De AVG: de privacywet in gewone taal

Wat is de AVG?

De AVG is de Europese wet over per­soons­ge­ge­vens. Het is een verordening: zij geldt sinds 25 mei 2018 recht­streeks in alle landen van de Europese Unie, zonder dat elk land haar eerst in een eigen wet hoeft over te nemen (artikel 99 AVG). Op een aantal punten mogen landen zelf regels maken. Nederland deed dat in de Uitvoerings­wet AVG (UAVG). Daarin staat bij­voor­beeld dat de Autoriteit Per­soons­ge­ge­vens de toe­zicht­hou­der is.

Per­soons­ge­ge­vens zijn alle gegevens over een persoon die bekend is of die u kunt herkennen: een naam, een adres, een te­le­foon­num­mer, maar ook een klantnummer, lo­ca­tie­ge­ge­vens of een IP-adres als dat naar iemand te herleiden is (artikel 4 AVG). Verwerken is bijna alles wat u met die gegevens doet: verzamelen, opslaan, bekijken, doorsturen, wissen.

Voor wie geldt de AVG?

• Bedrijven, groot en klein: ook een eenmanszaak met een klan­ten­lijst of een webshop.
• Ver­eni­gin­gen en stichtingen: bij­voor­beeld met een le­den­ad­mi­ni­stra­tie.
• De overheid: gemeenten, ministeries, scholen en zorg­in­stel­lin­gen.
• Par­ti­cu­lie­ren, soms: wie bij­voor­beeld een camera ophangt die de openbare weg filmt.

De AVG geldt niet voor wat u puur persoonlijk of in uw huishouden doet, zoals uw eigen adresboek of foto’s voor de familie (artikel 2 AVG). Voor politie en justitie gelden voor hun opsporings­taken aparte wetten.

De zes beginselen

Iedereen die per­soons­ge­ge­vens verwerkt, houdt zich aan zes beginselen uit artikel 5 AVG. En hij moet kunnen laten zien dat hij dat doet: dat heet de ver­ant­woor­dings­plicht.

De zes beginselen van de AVG

Beginsel	Wat het betekent
Rechtmatig, behoorlijk en transparant	Er is een grondslag, het gebruik is niet misleidend en u legt uit wat u doet
Doelbinding	Alleen voor een vooraf omschreven doel, niet zomaar voor iets anders
Da­ta­mi­ni­ma­li­sa­tie	Niet meer gegevens dan nodig voor dat doel
Juistheid	De gegevens kloppen en worden bijgewerkt
Op­slag­be­per­king	Niet langer bewaren dan nodig
Integriteit en ver­trou­we­lijk­heid	Goed beveiligd tegen verlies en onbevoegde toegang

De zes grondslagen

Een verwerking mag alleen als er een van deze zes grondslagen uit artikel 6 AVG voor is:

• Toestemming van de persoon zelf, voor een bepaald doel.
• Een over­een­komst: de gegevens zijn nodig om een contract met die persoon uit te voeren, bij­voor­beeld een adres om een pakket te bezorgen.
• Een wettelijke plicht: bij­voor­beeld de loon­ad­mi­ni­stra­tie voor de Belasting­dienst.
• Vitale belangen: om iemands leven te beschermen.
• Een taak van algemeen belang: vooral voor de overheid.
• Een ge­recht­vaar­digd belang: alleen als dat belang zwaarder weegt dan de privacy van de persoon. Een overheids­instantie kan zich hier bij haar taken niet op beroepen.

Voor gevoelige gegevens, zoals over gezondheid, godsdienst of etnische afkomst, geldt een verbod met beperkte uit­zon­de­rin­gen (artikel 9 AVG). Is iemand jonger dan zestien jaar, dan is voor toestemming de toestemming van een ouder of voogd nodig:

Indien artikel 8 van de verordening niet van toepassing is en sprake is van toestemming als bedoeld in artikel 4, onderdeel elf, van de verordening en de betrokkene heeft de leeftijd van zestien jaren nog niet bereikt, is in plaats van toestemming van de betrokkene, de toestemming van zijn wettelijk ver­te­gen­woor­di­ger vereist.

Voor online diensten die recht­streeks aan kinderen worden aangeboden, legt artikel 8 AVG dezelfde grens van zestien jaar.

Uw rechten

Uw rechten onder de AVG

Recht	Wat u kunt vragen
Informatie	Weten wie uw gegevens gebruikt, waarvoor en hoe lang (artikel 13 en 14)
Inzage	Welke gegevens een organisatie van u heeft, met het doel, de ontvangers en de bewaar­termijn (artikel 15)
Rec­ti­fi­ca­tie	Onjuiste gegevens laten verbeteren of aanvullen (artikel 16)
Wissen (recht op ver­ge­tel­heid)	Gegevens laten verwijderen, bij­voor­beeld als ze niet meer nodig zijn of u uw toestemming intrekt (artikel 17)
Beperking	Het gebruik tijdelijk laten stilzetten, bij­voor­beeld zolang wordt ge­con­tro­leerd of uw gegevens kloppen (artikel 18)
Over­draag­baar­heid	Uw gegevens meenemen naar een andere aanbieder (artikel 20)
Bezwaar	Stoppen met direct marketing, en bezwaar tegen gebruik op grond van een ge­recht­vaar­digd belang (artikel 21)
Geen besluit door alleen een computer	Geen besluit met grote gevolgen dat volledig automatisch is genomen, behalve in uit­zon­de­rin­gen (artikel 22)

Termijn: een organisatie antwoordt binnen een maand

Een organisatie reageert op uw verzoek zonder onnodige vertraging en in ieder geval binnen een maand. Bij in­ge­wik­kelde of veel verzoeken mag zij die termijn met twee maanden verlengen, als zij u dat binnen de eerste maand laat weten (artikel 12 lid 3 AVG). Wijst een bedrijf uw verzoek af, dan kunt u binnen zes weken na het antwoord de rechtbank vragen het alsnog toe te wijzen; antwoordt het niet op tijd, dan geldt die termijn niet (artikel 35 UAVG).

Wat de AVG van or­ga­ni­sa­ties vraagt

• Een register van ver­wer­kin­gen (artikel 30): welke gegevens u verwerkt, waarvoor en voor wie. Een organisatie met minder dan 250 werknemers hoeft dat alleen niet als de verwerking incidenteel is, weinig risico geeft en er geen gevoelige of straf­rechtelijke gegevens bij zijn.
• Een verwerkers­over­een­komst (artikel 28) met elke partij die gegevens namens u verwerkt, zoals een boek­houd­pak­ket of een clouddienst.
• Een DPIA (artikel 35) vóórdat u begint met een verwerking die waar­schijn­lijk een hoog risico geeft. Lees wanneer een DPIA verplicht is.
• Een datalek melden (artikel 33) bij de Autoriteit Per­soons­ge­ge­vens, binnen 72 uur, tenzij het lek waar­schijn­lijk geen risico geeft. Lees wat u doet bij een datalek.
• Een func­ti­ona­ris gegevens­bescherming (artikel 37) voor overheids­instanties en voor or­ga­ni­sa­ties die als kerntaak op grote schaal mensen volgen of gevoelige gegevens verwerken.
• Goede beveiliging en een duidelijke privacy­verklaring, zodat mensen weten wat er met hun gegevens gebeurt.

Toezicht, boetes en schade­vergoeding

De Autoriteit Per­soons­ge­ge­vens (AP) is in Nederland de toe­zicht­hou­der (artikel 6 en 14 UAVG). Iedereen kan bij de AP een klacht indienen (artikel 77 AVG). De boetes zijn hoog:

Maximale boetes onder de AVG

Overtreding	Maximale boete
De beginselen, de grondslagen of de rechten van mensen	€20 miljoen, of voor een onderneming 4% van de wereldwijde jaaromzet als dat hoger is
De plichten van or­ga­ni­sa­ties, zoals beveiliging, datalek melden en DPIA	€10 miljoen, of voor een onderneming 2% van de wereldwijde jaaromzet als dat hoger is

Heeft u schade door een overtreding, materieel of immaterieel, dan kunt u schade­vergoeding vragen van de organisatie die ver­ant­woor­de­lijk is (artikel 82 AVG). Hoeveel u krijgt, hangt af van de schade die u kunt aantonen.

Elke zaak is anders

De voorbeelden, uitspraken en uitkomsten van rekenhulpen op deze site laten zien hoe de regels in andere situaties werken. Ze zeggen niet wat de uitkomst in uw zaak wordt: die hangt af van uw eigen afspraken, bewijs en om­stan­dig­he­den. Twijfelt u? Lees waar u gratis of betaalbare juridische hulp vindt.

Wie kan u helpen?

Begin hier

De organisatie zelf

U wilt uw gegevens inzien, laten verbeteren of laten wissen.

Kosteloos, tenzij het verzoek kennelijk ongegrond of bui­ten­spo­rig is (artikel 12 AVG)

Autoriteit Per­soons­ge­ge­vens

De organisatie reageert niet of houdt zich volgens u niet aan de AVG.

Volgens de regels van de AP

Juridisch Loket

U wilt weten wat uw rechten zijn.

Gratis bij een laag inkomen en weinig spaargeld

Specialist privacy­recht

U wilt schade­vergoeding, of uw organisatie wil de AVG op orde brengen.

Afhankelijk van de zaak · Binnenkort via Legal Holding