Privacyrechten onder de Nederlandse wet: Alles wat u moet weten

Privacy & AVG · Bijgewerkt: juli 2026

Een AVG-overtreding kan een organisatie tot 20 miljoen euro of 4% van de wereldwijde jaaromzet kosten — en toch weet bijna niemand wat de wet nu precies van bedrijven eist. De Algemene Verordening Gegevensbescherming regelt niet alleen jouw rechten als consument, maar legt ook harde plichten op aan elke organisatie die persoonsgegevens verwerkt: een webshop, een huisartsenpraktijk, een gemeente, je werkgever. In dit artikel leggen we het complete juridische kader uit: op welke grondslag een bedrijf jouw gegevens mag gebruiken, welke plichten daarbij horen, wie er toezicht houdt en wat een overtreding kost. Wil je vooral weten hoe je zelf een AVG-verzoek indient, lees dan onze uitleg van je zes AVG-rechten in de praktijk.

Wat is de AVG en voor wie geldt de wet precies?

De Algemene Verordening Gegevensbescherming is de Nederlandse naam voor de Europese GDPR (General Data Protection Regulation), sinds 25 mei 2018 rechtstreeks van toepassing in alle EU-lidstaten. De wet draait om drie kernbegrippen. Persoonsgegevens zijn alle informatie die direct of indirect naar een levend persoon te herleiden is: naam, e-mailadres, IP-adres, locatiedata, een klantnummer, zelfs een foto. De verwerkingsverantwoordelijke is de organisatie die bepaalt waaróm en hoe gegevens worden verwerkt — meestal het bedrijf zelf. De verwerker is een derde partij die in opdracht gegevens verwerkt, zoals een hostingbedrijf, een mailingdienst of een boekhoudpakket.

Het territoriale bereik is breder dan veel ondernemers denken. De AVG geldt niet alleen voor bedrijven die in Nederland gevestigd zijn, maar voor élke organisatie die gegevens van EU-inwoners verwerkt — ook een webshop in de Verenigde Staten die aan Nederlandse klanten verkoopt, valt eronder. Toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP), die klachten behandelt, onderzoek doet en boetes oplegt.

Welke rechten heb jij als betrokkene onder de AVG?

Als “betrokkene” — de persoon van wie de gegevens zijn — heb je zes kernrechten: inzage, rectificatie, wissen (vergetelheid), bezwaar, dataportabiliteit en beperking van de verwerking. Kort samengevat betekent dit dat je mag opvragen wat een organisatie van je weet, fouten mag laten corrigeren, gegevens mag laten verwijderen als daar geen wettelijke reden tegen bestaat, en bezwaar mag maken tegen bijvoorbeeld gepersonaliseerde reclame. Een organisatie moet in principe binnen één maand reageren, en het uitoefenen van deze rechten is gratis.

Deze rechten zijn de basis, maar de praktijk zit vol nuances: wanneer mag een bedrijf een wisverzoek weigeren, hoe formuleer je een inzageverzoek, en wat doe je als er geen reactie komt? Dat behandelen we uitgebreid, met voorbeeldtekst en stappenplan, in onze praktijkgids over de zes AVG-rechten. Hier gaan we verder met het deel dat minstens zo belangrijk is en veel minder wordt uitgelegd: wat de wet van de organisatie zelf eist.

Op welke grondslag mag een bedrijf jouw gegevens verwerken?

Een organisatie mag niet zomaar gegevens verzamelen. Artikel 6 van de AVG somt zes wettelijke grondslagen op, en voor elke verwerking moet minstens één van deze van toepassing zijn. Dit is precies het stuk dat de meeste consumentgerichte uitleg overslaat, terwijl het de kern vormt van elke privacyverklaring die je ooit hebt weggeklikt.

“Gerechtvaardigd belang” is de meest omstreden grondslag: bedrijven gebruiken hem vaak voor marketing en profilering, maar de AVG eist dat ze een belangenafweging maken en jouw bezwaarrecht respecteren. Precies daarom kun je tegen verwerking op deze grondslag altijd bezwaar maken — zeker bij direct marketing is dat bezwaar absoluut.

Welke plichten heeft een organisatie onder de AVG?

Naast een geldige grondslag legt de AVG organisaties een reeks structurele verplichtingen op. Werk je zelf als zzp’er of ondernemer met klantgegevens, dan gelden deze plichten ook voor jou — niet alleen voor grote techbedrijven.

Verwerkersovereenkomst. Schakelt een organisatie een derde partij in om gegevens te verwerken — een hostingpartij, een e-mailtool, een boekhoudprogramma — dan moet dat contractueel worden vastgelegd in een verwerkersovereenkomst (artikel 28 AVG). Daarin staan onder meer beveiligingseisen, meldplichten bij incidenten en regels over subverwerkers.

Register van verwerkingen. Vanaf een bepaalde omvang (en in de praktijk vrijwel altijd aan te raden) moet een organisatie bijhouden welke verwerkingen ze uitvoert, met welk doel, welke gegevens en hoe lang ze worden bewaard.

Functionaris Gegevensbescherming (FG). Overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken (zoals medische of biometrische gegevens) zijn verplicht een FG aan te stellen die toezicht houdt op de naleving.

Privacy by design en by default. Nieuwe systemen en processen moeten vanaf de ontwerpfase rekening houden met privacy, en de standaardinstelling moet altijd de meest privacyvriendelijke optie zijn — denk aan een uitgevinkt in plaats van aangevinkt marketingvakje.

Wat kost het een bedrijf als het de AVG overtreedt?

De AVG kent een gelaagd boetesysteem. De Autoriteit Persoonsgegevens weegt bij elke boete de ernst en duur van de overtreding, het aantal getroffen personen en de medewerking van de organisatie mee. De twee categorieën:

Bij beide categorieën geldt: welk bedrag hoger is, dat bedrag is het maximum. Voor een klein bedrijf betekent dit vaak dat het vaste bedrag (€10 of €20 miljoen) in theorie torenhoog boven de werkelijke boete uitsteekt — de AP houdt bij kleinere organisaties nadrukkelijk rekening met proportionaliteit. Voor multinationals is 4% van de wereldomzet vaak het bepalende, en veel grotere, bedrag.

Wie houdt er toezicht en waar dien je een klacht in?

In Nederland is de Autoriteit Persoonsgegevens (AP) de onafhankelijke toezichthouder. Zij behandelt klachten van burgers, doet onderzoek uit eigen beweging, geeft richtlijnen af en legt boetes en andere sancties op, zoals een last onder dwangsom. Vind je dat een organisatie je AVG-rechten schendt of onzorgvuldig met je gegevens omgaat, dan kun je kosteloos een klacht indienen via de website van de AP. Zij zijn niet verplicht elke klacht individueel te onderzoeken, maar signalen worden gebundeld en gebruikt om prioriteiten te bepalen voor onderzoek en handhaving.

Naast een klacht bij de AP kun je ook civiel naar de rechter stappen om schadevergoeding te eisen. Voor consumenten is dat kostbaar en tijdrovend, waardoor belangenorganisaties steeds vaker gedupeerden bundelen in een collectieve procedure. Hoe zo’n gebundelde claim tegen een groot techbedrijf werkt, lees je in ons artikel over hoe een massaclaim tegen big tech in zijn werk gaat.

Kun je zelf schadevergoeding claimen bij een AVG-schending?

Ja. Artikel 82 van de AVG geeft je als betrokkene recht op vergoeding van materiële én immateriële schade als een organisatie de wet overtreedt en jij daar nadeel van ondervindt — bijvoorbeeld na een datalek waarbij je gegevens op straat kwamen te liggen, of nadat een bedrijf jarenlang zonder geldige grondslag een schaduwprofiel van je bijhield. Individueel procederen is voor de meeste mensen echter te duur: advocaatkosten en proceskostenrisico wegen vaak niet op tegen de schadevergoeding die er per persoon te halen valt.

Wil je de volledige juridische en praktische achtergrond van de AVG in Nederland nog eens rustig doornemen, inclusief hoe je een datalek herkent en hoe schadevergoeding precies werkt, kijk dan in onze complete AVG-gids voor consumenten.