De Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) vult de AVG in Nederland aan waar de Europese verordening daarvoor ruimte laat. De nationale wet is vooral relevant bij minderjarigen, het burgerservicenummer, bijzondere en strafrechtelijke persoonsgegevens en beperkingen van privacyrechten. Een algemene AVG-beoordeling is daar niet altijd voldoende. U moet ook vaststellen welke Nederlandse bepaling uw concrete verwerking toestaat of begrenst.
Deze gids is bijgewerkt op 28 september 2026. De Verzamelwet gegevensbescherming, Staatsblad 2026, 154 heeft verschillende UAVG-bepalingen veranderd. Volgens het inwerkingtredingsbesluit, Staatsblad 2026, 196 geldt het merendeel sinds 1 september 2026. Artikel I, onderdeel I, over een nieuwe uitzondering voor bijzondere gegevens bij verplichte accountantsopdrachten, is daarvan uitgezonderd. Een gepubliceerde wijzigingswet betekent dus niet dat ieder onderdeel al mag worden toegepast.
Lees de AVG en de UAVG in de juiste volgorde
Begin met het doel en de persoonsgegevens die daarvoor nodig zijn. Kies vervolgens een grondslag uit artikel 6 AVG. Bij bijzondere gegevens komt daar een uitzondering op het verbod van artikel 9 bij; voor strafrechtelijke gegevens geldt artikel 10. Pas daarna onderzoekt u of de UAVG daarvoor nationale voorwaarden of aanvullende mogelijkheden bevat. Deze stappen kunnen niet onderling worden ingeruild.
Een zorginstelling kan bijvoorbeeld een nationale uitzondering voor gezondheidsgegevens nodig hebben. Dat betekent niet dat ieder gebruik van een patiëntendossier daarmee rechtmatig is. De grondslag, noodzakelijkheid, informatieplicht, beveiliging en bewaartermijn blijven afzonderlijke vragen. Evenmin maakt een beroep op gerechtvaardigd belang de verwerking van bijzondere gegevens automatisch toegestaan. Een belang uit artikel 6 vervangt geen uitzondering uit artikel 9.
De AVG zelf blijft het Europese uitgangspunt. De oorspronkelijke UAVG en latere wijzigingen moeten samen worden gelezen. Noteer daarom in een juridische beoordeling niet alleen een artikelnummer, maar ook de toepasselijke versie en waarom de situatie binnen de bepaling valt. Dat voorkomt dat een oud formulier ongemerkt als actuele rechtsbron gaat functioneren.
Minderjarigen: toestemming, intrekking en rechten verschillen
Artikel 8 AVG gaat over een specifiek geval: een rechtstreeks aan een kind aangeboden dienst van de informatiemaatschappij, waarbij de verwerking berust op toestemming. Nederland heeft de Europese standaardgrens van zestien jaar niet verlaagd. Onder die grens is in deze situatie toestemming of machtiging van de persoon met ouderlijke verantwoordelijkheid nodig. De aanbieder moet redelijke inspanningen leveren om dat te controleren, rekening houdend met de beschikbare technologie.
Dat is geen algemene regel dat alle gegevens over kinderen alleen met ouderlijke toestemming mogen worden verwerkt. Een school of vereniging moet eerst de passende grondslag bepalen. Waar verwerking noodzakelijk is om aan een wettelijke verplichting te voldoen, wordt artikel 8 niet ineens van toepassing doordat een digitaal formulier wordt gebruikt. Ook de civielrechtelijke geldigheid van een overeenkomst is een afzonderlijke kwestie.
Buiten artikel 8 bepaalt artikel 5 lid 1 UAVG dat bij een op toestemming gebaseerde verwerking de wettelijke vertegenwoordiger toestemming geeft zolang de betrokkene nog geen zestien is. Sinds september 2026 maakt de tekst dit verband met toestemming expliciet. Voor curatele, bewind en mentorschap geldt vertegenwoordiging voor zover de betreffende aangelegenheid binnen de onbekwaamheid of onbevoegdheid valt. Een dergelijke maatregel neemt niet zonder meer alle eigen beslissingsruimte weg.
De leeftijd voor toestemming moet worden onderscheiden van de nieuwe regels voor intrekking en rechten. Volgens artikel 5 lid 3 kan ook de betrokkene die twaalf jaar heeft bereikt toestemming intrekken. Onder twaalf oefent de vertegenwoordiger de rechten uit hoofdstuk III AVG uit; van twaalf tot zestien kunnen zowel de betrokkene als diens wettelijke vertegenwoordiger dat doen. Artikel 5 lid 5 geeft minderjarigen vanaf zestien bovendien de genoemde mogelijkheid zelfstandig in rechte op te treden over schendingen van hun AVG-rechten. Controleer daarom uw verzoekenprocedure: een automatische afwijzing van ieder verzoek van een veertienjarige is onjuist.
Er bestaan twee onderscheiden uitzonderingen voor hulp. Overweging 38 AVG en paragraaf 150 van de definitieve EDPB-richtsnoeren over toestemming behandelen preventieve of adviesdiensten die rechtstreeks aan een kind worden aangeboden, ook online: daarvoor is ouderlijke toestemming niet vereist. Daarnaast sluit artikel 5 lid 6 UAVG de nationale vertegenwoordigersregeling uit voor rechtstreeks en kosteloos aangeboden hulp- en adviesdiensten aan de daarin genoemde personen. De nationale eis van kosteloosheid mag niet ongemerkt aan de Europese uitzondering worden toegevoegd.
Artikel 5 lid 7 houdt bovendien rekening met bijzondere regels voor de geneeskundige behandelingsovereenkomst. Een jongerenhulplijn, sportfoto en medisch dossier vragen daardoor niet om hetzelfde toestemmingsscherm. Leg de toepasselijke route vast, informeer begrijpelijk en verzamel voor leeftijdscontrole niet automatisch een volledige kopie van een identiteitsbewijs.
Het BSN: een wettelijke gebruiksroute, geen handig klantnummer
Artikel 46 UAVG bepaalt dat een wettelijk voorgeschreven identificatienummer alleen wordt gebruikt ter uitvoering van de betreffende wet of voor bij wet bepaalde doeleinden. Dit omvat het BSN. De regel is dus preciezer dan de stelling dat iedere verwerking uitdrukkelijk verplicht moet zijn: ook een wettelijk toegelaten doel kan relevant zijn. Toestemming of administratief gemak creëert echter geen ontbrekende wettelijke bevoegdheid.
Een werkgever onderzoekt bijvoorbeeld welke identificatie- en fiscale verplichting het gebruik rechtvaardigt. Een vereniging die slechts leden uit elkaar wil houden, kan daarvoor een eigen intern nummer gebruiken. Een softwarepakket met een verplicht BSN-veld vormt op zichzelf geen juridische reden om dat veld te vullen. Laat de leverancier zo nodig het veld uitschakelen en controleer oude imports en exports op onnodige nummers.
De wijziging van september heeft het vroegere tweede lid van artikel 46 geschrapt. Tegelijk bevat artikel 48b overgangsrecht voor eerder daarop gebaseerde algemene maatregelen van bestuur. Artikel 47a kent een afzonderlijke, voorwaardelijke regeling voor bepaalde tijdelijke commissies en adviescolleges. Trek daarom niet de conclusie dat iedere oude uitvoeringsregeling automatisch verdwenen is, of dat een gewone onderneming de commissieregeling kan gebruiken.
Documenteer voor een BSN-verwerking het precieze wettelijke doel, de noodzakelijke ontvangers en de bewaarbehoefte. Beperk toegang en voorkom dat het nummer standaard op mailinglijsten of in algemene klantnotities verschijnt. Dat zijn praktische beveiligingskeuzes op basis van het risico; artikel 46 schrijft op zichzelf niet één verplichte databasestructuur voor. Een rechtmatig verkregen BSN mag evenmin voor elk later doel worden hergebruikt.
Bijzondere gegevens: een uitzondering is geen volledige grondslag
Artikel 9 AVG beschermt onder meer gezondheidsgegevens, genetische gegevens en biometrische gegevens die dienen voor unieke identificatie. De UAVG werkt verschillende uitzonderingen en voorwaarden uit. Genetische gegevens worden behandeld in artikel 28, biometrische gegevens in artikel 29 en gezondheidsgegevens in artikel 30 en de nieuwe artikelen 30a en 30b. Strafrechtelijke gegevens horen bij een ander regime en moeten niet als extra categorie van artikel 9 worden gepresenteerd.
Let bij genetische gegevens op het verschil tussen verwerking over de persoon bij wie de gegevens zijn verkregen en gebruik dat ook andere personen raakt. Familieonderzoek kan informatie over verwanten opleveren zonder dat zij zelf een monster hebben verstrekt. Artikel 28 bevat daarvoor eigen voorwaarden. De nieuwe aanhef van het tweede lid verwijst naar artikel 9 lid 4 AVG; de aanwezigheid van een Europees uitzonderingsartikel maakt deze nationale voorwaarden niet irrelevant.
Bij biometrie is sinds september de formulering van artikel 29 aangescherpt. De beveiligingsroute verwijst naar noodzakelijkheid wegens een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen. Een werkgever kan daarom niet volstaan met de redenering dat een vingerafdruk sneller is dan een toegangspas. Beschrijf het concrete beveiligingsprobleem, de beschikbare alternatieven en waarom de beoogde biometrische verwerking noodzakelijk zou zijn.
Denk aan een hypothetisch magazijn dat vingerafdrukken wil gebruiken om verloren toegangspassen te voorkomen. De beoordeling moet verder gaan dan het ongemak van verloren passen: welke ruimte wordt beschermd, welke gevolgen heeft onbevoegde toegang en welke andere maatregelen zijn beschikbaar? Een terminal bij een gewone kantine en toegang tot een uitzonderlijk gevoelige installatie leveren niet zonder meer dezelfde afweging op. Laat ook beoordelen of de opgeslagen gegevens daadwerkelijk unieke identificatie mogelijk maken. De naam die de leverancier aan de functie geeft, bepaalt niet welke wettelijke categorie van toepassing is.
Een DPIA helpt de risico’s en alternatieven vooraf te beoordelen wanneer artikel 35 AVG die verlangt. Zij creëert echter geen ontbrekende verwerkingsgrondslag of uitzondering. Houd de conclusie over juridische toelaatbaarheid gescheiden van de conclusie over passende beveiliging. Een technisch uitstekend beveiligde toepassing kan nog steeds onrechtmatig zijn omdat zij niet noodzakelijk is.
Voor gezondheidsgegevens bevat artikel 30 doel- en organisatiegebonden routes. Bij werkgevers gaat het onder voorwaarden bijvoorbeeld om uitvoering van gezondheidsafhankelijke aanspraken en om re-integratie of begeleiding wegens ziekte of arbeidsongeschiktheid. Dat maakt het personeelsdossier geen plaats voor onbeperkte medische diagnoses. Bepaal welke informatie de werkgever daadwerkelijk nodig heeft en welke informatie bij de bevoegde zorgprofessional hoort. De verdere toepassing staat in de gids over AVG en personeelsgegevens.
De nieuwe artikelen 30a en 30b regelen onder voorwaarden de overdracht en bewaring van medische dossiers, onder meer wanneer een andere partij het beheer overneemt om aan de bewaarplicht te voldoen. Daarbij horen informatieverplichtingen, geheimhouding en specifieke waarborgen. Deze regeling is geen algemene toestemming om bij verkoop van een onderneming alle patiëntgegevens als commercieel bestand over te dragen. Stel eerst vast wie overdraagt, wie gaat bewaren en voor welk wettelijk doel dat gebeurt.
Strafrechtelijke gegevens: onderzoek ook de ontvanger en het doel
Artikel 10 AVG stelt afzonderlijke eisen aan gegevens over strafrechtelijke veroordelingen en strafbare feiten. Verwerking gebeurt onder toezicht van de overheid of met toestemming van Unierecht of lidstatelijk recht dat passende waarborgen biedt. De UAVG bevat daarvoor bepalingen in de artikelen 31 tot en met 33. Een privaat screeningsbedrijf valt niet buiten die regels omdat de informatie uit een openbare bron komt.
Bij een intern onderzoek moet u onderscheiden tussen gewone feitelijke klachten, gegevens die daadwerkelijk onder artikel 10 vallen en gegevens die met andere organisaties worden gedeeld. Een mogelijkheid voor bescherming van eigen belangen betekent niet automatisch dat een sectorbrede zwarte lijst is toegestaan. Controleer de voorwaarden van de concrete nationale bepaling en eventuele vergunningseisen voordat u een gedeeld register opzet.
De Verzamelwet voegt in artikel 33 een regeling toe voor noodzakelijke verwerking van strafrechtelijke gegevens bij wettelijk voorgeschreven accountantsopdrachten. Die wijziging moet worden onderscheiden van het nog niet in werking getreden artikel 23a over bijzondere categorieën bij zulke opdrachten. Een dossier kan beide soorten gegevens bevatten. De beoordeling moet dan per categorie kloppen; de toestemming voor de ene categorie mag niet worden gebruikt als vervanging voor de andere.
Beperking van rechten: motiveer wat werkelijk nodig is
Artikel 41 UAVG betreft meer dan alleen inzage. Het kan onder de wettelijke voorwaarden rechten en verplichtingen uit de artikelen 12 tot en met 21 en artikel 34 AVG beperken. Daarvoor moet de beperking noodzakelijk én evenredig zijn ter bescherming van een genoemd belang, zoals rechten van anderen, bepaalde publieke belangen of de inning van civielrechtelijke vorderingen. Een ongemakkelijk verzoek is geen zelfstandige uitzondering.
Stel dat een verzekeringsdossier informatie bevat over de verzoeker en een getuige. Onderzoek eerst welke informatie over de verzoeker kan worden verstrekt zonder de getuige onnodig bloot te stellen. Afscherming van bepaalde passages kan voldoende zijn. De aanwezigheid van één derde maakt een volledige weigering niet vanzelf evenredig. De gewone regels van artikel 15, waaronder bescherming van rechten en vrijheden van anderen, blijven eveneens relevant.
Het tweede lid van artikel 41 noemt beoordelingsfactoren, waaronder categorieën gegevens, reikwijdte van de beperking, bewaartermijnen, waarborgen en risico’s. Leg vast waarom een minder ingrijpende oplossing tekortschiet en wanneer herbeoordeling nodig is. Voor de praktische behandeling van het verzoek verwijzen we naar het inzagerecht. Als u niet op een verzoek ingaat, verlangt artikel 12 lid 4 AVG in beginsel zonder uitstel en uiterlijk binnen één maand bericht over de redenen en de klacht- en beroepsmogelijkheden. Een eventuele beperking daarvan vergt ook een eigen wettelijke onderbouwing.
Journalistiek, archieven en handhaving
Artikel 43 bevat uitzonderingen voor de genoemde journalistieke en expressiedoeleinden. Het schakelt de AVG niet volledig uit: bijvoorbeeld de beginselen en de grondslagen blijven relevant, evenals bepaalde verplichtingen over verantwoordelijkheid, verwerkers en beveiliging. Ook is niet iedere bedrijfsblog daardoor journalistiek. Beoordeel het werkelijke doel van de verwerking; een marketinglabel of publicatievorm is niet beslissend.
Artikel 45 kent specifieke regels voor bepaalde archiefverwerkingen. Sinds september omvat de omschrijving onder voorwaarden ook andere publiek toegankelijke archiefinstellingen zonder winstoogmerk met de vereiste publieke financiering of bestuurlijke band. Een bedrijf dat zijn oude klantendatabase een archief noemt, voldoet daarmee niet aan die afbakening. Bewaar steeds het onderscheid tussen een publieke archieffunctie en gewone opslag voor toekomstig commercieel gebruik.
De UAVG regelt ook de positie van de Autoriteit Persoonsgegevens. Het nieuwe artikel 21b bevat een verplichting om bestuurlijke sanctiebeschikkingen openbaar te maken, met wettelijke uitzonderingen, een wachttijd en bescherming bij een verzoek om voorlopige voorziening. Publicatie betekent niet automatisch dat alle rechtsmiddelen zijn uitgeput. Het overzicht van boetecategorieën helpt de financiële bevoegdheden te onderscheiden van andere maatregelen.
Zo werkt u bestaande documentatie bij
Zoek niet alleen naar verwijzingen naar de UAVG, maar ook naar ingestelde beslisregels. Een formulier kan nog steeds alle verzoeken van minderjarigen blokkeren, terwijl de juridische toelichting al is aangepast. Controleer daarom samen met de eigenaar van het proces de leeftijdscontrole, BSN-velden, biometrische toegang en dossiers waarin rechten worden beperkt.
Leg bij iedere wijziging vast welke tekst of handeling vervalt, welke actuele regel ervoor terugkomt en wie de uitvoering controleert. Gebruik bij meerdere landen geen enkele universele leeftijd of nationale uitzondering. Houd de gemeenschappelijke AVG-beoordeling centraal, met een afzonderlijke onderbouwde nationale aanvulling. Zo wordt de UAVG een werkbaar onderdeel van de besluitvorming en blijft zichtbaar welke voorwaarden in de dagelijkse uitvoering moeten worden nageleefd.