AVG in Nederland: complete gids voor consumenten 2026

Privacy & AVG · Bijgewerkt jul. 2026

Je persoonsgegevens zijn geld waard — voor bedrijven, adverteerders en datahandelaren. De AVG (de Nederlandse uitvoering van de Europese privacywet GDPR) geeft je daarom stevige rechten: je mag inzien, laten wissen en bezwaar maken tegen hoe organisaties jouw data gebruiken. Overtreedt een bedrijf de regels, dan riskeert het boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet. In deze gids lees je precies welke rechten je hebt, hoe je ze inzet, hoe je een datalek herkent, waar je klaagt en hoe je zelfs schadevergoeding kunt claimen.

Wat is de AVG?

De AVG (Algemene Verordening Gegevensbescherming) is sinds 2018 de privacywet die geldt in heel de EU — internationaal bekend als de GDPR. De wet bepaalt hoe organisaties met jouw persoonsgegevens mogen omgaan: ze hebben een geldige reden (grondslag) nodig om data te verwerken, mogen niet méér verzamelen dan nodig, moeten je informeren over wat ze doen, en moeten je gegevens goed beveiligen. Een uitgebreide uitleg vind je in onze AVG-uitleg gids.

Persoonsgegevens zijn alle gegevens die naar jou herleidbaar zijn: je naam en adres, maar ook je IP-adres, je locatie, je surfgedrag en je koopgeschiedenis. Sommige gegevens zijn extra gevoelig — denk aan gezondheid, religie of politieke voorkeur — en genieten strengere bescherming. Belangrijk: de AVG is er niet alleen voor bedrijven om zich aan te houden. Het geeft jóu als consument concrete rechten die je kunt afdwingen. En dat is precies waar veel mensen geld en privacy laten liggen, simpelweg omdat ze niet weten wat ze mogen eisen.

Waarom je privacy beschermen loont

Privacy klinkt abstract, maar de gevolgen zijn heel concreet. Bedrijven bouwen uitgebreide profielen van je op — wat je koopt, waar je bent, wat je interesseert — en gebruiken die om je gericht advertenties te tonen, prijzen aan te passen of je gedrag te voorspellen. Datahandelaren verkopen die profielen door aan derden die jij nooit hebt gekozen. Hoe meer een bedrijf van je weet, hoe beter het je koopgedrag kan sturen, en soms zelfs hoe hoger de prijs die je krijgt voorgeschoteld.

Bovendien is verzamelde data een risico op zichzelf. Elk bedrijf dat je gegevens bewaart, kan gehackt worden — en dan liggen je e-mailadres, wachtwoord of zelfs je identiteitsbewijs op straat. Je privacyrechten actief gebruiken is dus niet alleen een principekwestie: het beperkt je digitale voetafdruk, verkleint de kans dat je slachtoffer wordt van fraude en geeft je grip op wie wat over je weet. De AVG geeft je het gereedschap; het is aan jou om het te gebruiken.

Wanneer mag een bedrijf je gegevens gebruiken?

Een organisatie mag je gegevens niet zomaar verwerken. Ze heeft daarvoor een van de wettelijke grondslagen nodig. De belangrijkste zijn toestemming (jij zegt expliciet ja, bijvoorbeeld voor een nieuwsbrief), uitvoering van een overeenkomst (een webshop heeft je adres nodig om te leveren), een wettelijke plicht (de Belastingdienst) en gerechtvaardigd belang (bijvoorbeeld fraudepreventie). Ontbreekt zo’n grondslag, dan is de verwerking onrechtmatig en kun je daartegen optreden.

Toestemming moet bovendien vrij, specifiek en ondubbelzinnig zijn. Een vooraf aangevinkt vakje of een cookiebanner die je alleen “accepteren” laat kiezen, voldoet daar vaak niet aan. Je hebt altijd het recht om je toestemming weer in te trekken — net zo makkelijk als je die gaf.

Dit speelt vooral bij cookies en trackers op websites. Tracking-cookies die je surfgedrag volgen voor advertenties, mogen alleen worden geplaatst nadat jij daar actief toestemming voor hebt gegeven. Een cookiebanner moet je daarom een echte keuze bieden: weigeren moet net zo eenvoudig zijn als accepteren, en de site moet gewoon werken als je nee zegt. Functionele cookies die noodzakelijk zijn om de site te laten functioneren, mogen wél zonder toestemming. Zie je een banner die alleen een grote “accepteren”-knop toont, dan is dat een teken dat een organisatie de regels oprekt.

Je 6 privacyrechten onder de AVG

Deze rechten zijn krachtiger dan de meeste mensen denken. Met je recht op inzage kun je bij elk bedrijf opvragen welke gegevens het van je heeft en wat het ermee doet. Met je recht op wissen kun je bijvoorbeeld een oud account of je gegevens bij een datahandelaar laten verwijderen. En met je recht van bezwaar zet je gerichte reclame stop. Een organisatie moet in principe binnen een maand op je verzoek reageren, en mag daar geen kosten voor rekenen. Hoe je deze rechten concreet inzet, lees je in onze uitleg over je privacyrechten onder de AVG.

Zo dien je een AVG-verzoek in

Wat is een datalek en wat moet je doen?

Een datalek is een inbreuk waarbij persoonsgegevens in verkeerde handen (kunnen) komen — door een hack, een verkeerd verstuurde e-mail of een gestolen laptop. Organisaties moeten een ernstig datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en jou informeren als je een hoog risico loopt. Denk aan het uitlekken van wachtwoorden, bankgegevens of kopieën van je identiteitsbewijs.

Krijg je bericht van een datalek? Wees dan alert op phishing (oplichters gebruiken gelekte gegevens om geloofwaardige nepberichten te sturen), wijzig direct je wachtwoorden — zeker als je die hergebruikt — en houd je bankrekening in de gaten. Bij grote datalekken bij bekende bedrijven volgt soms een collectieve claim, waarover verderop meer.

Een voorbeeld maakt het concreet. Stel dat een webshop waar je jaren geleden iets kocht, gehackt wordt en je e-mailadres plus een versleuteld wachtwoord uitlekken. Op zichzelf lijkt dat onschuldig, maar oplichters combineren zulke lekken: met je e-mailadres uit het ene lek en een wachtwoord uit het andere proberen ze in te loggen op je andere accounts. Gebruik je overal hetzelfde wachtwoord, dan hebben ze zo toegang tot je mail, je webwinkels en soms je bank. Daarom is een datalek nooit “maar een e-mailadres” — het is een bouwsteen voor misbruik.

Toezicht en boetes: de Autoriteit Persoonsgegevens

In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de naleving van de AVG. Bij de AP kun je een klacht indienen als een organisatie je rechten schendt. De AP kan onderzoek doen en boetes opleggen die kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet — afhankelijk van wat hoger is. In de praktijk zijn er de afgelopen jaren stevige boetes uitgedeeld aan grote techbedrijven en organisaties die slordig met data omgingen.

Belangrijk om te weten: die boetes gaan naar de staat, niet naar jou. Een klacht bij de AP kan een bedrijf dwingen zijn gedrag te veranderen, maar levert jou persoonlijk geen geld op. Voor individuele compensatie is er een andere route: schadevergoeding, meestal via een collectieve claim.

Schadevergoeding claimen bij privacyschending

Word je privacy geschonden — bijvoorbeeld doordat een techbedrijf jarenlang illegaal je data verzamelde — dan kun je onder de AVG schadevergoeding eisen, ook voor immateriële schade. In je eentje procederen tegen een bedrijf als Meta of TikTok is praktisch onhaalbaar: de kosten en de juridische slagkracht zijn te ongelijk. Daarom bundelen stichtingen de claims van duizenden consumenten in een massaclaim. Hoe dat precies werkt lees je in onze aparte gids over de massaclaim tegen Big Tech.

Het bedrag per persoon is bij dit soort claims meestal bescheiden — denk aan enkele tientjes tot honderden euro’s — maar omdat het om miljoenen gedupeerden gaat, staat er voor de techbedrijven veel op het spel. Voor jou als deelnemer is het vaak vooral een principekwestie: samen afdwingen dat een bedrijf zich aan de privacyregels houdt, met de kans op een vergoeding als bonus. Meedoen is doorgaans laagdrempelig en soms gratis, al werken sommige claims met een financiële bijdrage of met procescertificaten waarbij je zelf meebetaalt aan de procedure.