Regels
Wat de AVG is, voor wie ze geldt, welke beginselen, grondslagen, rechten en plichten erin staan, hoe hoog de boetes zijn en wat AI-gebruik eraan toevoegt.
De AVG is de Algemene verordening gegevensbescherming, de Europese wet die regelt wat organisaties met persoonsgegevens mogen doen. De AVG-wetgeving geldt in de hele Europese Unie en bepaalt wanneer je gegevens van mensen mag verzamelen, gebruiken en bewaren, welke rechten die mensen hebben en wat je moet vastleggen en beveiligen.
De officiële naam is Verordening (EU) 2016/679 van 27 april 2016; in het Engels heet ze de GDPR. Wie zoekt op "AVG-wet" of "privacywet" bedoelt meestal de verordening, samen met de Nederlandse Uitvoeringswet AVG die haar aanvult. De tekst van de AVG telt 99 artikelen. Dit artikel loopt de onderdelen langs die een organisatie in de praktijk nodig heeft. Het is uitleg en geen juridisch advies: voor een oordeel over jouw situatie heb je je functionaris gegevensbescherming of een jurist nodig.
De AVG is volgens artikel 99 van toepassing sinds 25 mei 2018. Een verordening werkt rechtstreeks: ze hoeft niet eerst in een Nederlandse wet te worden omgezet. De Autoriteit Persoonsgegevens (AP) vat op haar pagina de AVG in het kort samen voor wie ze geldt: voor iedereen die persoonsgegevens verwerkt.
Artikel 2 sluit een paar situaties uit. De bekendste is de verwerking door een natuurlijke persoon bij een zuiver persoonlijke of huishoudelijke activiteit, zoals een adresboek. Voor politie en justitie geldt bij opsporing en vervolging een apart kader.
De verwerkingsverantwoordelijke bepaalt waarom en hoe gegevens worden verwerkt. De verwerker doet dat namens hem, zoals een salarisverwerker of een softwareleverancier. De meeste plichten rusten op de verwerkingsverantwoordelijke: besteed je iets uit, dan blijf je verantwoordelijk.
Twee definities uit artikel 4 bepalen het bereik van de wet.
Een persoonsgegeven is alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat is breder dan een naam en een adres: iemand is ook identificeerbaar aan een klantnummer, een IP-adres of een combinatie van kenmerken. De AP geeft voorbeelden op haar pagina wat zijn persoonsgegevens, waaronder camerabeelden waarop iemand te herkennen is. Gegevens over organisaties en over overleden personen vallen er volgens de AP buiten, tenzij ze ook iets zeggen over een levend mens.
Verwerken is vrijwel alles wat je met die gegevens kunt doen: verzamelen, opslaan, raadplegen, gebruiken, doorsturen, wissen. Ook alleen bewaren is verwerken. En ook een tekst in een online dienst plakken: je verstrekt de gegevens aan een andere partij.
Voor gegevens over onder meer gezondheid, afkomst en geloof geldt een verbod met uitzonderingen (artikel 9). Strafrechtelijke gegevens en het BSN hebben eigen regels. Zie Bijzondere persoonsgegevens: welke zijn het, en mag AI ze verwerken?.
Artikel 5 bevat de kern van de wet: zes beginselen.
Daarboven staat artikel 5 lid 2: de verwerkingsverantwoordelijke is verantwoordelijk voor de naleving en kan die aantonen. Dat is de verantwoordingsplicht: je moet kunnen laten zien wat je doet. De AP noemt op haar pagina over de verantwoordingsplicht als verplichte maatregelen onder meer het verwerkingsregister en het datalekregister.
Alleen als je een grondslag hebt. Artikel 6 noemt er zes. De AP licht ze toe op de pagina grondslagen AVG uitgelegd: je bepaalt de grondslag voordat je begint.
Toestemming lijkt de veiligste keuze, maar is vaak de zwakste. De overwegingen bij de AVG zeggen dat toestemming geen geldige basis is bij een duidelijke wanverhouding tussen de organisatie en de betrokkene. Kan een werknemer vrij weigeren als zijn werkgever het vraagt? En wie zijn toestemming intrekt, laat je zonder grondslag achter. Voor de klantenadministratie past de overeenkomst vaak beter, voor de loonadministratie de wettelijke verplichting.
Vijf van de zes grondslagen bevatten het woord noodzakelijk. Dat betekent meer dan handig: kun je het doel op een minder ingrijpende manier bereiken? Die vraag komt terug bij elk nieuw hulpmiddel, dus ook bij AI.
De artikelen 12 tot en met 22 geven de mensen over wie gegevens gaan, de betrokkenen, een reeks rechten.
Op een verzoek reageer je onverwijld en in elk geval binnen één maand. Die termijn kan zo nodig met twee maanden worden verlengd, als je dat binnen de eerste maand laat weten (artikel 12 lid 3). Wie niet tevreden is, kan een klacht indienen bij de toezichthouder (artikel 77) en heeft bij schade recht op schadevergoeding (artikel 82).
De beginselen zijn algemeen, de plichten concreet. De tabel zet de belangrijkste naast elkaar. Niet elke plicht geldt voor elke organisatie.
| Plicht | Artikel | Wat je concreet doet |
|---|---|---|
| Een grondslag per verwerking | Art. 6 | Per doel vastleggen op welke grondslag je verwerkt, vóórdat je begint |
| Mensen informeren | Art. 13 en 14 | Een privacyverklaring die klopt met wat je werkelijk doet |
| Verwerkingsregister | Art. 30 | Per verwerking doel, categorieën van gegevens en betrokkenen, ontvangers, doorgifte, bewaartermijn en beveiliging vastleggen |
| Verwerkersovereenkomst | Art. 28 | Met elke partij die namens jou gegevens verwerkt een overeenkomst sluiten |
| Beveiliging | Art. 32 | Maatregelen die passen bij het risico, zoals toegangsbeheer, versleuteling en pseudonimisering |
| Datalekken melden en vastleggen | Art. 33 en 34 | Een procedure, een risicoafweging per incident en een datalekregister |
| Gegevensbeschermingseffectbeoordeling (DPIA) | Art. 35 en 36 | Vóór een verwerking met een waarschijnlijk hoog risico de risico's en maatregelen beschrijven |
| Functionaris gegevensbescherming (FG) | Art. 37 | Nagaan of je verplicht bent er een aan te wijzen en die keuze onderbouwen |
| Doorgifte buiten de EER | Art. 44 en verder | Per ontvanger buiten de EER vastleggen op welke basis de doorgifte rust |
Artikel 30 lid 5 kent een uitzondering voor organisaties met minder dan 250 medewerkers. Ze vervalt als de verwerking waarschijnlijk een risico inhoudt, niet incidenteel is of bijzondere of strafrechtelijke gegevens betreft. Een salarisadministratie is niet incidenteel, dus in de praktijk heeft bijna elke organisatie een register nodig. Zie Verwerkingsregister: wat erin moet, met een voorbeeld voor AI-tools.
Een DPIA is verplicht als een verwerking, zeker met nieuwe technologie, waarschijnlijk een hoog risico inhoudt, bijvoorbeeld bij grootschalige verwerking van bijzondere of strafrechtelijke gegevens. De AP heeft daarnaast een eigen lijst van verwerkingen waarvoor een DPIA verplicht is; ze staat op haar pagina over de data protection impact assessment. Hoe je er een uitvoert, staat in DPIA voor AI-tools.
Artikel 37 verplicht drie groepen een FG aan te wijzen: overheidsinstanties, organisaties die hoofdzakelijk belast zijn met regelmatige en stelselmatige observatie van mensen op grote schaal, en organisaties die hoofdzakelijk belast zijn met grootschalige verwerking van bijzondere of strafrechtelijke gegevens. Bij twijfel moet je volgens de AP kunnen onderbouwen waarom je wel of geen FG hebt.
Een datalek meld je bij de AP, tenzij een risico voor de betrokkenen niet waarschijnlijk is, en zo mogelijk binnen 72 uur. De uitwerking staat in Wat is een datalek? Voorbeelden, de meldplicht en wat je binnen 72 uur doet.
In Nederland is de Autoriteit Persoonsgegevens de toezichthouder. Zij kan een berisping geven, een verwerkingsverbod of een last onder dwangsom opleggen en een boete uitdelen. Het overzicht staat op haar pagina boetes en andere sancties.
Artikel 83 kent twee plafonds.
Voor een onderneming geldt het percentage als dat hoger uitkomt. Het zijn maxima: de hoogte in een concreet geval hangt af van onder meer de ernst, de duur en opzet of nalatigheid. Een voorbeeld van wat de AP in de praktijk oplegt: in december 2025 kreeg een hogeschool een boete van 175.000 euro voor onvoldoende beveiliging van persoonsgegevens.
De AVG laat op een aantal punten ruimte aan de lidstaten. Nederland heeft die ingevuld in de Uitvoeringswet AVG, die de Wet bescherming persoonsgegevens verving. Wie de Nederlandse AVG-wetgeving wil kennen, leest dus beide.
Aan de tekst van de wet niets. De AP schrijft op haar pagina algoritmes, AI en de AVG dat de AVG techniekneutraal is opgesteld: het maakt voor het toezicht niet uit op welke manier een verwerking technisch gebeurt. Wat verandert, is hoe vaak en hoe ongemerkt de bestaande regels worden geraakt.
Wie een e-mail van een klant in een AI-chatbot plakt, verstrekt persoonsgegevens aan een andere partij. Daar is een grondslag voor nodig en een doel dat past bij waarvoor de klant zijn gegevens gaf. Per soort gegeven staat dat in klantgegevens in een AI-chatbot: de regels per soort gegeven.
Een chatvenster nodigt uit om het hele document te uploaden voor één vraag. Het beginsel van minimale gegevensverwerking vraagt het omgekeerde. Voor de vraag naar een opzegtermijn zijn de naam en het BSN van de huurder zelden nodig.
Op een consumentenabonnement is er in de regel geen verwerkersovereenkomst; op een zakelijk abonnement bieden de grote aanbieders die wel aan. Dat verschilt per abonnement en verandert geregeld (stand oktober 2026): loop de voorwaarden zelf na. Zie welk abonnement mag je zakelijk gebruiken.
De AP schrijft dat je vooraf vaststelt of je aan de AVG kunt voldoen, ook bij een pilot, en dat je bij algoritmische systemen met persoonsgegevens een DPIA uitvoert. Daarbij hoort een regel in het verwerkingsregister en, bij een aanbieder buiten de EER, een basis voor de doorgifte.
Artikel 22 beschermt mensen tegen besluiten die uitsluitend geautomatiseerd tot stand komen en hen aanmerkelijk treffen, zoals een automatische afwijzing. Wie AI inzet bij selectie of beoordeling, krijgt daarmee te maken, en daarnaast met de AI Act: een aparte Europese verordening die naast de AVG staat. Zie De AI Act uitgelegd.
Gaat het mis, dan is er de meldplicht. De AP meldde in 2024 dat zij meldingen van datalekken had gekregen doordat medewerkers persoonsgegevens met een AI-chatbot deelden.
PrivaSearch raakt één onderdeel hiervan: AI op documenten met persoonsgegevens. Persoonsgegevens worden binnen PrivaSearch herkend en vervangen door pseudoniemen, en een collega keurt goed voordat een document doorzoekbaar wordt. De stappen staan op hoe PrivaSearch werkt.
Zoeken kan in PrivaSearch zelf of via een gekoppelde AI-assistent: Claude, ChatGPT Business of Mistral Vibe (voorheen Le Chat). De assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages. Dat sluit aan bij het beginsel van minimale gegevensverwerking; zie ChatGPT, Claude, Mistral Vibe en de AVG.
Je omgeving maakt startdocumenten: een AI-beleid, een DPIA-startdocument, de regel voor het verwerkingsregister en de uitgeschreven grondslag. Het is geen juridisch advies. Meer staat op AVG en EU AI Act.
De AVG zelf blijft van jou. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens, automatische herkenning is nooit volledig, en wat een medewerker zelf in een assistent typt gaat rechtstreeks naar de aanbieder daarvan. Wil je zien hoe het werkt, vraag dan een demo aan.
De AVG is de Europese privacywet die sinds 25 mei 2018 regelt wat organisaties met persoonsgegevens mogen doen. Je hebt voor elke verwerking een grondslag en een doel nodig, je gebruikt niet meer gegevens dan nodig, je beveiligt ze en je bewaart ze niet te lang. Mensen hebben rechten, zoals inzage en verwijdering.
De AVG-wetgeving geldt voor iedereen die persoonsgegevens verwerkt: bedrijven van elke omvang, de overheid, verenigingen en stichtingen, en ook organisaties buiten de EU die zich op mensen in de EU richten. Alleen verwerking voor zuiver persoonlijk of huishoudelijk gebruik, zoals een adresboek, valt erbuiten.
Er is geen verschil. GDPR staat voor General Data Protection Regulation, de Engelse naam van dezelfde Europese verordening. AVG is de Nederlandse afkorting. Wel heeft elk land eigen aanvullende regels. In Nederland staan die in de Uitvoeringswet AVG, bijvoorbeeld over het BSN.
De wet kent twee maxima. Voor overtreding van plichten zoals het register, de beveiliging en de meldplicht datalekken is dat 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Voor overtreding van de beginselen, de grondslagen en de rechten van mensen is dat 20 miljoen euro of 4 procent. De werkelijke hoogte hangt af van het geval.
Nee. Toestemming is een van de zes grondslagen. Vaak past een andere beter: de uitvoering van een overeenkomst voor je klantenadministratie, een wettelijke verplichting voor de loonadministratie, of een gerechtvaardigd belang waarbij je jouw belang afweegt tegen dat van de betrokkene. Voor bijzondere persoonsgegevens, zoals gezondheid, heb je naast een grondslag ook een wettelijke uitzondering nodig.
Ja. De AVG is techniekneutraal en geldt voor elke verwerking van persoonsgegevens, dus ook als je een e-mail of een dossier in een AI-chatbot invoert. Je hebt een grondslag nodig, een passend doel, afspraken met de aanbieder en een regel in je verwerkingsregister. Deel niet meer dan nodig is.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →