Privacy in Nederland: Jouw Rechten op een Rij (Gids 2026)

Privacy is in Nederland een grondrecht, verankerd in artikel 10 van de Grondwet en versterkt door de Algemene Verordening Gegevensbescherming (AVG). Toch weten veel Nederlanders niet welke rechten ze precies hebben als het gaat om hun persoonsgegevens. In deze gids zetten we alle privacyrechten in Nederland op een rij, uitgelegd in begrijpelijke taal, met concrete voorbeelden en stappen die je vandaag kunt zetten.

Wat zijn privacyrechten in Nederland?

Privacyrechten in Nederland zijn wettelijke waarborgen die bepalen hoe organisaties met jouw persoonsgegevens mogen omgaan. Ze zijn gebaseerd op de AVG (in het Engels: GDPR), die sinds 25 mei 2018 in de hele Europese Unie geldt, en op nationale wetgeving zoals de Uitvoeringswet AVG (UAVG).

De Autoriteit Persoonsgegevens (AP) is de onafhankelijke toezichthouder die controleert of organisaties zich aan de regels houden. Bij overtredingen kan de AP boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens waarmee je direct of indirect identificeerbaar bent. Denk aan:

• Naam, adres, telefoonnummer en e-mailadres
• BSN, paspoortnummer en rijbewijsnummer
• IP-adres en locatiegegevens
• Foto's en videobeelden
• Financiele gegevens en betaalgeschiedenis
• Medische informatie en gezondheidsdata
• Biometrische gegevens zoals vingerafdrukken

De 8 privacyrechten onder de AVG

De AVG geeft Nederlandse burgers acht concrete rechten. Elke organisatie die jouw gegevens verwerkt, moet aan deze rechten voldoen, ongeacht of het om een webshop, ziekenhuis of overheid gaat.

1. Recht op informatie

Organisaties moeten je duidelijk informeren over welke gegevens ze verzamelen, waarom en hoe lang. Dit gebeurt meestal via een privacyverklaring op de website. De informatie moet in begrijpelijke taal zijn opgesteld, niet verstopt in juridisch jargon.

2. Recht op inzage

Je hebt het recht om te weten welke persoonsgegevens een organisatie van jou heeft. Je kunt een inzageverzoek indienen en de organisatie moet binnen een maand een kopie van al jouw gegevens verstrekken, gratis.

3. Recht op rectificatie

Kloppen gegevens niet? Dan mag je correctie eisen. Denk aan een verkeerd adres bij je energieleverancier of een foutieve geboortedatum in een klantenbestand.

4. Recht op vergetelheid

Ook wel het recht op verwijdering genoemd. In bepaalde gevallen kun je eisen dat een organisatie jouw gegevens wist, bijvoorbeeld als de gegevens niet meer nodig zijn voor het oorspronkelijke doel of als je je toestemming intrekt.

5. Recht op beperking van de verwerking

Je kunt een organisatie vragen om de verwerking van jouw gegevens tijdelijk te stoppen, bijvoorbeeld tijdens een lopend geschil over de juistheid van de data.

6. Recht op dataportabiliteit

Je hebt recht op een digitale kopie van jouw gegevens in een gestructureerd, machineleesbaar formaat (zoals CSV of JSON), zodat je deze kunt overdragen naar een andere dienstverlener.

7. Recht op bezwaar

Je mag bezwaar maken tegen bepaalde verwerkingen, met name bij direct marketing of profilering. Bij direct marketing moet de organisatie de verwerking direct stopzetten.

8. Recht met betrekking tot geautomatiseerde besluitvorming

Beslissingen die volledig automatisch worden genomen en juridische gevolgen hebben (zoals afwijzing van een kredietaanvraag), mogen niet zonder menselijke tussenkomst plaatsvinden. Je hebt recht op uitleg en een menselijke herbeoordeling.

Overzicht: Jouw rechten en hoe je ze gebruikt

Recht	Wanneer inzetten	Reactietermijn
Inzage	Je wilt weten welke data er over je is	1 maand (verlengbaar tot 3)
Rectificatie	Gegevens zijn onjuist of onvolledig	1 maand
Vergetelheid	Data is niet meer nodig of onrechtmatig	1 maand
Beperking	Tijdens geschil of onderzoek	1 maand
Dataportabiliteit	Overstap naar andere dienst	1 maand
Bezwaar	Direct marketing of profilering	Direct (bij marketing)

Hoe dien je een privacyverzoek in?

Een privacyverzoek indienen is eenvoudiger dan veel mensen denken. Hier is het stappenplan:

1. Zoek de contactgegevens - Kijk in de privacyverklaring van de organisatie. Grote bedrijven hebben vaak een aparte functionaris voor gegevensbescherming (FG) met eigen contactinfo.
2. Stel je verzoek schriftelijk op - Gebruik e-mail of een online formulier. Vermeld duidelijk welk recht je inroept.
3. Identificeer jezelf - De organisatie mag om identificatie vragen, maar mag geen kopie van je paspoort eisen zonder goede reden. Streep BSN en pasfoto weg.
4. Bewaar bewijs - Sla je verzoek en de bevestiging op.
5. Wacht op reactie - Binnen een maand moet je antwoord krijgen. Bij complexe verzoeken mag dit verlengd worden met twee maanden, mits gemotiveerd.
6. Geen of onbevredigend antwoord? - Dien een klacht in bij de Autoriteit Persoonsgegevens.

Voorbeeldtekst inzageverzoek

"Geachte heer/mevrouw, hierbij dien ik op grond van artikel 15 AVG een verzoek in om inzage in de persoonsgegevens die uw organisatie over mij verwerkt. Ik verzoek u om een overzicht van alle verwerkte gegevens, de doeleinden, de ontvangers en de bewaartermijnen. Graag ontvang ik uw reactie binnen een maand. Met vriendelijke groet, [naam]."

Klacht indienen bij de Autoriteit Persoonsgegevens

Als een organisatie jouw rechten schendt of niet reageert op een verzoek, kun je een klacht indienen bij de AP via autoriteitpersoonsgegevens.nl. De AP behandelt duizenden klachten per jaar en kan onderzoek instellen.

Bekende AP-boetes in Nederland waren onder meer die aan de Belastingdienst (2,75 miljoen euro voor de toeslagenaffaire), Uber (10 miljoen euro) en verschillende ziekenhuizen voor onterechte inzage in medische dossiers.

Wanneer een klacht bij de AP?

• Organisatie reageert niet binnen de wettelijke termijn
• Verzoek wordt onterecht afgewezen
• Er is sprake van een datalek dat niet is gemeld
• Je vermoedt onrechtmatige verwerking (bijvoorbeeld verkoop van data)
• Camera's of tracking zonder duidelijke grondslag

Bijzondere categorieen persoonsgegevens

Sommige gegevens zijn extra gevoelig en genieten extra bescherming onder de AVG. Verwerking hiervan is in principe verboden, tenzij er een specifieke wettelijke uitzondering geldt.

• Ras of etnische afkomst
• Politieke opvattingen
• Religieuze of levensbeschouwelijke overtuigingen
• Lidmaatschap van een vakbond
• Genetische en biometrische gegevens
• Gezondheidsgegevens
• Gegevens over seksueel gedrag of geaardheid
• Strafrechtelijke gegevens

Het BSN heeft in Nederland ook een aparte status: verwerking is alleen toegestaan als de wet dit expliciet voorschrijft, zoals in de zorg, bij de belastingdienst of bij werkgevers.

Privacy op de werkvloer

Ook op je werk gelden privacyrechten. Werkgevers mogen niet zomaar meekijken in je e-mail, cameratoezicht instellen of GPS-tracking gebruiken.

Wat mag een werkgever wel?

• Beperkte controle op internetgebruik, mits vooraf aangekondigd en met een gerechtvaardigd belang
• Cameratoezicht in openbare ruimtes met duidelijke bordjes
• Verwerking van salaris- en verlofgegevens

Wat mag niet?

• Heimelijk cameratoezicht (behalve bij zeer sterke vermoedens van strafbare feiten en na melding aan de AP)
• Zomaar lezen van privecommunicatie
• Continue GPS-tracking zonder noodzaak
• Medische controles buiten de bedrijfsarts om

Privacy en online tracking

Websites en apps verzamelen enorme hoeveelheden data. Onder de AVG en de Telecommunicatiewet moet elke website die niet-functionele cookies plaatst, expliciete toestemming vragen. Dat betekent: geen vooraf aangevinkte vakjes en een even prominente "weigeren"-knop als de "accepteren"-knop.

Wil je actief je online voetafdruk verkleinen? Kijk dan naar praktische maatregelen zoals een privacyvriendelijke browser, of leer hoe je trackers op je telefoon blokkeert. Ook versleutelde DNS-servers (zoals DNS-over-HTTPS via Cloudflare of Quad9) helpen om je surfgedrag privater te houden.

Cookies weigeren: mag dat consequenties hebben?

Nee. De AP heeft duidelijk gemaakt dat zogenaamde "cookiewalls" - waarbij toegang tot een site wordt geweigerd als je geen cookies accepteert - in de meeste gevallen niet zijn toegestaan. Toestemming moet vrij gegeven zijn.

Privacy bij URL-shorteners en linkdiensten

Ook bij het delen van links kun je privacygevoelig te werk gaan. Sommige URL-shorteners loggen uitgebreide clickdata, IP-adressen en devicegegevens. Kies daarom voor diensten die transparant zijn over hun dataverwerking en die minimale gegevens vastleggen. Bij Lunyb hanteren we een privacy-first benadering: we minimaliseren datacollectie en gebruikers krijgen inzicht in wat er wordt bijgehouden. Meer over hoe URL-shorteners werken lees je in onze complete handleiding URL verkorten.

Datalekken: jouw rechten als slachtoffer

Een datalek is een inbreuk op de beveiliging die leidt tot verlies, wijziging of ongeautoriseerde toegang tot persoonsgegevens. Denk aan een gehackte database, een verloren usb-stick of een verkeerd verzonden e-mail met bijlage.

Wat moet een organisatie doen?

1. Binnen 72 uur melden bij de Autoriteit Persoonsgegevens (bij risico voor betrokkenen)
2. Betrokkenen informeren als het risico hoog is
3. Maatregelen nemen om schade te beperken
4. Het datalek registreren in een intern register

Wat kun jij doen na een datalek?

• Wachtwoorden direct wijzigen bij de betreffende dienst en overal waar je hetzelfde wachtwoord gebruikte
• Tweefactorauthenticatie inschakelen
• Alert zijn op phishing en identiteitsfraude
• Bij financiele schade: aangifte doen en de organisatie aansprakelijk stellen
• Klacht indienen bij de AP als de melding niet netjes verlopen is

Privacy voor kinderen en jongeren

Kinderen onder de 16 jaar mogen in Nederland geen zelfstandige toestemming geven voor de verwerking van hun persoonsgegevens door online diensten. Ouders of voogden moeten dit doen. Scholen en jeugdorganisaties hebben aanvullende verplichtingen om zorgvuldig om te gaan met leerlinggegevens.

Ook belangrijk: leer kinderen jong hoe ze omgaan met QR-codes en verdachte links. Zie hiervoor onze gids over QR-code oplichting.

Praktische privacychecklist voor 2026

Wil je vandaag nog beginnen met betere privacybescherming? Volg deze checklist:

1. Vraag jaarlijks inzage bij minstens een grote dienstverlener (bank, verzekeraar, telecomprovider)
2. Ruim ongebruikte accounts op via diensten als JustDeleteMe
3. Controleer app-permissies op je telefoon en trek onnodige toegang in
4. Gebruik een wachtwoordmanager met unieke, sterke wachtwoorden
5. Zet tweefactorauthenticatie aan waar mogelijk
6. Weiger niet-functionele cookies standaard
7. Wees kritisch op nieuwsbrieven - schrijf uit wat je niet meer wilt
8. Controleer wat Google en Facebook over je weten via hun privacydashboards
9. Meld verdachte verwerkingen direct bij de AP

Privacy voor ondernemers en zzp'ers

Ben je ondernemer? Dan heb je ook plichten. Zelfs kleine bedrijven en zzp'ers vallen onder de AVG als ze klantgegevens verwerken. Dit betekent onder meer: een privacyverklaring, een verwerkingsregister, passende beveiligingsmaatregelen en een procedure voor datalekken. Meer daarover lees je in onze gids voor cybersecurity voor kmo's, die ook voor Nederlandse mkb-bedrijven relevante inzichten bevat.

Veelgestelde vragen

Kan een organisatie mijn inzageverzoek weigeren?

Alleen in beperkte gevallen, bijvoorbeeld als het verzoek kennelijk ongegrond of buitensporig is (denk aan tientallen verzoeken per maand). Ook mogen gegevens van anderen worden afgeschermd om hun privacy te beschermen. Een pure weigering zonder motivatie is niet toegestaan en kan bij de AP gemeld worden.

Hoe lang mag een bedrijf mijn gegevens bewaren?

Er is geen vaste termijn. De AVG hanteert het principe van dataminimalisatie: gegevens mogen niet langer bewaard worden dan nodig voor het doel. Voor de fiscus geldt een bewaarplicht van 7 jaar voor administratie. Voor sollicitaties adviseert de AP maximaal 4 weken na afwijzing (of 1 jaar met toestemming).

Wat is het verschil tussen AVG en UAVG?

De AVG is de Europese verordening die in alle EU-lidstaten direct van toepassing is. De UAVG (Uitvoeringswet AVG) is de Nederlandse aanvullende wet die specifieke onderwerpen regelt, zoals de verwerking van BSN, medische gegevens en de bevoegdheden van de Autoriteit Persoonsgegevens.

Kan ik schadevergoeding eisen bij een privacyschending?

Ja, artikel 82 AVG geeft recht op vergoeding van materiele en immateriele schade. In Nederland zijn er meerdere succesvolle rechtszaken geweest waarbij burgers honderden tot duizenden euro's kregen na onrechtmatige verwerking, zoals bij de toeslagenaffaire en bij ongeautoriseerde inzage in medische dossiers.

Geldt de AVG ook voor buitenlandse bedrijven zoals Amerikaanse techreuzen?

Ja. Zodra een bedrijf diensten aanbiedt aan personen in de EU of hun gedrag monitort, geldt de AVG. Google, Meta, Amazon en Microsoft moeten allemaal aan de AVG voldoen bij Nederlandse gebruikers. De AP werkt hierbij samen met toezichthouders in Ierland (waar veel Big Tech is gevestigd) en andere EU-landen.

Conclusie

Privacy in Nederland is stevig verankerd in de wet, maar je rechten benutten begint bij bewustzijn. Weet welke gegevens organisaties van je hebben, gebruik je recht op inzage, verwijdering en bezwaar, en aarzel niet om een klacht in te dienen bij de Autoriteit Persoonsgegevens als iets niet klopt. Combineer die juridische rechten met praktische technische maatregelen - een privacyvriendelijke browser, actieve trackerblokkade en bewuste keuzes bij online diensten - en je hebt in 2026 de controle stevig in eigen hand.