De AVG geldt sinds 25 mei 2018 voor elke organisatie die persoonsgegevens verwerkt. Kern van de wet: je hebt per verwerking een grondslag nodig, je houdt een register bij, je beveiligt de gegevens passend en je meldt een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens. Boetes lopen op tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet.
Laatst bijgewerkt op
Op deze pagina
De Algemene verordening gegevensbescherming is verordening (EU) 2016/679, in het Engels de GDPR. Hij is van toepassing sinds 25 mei 2018 en geldt rechtstreeks in alle lidstaten. Nederland heeft er de Uitvoeringswet AVG naast liggen, die op een aantal punten invulling geeft aan de ruimte die de verordening aan lidstaten laat.
De AVG geldt zodra je persoonsgegevens verwerkt, en dat is bijna altijd. Een personeelsadministratie, een klantenbestand, camerabeelden en een nieuwsbrieflijst zijn allemaal verwerkingen. Er is geen omzetdrempel en geen medewerkersdrempel: een eenmanszaak valt er net zo goed onder als een ziekenhuis.
Wat wel meebeweegt met je omvang en je risico is de zwaarte van de maatregelen. De AVG werkt met open normen: passend, evenredig, gelet op de stand van de techniek en de kosten. Kleine organisaties hebben dus niet minder verplichtingen, maar wel een andere invulling.
De AVG kent twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker verwerkt ze uitsluitend in opdracht, zoals een salarisadministrateur, een hostingpartij of een SaaS-leverancier.
De verantwoordelijke draagt het grootste deel van de plichten: grondslag, informatieplicht, rechten van betrokkenen, DPIA. De verwerker heeft eigen plichten uit artikel 28 en 32. Bepaal je rol per verwerking en niet per organisatie: veel bedrijven zijn in de ene stroom verantwoordelijke en in de andere verwerker.
Elke verwerking heeft een van de zes grondslagen uit artikel 6 nodig. Geen grondslag betekent dat de verwerking onrechtmatig is, hoe zorgvuldig je verder ook werkt. Kies de grondslag vooraf en leg hem vast: achteraf wisselen mag niet.
Gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie, vakbondslidmaatschap, seksuele gerichtheid, en genetische en biometrische gegevens voor identificatie vallen onder artikel 9. Die mag je in beginsel niet verwerken, tenzij een van de uitzonderingen geldt. De bekendste valkuil voor werkgevers is ziekteverzuim: registreren dat iemand ziek is mag, registreren wat iemand mankeert niet.
Artikel 30 verplicht tot een register van verwerkingsactiviteiten. In de tekst staat een uitzondering voor organisaties met minder dan 250 medewerkers, maar die uitzondering vervalt zodra de verwerking niet incidenteel is, een risico oplevert voor betrokkenen of bijzondere persoonsgegevens betreft. Een personeelsadministratie is per definitie niet incidenteel, dus in de praktijk moet vrijwel iedereen een register bijhouden.
Het register is geen doel op zich maar wel het fundament onder de rest. Zonder overzicht kun je geen bewaartermijnen bepalen, geen inzageverzoek beantwoorden en bij een datalek niet vaststellen wie er geraakt is.
De AVG kent geen certificaat en geen afvinklijst met een stempel eraan. Wel is er een set die de Autoriteit Persoonsgegevens bij vrijwel elk onderzoek langsloopt.
Artikel 28 schrijft de inhoud voor: onderwerp, duur, aard en doel van de verwerking, de soorten gegevens, de categorieën betrokkenen en de rechten en plichten van beide partijen.
Twee dingen gaan hier vaak mis. De subverwerker, want je leverancier mag er niet zomaar een inschakelen en jij moet weten wie het zijn. En doorgifte buiten de EER: zonder adequaatheidsbesluit heb je aanvullende waarborgen nodig, meestal de modelcontractbepalingen van de Europese Commissie.
Een gegevensbeschermingseffectbeoordeling, in de praktijk DPIA genoemd, is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Artikel 35 noemt drie situaties: stelselmatige geautomatiseerde beoordeling van persoonlijke aspecten, grootschalige verwerking van bijzondere persoonsgegevens en grootschalige monitoring van openbare ruimten.
De Autoriteit Persoonsgegevens heeft daarnaast een lijst gepubliceerd met verwerkingen waarvoor een DPIA in Nederland altijd verplicht is, onder meer rond heimelijk onderzoek, zwarte lijsten, cameratoezicht op werknemers en locatiegegevens. Loop die lijst langs voordat je concludeert dat je er geen nodig hebt.
Kom je uit de DPIA met een hoog restrisico dat je niet kunt afdekken, dan moet je vooraf overleggen met de Autoriteit Persoonsgegevens. Dat is de reden om een DPIA te doen voordat een systeem live gaat en niet erna.
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Dat is breder dan een hack: een verkeerd geadresseerde e-mail met een deelnemerslijst en een gestolen laptop vallen er ook onder.
Bij een datalek met een risico voor betrokkenen meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Die klok begint bij het moment waarop jouw organisatie er kennis van kreeg, niet bij het moment waarop je de omvang begrijpt. Lukt het niet om binnen die termijn compleet te zijn, dan meld je wat je hebt en vul je later aan.
Levert het lek een hoog risico op voor betrokkenen, dan informeer je hen bovendien zelf onverwijld, in duidelijke taal en met een handelingsperspectief. Ben je verwerker, dan meld je niet bij de toezichthouder maar bij je opdrachtgever, die de melding doet.
| Situatie | Termijn | Artikel |
|---|---|---|
| Datalek melden bij de Autoriteit Persoonsgegevens | Binnen 72 uur na ontdekking, later aanvullen mag | Artikel 33 |
| Betrokkenen informeren bij hoog risico | Onverwijld, zonder vaste klok maar in de praktijk direct | Artikel 34 |
| Verwerker meldt aan verwerkingsverantwoordelijke | Zonder onredelijke vertraging | Artikel 33 lid 2 |
| Verzoek van een betrokkene beantwoorden | Binnen één maand, met twee maanden verlenging bij complexiteit | Artikel 12 lid 3 |
| Informatieplicht bij gegevens die niet van de betrokkene komen | Uiterlijk binnen één maand na verkrijging | Artikel 14 |
Alle datalekken gaan in een intern register, ook de lekken die je na afweging niet meldt: de feiten, de gevolgen, de genomen maatregelen en de onderbouwing waarom je niet gemeld hebt. De toezichthouder kan dat register opvragen, en het is het enige bewijs dat je afweging bewust en consistent was.
Betrokkenen hebben een reeks rechten die ze kosteloos kunnen uitoefenen. Je hebt één maand om te reageren, verlengbaar met twee maanden als het verzoek complex is, mits je de betrokkene binnen die eerste maand over de verlenging informeert. Controleer altijd de identiteit van de verzoeker: een inzageverzoek beantwoorden aan de verkeerde persoon is zelf een datalek.
De Autoriteit Persoonsgegevens houdt in Nederland toezicht. Zij kan onderzoek doen op eigen initiatief, na klachten of na een datalekmelding, en beschikt over een waarschuwing, een berisping, een verwerkingsverbod, een last onder dwangsom en een boete.
De AVG kent twee boetecategorieën. Welke geldt hangt af van het overtreden artikel, niet van de ernst van de gevolgen. Bij beide geldt het hoogste van de twee bedragen.
| Categorie | Maximum | Onder meer bij |
|---|---|---|
| Lager | 10 miljoen euro of 2 procent van de wereldwijde jaaromzet | Geen register, geen verwerkersovereenkomst, datalek niet of te laat gemeld, geen DPIA, geen functionaris gegevensbescherming waar dat verplicht is, onvoldoende beveiliging |
| Hoger | 20 miljoen euro of 4 procent van de wereldwijde jaaromzet | Verwerken zonder grondslag, geen geldige toestemming, schenden van de beginselen, rechten van betrokkenen negeren, onrechtmatige doorgifte buiten de EER |
Een functionaris gegevensbescherming is verplicht voor overheidsinstanties, voor organisaties die als kerntaak op grote schaal mensen stelselmatig observeren, en voor organisaties die als kerntaak op grote schaal bijzondere of strafrechtelijke gegevens verwerken.
Val je daarbuiten, dan mag je er vrijwillig een aanstellen. Doe je dat, dan gelden meteen alle wettelijke eisen: onafhankelijke positie, geen instructies over de uitvoering, voldoende middelen en aanmelding bij de toezichthouder. Een vrijwillige functionaris is geen lichtere variant.
De AVG staat zelden alleen. De beveiligingsplicht uit artikel 32 overlapt sterk met de zorgplicht uit NIS2 en met de beheersmaatregelen van ISO 27001, dus hetzelfde bewijs telt op meerdere plaatsen mee. Wat niet overlapt is het privacy-eigen deel: grondslagen, het register, DPIA's en de rechten van betrokkenen komen in geen enkele beveiligingsnorm voor.
Begin bij het overzicht, niet bij de documenten. Zonder register weet je niet welke bewaartermijnen, verwerkersovereenkomsten en DPIA's je mist.
De beveiligingskant van artikel 32 is deels direct te toetsen. Onze gratis domeinscan controleert TLS, security headers, DNSSEC, e-mailbeveiliging en een reeks andere publiek zichtbare instellingen, en laat zien welke daarvan meetellen als bewijs voor de AVG, voor NIS2 en voor ISO 27001.
Wil je weten hoeveel werk de rest is, reken het dan door zonder account. Je krijgt de werklast per onderwerp op basis van je sector en omvang, en je ziet in welke volgorde het werk logisch loopt.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.