoriteit Persoonsgegevens staat voor je klaar.

Veelgestelde vragen

Hoe lang mag een organisatie mijn gegevens bewaren?

Niet langer dan nodig voor het doel waarvoor ze verzameld zijn. Voor sommige gegevens gelden wettelijke bewaartermijnen, zoals 7 jaar voor fiscale administratie en 15 jaar voor medische dossiers. Marketinggegevens moeten verwijderd worden zodra je je abonnement opzegt.

Kan ik een organisatie dwingen om alles over mij te verwijderen?

In veel gevallen wel, maar niet altijd. Het recht op vergetelheid geldt niet wanneer de organisatie een wettelijke bewaarplicht heeft, de gegevens nodig zijn voor een lopende overeenkomst, of bij vrijheid van meningsuiting (zoals journalistieke publicaties).

Mag mijn werkgever mijn WhatsApp-berichten op het werktelefoon lezen?

Nee, in principe niet. Privecommunicatie, ook op een werktelefoon, is beschermd. Alleen bij ernstige vermoedens van strafbare feiten en met strikte waarborgen (en vaak met toestemming van de ondernemingsraad) is beperkte controle mogelijk.

Wat is het verschil tussen de AVG en de UAVG?

De AVG is de Europese verordening die rechtstreeks geldt in alle lidstaten. De UAVG (Uitvoeringswet AVG) is de Nederlandse wet die invulling geeft aan ruimte die de AVG laat, bijvoorbeeld rond het gebruik van BSN en strafrechtelijke gegevens.

Hoe snel moet een bedrijf reageren op mijn inzageverzoek?

Binnen een maand na ontvangst van je verzoek. Deze termijn mag verlengd worden met maximaal twee maanden bij complexe of veel verzoeken, maar het bedrijf moet je binnen de eerste maand informeren over deze verlenging en de reden.