De UAVG — de Uitvoeringswet Algemene verordening gegevensbescherming — is de Nederlandse wet die de AVG op nationaal niveau invult. De AVG (EUR-Lex, CELEX 32016R0679) laat lidstaten op tientallen punten ruimte om nadere regels te stellen, en die ruimte heeft Nederland ingevuld met de UAVG (in werking sinds 25 mei 2018). Wie in Nederland met privacy werkt, kan niet volstaan met de AVG alleen: op cruciale punten — de kinderleeftijd, het BSN, bijzondere categorieën en inzage-uitzonderingen — bepaalt de UAVG de praktijk. Deze gids zet de belangrijkste aanvullingen op een rij.
De UAVG is geen zelfstandig privacyregime maar een uitvoerings- en aanvullingswet: de AVG blijft leidend, de UAVG vult in waar de verordening dat toestaat. Voor de aanwijzing van de toezichthouder verwijs ik naar de Autoriteit Persoonsgegevens, die haar wettelijke basis mede aan de UAVG ontleent.
1. Kinderleeftijd: 16 jaar (art. 5 UAVG)
De AVG stelt in artikel 8 dat kinderen vanaf 16 jaar zelf toestemming kunnen geven voor diensten van de informatiemaatschappij, maar staat lidstaten toe die grens te verlagen tot minimaal 13 jaar. Nederland heeft de grens op 16 gehouden (art. 5 UAVG). Voor kinderen onder 16 is toestemming van een ouder of wettelijk vertegenwoordiger vereist.
Dit is direct relevant voor scholen, gaming, social media en elke online dienst gericht op jongeren. Een organisatie die op toestemming steunt bij minderjarigen moet dus een mechanisme hebben om ouderlijke toestemming te verkrijgen en te verifiëren.
2. Het BSN-regime (art. 46 UAVG)
Het burgerservicenummer is in Nederland strikt gereguleerd. De UAVG bepaalt dat het BSN alleen mag worden verwerkt als een wet dat uitdrukkelijk voorschrijft (art. 46 UAVG). Geen wettelijke grondslag betekent: geen BSN.
Werkgevers mogen het BSN dus verwerken voor de loonbelasting (Wet op de loonbelasting), zorgaanbieders voor het zorgproces, maar een webshop of sportvereniging heeft doorgaans geen enkele grond om het BSN te vragen. Dit is een van de meest overtreden regels in de praktijk. Het BSN vraagt bovendien om aparte beveiliging — het hoort niet ongescheiden in algemene klant- of ledenbestanden.
3. Bijzondere categorieën: nationale uitzonderingen (art. 22-30 UAVG)
Artikel 9 AVG verbiedt de verwerking van bijzondere categorieën (gezondheid, ras, religie, politieke opvatting, biometrie, seksuele geaardheid) behoudens uitzonderingen. De UAVG werkt die uitzonderingen nationaal uit in de artikelen 22 tot en met 30:
| Categorie | UAVG-bepaling (indicatief) | Kern |
|---|---|---|
| Gezondheidsgegevens | art. 30 | Uitzonderingen voor zorg, verzekering, werkgever (beperkt) |
| Genetische gegevens | art. 28-29 | Strikte voorwaarden |
| Strafrechtelijke gegevens | art. 31-33 | Alleen met wettelijke basis of onder toezicht |
| Ras/etniciteit | art. 25 | Beperkte doelen (o.a. identificatie, gelijkebehandeling) |
Voor werkgevers is vooral art. 30 UAVG relevant: het beperkt sterk wat een werkgever aan gezondheidsgegevens mag verwerken — de strikte scheiding tussen werkgever en bedrijfsarts vloeit hier mede uit voort. Deze nationale uitwerking is precies waarom een werkgever bij ziekteverzuim niet naar de aard van de klacht mag vragen; de UAVG staat dat niet toe. De volledige toepassing in de arbeidscontext behandel ik in de gids AVG voor werkgevers.
Belangrijk is dat de UAVG geen vrijbrief geeft: waar de wet een uitzondering opent, gelden strikte voorwaarden en blijft de verantwoordelijke gebonden aan de beginselen van artikel 5 AVG. Een organisatie die zich op een UAVG-uitzondering beroept, moet dat kunnen onderbouwen en documenteren — de uitzondering is een grondslag, geen ontheffing van de verantwoordingsplicht.
4. Strafrechtelijke gegevens (art. 10 AVG + UAVG)
Strafrechtelijke persoonsgegevens vallen onder artikel 10 AVG en mogen alleen onder overheidsgezag of met een wettelijke grondslag worden verwerkt. De UAVG (art. 31-33) opent beperkte mogelijkheden voor private partijen, bijvoorbeeld voor eigen veiligheidsonderzoek of zwarte lijsten onder strikte voorwaarden. Dit is het domein waar veel private “screenings” en registraties juridisch stranden.
5. Inzage-uitzonderingen (art. 41 UAVG)
Het inzagerecht van artikel 15 AVG is krachtig, maar niet absoluut. Artikel 41 UAVG staat toe dat een verantwoordelijke inzage geheel of gedeeltelijk weigert wanneer dat noodzakelijk is ter bescherming van bepaalde belangen — waaronder de rechten en vrijheden van anderen, de opsporing van strafbare feiten, of gewichtige economische en financiële belangen van de staat.
Dit is vooral relevant voor advocatenkantoren, verzekeraars en organisaties die dossiers met informatie over derden beheren. De uitzondering moet per geval worden gemotiveerd; een pauschale weigering is niet toegestaan. Voor de volledige uitwerking van het recht zelf zie onze gids over het inzagerecht van betrokkenen.
6. Journalistieke exceptie (art. 43 UAVG)
Voor verwerkingen uitsluitend voor journalistieke doeleinden of ten behoeve van academische, artistieke of literaire uitingen stelt artikel 43 UAVG grote delen van de AVG buiten werking. Dit verankert de balans tussen privacy en vrijheid van meningsuiting in het Nederlandse recht.
7. Handhaving en boetes onder de UAVG
De UAVG wijst de AP aan als toezichthouder en geeft haar de bevoegdheid tot handhaving en beboeting op grond van artikel 83 AVG. Voor de boetecategorieën en -maxima verwijs ik naar ons overzicht van AVG-boetes en categorieën. De grondslag per verwerking — het startpunt van elke compliance-toets — behandel ik in de gids over de rechtsgronden van artikel 6 AVG.
De Autoriteit Persoonsgegevens houdt toezicht op de naleving. De UAVG wordt periodiek geëvalueerd en aangepast, onder meer via een Verzamelwet gegevensbescherming. Wie op nationale nuances steunt, doet er goed aan de actuele wettekst te raadplegen; een compliance-platform zoals Legiscope houdt de koppeling tussen AVG-artikel en nationale uitwerking actueel, zodat u niet handmatig de wetswijzigingen hoeft na te lopen.
FAQ
Wat is het verschil tussen de AVG en de UAVG?
De AVG is de rechtstreeks werkende Europese verordening; de UAVG is de Nederlandse uitvoeringswet die de AVG op nationaal niveau invult waar de verordening ruimte laat. De AVG blijft leidend; de UAVG regelt zaken als de kinderleeftijd (16 jaar), het BSN-regime en nationale uitzonderingen op bijzondere categorieën en inzage.
Vanaf welke leeftijd mag een kind zelf toestemming geven in Nederland?
Vanaf 16 jaar. De UAVG (art. 5) houdt de grens op 16, terwijl de AVG lidstaten toestaat te verlagen tot 13. Voor kinderen onder 16 is toestemming van een ouder of wettelijk vertegenwoordiger nodig voor onlinediensten die op toestemming steunen.
Wanneer mag ik een BSN verwerken?
Alleen als een wet dat uitdrukkelijk voorschrijft (art. 46 UAVG). Werkgevers voor de loonbelasting en zorgaanbieders voor het zorgproces mogen dat; de meeste andere organisaties, zoals webshops of verenigingen, hebben geen grondslag om het BSN te vragen. Het BSN vereist bovendien aparte beveiliging.
Kan ik een inzageverzoek weigeren op grond van de UAVG?
Gedeeltelijk of geheel, maar alleen als een van de gronden van artikel 41 UAVG van toepassing is — bijvoorbeeld bescherming van de rechten van derden. De weigering moet per geval worden gemotiveerd; een standaardweigering zonder onderbouwing is niet toegestaan.
Conclusie
De UAVG is de Nederlandse laag onder de AVG en op vier punten onmisbaar: de kinderleeftijd van 16, het strikte BSN-regime, de nationale uitzonderingen op bijzondere en strafrechtelijke categorieën, en de inzage-uitzonderingen van artikel 41. Wie compliance in Nederland serieus neemt, leest de AVG en de UAVG samen. Toets uw verwerkingen dus niet alleen aan de verordening, maar ook aan de nationale invulling — juist daar zitten de valkuilen die de AP in de praktijk aanpakt.
Voor internationaal opererende organisaties is dit extra van belang: de AVG is in heel de EER gelijk, maar de nationale uitvoeringswetten verschillen. Een verwerking die in Duitsland onder het BDSG is toegestaan, kan in Nederland op de UAVG stuklopen, en omgekeerd. Wie in meerdere lidstaten actief is, moet dus per land de nationale laag kennen. Voor Nederland betekent dat concreet: houd de kinderleeftijd van 16, het strikte BSN-regime en de inzage-uitzonderingen van artikel 41 scherp in beeld, want dat zijn de punten waarop de Nederlandse praktijk het meest afwijkt van een puur op de AVG gebaseerde aanpak.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial