Vanaf 1 september 2026 geldt de Verzamelwet gegevensbescherming. De wet bundelt een reeks aanpassingen van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en van enkele andere wetten. Vier thema’s staan centraal: de privacyrechten van jongeren, het gebruik van biometrische gegevens, strafrechtelijke persoonsgegevens en de overdracht van medische dossiers.
Voor Privacy Officers en Functionarissen Gegevensbescherming (FG’s) is dit hét moment om beleid, werkinstructies en procedures nog eens door te nemen. In deze blog lees je welke wijzigingen er zijn, hoe ze in de praktijk uitpakken en welke stappen je organisatie kan zetten.
De grootste wijziging heeft betrekking op de leeftijd waarop iemand zelf over zijn of haar privacyrechten beslist. Die grens ligt sinds 1 september 2026 bij 12 jaar. Voorheen was dat 16 jaar. De gevolgen op een rij:
Scholen, zorginstellingen, jeugdhulporganisaties, sportverenigingen en bedrijven met jonge klanten of leden krijgen hiermee te maken.
Een leerling van 14 jaar stelt een inzageverzoek over zijn leerlingdossier. Hij dient dat verzoek zelf in en de school handelt het af volgens de AVG. De school stelt vast welke gegevens binnen het inzagerecht vallen, kiest een veilige manier om ze te verstrekken en let op gegevens van andere personen die in het dossier staan.
Tip: zorgvuldig noteren begint bij de medewerker. Een leerling kan het dossier voortaan zelf opvragen en lezen. Medewerkers doen er goed aan hun aantekeningen daarop af te stemmen. Leg controleerbare feiten vast, houd persoonlijke meningen en oordelen buiten het dossier en kies respectvolle formuleringen. Bij een professionele beoordeling hoort een heldere onderbouwing. Regelmatige training op het gebied van privacy en zorgvuldig registreren helpt om deze werkwijze in het dagelijks werk te verankeren.
Met de doelgroepgerichte e-learning over privacy, AI, phishing en cybersecurity van AVG-trainingen ontwikkelen medewerkers kennis en vaardigheden om zorgvuldig en veilig met persoonsgegevens om te gaan.
Rol van de Privacy Officer en de FG. De Privacy Officer past de werkwijze voor inzageverzoeken aan en brengt de leerlingenadministratie en de schoolleiding op de hoogte van de nieuwe leeftijdsgrens. De FG adviseert over het inzagerecht, de bescherming van gegevens van derden en de afhandeling van verzoeken van leerlingen en ouders.
Een sportvereniging plaatst foto’s van jeugdleden op haar website op basis van toestemming. Een lid van 13 jaar trekt die toestemming in. De intrekking betekent dat de vereniging de foto offline haalt en de verwerking op basis van die toestemming beëindigt.
De Privacy Officer kan een duidelijke werkwijze voor het intrekken van toestemming opstellen. De FG beoordeelt of de toestemmingsprocedure en de afhandeling van intrekkingen aansluiten op de AVG.
Biometrische gegevens zijn bijvoorbeeld vingerafdrukken en gezichtskenmerken die met technische middelen worden gebruikt om een persoon uniek te herkennen. De Verzamelwet scherpt de Nederlandse uitzondering voor biometrie bij authenticatie en beveiliging aan. Organisaties moeten kunnen aantonen dat de verwerking noodzakelijk is en dat er een zwaarwegend algemeen belang in de zin van de gewijzigde wet aan de orde is. Heeft jouw organisatie een toegangssysteem met vingerafdruk of gezichtsherkenning? Dan is het verstandig de onderbouwing opnieuw te beoordelen.
De UAVG hanteert na de wijziging een aangepaste definitie van strafrechtelijke persoonsgegevens. Ook is er een specifieke uitzondering voor accountants die bij bepaalde wettelijk voorgeschreven werkzaamheden strafrechtelijke persoonsgegevens verwerken. Organisaties met dit soort gegevens controleren of hun verwerkingen aansluiten op de nieuwe definitie en de uitzonderingen.
Ook de zorgsector krijgt te maken met een nieuwe regeling. Onder voorwaarden kan een partij die zelf geen hulpverlener is, een medisch dossier overdragen aan een hulpverlener. Denk aan een zorgpraktijk die sluit of een zorgverlener die failliet gaat.
Een Privacy Officer zet wetgeving om in beleid, procedures en praktische werkafspraken. Voor de Verzamelwet zijn dit de vijf kernpunten:
Artikel 39 AVG geeft de FG een onafhankelijke adviserende en toezichthoudende taak. Een goed beeld van de gewijzigde wetgeving en de gevolgen voor de verwerkingen in de organisatie hoort daarbij.
Privacy Officer en FG vullen elkaar goed aan. De Privacy Officer zorgt voor de praktische uitvoering: procedures bijwerken en collega’s ondersteunen. De FG geeft onafhankelijk advies en controleert de naleving. Betrek beide functies vanaf het begin bij de invoering, dan verloopt die ordelijk en op tijd.
Tien stappen voor je organisatie
Wetswijzigingen volgen elkaar op en privacyprofessionals houden hun kennis daarom up-to-date. Wie de AVG, de UAVG en aanverwante wetgeving goed kent, kan veranderingen snel plaatsen, de gevolgen voor de eigen organisatie inschatten en helder communiceren met medewerkers, management en bestuur. Vaardigheden op het gebied van risicoanalyse, DPIA’s, advisering, toezicht en samenwerking versterken dat fundament.
De klassikale Opleiding Privacy, AI & Security Officer van AVG-trainingen is bedoeld voor wie de rol van Privacy Officer vervult of binnenkort gaat vervullen. Privacy, AI en informatiebeveiliging komen in deze opleiding samen, en je oefent met herkenbare casussen uit de dagelijkse praktijk. Zo leer je nieuwe regelgeving te vertalen naar beleid, procedures en concrete maatregelen voor jouw organisatie.
De klassikale Opleiding Functionaris Gegevensbescherming van AVG-trainingen ondersteunt (aankomende) FG’s bij de adviserende en toezichthoudende taak uit artikel 39 AVG. Je werkt aan onderwerpen als advies over DPIA’s, toezicht op risicovolle verwerkingen en rapportage aan het bestuur. Praktijkcasussen en de verantwoordelijkheden van de verschillende functies binnen een organisatie vormen de rode draad.
Wetgeving en beleid worden pas werkelijkheid als alle collega’s ermee aan de slag gaan. Dat geldt voor zorgvuldig noteren in een dossier, voor het herkennen van een privacyverzoek van een jongere en voor alertheid op phishingmails. AVG-trainingen biedt hiervoor doelgroepgerichte en sectorgerichte e-learning over privacy, AI, phishing en cybersecurity awareness. Een docent, een zorgverlener, een trainer bij een sportvereniging en een financieel medewerker komen elk andere situaties tegen. De e-learning sluit aan bij de doelgroep en de sector, waardoor medewerkers hun eigen werkdag herkennen en privacybewust en veilig handelen een gewoonte wordt.
Het is een wet die vanaf 1 september 2026 geldt en de UAVG en enkele andere wetten aanpast. De wijzigingen gaan over de rechten van jongeren, biometrische gegevens, strafrechtelijke persoonsgegevens en de overdracht van medische dossiers.
Jongeren vanaf 12 jaar oefenen hun AVG-rechten zelf uit en kunnen zelf toestemming intrekken. Voorheen lag die grens bij 16 jaar.
Bij jongeren van 12 tot 16 jaar kunnen de jongere en de wettelijk vertegenwoordiger allebei een verzoek indienen.
De Nederlandse uitzondering voor biometrie bij authenticatie en beveiliging is aangescherpt. Organisaties onderbouwen dat de verwerking noodzakelijk is en dat een zwaarwegend algemeen belang aanwezig is.
De Privacy Officer richt zich op de praktische uitvoering, zoals het bijwerken van procedures en het ondersteunen van medewerkers. De FG adviseert onafhankelijk en houdt toezicht op de naleving.
Voor organisaties die gegevens van kinderen en jongeren verwerken, zoals scholen, zorg- en jeugdhulporganisaties en sportverenigingen. Ook organisaties met biometrische toegangscontrole, strafrechtelijke persoonsgegevens of medische dossiers hebben met de wijzigingen te maken.
Voor een goede samenwerking op het gebied van privacy en informatiebeveiliging werken verschillende afdelingen en professionals nauw met elkaar samen. Gemeenten, ministeries, provincies, waterschappen en
Vanaf 1 september 2026 geldt de Verzamelwet gegevensbescherming. De wet bundelt een reeks aanpassingen van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en van enkele andere
Een klant mailt: ‘Welke gegevens hebben jullie eigenlijk van mij?’ Een oud-medewerker wil weten wat er na zijn vertrek nog over hem wordt bewaard. Een
