Privacy in Nederland: Jouw Rechten op een Rij (2026)

Privacy is in Nederland geen luxe, maar een wettelijk vastgelegd grondrecht. Sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) in 2018 heb je als Nederlandse burger uitgebreide rechten over hoe organisaties jouw persoonsgegevens verwerken. Toch weet slechts een minderheid van de Nederlanders precies welke rechten ze hebben en hoe ze deze kunnen uitoefenen.

In deze complete gids zetten we alle privacyrechten in Nederland voor je op een rij: van het recht op inzage tot het recht om vergeten te worden, inclusief praktische stappen om deze rechten daadwerkelijk uit te oefenen bij bedrijven, overheidsinstanties en online platforms.

Wat is Privacy volgens de Nederlandse Wet?

Privacy is het recht om zelf te bepalen wie welke informatie over jou heeft en wat daarmee gebeurt. In Nederland wordt dit recht beschermd door meerdere lagen wetgeving: de Grondwet (artikel 10), het Europees Verdrag voor de Rechten van de Mens (artikel 8), en de AVG die sinds mei 2018 rechtstreeks van toepassing is.

De toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP), gevestigd in Den Haag. Zij ziet toe op naleving van de AVG en de Uitvoeringswet AVG (UAVG), de Nederlandse implementatie die aanvullende regels bevat over bijvoorbeeld het verwerken van BSN-nummers en medische gegevens.

De juridische basis van jouw privacyrechten

• Grondwet artikel 10: Recht op eerbiediging van de persoonlijke levenssfeer
• AVG (EU 2016/679): Europese verordening met acht kernrechten
• UAVG: Nederlandse uitvoeringswet met aanvullende bepalingen
• Telecommunicatiewet: Cookies en communicatiegeheim
• Wet politiegegevens (Wpg): Verwerking door politie en justitie

De 8 Kernrechten onder de AVG

De AVG geeft je acht fundamentele rechten waarmee je controle houdt over je persoonsgegevens. Elk bedrijf of organisatie die jouw gegevens verwerkt moet deze rechten respecteren, ongeacht of het gaat om een webshop, ziekenhuis, gemeente of sociaal netwerk.

1. Recht op informatie

Organisaties moeten je duidelijk informeren welke gegevens ze verzamelen, waarom, hoe lang ze deze bewaren en met wie ze deze delen. Dit gebeurt meestal via een privacyverklaring. De informatie moet in begrijpelijke taal zijn, niet verstopt in juridisch jargon.

2. Recht op inzage

Je hebt het recht om te vragen welke persoonsgegevens een organisatie van jou heeft. Ze moeten binnen één maand een kopie verstrekken, gratis. Dit heet een inzageverzoek (Subject Access Request).

3. Recht op rectificatie

Zijn je gegevens onjuist of onvolledig? Dan mag je correctie eisen. Denk aan een verkeerd adres bij de Belastingdienst of een foutieve geboortedatum in je zorgdossier.

4. Recht op vergetelheid (wissen)

In bepaalde gevallen kun je eisen dat je gegevens worden verwijderd, bijvoorbeeld als ze niet meer nodig zijn voor het oorspronkelijke doel of als je toestemming intrekt. Dit recht is niet absoluut: wettelijke bewaarplichten (zoals fiscale verplichtingen van 7 jaar) gaan voor.

5. Recht op beperking van verwerking

Je kunt vragen om verwerking tijdelijk stop te zetten, bijvoorbeeld terwijl een geschil over juistheid van gegevens wordt uitgezocht.

6. Recht op dataportabiliteit

Je hebt het recht om je gegevens in een gangbaar, machineleesbaar formaat te ontvangen en over te dragen aan een andere dienstverlener. Dit geldt bijvoorbeeld voor je Spotify-afspeellijsten of je banktransactiegeschiedenis.

7. Recht van bezwaar

Je mag bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of publiek belang. Bij direct marketing is dit recht absoluut: je hoeft geen reden op te geven.

8. Recht bij geautomatiseerde besluitvorming

Beslissingen die volledig automatisch worden genomen (zoals een geautomatiseerde kredietbeoordeling) en die je significant raken, mag je aanvechten. Je hebt recht op menselijke tussenkomst.

Overzicht: Jouw Rechten in de Praktijk

Recht	Wanneer gebruiken?	Reactietermijn	Kosten
Inzage	Weten welke data ze hebben	1 maand	Gratis
Rectificatie	Foutieve gegevens corrigeren	1 maand	Gratis
Vergetelheid	Data laten wissen	1 maand	Gratis
Beperking	Tijdelijke stop verwerking	1 maand	Gratis
Dataportabiliteit	Data overzetten naar andere dienst	1 maand	Gratis
Bezwaar	Stoppen van (marketing)verwerking	Zo snel mogelijk	Gratis

Hoe Oefen Je Jouw Rechten Uit?

Het uitoefenen van je AVG-rechten is eenvoudiger dan veel mensen denken. Organisaties zijn verplicht een laagdrempelige procedure te bieden. Hier is het stappenplan:

1. Identificeer de verwerkingsverantwoordelijke: Zoek in de privacyverklaring naar de contactgegevens van de Functionaris Gegevensbescherming (FG) of het privacy-team.
2. Stel een schriftelijk verzoek op: Vermeld duidelijk welk recht je uitoefent (bijvoorbeeld "inzageverzoek AVG artikel 15").
3. Voeg identificatie toe: Organisaties mogen vragen om identificatie, maar mogen niet zomaar een kopie van je paspoort eisen. Streep het BSN en pasfoto door.
4. Verstuur aangetekend of via een track-and-trace-methode: Zo heb je bewijs van verzending.
5. Wacht maximaal één maand: Bij complexe verzoeken mag deze termijn met twee maanden worden verlengd, maar dan moet je binnen de eerste maand geïnformeerd worden.
6. Geen antwoord? Dien een klacht in bij de AP.

Voorbeeldbrief inzageverzoek

"Geachte heer/mevrouw,

Hierbij verzoek ik u, op grond van artikel 15 AVG, mij binnen één maand een overzicht te verstrekken van alle persoonsgegevens die uw organisatie van mij verwerkt, inclusief de doeleinden, ontvangers, bewaartermijnen en de herkomst van deze gegevens.

Met vriendelijke groet,
[Naam, adres, geboortedatum]"

De Autoriteit Persoonsgegevens: Jouw Toezichthouder

De Autoriteit Persoonsgegevens (AP) is de onafhankelijke Nederlandse toezichthouder op de AVG. Wanneer een organisatie niet reageert op je verzoek, jouw rechten schendt of onvoldoende beveiligt, kun je bij de AP terecht met een tip of klacht.

Wanneer klacht indienen bij de AP?

• Organisatie reageert niet binnen één maand op je AVG-verzoek
• Weigering zonder deugdelijke motivering
• Datalek waarbij jouw gegevens zijn getroffen
• Ongewenste tracking of profilering
• Onrechtmatige camerabewaking
• Cold calls of spam na bezwaar

De AP kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. In 2023 legde de AP onder andere boetes op aan de Belastingdienst (3,7 miljoen euro voor de FSV-affaire) en aan diverse gemeenten voor onrechtmatige verwerkingen.

Voor Belgische lezers: onze buren hebben een vergelijkbaar systeem. Lees onze aparte gids over een klacht indienen bij de GBA in België voor meer informatie over grensoverschrijdende situaties.

Specifieke Privacyrechten in Nederland

Naast de generieke AVG-rechten kent Nederland enkele specifieke aanvullende bescherming voor gevoelige categorieën gegevens.

Medische gegevens

Onder de Wet op de geneeskundige behandelingsovereenkomst (WGBO) heb je recht op inzage in je medisch dossier. Je huisarts en ziekenhuis moeten het dossier minimaal 20 jaar bewaren na de laatste behandeling. Via MedMij en persoonlijke gezondheidsomgevingen (PGO) kun je je gegevens digitaal opvragen.

BSN-nummer

Het Burgerservicenummer mag alleen door specifiek aangewezen organisaties (overheid, zorg, onderwijs, werkgevers voor loonaangifte) verwerkt worden. Een webshop of sportvereniging die om je BSN vraagt, handelt bijna zeker onrechtmatig.

Kredietregistratie (BKR)

Je hebt het recht om gratis eens per jaar je BKR-registratie op te vragen via bkr.nl. Onterechte registraties kun je laten verwijderen.

Cameratoezicht

Buren mogen geen openbare weg of jouw tuin filmen zonder gerechtvaardigd belang. Bedrijven moeten cameratoezicht duidelijk aankondigen en beelden mogen maximaal 4 weken bewaard worden (langer alleen bij incident).

Online Privacy en Digitale Rechten

In de digitale wereld worden je gegevens continu verzameld: door zoekmachines, sociale media, apps, cookies en trackers. Nederlandse burgers hebben hier specifieke rechten en beschermingsmogelijkheden.

Cookies en tracking

Volgens de Telecommunicatiewet moet je vooraf toestemming geven voor niet-functionele cookies. Cookiebanners die "accepteren" prominenter tonen dan "weigeren" zijn niet AVG-conform, aldus de AP.

Recht om vergeten te worden op zoekmachines

Sinds het Costeja-arrest (2014) kun je Google verzoeken links naar verouderde of irrelevante informatie over jou uit zoekresultaten te verwijderen. Wil je weten wat er allemaal online over je te vinden is? Lees onze gids over wat Google over jou weet.

Praktische bescherming van je online privacy

• Gebruik privacygerichte browsers: Firefox met streng tracking-blokkering of Brave
• Kies encrypted DNS-providers: Zoals Cloudflare 1.1.1.1 of NextDNS
• Beperk app-permissies: Geef apps alleen toegang tot wat strikt nodig is
• Deel geen ruwe links: Gebruik een privacyvriendelijke URL-verkorter zoals Lunyb om te voorkomen dat lange tracking-parameters mee worden gedeeld
• Wees alert op phishing: Ook via QR-codes, zie onze gids over quishing

Privacyrechten en AI: Wat Verandert er?

De opkomst van kunstmatige intelligentie stelt privacyrechten op de proef. Grote taalmodellen worden getraind op enorme datasets die vaak persoonsgegevens bevatten, en generatieve AI kan realistische deepfakes maken.

De Europese AI Act (van kracht sinds augustus 2024, met gefaseerde toepassing) legt aanvullende verplichtingen op aan AI-systemen die persoonsgegevens verwerken. Nederlandse burgers krijgen extra rechten bij AI-besluiten in bijvoorbeeld sollicitatieprocedures, kredietaanvragen en overheidsbeslissingen.

Voor een diepgaande analyse van de nieuwe regels, lees onze gids AI en Privacy: Wat verandert er in 2026.

Wat te Doen bij een Datalek?

Een datalek is een inbreuk op de beveiliging die leidt tot verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Denk aan een gehackte database of een verloren usb-stick.

Verplichtingen van organisaties

1. Datalek melden bij de AP binnen 72 uur
2. Getroffen personen informeren als er hoog risico is
3. Documenteren wat er gebeurd is en welke maatregelen genomen zijn

Wat kun jij doen als getroffen persoon?

• Wijzig direct wachtwoorden van het getroffen account en andere accounts met hetzelfde wachtwoord
• Zet tweefactorauthenticatie aan waar mogelijk
• Houd bankafschriften en creditcardtransacties in de gaten
• Overweeg schadevergoeding te eisen (immateriële schade is mogelijk sinds arresten van het Europese Hof)
• Meld identiteitsfraude bij het Centraal Meldpunt Identiteitsfraude (CMI)

Schadevergoeding voor Privacyschendingen

Sinds diverse uitspraken van het Europees Hof van Justitie (waaronder de zaak UI tegen Österreichische Post) is duidelijk dat ook immateriële schade vergoed kan worden bij AVG-schendingen. Nederlandse rechters kennen bedragen toe variërend van 250 tot enkele duizenden euro's, afhankelijk van de ernst.

Voorbeelden van succesvolle claims:

• Onterechte BKR-registratie: €500 - €2.500
• Datalek met financiële gegevens: €250 - €1.500
• Ongeautoriseerde inzage medisch dossier: €500 - €5.000

Veelgemaakte Fouten bij Uitoefenen Privacyrechten

1. Te vaag verzoek indienen: Wees specifiek over welk recht en welke gegevens
2. Volledige kopie ID verstrekken: Streep BSN en pasfoto altijd door
3. Geen bewijs van verzending bewaren: Cruciaal voor eventuele klacht bij AP
4. Direct klagen zonder eerst organisatie aan te schrijven: AP verwacht dat je eerst zelf contact zoekt
5. Termijnen uit het oog verliezen: Zet reminders op één maand na verzoek

Veelgestelde Vragen (FAQ)

Mag een bedrijf kosten in rekening brengen voor een inzageverzoek?

Nee, een eerste inzageverzoek is altijd gratis. Alleen bij kennelijk ongegronde of buitensporige verzoeken (bijvoorbeeld herhaalde verzoeken op korte termijn) mag een redelijke administratieve vergoeding gevraagd worden, of mag men het verzoek weigeren.

Kan ik mijn gegevens laten wissen bij de Belastingdienst?

Meestal niet. Overheidsinstanties zoals de Belastingdienst hebben een wettelijke verplichting om gegevens te verwerken en te bewaren (fiscale bewaartermijn van 7 jaar). Het recht op vergetelheid geldt niet als er een wettelijke basis voor verwerking bestaat. Rectificatie van onjuiste gegevens is wel altijd mogelijk.

Wat is het verschil tussen de AP in Nederland en de GBA in België?

Beide zijn nationale toezichthouders op de AVG in hun eigen land. De AP handelt zaken af waar de verwerkingsverantwoordelijke een hoofdvestiging in Nederland heeft, de GBA doet hetzelfde voor België. Bij grensoverschrijdende zaken werken ze samen via het one-stop-shop-mechanisme van het European Data Protection Board (EDPB).

Hoe lang duurt een klachtenprocedure bij de AP?

De AP streeft naar afhandeling binnen zes maanden, maar in de praktijk kan het langer duren, vooral bij complexe zaken. Voor spoedeisende situaties (bijvoorbeeld voortdurende schending) kun je om voorlopige maatregelen vragen. De AP publiceert regelmatig prioriteitsonderwerpen; klachten die daaronder vallen worden sneller opgepakt.

Kan ik mijn AVG-rechten ook uitoefenen bij niet-EU bedrijven?

Ja, als een organisatie buiten de EU zich richt op EU-inwoners (bijvoorbeeld met een Nederlandse website, euro-prijzen of Nederlandse taal), moet die zich aan de AVG houden. Dergelijke organisaties zijn verplicht een EU-vertegenwoordiger aan te wijzen aan wie je je verzoek kunt richten.

Conclusie

Privacy in Nederland is stevig verankerd in wetgeving, en de AVG geeft je krachtige gereedschappen om controle te houden over je persoonsgegevens. Van het recht op inzage tot schadevergoeding bij datalekken: je staat sterk als je je rechten kent en durft in te zetten.

Begin klein: vraag eens een inzageverzoek aan bij een organisatie waarvan je vermoedt dat ze veel data over je hebben. Je zult verbaasd zijn wat er terugkomt, en het maakt je bewuster van je digitale voetafdruk. En vergeet niet: privacy is geen eenmalige actie, maar een doorlopende gewoonte, van bewust omgaan met cookiebanners tot het gebruiken van privacyvriendelijke tools voor je dagelijkse online activiteiten.