De AVG is geen complexe wet. Wel een wet die consequent vraagt om gedocumenteerde keuzes, actuele afspraken en werkende procedures, niet om papieren beleid dat in een la verdwijnt.

De AVG geldt voor elke organisatie, publiek of privaat, die persoonsgegevens verwerkt en in de EU is gevestigd, of die gericht diensten aanbiedt aan personen in de EU dan wel hun gedrag monitort. Geen uitzondering op basis van bedrijfsomvang, sector of rechtsvorm. Een zzp'er met een klantenlijst valt er net zo goed onder als een multinational, al heeft omvang indirect invloed op welke specifieke verplichtingen gelden.

In de Nederlandse context geldt de AVG naast de Uitvoeringswet AVG (UAVG), die op een beperkt aantal punten de nationale invulling regelt, waaronder de leeftijdsgrens voor toestemming van kinderen en bepaalde uitzonderingen voor journalistiek, wetenschappelijk en statistisch onderzoek.

Elke verwerking van persoonsgegevens vereist een wettelijke grondslag. De AVG kent er zes: toestemming van de betrokkene, noodzakelijkheid voor de uitvoering van een overeenkomst, een wettelijke verplichting, bescherming van vitale belangen, een taak van algemeen belang, en een gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde.

Toestemming is de meest zichtbare grondslag, maar in veel bedrijfscontexten niet de meest passende. Geldige toestemming is vrijwillig, specifiek, geïnformeerd en ondubbelzinnig. Als een betrokkene de toestemming niet zonder nadeel kan weigeren of later intrekken, is zij niet geldig. Organisaties die toestemming inzetten voor verwerkingen waarbij het machtsverschil met de betrokkene groot is, zoals in arbeidsrelaties, lopen een reëel risico dat de AP die toestemming als ongeldig beoordeelt.

Gerechtvaardigd belang is voor niet-publieke organisaties een veelgebruikte grondslag bij commerciële verwerkingen, maar vereist altijd een gedocumenteerde belangenafweging: weegt het belang van de organisatie op tegen de rechten en verwachtingen van de betrokkene? Overheden kunnen bij de uitvoering van hun publieke taken geen beroep doen op gerechtvaardigd belang.

Een ontbrekende of achteraf gekozen grondslag is niet een bestuurlijke omissie maar een materiële overtreding, en valt in de zwaarste boetecategorie van de AVG.

Bij bijzondere categorieën persoonsgegevens gelden aanvullende eisen en is naast een grondslag uit art. 6 ook een uitdrukkelijke uitzondering uit art. 9 vereist. De bijzondere categorieën zijn: ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, vakbondslidmaatschap, genetische gegevens, biometrische gegevens voor unieke identificatie, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Het verwerken van bijzondere persoonsgegevens is in beginsel verboden; een uitdrukkelijke uitzondering is niet iets om achteraf te zoeken.

Verwerkingsregister. Elke organisatie legt vast de verwerkingsdoeleinden, categorieën betrokkenen en persoonsgegevens, ontvangers, internationale doorgiften, beoogde bewaartermijnen en een algemene beschrijving van de beveiligingsmaatregelen. Het vastleggen van de toepasselijke grondslag en interne toegangsrechten is sterk aan te bevelen maar geen afzonderlijk minimumveld uit artikel 30. De vrijstelling voor organisaties met minder dan 250 medewerkers geldt niet bij structurele verwerkingen, niet als de verwerking waarschijnlijk risico's voor betrokkenen inhoudt en niet bij bijzondere persoonsgegevens of strafrechtelijke gegevens. In de praktijk heeft vrijwel elke organisatie met personeel, klanten of cliënten een registratieplicht. De AP kan het register op elk moment opvragen, ook buiten formele onderzoeken.

Verwerkersovereenkomst. Wie een externe partij inschakelt die persoonsgegevens namens de organisatie verwerkt, is verplicht een verwerkersovereenkomst te sluiten. Dit geldt voor salarisverwerkers, clouddiensten, HR-softwareleveranciers, hostingproviders en mailingplatforms, maar ook voor elke SaaS-toepassing waarbij uw data bij een derde terechtkomt. Wie zonder verwerkersovereenkomst gebruik maakt van een cloudservice die persoonsgegevens verwerkt, is al in overtreding. Subverwerkers die de verwerker inschakelt, vallen ook binnen dit kader en vereisen schriftelijke toestemming van de verwerkingsverantwoordelijke.

Privacyverklaring en transparantie. Betrokkenen moeten bij de eerste gegevensverzameling worden geïnformeerd over de verwerking: wie de verwerkingsverantwoordelijke is, welke gegevens worden verwerkt, voor welk doel en op welke grondslag, hoe lang de gegevens worden bewaard, aan wie ze worden verstrekt en welke rechten de betrokkene heeft. Deze informatieplicht is wettelijk voorgeschreven in de artikelen 12 tot en met 14 AVG. Een vage, generieke of verouderde privacyverklaring is niet alleen een communicatieprobleem maar een overtredingsvastlegging.

Bewaartermijnen. Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel waarvoor zij zijn verzameld. Dit vereist per verwerking een bewuste keuze over de bewaartermijn, vastgelegd in het verwerkingsregister en technisch afgedwongen in de systemen. Organisaties die gegevens onbeperkt bewaren "voor het geval dat" handelen daarmee in strijd met het AVG-beginsel van opslagbeperking.

Privacy by design en privacy by default. Nieuwe systemen, processen en producten worden ontworpen met ingebouwde privacybescherming. Privacy by default houdt in dat bij een keuze tussen meer en minder gegevensverzameling de minst privacybelastende optie de standaard is, niet de standaard die de leverancier of aanbieder commercieel het meest uitkomt.

Beveiliging. Organisaties treffen passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen. Wat passend is, hangt af van de aard van de gegevens, de risico's en de stand van de techniek. Onvoldoende beveiliging is een zelfstandige overtreding van de AVG, los van de vraag of er een datalek heeft plaatsgevonden.

Gegevensbeschermingseffectbeoordeling (DPIA). Bij verwerkingen die waarschijnlijk een hoog risico inhouden voor betrokkenen is een DPIA verplicht vóórdat de verwerking begint. De AP heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is, waaronder grootschalige verwerking van bijzondere persoonsgegevens, stelselmatige monitoring van personen en bepaalde vormen van profilering. Als de DPIA uitwijst dat een hoog risico niet adequaat met maatregelen kan worden beperkt, moet de AP vooraf worden geraadpleegd.

Functionaris voor Gegevensbescherming (FG). Een FG is verplicht voor overheidsinstanties en publieke lichamen, voor organisaties waarvan de kernactiviteiten bestaan uit grootschalige, regelmatige en stelselmatige observatie van betrokkenen, of uit grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens. De FG heeft een onafhankelijke positie en mag vanwege die taak niet worden ontslagen of benadeeld.

Rechten van betrokkenen. Betrokkenen hebben het recht op inzage in hun gegevens, op rectificatie, op wissing in bepaalde gevallen, op beperking van verwerking, op dataportabiliteit en op bezwaar. Verzoeken moeten in beginsel binnen een maand worden afgehandeld, met mogelijkheid tot verlenging bij complexe gevallen. De AP ontvangt jaarlijks tienduizenden klachten van betrokkenen; een klacht is voor de AP een signaal dat een onderzoek rechtvaardigt.

Wanneer een organisatie kennis krijgt van een inbreuk op de beveiliging van persoonsgegevens, moet zij dit onverwijld, en waar mogelijk uiterlijk binnen 72 uur, melden bij de AP. De 72 uur zijn kalenderuren en lopen door in weekenden en vakantieperioden. De termijn begint op het moment dat de verwerkingsverantwoordelijke kennis heeft van de inbreuk, niet op het moment dat de inbreuk plaatsvond. Een late ontdekking maakt een melding niet automatisch te laat, maar kan wel vragen oproepen over de adequaatheid van monitoring en incidentdetectie. Een melding kan worden ingediend voordat alle details bekend zijn en moet worden aangevuld zodra meer informatie beschikbaar is.

Als het lek waarschijnlijk een hoog risico inhoudt voor de betrokkenen, moeten ook zij persoonlijk en in duidelijke taal worden geïnformeerd.

Elk datalek, ook als er geen meldingsplicht bij de AP bestaat, wordt vastgelegd in een intern datalekregister. De verplichting geldt zonder uitzondering voor elke organisatie die persoonsgegevens verwerkt. Een verwerker die een inbreuk constateert, meldt dit zonder onredelijke vertraging aan de verwerkingsverantwoordelijke en verstrekt de informatie die nodig is voor beoordeling en eventuele melding bij de AP.

De AP heeft in haar Jaarplan 2026 en Strategische focus 2026-2028 drie prioriteiten vastgesteld: massasurveillance in het private en publieke domein, de snelle ontwikkeling en implementatie van AI, en weerbare en betrouwbare digitale diensten.

Bij massasurveillance richt de AP zich op het brede gebruik van surveillancetechnieken, met bijzondere aandacht voor discriminatierisico's. Concreet gaat het om cameranetwerken, gezichtsherkenning, systemen voor gedragsmonitoring van medewerkers en profilering van klanten of burgers. De AP ontmoedigt het brede gebruik van deze technieken en treedt waar nodig handhavend op.

Bij AI heeft de AP in 2026 haar rol als coördinerend toezichthouder op algoritmes en AI uitgebreid. De AP publiceerde op 4 februari 2026 haar visie op generatieve AI en de randvoorwaarden die de AVG aan de ontwikkeling en inzet daarvan stelt. AI-systemen die persoonsgegevens verwerken, vallen onder de AVG, ook als zij commercieel worden afgenomen en niet intern zijn ontwikkeld. Op 20 april 2026 publiceerde het kabinet een voorstel voor de Nederlandse toezichtstructuur op de AI-verordening. Daarin wordt de AP voorgesteld als toezichthouder voor verboden AI-toepassingen, voor hoog-risico AI-systemen uit bijlage III van de AI Act en voor de transparantieverplichtingen uit die verordening, naast een coördinerende rol samen met de RDI.

Weerbare digitale diensten sluit aan op de Cyberbeveiligingswet: de AP ziet toe op de beveiligingsverplichtingen uit de AVG en werkt op dit vlak samen met andere toezichthouders. Bij het toezicht op de DSA werkt de AP vanuit haar eigen AVG-mandaat samen met de ACM, omdat DSA-verplichtingen en AVG-verplichtingen regelmatig samenlopen bij tussenhandeldiensten die persoonsgegevens verwerken.

De AVG kent twee boetecategorieën. Voor overtredingen van de tweede rang, waaronder schending van de meldplicht datalekken, onvoldoende beveiliging, het niet sluiten van verwerkersovereenkomsten en het niet uitvoeren van een verplichte DPIA, bedraagt het maximum 10 miljoen euro of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. Voor de ernstigste overtredingen, waaronder verwerkingen zonder geldige grondslag, schending van de rechten van betrokkenen, overtreding van de regels voor bijzondere persoonsgegevens en onrechtmatige doorgifte naar derde landen, bedraagt het maximum 20 miljoen euro of 4% van de totale wereldwijde jaaromzet.

De AP past haar Boetebeleidsregels 2023 toe om de hoogte van een boete binnen deze maxima te bepalen. Verzwarende factoren zijn de ernst en duur van de overtreding, het ontbreken van preventieve maatregelen, eerdere overtredingen en geringe samenwerking met de AP. Verzachtende factoren zijn proactieve melding, corrigerende maatregelen en medewerking aan het onderzoek.

De AVG staat niet op zichzelf.

De AI Act legt aanvullende eisen op aan AI-systemen die persoonsgegevens verwerken, maar heft de AVG niet op. Wie een AI-systeem inzet dat persoonsgegevens verwerkt, moet aan beide regimes voldoen. De eisen gelden cumulatief, niet alternatief. Voor bepaalde publieke gebruiksverantwoordelijken, waaronder overheidsinstanties en personen die namens hen optreden, geldt een registratieverplichting voor het gebruik van bepaalde hoogrisicosystemen uit Bijlage III in de Europese databank. Dit is geen algemene plicht voor private organisaties. De toepassingsdatum hangt af van de formele inwerkingtreding van de Digital Omnibus.

De Cyberbeveiligingswet verplicht organisaties tot passende beveiligingsmaatregelen voor netwerk- en informatiesystemen. Die verplichting overlapt met de beveiligingsplicht uit de AVG. De twee regimes zijn niet gelijkluidend: de Cbw richt zich op de beschikbaarheid en integriteit van systemen en netwerken, de AVG op de bescherming van persoonsgegevens. Beide kunnen van toepassing zijn op hetzelfde beveiligingsincident.

Internationale gegevensdoorgifte naar landen buiten de Europese Economische Ruimte (EER) vereist aanvullende maatregelen. Adequaatheidsbesluiten, standaard contractsbepalingen (Standard Contractual Clauses) en aanvullende technische maatregelen zijn de gangbare mechanismen. Organisaties die gebruikmaken van cloudservices, CRM-systemen of andere diensten van niet-EER-aanbieders, moeten controleren of de doorgifte rechtmatig is vormgegeven.

Een compleet verwerkingsregister en een uitgevoerde DPIA zijn geen eindpunt, ze zijn een foto van vandaag. De vraag die daarna overblijft, welke verwerkingen je voortzet, welke bewaartermijnen je hanteert, hoe je verwerkersrelaties beheert, is een datastrategische vraag, geen administratieve.

Lees hoe wij de AVG wetgeving voor u laten samenkomen met een strategie →

Lexent voert een juridische en technische scan uit die vaststelt waar uw verwerkingsregister, verwerkersovereenkomsten, privacyverklaring, bewaartermijnen, datalekprocedures en beveiligingsmaatregelen staan ten opzichte van de AVG-vereisten. Wij beoordelen ook of uw AI-gebruik en datastromen naar leveranciers en subverwerkers op orde zijn. Waar nodig stellen wij ook de maatwerkverwerkersovereenkomsten en het verwerkingsregister als juridisch document op.

Wilt u weten waar uw organisatie staat ten opzichte van de AVG? Neem contact met ons op voor een vrijblijvend gesprek.