Wat is de AVG?
De AVG (Algemene Verordening Gegevensbescherming) is de Europese privacywet, Verordening (EU) 2016/679, die bepaalt onder welke voorwaarden organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en beveiligen. AVG is de Nederlandse naam van de GDPR (General Data Protection Regulation); het is één verordening die in alle EU-lidstaten rechtstreeks geldt. De AVG is sinds 25 mei 2018 van toepassing en verving in Nederland de Wet bescherming persoonsgegevens (Wbp). Nationale keuzes, zoals regels voor het BSN en biometrie, staan in de Uitvoeringswet AVG (UAVG).
De AVG regelt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en beveiligen, met als doel de privacy en andere grondrechten van mensen te beschermen.
🎯 Waarom is de AVG belangrijk?
- Verantwoordingsplicht - u moet niet alleen voldoen, maar ook kunnen aantonen dat u voldoet (artikel 5 lid 2)
- Rechten voor betrokkenen - onder meer inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar
- Beveiligingsplicht - passende technische en organisatorische maatregelen op basis van een risicobeoordeling (artikel 32)
- Meldplicht datalekken - bij de Autoriteit Persoonsgegevens (AP) en in ernstige gevallen bij betrokkenen
- Hoge boetes - tot € 20 miljoen of 4% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt
🔍 Wat zijn persoonsgegevens?
Volgens artikel 4 van de AVG is dit alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, direct of indirect. Voorbeelden:
- Naam, e-mailadres, IP-adres, foto en personeelsnummer
- Locatiegegevens, BSN en kentekens van bedrijfsauto’s
- Personeelsdossiers, camerabeelden, toegangslogs en inloggegevens
Het Europese Hof van Justitie bepaalde in 2016 in het Breyer-arrest dat ook een dynamisch IP-adres een persoonsgegeven kan zijn. Bijzondere persoonsgegevens (artikel 9), zoals gezondheid en biometrische gegevens voor unieke identificatie, zijn in beginsel verboden om te verwerken, tenzij een wettelijke uitzondering geldt. Het BSN mag volgens artikel 46 UAVG alleen worden gebruikt als een wet dat voorschrijft, bijvoorbeeld voor de loonadministratie.
🧭 Wat zijn de beginselen van de AVG?
Artikel 5 noemt zeven beginselen die voor elke verwerking gelden:
| Beginsel | Uitleg |
|---|---|
| Rechtmatigheid, behoorlijkheid, transparantie | Er is een geldige grondslag en betrokkenen weten wat er gebeurt |
| Doelbinding | Gegevens alleen gebruiken voor een vooraf bepaald, duidelijk doel |
| Dataminimalisatie | Verzamel niet meer dan noodzakelijk |
| Juistheid | Gegevens kloppen en worden zo nodig gecorrigeerd |
| Opslagbeperking | Niet langer bewaren dan nodig voor het doel |
| Integriteit en vertrouwelijkheid | Passende beveiliging tegen verlies, diefstal en misbruik |
| Verantwoordingsplicht | U moet kunnen aantonen dat u voldoet aan de AVG |
Elke verwerking heeft bovendien één van de zes grondslagen uit artikel 6 nodig: toestemming, overeenkomst, wettelijke plicht, vitaal belang, publieke taak of gerechtvaardigd belang. Toestemming is in een arbeidsrelatie zelden geldig, omdat een werknemer niet vrij kan weigeren.
🏭 Waar raakt de AVG aan OT-omgevingen?
OT-systemen sturen machines aan, maar verwerken vaker persoonsgegevens dan veel organisaties denken:
- Operatoraccounts en audit trails - een HMI, SCADA of MES legt vast wie welk setpoint wijzigde; die logs zijn herleidbaar tot personen
- Productiedata per medewerker - een historian die prestaties per operator of ploeg bijhoudt, maakt prestatiecontrole mogelijk
- Toegangscontrole en camera’s - pasjessystemen, gebouwautomatisering en CCTV registreren aanwezigheid en gedrag
- Biometrie - vingerafdruk- of gezichtsherkenning voor toegang of tijdregistratie
- Locatie en telematica - tracking van heftrucks, voertuigen en wearables op het terrein
- Onderhoud op afstand - leveranciers met remote access kunnen persoonsgegevens inzien en zijn dan doorgaans verwerker
Biometrie mag volgens artikel 29 UAVG alleen als dat noodzakelijk is voor authenticatie of beveiliging, of met uitdrukkelijke toestemming. In april 2020 maakte de AP een boete van € 725.000 bekend voor een bedrijf dat werknemers verplicht met hun vingerafdruk liet in- en uitklokken. Camerabeelden bewaart u volgens de richtlijn van de AP maximaal vier weken, tenzij een concreet incident wordt afgehandeld.
🔐 Welke technische maatregelen vraagt de AVG?
Artikel 32 noemt expliciet pseudonimisering en versleuteling, beschikbaarheid en veerkracht van systemen, tijdig herstel na een incident en het regelmatig testen van maatregelen. In de praktijk sluit dit aan op bestaande cybersecurity-maatregelen:
- Versleuteling (encryptie) van data in opslag en transport
- Toegangsbeheer, least privilege en MFA voor beheeraccounts
- Netwerksegmentatie zodat persoonsgegevens niet ongemerkt vanuit het productienetwerk weglekken
- Logging en SIEM om datalekken te ontdekken en te onderzoeken
- Back-ups en een Incident Response Plan voor herstel en melding
- Privacy by Design (artikel 25): privacy meenemen vanaf het ontwerp, bijvoorbeeld door operatornamen te pseudonimiseren in rapportages
Een ISO 27001-managementsysteem of, voor de overheid, de BIO biedt een structuur om deze maatregelen aantoonbaar te borgen.
🛑 Wat moet u doen bij een datalek?
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens; ook een ransomware-aanval of een verkeerd verstuurde mail kan een datalek zijn.
- Melden bij de AP - onverwijld en zo mogelijk binnen 72 uur na ontdekking, tenzij het lek waarschijnlijk geen risico oplevert (artikel 33)
- Betrokkenen informeren - alleen bij een waarschijnlijk hoog risico; dat is niet nodig als de gegevens bijvoorbeeld goed versleuteld waren (artikel 34)
- Documenteren - elk datalek komt in een intern register, ook als u niet hoeft te melden
Valt uw organisatie onder NIS2 en de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is, dan kan één incident twee meldingen vereisen. De Cbw-meldplicht (vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur) loopt via het CSIRT, de AVG-melding apart via de AP.
🧾 Welke verplichtingen gelden onder de AVG?
| Verplichting | Voor wie? | Artikel |
|---|---|---|
| Verwerkingsregister bijhouden | Alle organisaties; vrijstelling onder 250 medewerkers vervalt bij risicovolle, structurele of bijzondere verwerkingen | 30 |
| Verwerkersovereenkomst sluiten | Bij uitbesteding aan bijvoorbeeld een cloud- of onderhoudspartij | 28 |
| Datalekken melden en registreren | Alle verwerkingsverantwoordelijken | 33–34 |
| DPIA uitvoeren | Bij waarschijnlijk hoog risico, zoals werknemersmonitoring, locatiegegevens of biometrie | 35 |
| FG (Functionaris Gegevensbescherming) aanstellen | Overheden, grootschalige stelselmatige monitoring of grootschalige bijzondere gegevens | 37 |
| Verzoeken van betrokkenen afhandelen | Alle verwerkingsverantwoordelijken, binnen één maand (zo nodig met twee maanden te verlengen) | 12–22 |
🛠️ Hoe pakt u de AVG aan in een IT/OT-omgeving?
- Inventariseer - breng per systeem (HMI, MES, historian, toegangscontrole, camera’s) in kaart welke persoonsgegevens het verwerkt en neem dat op in het verwerkingsregister
- Bepaal doel en grondslag - meestal gerechtvaardigd belang of een wettelijke plicht, met een vastgelegde afweging
- Voer een DPIA uit - de AP heeft een lijst van 17 soorten verwerkingen waarvoor een DPIA verplicht is, waaronder controle van werknemers
- Betrek de ondernemingsraad - op grond van artikel 27 van de Wet op de ondernemingsraden heeft de OR instemmingsrecht bij systemen die aanwezigheid, gedrag of prestaties kunnen controleren
- Leg bewaartermijnen vast - bijvoorbeeld vier weken voor camerabeelden en een vaste termijn voor operatorlogs
- Regel leveranciers - verwerkersovereenkomsten en eisen via supplier security
- Oefen de meldprocedure - één draaiboek voor AVG- én Cbw-meldingen
⚖️ Hoe hoog zijn AVG-boetes in Nederland?
| Niveau | Maximum | Voorbeelden van overtredingen |
|---|---|---|
| Lager (art. 83 lid 4) | € 10 miljoen of 2% van de wereldwijde jaaromzet | Onvoldoende beveiliging, niet melden van een datalek, geen DPIA |
| Hoger (art. 83 lid 5) | € 20 miljoen of 4% van de wereldwijde jaaromzet | Geen grondslag, schending van beginselen of rechten, onrechtmatige doorgifte |
De hoogste AP-boete tot dan toe volgde in augustus 2024: € 290 miljoen aan Uber, voor het zonder passende waarborgen doorgeven van gegevens van chauffeurs naar de Verenigde Staten. In september 2024 volgde € 30,5 miljoen voor Clearview AI vanwege een illegale database voor gezichtsherkenning.
❓ Veelgestelde vragen
Wat is het verschil tussen de AVG en de GDPR?
De AVG en de GDPR zijn dezelfde Europese verordening: AVG is de Nederlandse naam, GDPR de Engelse. Nederlandse aanvullingen op de AVG, zoals regels voor het BSN en biometrie, staan in de Uitvoeringswet AVG (UAVG).
Geldt de AVG ook voor OT-systemen?
De AVG geldt voor elk systeem dat persoonsgegevens verwerkt, dus ook voor OT-systemen. Operatorlogins, audit trails in een HMI of MES, camerabeelden en toegangslogs zijn tot personen herleidbaar en vallen daarom onder de AVG.
Binnen hoeveel tijd moet u een datalek melden?
Onder de AVG meldt u een datalek onverwijld en zo mogelijk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Betrokkenen informeert u alleen als het datalek waarschijnlijk een hoog risico voor hen oplevert.
Mag een werkgever vingerafdrukken gebruiken voor toegang?
Onder de AVG en artikel 29 UAVG mag een werkgever vingerafdrukken alleen gebruiken als dat noodzakelijk is voor authenticatie of beveiliging, bijvoorbeeld voor toegang tot een zwaar beveiligde ruimte. Voor gewone tijdregistratie is dat niet noodzakelijk; de AP maakte daarvoor in 2020 een boete van € 725.000 bekend.
Is een DPIA verplicht voor camerabewaking in een fabriek?
Een DPIA is onder de AVG verplicht als camerabewaking grootschalig of stelselmatig werknemers volgt, of heimelijk wordt ingezet. Voor een enkele camera bij een toegangspoort is een DPIA meestal niet verplicht, maar wel verstandig om de afweging vast te leggen.
Hoe verhoudt de AVG zich tot NIS2 en de Cyberbeveiligingswet?
De AVG beschermt persoonsgegevens, terwijl NIS2 en de Cyberbeveiligingswet de continuïteit van essentiële en belangrijke diensten beschermen. Eén cyberincident kan onder beide regimes vallen en dan zowel een AVG-melding bij de AP als een Cbw-melding bij het CSIRT vereisen.
📌 Samengevat
De AVG geldt sinds 25 mei 2018 voor elke organisatie die persoonsgegevens verwerkt, ook in productieomgevingen. Zeven beginselen, zes grondslagen en een beveiligingsplicht vormen de kern, aangevuld met de meldplicht voor datalekken, DPIA’s en rechten van betrokkenen. In OT gaat het vooral om operatorlogs, camerabeelden, toegangscontrole, biometrie en locatiegegevens.
De AVG is de Europese privacywet die bepaalt hoe u verantwoord en veilig omgaat met persoonsgegevens, en die geldt net zo goed voor de HMI-log en de toegangspoort als voor de klantendatabase.