De Algemene Verordening Gegevensbescherming (AVG) is inmiddels meer dan zes jaar van kracht. In de praktijk blijkt dat veel organisaties nog steeds worstelen met structurele naleving, terwijl de Autoriteit Persoonsgegevens steeds actiever handhaaft. Bijvoorbeeld: Forse boete voor curator na overtreding privacyregels.
In dit artikel zetten wij de AVG in de praktijk uiteen: wat zijn persoonsgegevens, wanneer mag u verwerken, welke verplichtingen gelden anno 2026 en waar zien wij in de praktijk de meeste risico’s. Tot slot leest u wat De Kempenaer Advocaten (DKA) voor u kan betekenen.
Wanneer is sprake van verwerking?
Van “verwerking” is al snel sprake. Daaronder valt iedere handeling met persoonsgegevens: verzamelen, opslaan, raadplegen, doorsturen, combineren, afschermen en verwijderen. Dit betekent dat de AVG niet alleen van toepassing is bij complexe IT‑systemen, maar ook bij e‑mailverkeer, HR‑administratie, gebruik van cloud‑diensten,CRM‑ en marketingtools.
Wanneer mag u persoonsgegevens verwerken?
Verwerken mag alleen als daarvoor een wettelijke grondslag bestaat. De AVG kent zes grondslagen, waaronder:
- toestemming;
- uitvoering van een overeenkomst;
- wettelijke verplichting;
- gerechtvaardigd belang.
In de praktijk zien wij dat vooral het beroep op toestemming en gerechtvaardigd belang regelmatig fout gaat. Toestemming is vaak niet vrijelijk gegeven of onvoldoende gespecificeerd. Een beroep op gerechtvaardigd belang vereist een zorgvuldige belangenafweging, die ook moet worden vastgelegd.
Verplichtingen
De AVG vraagt meer dan alleen “weten wat mag”. Organisaties moeten kunnen aantonen dat zij compliant zijn. Dat betekent onder meer:
- Verwerkingsregister
U bent verplicht een actueel register van verwerkingsactiviteiten bij te houden. Dit register is vaak het eerste document waar de AP om vraagt.
- Verwerkersovereenkomsten
Besteedt u verwerkingen uit (bijvoorbeeld aan IT‑leveranciers of salarisverwerkers), dan is een verwerkersovereenkomst verplicht. In de praktijk blijken deze overeenkomsten regelmatig onvolledig of verouderd.
- DPIA (Data Protection Impact Assessment)
Bij verwerkingen met een hoog privacyrisico is een DPIA verplicht. Het nalaten hiervan kan zelfstandig tot handhaving leiden.
Datalekken en meldplicht
Een datalek is meer dan een hack. Ook een verkeerd verzonden e‑mail of een kwijtgeraakte laptop kan een datalek zijn. Belangrijk is dat datalekken intern moeten worden geregistreerd, dat een dataek n geval van een risico voor betrokkenen binnen 72 uur wordt gemeld en soms moeten ook betrokkenen worden geïnformeerd. Te late of onjuiste melding is een veelvoorkomende aanleiding voor sancties.
Lees ook: Datalek leidt niet snel tot vergoeding van immateriële schade
Rechten van betrokkenen
Betrokkenen hebben verstrekkende rechten, zoals:
- inzage;
- rectificatie;
- verwijdering;
- bezwaar;
- dataportabiliteit.
Organisaties moeten hier binnen één maand op reageren. In de praktijk zien wij dat verzoeken blijven liggen of onvolledig worden afgehandeld — met klachten bij de AP tot gevolg.
Lees ook: Burger mag weten welke persoonsgegevens Belastingdienst over hem heeft.
Internationale doorgifte van persoonsgegevens
Werkt u met leveranciers buiten de EU, zoals Amerikaanse softwarepartijen? Dan gelden aanvullende eisen. Sinds 2023 is het EU‑US Data Privacy Framework van kracht, maar dat neemt niet alle risico’s weg. Het blijft noodzakelijk om per leverancier te beoordelen of doorgifte rechtmatig is ingericht.
Wat kunnen wij voor u betekenen?
AVG‑compliance vraagt om juridische scherpte én praktische uitvoerbaarheid. DKA kan u bij vragen hieromtrent ondersteunen. Wij combineren privacyrechtelijke expertise met kennis van andere rechtsgebieden, zoals het gezondheidsrecht, ondernemingsrecht en arbeidsrecht, waardoor wij AVG‑vraagstukken in hun bredere context plaatsen.
Zie o.a.
