AVG in Nederland: de Uitvoeringswet AVG en de Autoriteit Persoonsgegevens

AVG staat voor Algemene verordening gegevensbescherming, de Nederlandse naam voor de General Data Protection Regulation. Het is een EU-verordening en geldt daarom rechtstreeks in Nederland, in dezelfde bewoordingen als in elke andere lidstaat. Wat van land tot land verschilt, is de nationale laag die daarbovenop is gebouwd.

In Nederland bestaat die laag uit twee delen: de Uitvoeringswet AVG (UAVG), de Nederlandse uitvoeringswet, en de toezichthouder die daarmee wordt ingesteld, de Autoriteit Persoonsgegevens (AP). Deze pagina gaat over die laag. Zij behandelt de keuzes die Nederland heeft gemaakt waar de verordening ruimte liet, wat de AP wel en niet kan doen, en de Nederlandse procedurele wegen die voor iemand hier openstaan.

Voor de algemene verplichtingen van de verordening zelf, zie wat de AVG inhoudt en de rechten van de betrokkene onder de AVG, en voor een kortere landensamenvatting die is geschreven als onderdeel van het wereldwijde privacyoverzicht, zie het Nederlandse privacy-overzicht. Waar dit onderdeel past in de bredere Nederlandse rechtskaart staat op privacyrecht in Nederland.

Vier Nederlandse begrippen dragen het grootste deel van wat volgt. Een verwerkingsverantwoordelijke is de organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Een betrokkene is degene op wie de gegevens betrekking hebben. Een grondslag is de rechtmatige grondslag die een verwerkingsverantwoordelijke nodig heeft voordat hij gegevens verwerkt, en een datalek is een inbreuk in verband met persoonsgegevens.

Informatie voor het laatst geverifieerd op 21 juli 2026. Deze pagina biedt algemene juridische informatie over Nederlands recht en vormt geen juridisch advies voor een individueel geval.

Wat de Uitvoeringswet AVG doet dat de AVG niet doet

De UAVG is kort naar Nederlandse wetgevingsmaatstaven, omdat zij bewust de verordening niet herhaalt. Zij doet vier dingen: zij stelt de Autoriteit Persoonsgegevens in, zij maakt gebruik van de afwijkingsmogelijkheden die de AVG aan de lidstaten openliet, zij bouwt de Nederlandse rechtsbeschermingsroute tegen een verwerkingsverantwoordelijke, en zij zondert journalistieke, academische, artistieke en literaire uitingen uit.

De geconsolideerde tekst geldt sinds 1 juli 2021. Bij verschillende artikelen staat een aantekening dat wijzigingen zijn aangenomen zonder dat een datum van inwerkingtreding is vastgesteld. Die wijzigingen zijn nog geen recht, en de weergave hieronder betreft het recht zoals dit op dit moment geldt.

Gegevens van strafrechtelijke aard vormen een gesloten systeem

Dit is de grootste en meest kenmerkende Nederlandse afwijking, en zij bouwt voort op artikel 10 AVG. Artikel 31 UAVG bepaalt dat gegevens van strafrechtelijke aard, gegevens over strafrechtelijke veroordelingen en strafbare feiten, alleen mogen worden verwerkt voor zover de artikelen 32 en 33 dit toestaan. De structuur is een verbod met een uitputtende lijst van uitzonderingen, geen belangenafweging.

Artikel 32 staat verwerking toe bij uitdrukkelijke toestemming, ter bescherming van vitale belangen, wanneer de betrokkene de gegevens kennelijk zelf openbaar heeft gemaakt, voor de instelling, uitoefening of onderbouwing van een rechtsvordering of door de rechter in de uitoefening van zijn rechterlijke taak, op grond van een zwaarwegend algemeen belang, en voor onderzoek of statistiek met de waarborgen van artikel 24 UAVG.

Artikel 33 voegt de uitzonderingen toe die in de praktijk het meest gebruikt worden. Lid 2 onderdeel b staat een verwerkingsverantwoordelijke toe strafrechtelijke gegevens te verwerken ter bescherming van zijn eigen belangen, voor zover de strafbare feiten zijn gepleegd, of naar de feiten redelijkerwijs te verwachten zijn gepleegd, tegen hemzelf of tegen personen in zijn dienst. Lid 3 bepaalt dat strafrechtelijke gegevens over het eigen personeel van de verwerkingsverantwoordelijke alleen mogen worden verwerkt op grond van regels die zijn vastgesteld via de procedure van de Wet op de ondernemingsraden, en lid 4 opent verwerking ten behoeve van derden voor houders van een vergunning onder de Wet particuliere beveiligingsorganisaties en recherchebureaus, voor verwerking binnen een groep zoals gedefinieerd in artikel 2:24b BW, en voor een verwerkingsverantwoordelijke die beschikt over een vergunning van de AP. Die laatste uitzondering is zelf weer aan voorwaarden gebonden: op grond van lid 5 mag de AP een dergelijke vergunning alleen verlenen wanneer de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en er waarborgen zijn getroffen zodat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.

Artikel 17 UAVG plaatst een overtreding van artikel 10 AVG of artikel 31 UAVG vervolgens in de hoogste boetecategorie, op € 20.000.000 of 4 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, wat het hoogst is.

De leeftijdsgrens, en de keuze die Nederland daadwerkelijk heeft gemaakt

Artikel 8 lid 1 AVG stelt de leeftijd voor de eigen toestemming van een kind voor een dienst van de informatiemaatschappij op 16 jaar en staat een lidstaat toe wettelijk een lagere leeftijd vast te stellen, maar niet lager dan 13 jaar. Nederland heeft geen lagere leeftijd vastgesteld, dus geldt hier 16 jaar. De Nederlandse toevoeging wijst de andere kant op.

Artikel 5 lid 1 UAVG bepaalt dat, wanneer artikel 8 AVG niet van toepassing is, in plaats van de eigen toestemming van de betrokkene de toestemming van de wettelijk vertegenwoordiger is vereist indien de betrokkene nog geen 16 jaar oud is. Dit trekt dezelfde leeftijdsgrens door naar toestemmingssituaties buiten het scenario van artikel 8. Artikel 5 lid 4 voegt daaraan toe dat de rechten van hoofdstuk III van een persoon onder de 16 jaar, en van een persoon onder curatele, bewind of mentorschap, worden uitgeoefend door de wettelijk vertegenwoordiger.

Er is één uitzondering. Artikel 5 lid 5 sluit hulp- en adviesdiensten uit die rechtstreeks en kosteloos worden aangeboden aan een minderjarige of aan een persoon die onder curatele is gesteld, zodat een jongere gebruik kan maken van een vertrouwelijke hulplijn zonder dat een ouder eerst toestemming hoeft te geven.

Een beperking van een andere aard staat een paar artikelen verderop. Artikel 46 lid 1 UAVG bepaalt dat een bij wet voorgeschreven nummer ter identificatie van een persoon bij de verwerking van persoonsgegevens slechts mag worden gebruikt ter uitvoering van die wet, dan wel voor bij de wet voorgeschreven doeleinden, waarbij verdere gevallen kunnen worden aangewezen bij algemene maatregel van bestuur. De bepaling is in algemene bewoordingen geschreven en noemt geen specifiek nummer, zodat zij elk identificatienummer bestrijkt dat bij wet is voorgeschreven.

Journalistieke, academische, artistieke en literaire uitingen

Artikel 43 UAVG is ongewoon ruim en is de bepaling die het vaakst over het hoofd wordt gezien. Lid 1 verklaart de gehele UAVG, met uitzondering van de artikelen 1 tot en met 4 en artikel 5 leden 1 en 2, niet van toepassing op verwerking voor uitsluitend journalistieke doeleinden en voor uitsluitend academische, artistieke of literaire uitdrukkingsvormen. Lid 2 verklaart vervolgens, voor diezelfde doeleinden, artikel 7 lid 3 en artikel 11 lid 2 AVG, het gehele hoofdstuk III, hoofdstuk IV met uitzondering van de artikelen 24, 25, 28, 29 en 32, en de hoofdstukken V, VI en VII niet van toepassing, en lid 3 verklaart de artikelen 9 en 10 AVG niet van toepassing voor zover dit noodzakelijk is voor het doel.

Het gevolg is concreet. Hoofdstuk III is het hoofdstuk met de rechten van de betrokkene, zodat er geen recht op gegevenswissing op grond van artikel 17 bestaat tegen verwerking die uitsluitend journalistiek is, en hoofdstuk VI is het hoofdstuk over de onafhankelijke toezichthoudende autoriteiten. De route tegen een publicatie loopt dus via de civiele rechter, op grond van artikel 6:162 BW en, wanneer een portret in het geding is, het portretrecht van artikel 21 Auteurswet. Of een bepaalde publicatie uitsluitend journalistiek is, is een vraag voor de rechter, geen etiket dat de uitgever zichzelf kan opplakken.

Onderzoek, archieven en één uitzondering voor de financiële sector

Artikel 24 UAVG heft het verbod van artikel 9 lid 1 op bijzondere categorieën van persoonsgegevens op voor wetenschappelijk of historisch onderzoek en statistiek, maar alleen wanneer het onderzoek een algemeen belang dient, het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning zou vergen, en waarborgen ervoor zorgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Die voorwaarden gelden gezamenlijk, niet als alternatieven. Artikel 44 staat een onderzoeks- of statistiekinstelling die de gegevens tegen elk ander gebruik heeft beveiligd toe de artikelen 15, 16 en 18 AVG buiten toepassing te laten, en artikel 45 vervangt de gewone inzage- en correctierechten voor archieven die onder de Archiefwet 1995 worden bewaard door een gericht inzagerecht en een recht om de eigen versie van de betrokkene aan het archief toe te voegen.

Artikel 42 is kort en makkelijk over het hoofd te zien: artikel 34 AVG is niet van toepassing op financiële ondernemingen zoals gedefinieerd in de Wet op het financieel toezicht. Dat schakelt voor die sector de plicht uit om de getroffen personen over een inbreuk te informeren. De plicht van artikel 33 om de AP binnen 72 uur te melden, blijft daarbij volledig onaangetast.

De Autoriteit Persoonsgegevens: hoe zij is opgebouwd en wat zij kan doen

Artikel 6 lid 1 UAVG bepaalt dat er een Autoriteit Persoonsgegevens is en dat deze rechtspersoonlijkheid bezit. Lid 2 wijst haar aan als de toezichthoudende autoriteit als bedoeld in artikel 51 lid 1 AVG. Die bepaling doet niet meer dan die aanwijzing; de bevoegdheden staan verderop.

Artikel 7 regelt de samenstelling: een voorzitter en twee andere leden, benoemd bij koninklijk besluit voor vijf jaar en eenmaal herbenoembaar. Op grond van artikel 7 lid 4 moet de voorzitter voldoen aan de vereisten voor benoeming tot rechter in een rechtbank, wat een bewuste waarborg van onafhankelijkheid is.

Twee kleinere punten maken het beeld compleet. Artikel 14 lid 4 past de waarborgen voor bestraffende sancties uit de artikelen 5:4 tot en met 5:10a van de Algemene wet bestuursrecht toe op de corrigerende maatregelen van artikel 58 lid 2 onderdelen b tot en met j AVG. Artikel 14 lid 6, artikel 17 lid 3 en artikel 18 lid 3 bepalen alle dat de boete ten gunste van de Staat komt.

De handhavingsladder in de praktijk

Een boete is de laatste trede, niet de eerste. Volgens haar eigen weergave van de wijze waarop zij klachten behandelt, bijgewerkt op 18 april 2025, werkt de AP via een uitnodiging voor een gesprek, een berisping, verscherpt toezicht, een last onder dwangsom of een last zonder dwangsom, een verwerkingsverbod, en pas daarna een boete.

Achter die ladder staat de gesloten lijst van corrigerende bevoegdheden in artikel 58 lid 2 AVG, die loopt van een waarschuwing en een berisping, via bevelen om aan een verzoek van de betrokkene te voldoen, de verwerking in overeenstemming te brengen, een inbreuk te melden of gegevens te rectificeren, te wissen of te beperken, tot een tijdelijke of definitieve beperking met inbegrip van een verbod, een bestuurlijke boete, en de opschorting van gegevensverkeer naar een derde land.

De boetemaxima gelezen

Artikel 83 lid 4 AVG stelt de lagere categorie op € 10.000.000 of 2 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar. Artikel 83 lid 5 stelt de hogere categorie op € 20.000.000 of 4 procent, en artikel 83 lid 6 plaatst niet-naleving van een bevel onder artikel 58 lid 2 op datzelfde hogere niveau. Artikel 83 lid 3 maximeert het totaal, wanneer meerdere bepalingen worden overtreden bij eenzelfde of samenhangende verwerkingen, op het bedrag voor de zwaarste overtreding.

Twee punten bepalen hoe die bedragen in de praktijk uitpakken. Voor een onderneming geldt het hoogste van het vaste bedrag en het percentage, zodat het percentage pas van belang is zodra de omzet groot genoeg is om het vaste bedrag te overtreffen. Neem een onderneming met een wereldwijde omzet van € 400.000.000 in het voorgaande jaar: 4 procent daarvan is € 16.000.000, wat lager is dan € 20.000.000, zodat het maximum van de hogere categorie op € 20.000.000 blijft staan. Bij een omzet van € 900.000.000 slaat het bij de lagere categorie de andere kant op: 2 procent is € 18.000.000, ruim boven € 10.000.000, zodat dat het maximum is.

Dit zijn maxima voor het maximum, niet de boete zelf. Zij liggen vast in de verordening en zijn niet gewijzigd sinds deze van toepassing werd, zodat elk cijfer dat wordt gepresenteerd als het voor dit jaar geïndexeerde AVG-maximum al op het eerste gezicht onjuist is. Wanneer een onderneming wordt beboet, rekent de AP volgens de boeterichtsnoeren van de EDPB; voor overheidsinstanties en voor natuurlijke personen die niet als onderneming optreden past zij haar eigen Boetebeleidsregels Autoriteit Persoonsgegevens 2023 toe. Het CJIB int de boete, en het geld gaat naar de schatkist.

De Autoriteit Persoonsgegevens houdt toezicht en handhaaft, maar kent geen schadevergoeding toe aan een individu. Vergoeding van schade wegens een privacy-inbreuk is een civiele vordering op grond van artikel 6:162 BW, die wordt gebracht voor de civiele rechter en op eigen bewijs wordt beoordeeld.

Het indienen van een klacht bij de AP is kosteloos, maar zij verwacht dat iemand eerst contact heeft opgenomen met de organisatie en behandelt een klacht niet wanneer dat niet is gebeurd, en een klacht maakt de identiteit van de klager bekend aan de organisatie waarop deze betrekking heeft. De keuze tussen een anonieme tip, een klacht op naam en een datalektip, samen met de eigen termijnen van de AP, staat beschreven op een klacht indienen bij de Autoriteit Persoonsgegevens.

De zes grondslagen van artikel 6 lid 1 AVG

Verwerking is alleen rechtmatig voor zover ten minste een van zes grondslagen van toepassing is. Er bestaat geen rangorde tussen die grondslagen, maar er is ook geen zevende optie, en een verwerkingsverantwoordelijke kan niet terugvallen op de gedachte dat hij niets kwaads in de zin heeft.

De slotzin van artikel 6 lid 1 telt net zo zwaar als de lijst zelf: onderdeel f is niet van toepassing op verwerking door overheidsinstanties bij de vervulling van hun taken. Een gemeente kan niet naar gerechtvaardigd belang grijpen om haar eigen ambtelijk handelen te rechtvaardigen, en moet zich baseren op de grondslag taak van algemeen belang in onderdeel e, samen met de wettelijke taak die deze verleent.

Artikel 4 lid 2 AVG rekent verzamelen en vastleggen tot verwerking, zodat de AVG al van toepassing wordt op het moment dat de opname wordt gemaakt, niet pas wanneer zij wordt gedeeld. Wat de meeste privéopnamen buiten schot houdt, is niet het ontbreken van openbaarmaking, maar de uitzondering van artikel 2 lid 2 onderdeel c AVG voor een zuiver persoonlijke of huishoudelijke activiteit. Waar en hoe een thuiscamera die uitzondering verliest, en de toets van gerechtvaardigd belang waaraan zij dan moet voldoen, staat beschreven op camera's bij de buren; een drone met camera roept dezelfde gegevensbeschermingsvraag op naast de aparte luchtvaartregels, en staat beschreven op droneregels in Nederland.

Gegevensbescherming is niet het enige regime dat speelt wanneer iemand opneemt. De strafrechtelijke bepalingen over het heimelijk opnemen van gesprekken en beelden staan in het Wetboek van Strafrecht en kennen hun eigen toetsingskader, dat staat beschreven op gesprekken opnemen in Nederland.

Waar een betrokkene om kan vragen, en hoeveel tijd een organisatie heeft

De artikelen 15 tot en met 22 AVG geven de betrokkene het recht van inzage (artikel 15), rectificatie (artikel 16), gegevenswissing (artikel 17), beperking van de verwerking (artikel 18), dataportabiliteit (artikel 20), het recht van bezwaar (artikel 21) en het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd, met inbegrip van profilering (artikel 22). Artikel 19 verplicht de verwerkingsverantwoordelijke een rectificatie, gegevenswissing of beperking door te geven aan de ontvangers aan wie hij de gegevens heeft verstrekt.

Dataportabiliteit is beperkter dan de andere rechten. Het geldt alleen wanneer de verwerking berust op toestemming of op een overeenkomst en met geautomatiseerde middelen wordt verricht, zodat het niet reikt tot een papieren dossier of tot verwerking op grond van een wettelijke verplichting. Ook artikel 22 kent een Nederlandse laag: artikel 40 UAVG verklaart het verbod op uitsluitend geautomatiseerde besluiten niet van toepassing wanneer het besluit, anders dan een besluit dat op profilering berust, noodzakelijk is om te voldoen aan een wettelijke verplichting of om een taak van algemeen belang te vervullen, en wanneer de verwerkingsverantwoordelijke geen bestuursorgaan is, moeten de waarborgen menselijke tussenkomst omvatten en het recht om een standpunt kenbaar te maken en het besluit te betwisten.

Artikel 12 lid 3 AVG stelt de termijn vast. De verwerkingsverantwoordelijke informeert de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van een verzoek onder de artikelen 15 tot en met 22, en die termijn kan indien nodig met nog eens twee maanden worden verlengd, afhankelijk van de complexiteit en het aantal verzoeken, waarbij de verlenging binnen de eerste maand moet worden meegedeeld.

Neem een inzageverzoek dat op 3 maart is ontvangen. Het antwoord is uiterlijk op 3 april verschuldigd, en wil de verwerkingsverantwoordelijke de verlenging benutten, dan moet hij dit ook uiterlijk op 3 april meedelen, waarmee de uiterste datum verschuift naar 3 juni. Een verlenging die in mei wordt aangekondigd, is geen verlenging.

Beantwoorden is kosteloos op grond van artikel 12 lid 5, en een verwerkingsverantwoordelijke mag alleen een redelijke vergoeding vragen of weigeren wanneer het verzoek kennelijk ongegrond of buitensporig is, in het bijzonder vanwege het repetitieve karakter ervan, wat hij zelf moet aantonen. Op grond van artikel 12 lid 4 moet een verwerkingsverantwoordelijke die niet in actie komt binnen een maand meedelen waarom, en de betrokkene wijzen op de toezichthoudende autoriteit en op een rechtsmiddel.

De Nederlandse procedurele laag daarbovenop

Artikel 34 UAVG bepaalt dat een schriftelijke beslissing op een verzoek onder de artikelen 15 tot en met 22 wordt genomen binnen de termijnen van artikel 12 lid 3, en dat deze, wanneer zij wordt genomen door een bestuursorgaan, geldt als een besluit in de zin van de Algemene wet bestuursrecht. Tegen een bestuursorgaan loopt de route dan via bezwaar en daarna beroep bij de bestuursrechter.

Tegen elke partij die geen bestuursorgaan is, voorziet Nederland in een aparte en snellere route, door middel van een verzoekschrift. Weigert een bedrijf een inzageverzoek, dan staat artikel 35 van de Uitvoeringswet AVG een verzoekschrift bij de rechtbank toe binnen zes weken, zonder advocaat. Artikel 35 lid 2 voegt een detail toe dat in het voordeel van de verzoeker werkt: heeft de verwerkingsverantwoordelijke helemaal niet binnen de termijnen van artikel 12 lid 3 geantwoord, dan geldt voor het verzoekschrift geen termijn.

Artikel 36 UAVG biedt een tussenstap. Binnen dezelfde termijn kan de betrokkene in plaats daarvan de AP vragen te bemiddelen of te adviseren, of gebruikmaken van een geschillenregeling onder een goedgekeurde gedragscode, waarna de termijn voor beroep of voor het verzoekschrift van artikel 35 opnieuw zes weken gaat lopen vanaf de mededeling dat de zaak is afgesloten.

Een datalek melden: de 72-uursregel

Artikel 33 lid 1 AVG verplicht de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onnodige vertraging en, waar mogelijk, binnen 72 uur nadat hij er kennis van heeft gekregen te melden aan de bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Drie punten in die zin worden regelmatig verkeerd gelezen.

De termijn loopt vanaf het moment van kennisname, niet vanaf het incident zelf, dat weken eerder kan hebben plaatsgevonden. Er geldt een risicodrempel, zodat niet elke inbreuk meldingsplichtig is. En een melding na 72 uur is niet uitgesloten, maar moet vergezeld gaan van de redenen voor de vertraging.

De rest van artikel 33 vult de praktische kant in. Een verwerker moet de verwerkingsverantwoordelijke zonder onnodige vertraging informeren, lid 3 stelt de minimuminhoud van een melding vast, en lid 4 staat toe dat de informatie gefaseerd wordt verstrekt wanneer niet alles tegelijk beschikbaar is. Lid 5 verplicht de verwerkingsverantwoordelijke elke inbreuk te documenteren, ook de inbreuken waarvoor hij besluit geen melding te doen, zodat de AP kan verifiëren dat de beoordeling daadwerkelijk is gemaakt.

De getroffen personen informeren is een aparte plicht met een hogere drempel. Artikel 34 lid 1 is van toepassing wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, tegenover het gewone risico dat de melding aan de AP in werking stelt. Artikel 34 lid 3 geeft drie uitzonderingen: passende bescherming was getroffen en toegepast op de betrokken gegevens, in het bijzonder maatregelen zoals versleuteling die deze onbegrijpelijk maken; de verwerkingsverantwoordelijke heeft sindsdien maatregelen genomen waardoor het zich waarschijnlijk niet meer voordoet dat het hoge risico zich verwezenlijkt; of de communicatie zou een onevenredige inspanning vergen, in welk geval een publieke mededeling moet plaatsvinden die de getroffen personen even doeltreffend informeert.

Die uitzonderingen zijn niet zelfcertificerend: op grond van artikel 34 lid 4 kan de AP alsnog verlangen dat de mededeling wordt gedaan, of beslissen dat een uitzondering wel van toepassing is. De Nederlandse laag hierboven is artikel 42 UAVG, dat artikel 34 niet van toepassing verklaart op financiële ondernemingen in de zin van de Wet op het financieel toezicht, terwijl de 72-uursmelding aan de AP op grond van artikel 33 voor hen volledig van kracht blijft. De algemene vorm van de EU-regel staat beschreven op de 72-uursregel voor het melden van datalekken onder de AVG.