Uitvoeringswet AVG — de Nederlandse invulling van de AVG

De AVG laat lidstaten op tientallen punten ruimte; de Uitvoeringswet AVG vult die ruimte voor Nederland in. De wet stelt de Autoriteit Persoonsgegevens in en regelt haar bevoegdheden, bepaalt wanneer bijzondere en strafrechtelijke gegevens toch verwerkt mogen worden, en legt de leeftijdsgrens voor toestemming van kinderen vast. Voor een gemiddeld bedrijf staan de dagelijkse verplichtingen in de AVG zelf; de Uitvoeringswet bepaalt vooral de uitzonderingen en de spelregels van het toezicht. Sinds 1 september 2026 geldt een gewijzigde versie.

Waarvoor is dit bedoeld

De AVG werkt rechtstreeks, maar draagt op onderdelen aan de lidstaten op om zelf te kiezen: welke toezichthouder, welke uitzonderingen op het verbod op bijzondere gegevens, welke leeftijdsgrens voor kinderen, hoe journalistiek en onderzoek worden ontzien. De Uitvoeringswet AVG maakt die keuzes en is dus geen tweede privacywet, maar de Nederlandse laag onder de verordening.

Voor wie

Iedereen die in Nederland persoonsgegevens verwerkt en onder de AVG valt. Er zijn geen omvangdrempels. In de praktijk raakt de wet vooral organisaties die met bijzondere of strafrechtelijke gegevens werken, die het burgerservicenummer gebruiken, of die met de Autoriteit Persoonsgegevens te maken krijgen.

Wat er niet onder valt

Verwerkingen door politie en justitie voor opsporing, vervolging en strafexecutie vallen onder de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, en verwerkingen door de inlichtingen- en veiligheidsdiensten onder de Wet op de inlichtingen- en veiligheidsdiensten. De toestemmingsregel voor cookies staat in artikel 11.7a van de Telecommunicatiewet, niet in deze wet. En alles wat de AVG zelf al regelt — grondslagen, rechten van betrokkenen, beveiliging, datalekmelding — staat niet nog eens in de Uitvoeringswet.

Wat je moet doen

Op één na zijn de verplichtingen die de wet oplegt beperkingen: bijzondere categorieën gegevens alleen verwerken als een van de uitzonderingen van hoofdstuk 3 van toepassing is, strafrechtelijke gegevens alleen binnen de daarvoor gestelde grenzen, het burgerservicenummer alleen gebruiken waar een wettelijke grondslag dat toestaat, en bij kinderen onder de zestien jaar toestemming van de wettelijk vertegenwoordiger vragen.

Toestemming van kinderen

Artikel 5 regelt de gevallen waarin artikel 8 van de verordening niet van toepassing is en er toch toestemming nodig is: voor kinderen onder de zestien jaar is toestemming van de wettelijk vertegenwoordiger vereist, met bepalingen over het intrekken van die toestemming.

Bijzondere categorieën gegevens

Hoofdstuk 3 werkt de uitzonderingen uit op het verbod van artikel 9 AVG op het verwerken van onder meer gezondheidsgegevens, biometrische gegevens en gegevens over godsdienst, ras of vakbondslidmaatschap. Artikel 22 is het scharnierartikel dat naar artikel 9, eerste lid, van de verordening verwijst.

De Autoriteit Persoonsgegevens

Artikel 6 stelt de Autoriteit Persoonsgegevens in. Artikel 14 geeft haar de taken en bevoegdheden die de verordening aan de toezichthoudende autoriteit toekent. Artikel 15 wijst de leden en buitengewone leden aan als toezichthouders op de naleving. Artikel 19 laat haar afspraken maken met andere toezichthouders, wat relevant is nu de ACM en de AP elkaar tegenkomen bij de Data- en de Datagovernanceverordening.

Handhavingsinstrumenten

Artikel 16 geeft de Autoriteit Persoonsgegevens de last onder bestuursdwang ter handhaving van de verordening en van deze wet. Artikel 17 regelt de bestuurlijke boete bij overtreding van artikel 10 van de verordening — strafrechtelijke gegevens — of van artikel 31 van deze wet. Artikel 18 maakt het mogelijk ook overheidsinstanties en overheidsorganen te beboeten voor overtredingen die onder artikel 83, vierde, vijfde of zesde lid, van de verordening vallen.

Openbaarmaking van sancties

Artikel 21b bepaalt dat de Autoriteit Persoonsgegevens een door haar genomen beschikking tot het opleggen van een sanctie openbaar maakt. Daarmee is publicatie geen beleidskeuze meer, maar een wettelijke opdracht.

Wat de Verzamelwet veranderde

Per 1 september 2026 zijn onder meer verwerkingsgrondslagen toegevoegd voor curatoren, bewindvoerders, accountants en de Raad voor Rechtsbijstand, is transactiemonitoring door financiële instellingen geregeld, is de overdracht van medische dossiers tussen zorgaanbieders en niet-zorgaanbieders mogelijk gemaakt, en zijn transparantieverplichtingen voor de Autoriteit Persoonsgegevens ingevoerd: openbaarmaking van bestuurlijke sancties, publicatie van handhavingsbeleid en consultatie over normuitleg.

Wetgevingstraject

Tweede Kamer 20 mei 2025, Eerste Kamer 9 juni 2026, bekendmaking in Stb. 2026, 154, inwerkingtreding bij koninklijk besluit Stb. 2026, 196. De geldende versie op wetten.overheid.nl loopt vanaf 1 september 2026.

Toezicht NL

De Autoriteit Persoonsgegevens, ingesteld bij artikel 6 van deze wet.

Boete

De bedragen komen uit de AVG zelf: tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, dan wel tot twintig miljoen euro of vier procent, afhankelijk van welke bepaling is overtreden (art. 83, vierde en vijfde lid, AVG). De Uitvoeringswet voegt daar de nationale grondslagen aan toe voor beboeting bij strafrechtelijke gegevens (art. 17) en voor beboeting van overheden (art. 18), naast de last onder bestuursdwang (art. 16).