Je hoort het overal: "Wij verwerken je gegevens volgens de AVG." Maar wat is de AVG precies, voor wie geldt het en wat betekent het voor jou als consument of ondernemer? In dit artikel lees je het in begrijpelijke taal.
Wat is de AVG?
AVG staat voor Algemene Verordening Gegevensbescherming. Het is de Nederlandse naam voor de Europese privacywet die in 2018 van kracht werd – internationaal bekend als de GDPR (General Data Protection Regulation).
De wet bepaalt hoe organisaties mogen omgaan met persoonsgegevens: gegevens waarmee een persoon direct of indirect identificeerbaar is. Denk aan naam, e-mailadres, IP-adres of locatiedata.
De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van mensen die in de EU wonen – ongeacht waar die organisatie zelf gevestigd is. De belangrijkste rechten die de AVG jou geeft:
- Recht op inzage – je mag opvragen welke gegevens een organisatie van je heeft
- Recht op verwijdering – ook wel het 'recht op vergetelheid' genoemd
- Recht op correctie – onjuiste gegevens laten aanpassen
- Recht op bezwaar – tegen bepaalde vormen van gegevensverwerking
De toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP). Zij handhaven de wet en kunnen boetes opleggen bij overtredingen.
Hoe werkt de AVG in de praktijk?
Organisaties mogen persoonsgegevens alleen verwerken als daar een geldige wettelijke grondslag voor is. De meest voorkomende grondslagen zijn toestemming, een overeenkomst of een wettelijke verplichting.
Geef je toestemming voor het ontvangen van een nieuwsbrief? Dan mag dat bedrijf jouw e-mailadres gebruiken voor dat doel – en niet meer dan dat. Trek je die toestemming in, dan moet het bedrijf stoppen met die verwerking.
Organisaties zijn ook verplicht om transparant te zijn: in een privacyverklaring leggen ze uit welke gegevens ze verzamelen, waarom en hoe lang ze die bewaren.
Voor wie geldt de AVG?
De AVG geldt voor vrijwel elke organisatie die met persoonsgegevens werkt: bedrijven, overheden, stichtingen en zzp'ers. Verwerk je als ondernemer gegevens van klanten, medewerkers of bezoekers van je website? Dan val je onder de AVG.
Verplichtingen voor organisaties:
- Alleen gegevens verzamelen die je daadwerkelijk nodig hebt (dataminimalisatie)
- Gegevens niet langer bewaren dan noodzakelijk
- Passende beveiliging treffen om datalekken te voorkomen
- Een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens
Kleine ondernemers zonder personeel hoeven niet altijd een verwerkingsregister bij te houden, maar de basisregels gelden wel voor iedereen.
Wat zijn de boetes bij overtreding van de AVG?
De AVG kent forse boetes. Er zijn twee categorieën:
- Tot € 10 miljoen of 2% van de wereldwijde jaaromzet – voor lichtere overtredingen, zoals het niet bijhouden van een verwerkingsregister
- Tot € 20 miljoen of 4% van de wereldwijde jaaromzet – voor ernstige overtredingen, zoals het verwerken van gegevens zonder geldige grondslag
In de praktijk legt de Autoriteit Persoonsgegevens voor kleine organisaties vaak eerst een waarschuwing of last onder dwangsom op. Maar grote bedrijven zijn al beboet met tientallen miljoenen euro's – denk aan Meta, Google en Amazon.
Ook als kleine ondernemer loop je risico: een datalek dat niet gemeld wordt of een privacyverklaring die niet klopt kan leiden tot handhavingsmaatregelen.
Voordelen en nadelen van de AVG
De AVG heeft duidelijke voor- en nadelen, afhankelijk van of je er als consument of ondernemer naar kijkt.
Voordelen:
- Sterke bescherming van jouw privacyrechten als burger
- Meer controle over welke gegevens bedrijven van je mogen hebben
- Hogere standaard voor gegevensbeveiliging bij organisaties
Nadelen:
- Administratieve last voor ondernemers, zeker voor kleine bedrijven
- Complexe regelgeving die lastig te doorgronden is zonder juridische kennis
- Handhaving is niet altijd consistent
Meer lezen?
De AVG verplicht organisaties om persoonsgegevens actief te beveiligen. Maar wie houdt daar continu toezicht op? Lees hier wat een SOC is en hoe een Security Operations Center dreigingen bewaakt.
Veelgestelde vragen
Wat betekent AVG?
AVG staat voor Algemene Verordening Gegevensbescherming. Het is de Nederlandse naam voor de Europese privacywet GDPR, die sinds 25 mei 2018 van kracht is in alle EU-lidstaten.
Voor wie geldt de AVG?
De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van mensen die in de EU wonen. Dat geldt ook voor buitenlandse bedrijven die diensten aanbieden aan EU-burgers.
Wat zijn persoonsgegevens volgens de AVG?
Persoonsgegevens zijn alle gegevens waarmee een persoon direct of indirect identificeerbaar is. Denk aan naam, e-mailadres, telefoonnummer, IP-adres, locatiedata en foto's.
Wat is het verschil tussen AVG en GDPR?
Er is geen inhoudelijk verschil. GDPR is de Engelse afkorting (General Data Protection Regulation), AVG de Nederlandse. Het gaat om dezelfde wet.
Wat moet ik als ondernemer regelen voor de AVG?
Als ondernemer moet je onder meer een privacyverklaring opstellen, alleen noodzakelijke gegevens verzamelen, datalekken melden en in veel gevallen een verwerkingsregister bijhouden. Bij twijfel is juridisch advies aan te raden.
