Wat is de AVG? Een heldere gids over de EU-wetgeving voor gegevensbescherming

De AVG (Algemene verordening gegevensbescherming), internationaal bekend als GDPR, is de uitgebreide wetgeving van de Europese Unie voor de verwerking van persoonsgegevens. De verordening is sinds 25 mei 2018 van toepassing en geldt voor elke organisatie, waar ook gevestigd, die goederen of diensten aanbiedt aan mensen in de EU of hun gedrag volgt. De verordening kent zeven beginselen voor de omgang met persoonsgegevens, zes rechtsgronden voor verwerking en een reeks rechten die personen kunnen uitoefenen tegenover de organisaties die hun gegevens bewaren. Organisaties moeten persoonsgegevens beveiligen, bepaalde datalekken binnen 72 uur melden bij een toezichthoudende autoriteit en een geldig mechanisme hanteren voordat zij gegevens buiten de EU en de Europese Economische Ruimte (EER) brengen. De boetes lopen op tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Voor organisaties die persoonsgegevens uitwisselen met klanten, partners en toezichthouders hangt compliance af van de controle over hoe die gegevens worden verzonden, gedeeld en geraadpleegd. Kiteworks biedt een controlelaag (control plane) voor veilige gegevensuitwisseling die organisaties helpt versleuteling, toegangsbeheer en auditlogging toe te passen op e-mail, bestandsdeling en API’s.

Deze pagina bevat algemene informatie en is geen juridisch advies. Raadpleeg uw juridische of privacyteam voor advies over hoe de AVG op uw organisatie van toepassing is.

Belangrijkste inzichten

1. Geografie beperkt de AVG niet

De AVG volgt de persoon, niet het adres van het bedrijf. Een Amerikaanse organisatie zonder kantoor in de EU valt eronder als zij goederen of diensten aanbiedt aan mensen in de EU of hun gedrag volgt, bijvoorbeeld via websiteanalyse of advertentietracking.

2. Elk gebruik van persoonsgegevens vraagt om een rechtsgrond

Toestemming is slechts een van de zes rechtsgronden en is vaak niet de beste keuze. Overeenkomst, wettelijke verplichting, vitale belangen, taak van algemeen belang en gerechtvaardigde belangen vormen de overige vijf. Vóór de start van de verwerking de juiste rechtsgrond kiezen en vastleggen is een kernonderdeel van de verantwoordingsplicht.

3. Personen hebben afdwingbare rechten en de reactietermijn is kort

De meeste verzoeken van betrokkenen moeten binnen één maand worden beantwoord. Die termijn kan met twee maanden worden verlengd bij complexe of talrijke verzoeken, maar alleen als de betrokkene binnen de eerste maand wordt geïnformeerd.

4. Beveiliging en reactie op datalekken zijn uitdrukkelijke wettelijke plichten

De AVG vereist passende technische en organisatorische maatregelen en stelt een termijn van 72 uur voor het melden van datalekken. Versleuteling, toegangsbeheer en auditlogs zijn de maatregelen waar toezichthouders na een incident het vaakst naar zoeken.

5. Internationale doorgiften vragen om een geldig mechanisme

Persoonsgegevens mogen de EU en de EER alleen verlaten op basis van een adequaatheidsbesluit, passende waarborgen of een beperkte uitzondering. De doorgifteregels zijn door rechterlijke uitspraken herhaaldelijk veranderd. Organisaties doen er daarom goed aan hun mechanisme en een alternatief vast te leggen.

Wat is de AVG en wie beschermt zij?

De AVG (Verordening (EU) 2016/679) verving de richtlijn gegevensbescherming uit 1995 en gaf de EU één set regels voor gegevensbescherming die rechtstreeks in elke lidstaat geldt. De verordening beschermt de persoonsgegevens van personen in de EU en de bredere EER en geeft hen zeggenschap over hoe organisaties die gegevens verzamelen, gebruiken, delen en opslaan.

Lidstaten behouden enige ruimte om nationale regels toe te voegen. Daarom moeten organisaties vaak ook rekening houden met wetten zoals de Duitse federale wet op de gegevensbescherming (BDSG) en de Franse wet op de gegevensbescherming. E-mailmarketing en cookies vallen onder de afzonderlijke ePrivacy-regels, die worden toegelicht in onze gids over de Privacy and Electronic Communications Regulations.

Wie moet voldoen aan de AVG?

Artikel 3 bepaalt het toepassingsgebied. De AVG geldt voor organisaties die in de EU zijn gevestigd, en ook voor organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU of hun gedrag aldaar volgen. Voor de eerste toets is betaling niet vereist, dus een gratis app gericht op EU-gebruikers valt eronder.

De verordening verdeelt de verplichtingen naar rol:

• Verwerkingsverantwoordelijken bepalen waarom en hoe persoonsgegevens worden verwerkt. Zij dragen de primaire last van compliance.
• Verwerkers verwerken persoonsgegevens namens een verwerkingsverantwoordelijke, zoals een cloudaanbieder of een salarisdienst. Zij moeten gedocumenteerde instructies volgen en voldoen aan hun eigen verplichtingen voor beveiliging en registratie.

Amerikaanse organisaties vinden praktische stappen voor het bepalen van de reikwijdte en voor gegevenssoevereiniteit in onze gids voor Amerikaanse bedrijven die EU-gegevens verwerken.

Wat zijn persoonsgegevens onder de AVG?

Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare persoon (artikel 4). Daaronder vallen voor de hand liggende identificatiemiddelen zoals namen en e-mailadressen, maar ook minder voor de hand liggende zoals IP-adressen, apparaat-ID’s, locatiegegevens en online identificatiemiddelen. Gepseudonimiseerde gegevens blijven persoonsgegevens, omdat ze weer aan een persoon kunnen worden gekoppeld. In ons artikel over PII en PHI leest u hoe de Amerikaanse begrippen verschillen.

Artikel 9 voegt bijzondere categorieën toe die een sterkere bescherming krijgen: ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische en biometrische gegevens voor identificatie, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Verwerking van deze categorieën is verboden, tenzij een specifieke voorwaarde van toepassing is, zoals uitdrukkelijke toestemming.

Wat zijn de zeven beginselen van de AVG?

Artikel 5 stelt de beginselen vast waaraan elke verwerking moet voldoen:

1. Rechtmatigheid, behoorlijkheid en transparantie: verwerk gegevens rechtmatig en vertel mensen wat u doet.
2. Doelbinding: verzamel gegevens voor bepaalde doeleinden en gebruik ze niet op een onverenigbare manier.
3. Minimale gegevensverwerking: verzamel alleen wat toereikend, relevant en noodzakelijk is. Lees onze gids over dataminimalisatie.
4. Juistheid: houd persoonsgegevens juist en corrigeer of wis onjuiste gegevens onverwijld.
5. Opslagbeperking: bewaar identificeerbare gegevens niet langer dan nodig.
6. Integriteit en vertrouwelijkheid: bescherm gegevens tegen onbevoegde toegang, verlies of beschadiging.
7. Verantwoordingsplicht: kunnen aantonen dat u aan al het voorgaande voldoet.

Wat zijn de zes rechtsgronden voor verwerking?

Artikel 6 vereist voor elk verwerkingsdoel ten minste één rechtsgrond:

• Toestemming: de persoon heeft ingestemd met het specifieke doel.
• Overeenkomst: de verwerking is nodig voor de uitvoering of het aangaan van een overeenkomst met de persoon.
• Wettelijke verplichting: de verwerking is nodig om aan de wet te voldoen.
• Vitale belangen: de verwerking is nodig om iemands leven te beschermen.
• Taak van algemeen belang: de verwerking is nodig voor een taak van algemeen belang of een openbare functie.
• Gerechtvaardigde belangen: de verwerking is nodig voor de gerechtvaardigde belangen van de organisatie of een derde, tenzij de rechten van de persoon zwaarder wegen.

Aan welke eisen moet toestemming onder de AVG voldoen?

Geldige toestemming moet vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn en vereist een duidelijke actieve handeling. Vooraf aangevinkte vakjes tellen niet mee. Personen moeten hun toestemming even gemakkelijk kunnen intrekken als zij die hebben gegeven, en organisaties moeten kunnen aantonen dat toestemming is verkregen (artikel 7). Voor onlinediensten die rechtstreeks aan kinderen worden aangeboden, stelt artikel 8 de leeftijd voor digitale toestemming standaard op 16 jaar. Lidstaten mogen die leeftijd verlagen, maar niet tot onder 13 jaar.

Welke rechten hebben personen onder de AVG?

De artikelen 12 tot en met 22 geven personen de volgende rechten over hun persoonsgegevens:

1. Het recht op informatie over de verzameling en het gebruik van hun gegevens.
2. Het recht op inzage in hun gegevens en in informatie over hoe die worden verwerkt.
3. Het recht op rectificatie van onjuiste of onvolledige gegevens.
4. Het recht op wissing, vaak het recht op vergetelheid genoemd, in bepaalde omstandigheden.
5. Het recht op beperking van de verwerking in bepaalde situaties.
6. Het recht op gegevensoverdraagbaarheid, waarmee personen hun gegevens kunnen ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
7. Het recht van bezwaar tegen verwerking, waaronder direct marketing en verwerking op basis van gerechtvaardigde belangen.
8. Rechten met betrekking tot geautomatiseerde besluitvorming en profilering, waaronder het recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluiten met rechtsgevolgen of een vergelijkbaar significant effect.

Personen hebben ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit (artikel 77) en om schadevergoeding te vorderen (artikel 82). Organisaties moeten verzoeken onverwijld beantwoorden en uiterlijk binnen één maand na ontvangst. Artikel 12, lid 3, staat een verlenging met twee maanden toe voor complexe of talrijke verzoeken, mits de persoon binnen de eerste maand wordt geïnformeerd. Verzoeken zijn veel gemakkelijker af te handelen wanneer auditlogs laten zien waar persoonsgegevens zijn opgeslagen en wie ze heeft geraadpleegd. Lees onze gids over auditlogs.

Wat vereist de AVG van organisaties?

Naast de beginselen en rechten stelt de AVG specifieke operationele plichten:

• Gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25): bouw privacymaatregelen in systemen in en beperk de verwerking tot wat elk doel vereist.
• Verwerkersovereenkomsten (artikel 28): gebruik schriftelijke overeenkomsten die verwerkers binden aan gedocumenteerde instructies en beveiligingsmaatregelen.
• Register van verwerkingsactiviteiten (artikel 30): houd een register van verwerkingsactiviteiten bij, met beperkte uitzonderingen voor kleinere organisaties.
• Beveiliging van de verwerking (artikel 32): pas passende technische en organisatorische maatregelen toe, waaronder versleuteling, pseudonimisering, toegangsbeheer en regelmatig testen.
• Melding van datalekken (artikelen 33 en 34): meld een inbreuk onverwijld aan de toezichthoudende autoriteit en, indien mogelijk, uiterlijk 72 uur nadat u er kennis van hebt genomen, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor personen oplevert. Informeer de betrokkenen onverwijld wanneer het risico hoog is.
• Gegevensbeschermingseffectbeoordelingen, DPIA’s (artikel 35): beoordeel verwerking met een hoog risico voordat die begint. Lees onze gids over de privacyeffectbeoordeling.
• Functionaris voor gegevensbescherming, FG (artikelen 37 tot en met 39): wijs een functionaris voor gegevensbescherming (FG) aan als u een overheidsinstantie bent, of als uw kernactiviteiten bestaan uit grootschalige regelmatige observatie of grootschalige verwerking van bijzondere categorieën.

Hoe werken de AVG-regels voor internationale doorgiften?

Hoofdstuk V (artikelen 44 tot en met 50) beperkt de doorgifte van persoonsgegevens naar landen buiten de EU en de EER. Een doorgifte is alleen toegestaan via een van deze routes:

• Een adequaatheidsbesluit van de Europese Commissie, waarin wordt vastgesteld dat een land of kader in wezen gelijkwaardige bescherming biedt.
• Passende waarborgen, meestal modelcontractbepalingen (SCC’s) of bindende bedrijfsvoorschriften (BCR’s), doorgaans gecombineerd met een doorgifte-effectbeoordeling (transfer impact assessment).
• Een afwijking, zoals uitdrukkelijke toestemming voor een specifieke doorgifte, die toezichthouders restrictief uitleggen.

Het Hof van Justitie heeft het EU-VS-privacyschild (EU-U.S. Privacy Shield) in 2020 ongeldig verklaard (het Schrems II-arrest). Organisaties moeten er daarom niet meer op vertrouwen. Onze gidsen over de doorgifte-effectbeoordeling en de risico’s van grensoverschrijdende gegevensdoorgifte leggen uit hoe u een mechanisme documenteert. Het artikel over de CLOUD Act en Europese gegevensbescherming behandelt het conflict tussen Amerikaanse toegangswetten en EU-regels. Voor de plaats van gegevensopslag, zie de AVG-eisen voor gegevenslocatie.

Hoe raakt de AVG Amerikaanse bedrijven?

Elk Amerikaans bedrijf dat verkoopt aan, marketing richt op of mensen volgt in de EU, moet ervan uitgaan dat de AVG van toepassing is en kan een korte reeks acties doorlopen:

1. Breng in kaart waar EU-persoonsgegevens uw systemen binnenkomen, doorlopen en verlaten.
2. Bepaal voor elk verwerkingsdoel een rechtsgrond en leg die vast.
3. Werk privacyverklaringen, toestemmingsprocessen en leveranciersovereenkomsten bij.
4. Richt een proces in om verzoeken van betrokkenen binnen één maand af te handelen.
5. Test uw reactie op datalekken tegen de termijn van 72 uur.
6. Leg het doorgiftemechanisme vast voor elke stroom van EU-gegevens naar de Verenigde Staten.

Veel Amerikaanse organisaties krijgen ook te maken met overlappende privacywetten van afzonderlijke staten. Onze gidsen over de California Privacy Rights Act (Californische privacywet), de CCPA-compliancevereisten en wereldwijde wetgeving voor gegevensprivacy laten zien waar die stelsels aansluiten bij de AVG en waar ze verschillen.

Wat zijn de boetes bij niet-naleving van de AVG?

Artikel 83 kent twee niveaus van administratieve boetes:

• Lagere categorie: tot €10 miljoen of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Deze categorie omvat overtredingen zoals het niet nakomen van de verplichtingen van verwerkingsverantwoordelijken en verwerkers, waaronder de plichten voor beveiliging en melding van datalekken.
• Hogere categorie: tot €20 miljoen of 4% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Deze categorie omvat overtredingen van de basisbeginselen van verwerking, de voorwaarden voor toestemming, de rechten van betrokkenen en de regels voor internationale doorgiften.

Toezichthouders wegen de aard, de ernst en de duur van de inbreuk, of deze opzettelijk was, de maatregelen om de schade te beperken en de medewerking aan de autoriteit (artikel 83, lid 2). Zij kunnen ook bevelen de verwerking te staken, de verwijdering van gegevens eisen of gegevensstromen opschorten (artikel 58). Personen kunnen daarnaast afzonderlijk schadevergoeding vorderen. Voor recente zaken en wat daarvan te leren valt, leest u onze analyse van AVG-boetes en handhavingstrends.

Actuele stand van zaken en lopende wijzigingen

Dit gedeelte wordt los van de rest van de pagina beoordeeld en bijgewerkt. Laatst beoordeeld: oktober 2026.

EU-VS-gegevensprivacykader (EU-U.S. Data Privacy Framework). De Europese Commissie heeft op 10 juli 2023 een adequaatheidsbesluit vastgesteld voor het EU-VS-gegevensprivacykader. Op 3 september 2025 wees het Gerecht van de EU een beroep tegen het besluit af (Latombe tegen Commissie), en de verzoeker ging op 31 oktober 2025 in hoger beroep bij het Hof van Justitie. Het besluit was ten tijde van deze beoordeling nog van kracht. Omdat een vernietiging mogelijk is, houden veel organisaties modelcontractbepalingen beschikbaar als alternatief.

Voorstel Digital Omnibus. De Europese Commissie heeft wijzigingen van de AVG voorgesteld als onderdeel van haar Digital Omnibus-pakket. In februari 2026 brachten het Europees Comité voor gegevensbescherming en de Europese Toezichthouder voor gegevensbescherming een gezamenlijk advies uit. Zij verzetten zich tegen wijzigingen die de definitie van persoonsgegevens zouden verkleinen. Andere wijzigingen steunden zij gedeeltelijk, waaronder een hogere drempel voor melding van datalekken en een langere meldingstermijn van 96 uur. Het pakket was ten tijde van deze beoordeling nog een voorstel, dus de huidige verplichtingen, waaronder de termijn van 72 uur, blijven ongewijzigd.

Voorbeelden van handhaving. Recente hoge boetes laten zien waar toezichthouders op letten. De Ierse Data Protection Commission legde Meta in 2023 een boete van €1,2 miljard op voor het doorgeven van gegevens van EU-gebruikers aan de Verenigde Staten zonder adequate waarborgen, TikTok in 2025 een boete van €530 miljoen voor doorgiften naar China en LinkedIn in 2024 een boete van €310 miljoen vanwege de rechtsgrond voor gedragsgerichte advertenties.

Hoe Kiteworks organisaties helpt AVG-compliance te ondersteunen

De meeste AVG-verplichtingen komen neer op controle over wat er met persoonsgegevens gebeurt zodra zij een bronsysteem verlaten. Kiteworks biedt een controlelaag voor veilige gegevensuitwisseling die bepaalt hoe persoonsgegevens worden verzonden, gedeeld en geraadpleegd via e-mail, bestandsdeling en API’s. Het platform helpt organisaties de AVG-vereisten te ondersteunen op de volgende manieren:

• Versleutelingssleutels in eigendom van de klant. Klanten zijn zelf eigenaar van hun versleutelingssleutels, zodat medewerkers van Kiteworks de gegevens van een klant niet kunnen ontsleutelen. Lees waarom in ons artikel over controle over versleutelingssleutels in eigendom van de klant.
• Dubbele versleuteling. Gegevens worden versleuteld op bestandsniveau en nogmaals op schijfniveau, elk met afzonderlijke sleutels. Lees meer over dubbele versleuteling.
• Toegang met minimale rechten en auditlogging. Gedetailleerde machtigingen beperken wie persoonsgegevens kan bekijken of downloaden, en één auditlog legt de activiteit van gebruikers, gegevens en systemen vast. Auditlogs zijn standaard geanonimiseerd om privacyvereisten te ondersteunen. Zie onze gids over het auditlog.
• Controles voor gegevenssoevereiniteit. Met geofencing en locatie-instellingen kunnen organisaties de gegevens van een gebruiker in een aangewezen land houden en auditors laten zien waar die zijn opgeslagen. Ontdek gegevenssoevereiniteit op het platform.
• Rapportage over AVG-compliance. Ingebouwde rapporten geven een overzicht van beleidsinstellingen, relevante handelingen en gegevenscontroles ter ondersteuning van de voorbereiding op audits.
• Beveiligde webformulieren. Organisaties kunnen toestemming en persoonsgegevens verzamelen via beveiligde webformulieren met aanpasbare kennisgevingen.

Dezelfde maatregelen gelden voor e-mail, managed file transfer en SFTP. Ontdek de Kiteworks-controlelaag voor gegevens of lees onze volledige set bronnen over AVG-compliance.

Terug naar Risk & Compliance Woordenlijst