PRIVACY & AVG · BIJGEWERKT: JULI 2026
Een overtreding van de AVG kan een bedrijf tot €20 miljoen of 4% van de wereldwijde jaaromzet kosten — wat van beide hoger uitvalt. Toch weten veel Nederlandse mkb’ers niet precies wat de wet van hen vraagt, en weten nog minder consumenten dat ze zelf recht hebben op inzage, correctie en soms zelfs een schadevergoeding als een bedrijf slordig omgaat met hun gegevens. In deze gids leggen we de Algemene Verordening Gegevensbescherming (AVG) uit zonder juridisch jargon: wat het is, voor wie die geldt, wat een datalek betekent, hoe hoog boetes werkelijk zijn, en wat jij kunt doen als jouw rechten worden geschonden.
In het kort
Wat is het: de AVG (Europees: GDPR) is de Europese privacywet die sinds 25 mei 2018 regelt hoe organisaties met persoonsgegevens mogen omgaan. In Nederland is de wet aangevuld met de Uitvoeringswet AVG (UAVG).
Wat levert het je op: als consument acht harde rechten (inzage, correctie, verwijdering, bezwaar, dataportabiliteit e.a.) en de mogelijkheid om schadevergoeding te eisen bij een datalek of misbruik.
Wat heb je nodig (als bedrijf): een verwerkingsregister, verwerkersovereenkomsten met leveranciers, een rechtsgrond per verwerking en — bij risicovolle verwerking — een DPIA en soms een Functionaris Gegevensbescherming (FG).
Alternatief als consument: een klacht indienen bij de Autoriteit Persoonsgegevens is gratis maar levert jou zelf geen schadevergoeding op. Voor collectieve claims tegen grote techbedrijven bestaan gespecialiseerde platforms zoals SOMI, die procescertificaten inzetten om massaclaims te bekostigen.
Wat is de AVG en sinds wanneer geldt die wet?
De Algemene Verordening Gegevensbescherming (AVG) is de Nederlandse naam voor de Europese General Data Protection Regulation (GDPR). De verordening geldt sinds 25 mei 2018 in alle EU-lidstaten en vervangt de oude Wet bescherming persoonsgegevens (Wbp). Omdat het een Europese verordening is, hoeft de wet niet apart in nationale wetgeving te worden omgezet — ze geldt rechtstreeks. Nederland heeft er wel een aanvullende wet naast staan, de Uitvoeringswet AVG (UAVG), die een aantal nationale keuzes invult (zoals de leeftijdsgrens van 16 jaar voor toestemming van kinderen).
De kern van de wet is simpel: persoonsgegevens zijn van de persoon over wie ze gaan, niet van het bedrijf dat ze verzamelt. Een organisatie mag gegevens alleen verwerken als daar een geldige rechtsgrond voor is — toestemming, een overeenkomst, een wettelijke verplichting, een vitaal belang, een publieke taak, of een gerechtvaardigd belang. Zonder een van deze zes gronden is verwerking in principe verboden, ongeacht hoe onschuldig het lijkt.
Toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP). Zij behandelen klachten, onderzoeken datalekken en kunnen boetes opleggen. Voor het volledige overzicht van de privacy-artikelen op deze site, bekijk onze AVG-gids.
Voor wie geldt de AVG precies?
De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van mensen binnen de EU — ongeacht waar die organisatie zelf gevestigd is. Dat betekent dat ook Amerikaanse of Aziatische techbedrijven eraan moeten voldoen zodra ze diensten aanbieden aan EU-inwoners of hun gedrag volgen (bijvoorbeeld via cookies of tracking-pixels).
In de praktijk raakt dit vrijwel iedereen die onderneemt:
Een veelgehoord misverstand is dat kleine ondernemers zijn vrijgesteld. Dat klopt niet: de AVG kent geen ondergrens voor bedrijfsgrootte. Wel geldt er een lichtere verplichting voor het bijhouden van een verwerkingsregister als je minder dan 250 medewerkers hebt én de verwerking incidenteel is en geen risico vormt — maar zodra je structureel klantdata, gezondheidsgegevens of gevoelige categorieën verwerkt, geldt de registerplicht alsnog.
Welke rechten heb je als consument onder de AVG?
Dit is het deel dat de meeste mensen overslaan — en juist het deel waarmee je zelf iets kunt doen. De AVG geeft je acht concrete rechten tegenover elk bedrijf dat gegevens over jou verwerkt:
Een bedrijf moet binnen één maand reageren op een verzoek (met uitloop tot drie maanden bij complexe verzoeken). Doet het bedrijf dat niet, of negeert het je verzoek structureel, dan kun je een klacht indienen bij de AP — en in sommige gevallen ook schadevergoeding eisen via de rechter of via een collectieve claim.
Afiliado · Massaclaim / Procescertificaten
SOMI — collectief opkomen voor je privacyrechten
Als grote techbedrijven structureel de AVG overtreden — bijvoorbeeld door gegevens te verzamelen zonder geldige toestemming — kun je in theorie zelf naar de rechter stappen. In de praktijk doen weinig mensen dat: de kosten en het uitzoekwerk wegen niet op tegen een individuele schadeclaim. SOMI bundelt claims van duizenden gedupeerden in massaclaims tegen Big Tech-partijen en financiert de procedure via procescertificaten: beleggers financieren de zaak, en ontvangen een deel van het uiteindelijke schikkingsbedrag als de claim slaagt.
Meer weten over hoe dat werkt? Lees onze uitleg over hoe een massaclaim tegen Big Tech werkt of onze uitgebreide SOMI-review.
Risicowaarschuwing
Investeren in procescertificaten via SOMI is niet vergelijkbaar met sparen. Er is geen depositogarantie en geen gegarandeerd rendement: als de massaclaim verliest of vroegtijdig wordt geseponeerd, kun je je volledige inleg kwijtraken. De uitbetaling hangt af van een rechterlijke uitspraak of schikking, wat jaren kan duren. Dit is geen beleggingsadvies — win onafhankelijk advies in voordat je instapt.
Wat moet jouw bedrijf doen om AVG-compliant te zijn?
Compliance is geen eenmalige checklist maar een doorlopend proces. De belangrijkste bouwstenen zijn:
Wat is een datalek en wanneer moet je dat melden?
Een datalek is elke gebeurtenis waarbij persoonsgegevens verloren gaan of onbedoeld toegankelijk worden voor derden — een gehackte database, een verkeerd verzonden e-mail met bijlage vol klantgegevens, of een gestolen laptop zonder versleuteling tellen allemaal mee.
Volgens artikel 33 AVG moet je een datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de betrokkenen. Lukt melden niet binnen die termijn, dan moet je de vertraging motiveren. Is het risico voor de betrokkenen hoog — denk aan gelekte BSN-nummers, wachtwoorden of medische gegevens — dan moet je ook de gedupeerden zelf informeren, niet alleen de toezichthouder.
Meld je een datalek niet terwijl dat wel moest, dan kan de AP daar zelf een boete voor opleggen — los van de boete voor de onderliggende overtreding. Lees meer in ons artikel over wat je moet doen bij een datalek.
Hoe hoog zijn de boetes bij een AVG-overtreding echt?
De AVG kent twee boetecategorieën, afhankelijk van de ernst van de overtreding. De Autoriteit Persoonsgegevens weegt daarbij onder meer de duur, de omvang, het aantal gedupeerden en of de overtreding opzettelijk was.
| Categorie | Maximale boete | Voorbeeld overtredingen |
| Categorie 1 (lichter) | €10 miljoen of 2% wereldwijde jaaromzet | Geen verwerkingsregister, geen verwerkersovereenkomst, datalek niet gemeld |
| Categorie 2 (zwaarder) | €20 miljoen of 4% wereldwijde jaaromzet | Schending grondbeginselen (rechtsgrond, toestemming), rechten van betrokkenen genegeerd, illegale doorgifte buiten de EU |
Bron: Autoriteit Persoonsgegevens. Voor beide categorieën geldt: het hoogste van de twee bedragen (vast bedrag óf percentage van de omzet) is van toepassing.
Even rekenen: een mkb-bedrijf met €2 miljoen jaaromzet dat een categorie 2-overtreding begaat, valt normaliter niet onder het miljoenenbedrag maar onder de 4%-regel — in dit voorbeeld dus maximaal €80.000. Voor een multinational met €5 miljard omzet ligt het maximum juist bij €200 miljoen (4% van de omzet), ver boven het vaste plafond van €20 miljoen. De AP legt in de praktijk zelden het absolute maximum op; de hoogte hangt af van proportionaliteit, medewerking en herhaling.
Weet jij al zeker of jouw AVG-rechten zijn geschonden?
Ontdek hoe collectieve claims tegen Big Tech werken en of je in aanmerking komt.
Wat kun je doen als een bedrijf jouw AVG-rechten schendt?
Er zijn in de praktijk drie routes, en ze sluiten elkaar niet uit:
1. Klacht indienen bij de Autoriteit Persoonsgegevens
Gratis en laagdrempelig via het klachtenformulier van de AP. De AP kan het bedrijf onderzoeken en desgewenst een boete of last onder dwangsom opleggen. Nadeel: jij krijgt daarmee zelf geen schadevergoeding — de boete gaat naar de staatskas, niet naar jou.
2. Zelf een civiele schadeclaim starten
Artikel 82 AVG geeft je het recht op schadevergoeding, ook voor immateriële schade (bijvoorbeeld stress of reputatieschade door een datalek). In de praktijk is dit voor een individu kostbaar en tijdrovend: je moet schade aantonen en de proceskosten voorschieten.
3. Aansluiten bij een collectieve massaclaim
Bij grootschalige overtredingen door bekende techbedrijven bundelen belangenorganisaties duizenden individuele claims tot één zaak. De kosten worden vaak gedekt door externe financiers via procescertificaten (zoals bij SOMI), zodat jij als gedupeerde zelf geen proceskosten hoeft voor te schieten — je deelt bij winst mee in de schikking, maar profiteert niet als de zaak verliest.
Let op
Een AVG-klacht bij de AP is nooit een garantie op resultaat, een massaclaim evenmin. Procedures tegen grote techbedrijven duren vaak meerdere jaren en kunnen eindigen in een schikking die lager uitvalt dan gehoopt — of in een verlies. Weeg dit mee voordat je tijd of geld investeert in een claim.
Veelgestelde vragen over de AVG
Wat is het verschil tussen AVG en GDPR?
Geen enkel: AVG is de Nederlandse naam, GDPR (General Data Protection Regulation) de Engelse. Het gaat om dezelfde Europese verordening die sinds 25 mei 2018 geldt.
Geldt de AVG ook voor zzp’ers en eenmanszaken?
Ja. Zodra je persoonsgegevens verwerkt — een klantenbestand, een e-maillijst, facturen met naam en adres — val je onder de AVG, ongeacht bedrijfsgrootte. Wel gelden lichtere verplichtingen bij incidentele en risicoloze verwerking.
Moet elk bedrijf een Functionaris Gegevensbescherming (FG) aanstellen?
Nee. Een FG is verplicht voor overheidsinstanties en voor organisaties die op grote schaal stelselmatig mensen monitoren of bijzondere persoonsgegevens verwerken (zoals gezondheidsgegevens). De meeste mkb-bedrijven vallen hier niet onder, maar mogen vrijwillig een FG aanstellen.
Wat gebeurt er als ik een verplicht datalek niet meld?
De Autoriteit Persoonsgegevens kan hiervoor apart een boete opleggen, tot €10 miljoen of 2% van de wereldwijde jaaromzet — los van eventuele boetes voor de onderliggende oorzaak van het lek.
Kan ik zelf schadevergoeding claimen als mijn gegevens zijn gelekt?
In principe wel, via artikel 82 AVG — ook voor immateriële schade zoals stress. In de praktijk is een individuele procedure kostbaar. Bij grootschalige lekken door bekende bedrijven kun je vaak aansluiten bij een collectieve massaclaim, waarbij de proceskosten door externe financiers worden gedragen.
Hoe dien ik een klacht in bij de Autoriteit Persoonsgegevens?
Via het online klachtenformulier op autoriteitpersoonsgegevens.nl. Dat is gratis, maar levert jou zelf geen schadevergoeding op — de AP onderzoekt en kan het bedrijf een boete of dwangsom opleggen.
Afiliado · Massaclaim / Procescertificaten
Wil je meer weten over hoe je als gedupeerde — of als investeerder in een procescertificaat — aansluit bij een privacy-massaclaim? Lees de volledige SOMI-review of ga direct naar de aanbieder.
Risicovol product · geen depositogarantie · geen gegarandeerd resultaat
Wil je dieper in de materie duiken? Onze complete AVG-gids voor consumenten behandelt elk recht apart met voorbeeldbrieven, en in je AVG-rechten uitgelegd lees je stap voor stap hoe je een inzageverzoek indient.
BRONNEN
— Autoriteit Persoonsgegevens: boetebeleid en meldplicht datalekken (autoriteitpersoonsgegevens.nl)
— Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming), artikel 33 en 82
— Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), wetten.overheid.nl
— Europa decentraal: toezicht en sancties AVG (europadecentraal.nl)
Stratex Lab is een onafhankelijke vergelijker. Dit artikel bevat affiliate-links: als je via deze links een product afneemt, ontvangen wij mogelijk een vergoeding — tegen nul extra kosten voor jou. Dit heeft geen invloed op onze beoordeling. Dit artikel is algemene informatie, geen juridisch of financieel advies. Investeren in procescertificaten brengt risico’s met zich mee: je kunt (een deel van) je inleg verliezen.
Geef een reactie