Praktische gidsen over databeheer, AVG-compliance en digitale innovatie voor Nederlandse organisaties.
Welke EU-wetgeving beïnvloedt uw data governance in 2026? Overzicht van de AVG, Data Act, Data Governance Act, AI Act en NIS2 — met praktisch stappenplan voor bedrijven.
Hoe zet Nederland AI in op de werkvloer in 2026? Van automatisering en copilots tot AI Act compliance en arbeidsmarktgevolgen. Praktijkoverzicht voor bedrijven.
Kunstmatige intelligentie transformeert het bedrijfsleven in 2026. Van automatisering van bedrijfsprocessen tot klantgerichte AI-toepassingen: een overzicht van de belangrijkste trends en praktische use cases per sector.
AI in de Nederlandse financiële sector: banken en verzekeraars zetten AI in voor fraudedetectie, kredietverlening en klantenservice. Wat verwachten DNB en de EU AI Act in 2026?
AI in de Nederlandse gezondheidszorg: toepassingen, IGJ-toezicht 2026, EU AI Act hoog-risico classificatie en ethische overwegingen voor zorgaanbieders.
AI in het Nederlandse onderwijs in 2026: adaptieve leerplatformen, EU AI Act verplichtingen voor scholen, AVG-vereisten en ethische risico's van algoritmisch beoordelen.
Datalek melden in Nederland 2026: binnen 72 uur bij de AP, direct aan betrokkenen bij hoog risico. Stappenplan, boetes en wat u intern moet vastleggen.
De Cyberbeveiligingswet (NIS2) geldt sinds 15 augustus 2026. Welke MKB-bedrijven vallen eronder, hoe registreert u zich en binnen welke termijnen meldt u een incident? Checklist met 12 stappen.
Wearables voor werknemers. Gezondheidsmonitoring, veiligheid en privacy.
De Algemene Verordening Gegevensbescherming (AVG, EU 2016/679) wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens (AP). De AP kan boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet (afhankelijk van welke hoger is) voor ernstige overtredingen zoals het ontbreken van een verwerkingsgrondslag, het niet respecteren van de rechten van betrokkenen of een onvoldoende beveiligingsniveau. Voor minder zware overtredingen geldt de helft: 10 miljoen euro of 2 procent van de jaaromzet. In 2024 bedroeg het totaalbedrag aan opgelegde boetes 14,3 miljoen euro. Daarnaast kan de AP dwangsommen opleggen en verwerkingen verbieden. Betrokkenen kunnen zich ook rechtstreeks tot de rechter wenden en immateriele schadevergoeding eisen (artikel 82 AVG, HR-uitspraken hebben dit erkend vanaf 5 euro per geval).
Een Functionaris voor Gegevensbescherming (FG) is verplicht in drie gevallen op grond van artikel 37 AVG. Ten eerste wanneer de verwerking wordt uitgevoerd door een overheidsinstantie of openbaar orgaan. Ten tweede wanneer de hoofdactiviteit bestaat uit systematische monitoring van betrokkenen op grote schaal (bijvoorbeeld telecomproviders, online platforms, kredietbeoordelaars). Ten derde wanneer de hoofdactiviteit bestaat uit grootschalige verwerking van bijzondere persoonsgegevens (artikel 9) of strafrechtelijke gegevens (artikel 10). Voor zorginstellingen, ziekenhuizen, verzekeraars, scholen en werkgevers met meer dan 250 werknemers geldt doorgaans de verplichting. De FG moet onafhankelijk kunnen optreden, rechtstreeks rapporteren aan het hoogste managementniveau, gemeld worden bij de AP en over aantoonbare AVG-expertise beschikken. Een externe FG via een contract (DPO-as-a-service) is toegestaan.
De EU AI Act (Verordening 2024/1689) trad in werking op 1 augustus 2024 en kent gefaseerde invoering. Per 2 februari 2025 zijn verboden AI-praktijken (social scoring, manipulatieve AI, real-time biometrische identificatie in openbare ruimten) direct van kracht. Per 2 augustus 2025 gelden verplichtingen voor providers van general-purpose AI (GPAI) zoals transparantie over trainingsdata en auteursrechtbeleid. De regels voor hoog-risico AI-systemen (conformiteitsbeoordeling, CE-markering, risicobeheersysteem, logging en menselijk toezicht) zijn door de Digital Omnibus, Verordening (EU) 2026/1744, uitgesteld: ze gelden vanaf 2 december 2027 voor hoog-risico systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen onder bijlage I. Nederland heeft de Rijksinspectie Digitale Infrastructuur (RDI) en de Autoriteit Persoonsgegevens (AP) aangewezen als bevoegde autoriteiten. De maximale boete voor overtreding van verboden praktijken bedraagt 35 miljoen euro of 7 procent van de wereldwijde jaaromzet.
Op grond van hoofdstuk III AVG (artikelen 12 tot 22) hebben betrokkenen acht rechten: inzage, rectificatie, gegevenswissing (vergetelheid), beperking, dataportabiliteit, bezwaar, geen geautomatiseerde besluitvorming en informatie. Bij ontvangst van een verzoek moet de verwerkingsverantwoordelijke binnen een maand reageren (artikel 12 lid 3), met een mogelijke verlenging van twee maanden bij complexe of talrijke verzoeken. De reactie moet kosteloos zijn en in begrijpelijke taal. Verzoeken kunnen worden geweigerd als de verzoeker onvoldoende is geidentificeerd of als het verzoek kennelijk onredelijk of buitensporig is. In dat laatste geval kan een redelijke vergoeding worden gevraagd. De verwerkingsverantwoordelijke moet de identiteit van de verzoeker controleren maar mag niet meer persoonsgegevens verzamelen dan noodzakelijk. Weigering vereist altijd een gemotiveerd antwoord en vermelding van de klachtmogelijkheid bij de AP.
Sinds de AVG (artikel 33 en 34) gelden strikte regels voor datalekken. Een datalek is elke inbreuk op de beveiliging die leidt tot onopzettelijke of onrechtmatige vernietiging, verlies, wijziging of openbaarmaking van persoonsgegevens. Alle datalekken met een risico voor betrokkenen moeten binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens via het online formulier meldplichtdatalekken.autoriteitpersoonsgegevens.nl. De melding moet bevatten: aard van het lek, betrokken categorieen en aantallen, contactgegevens FG, waarschijnlijke gevolgen en genomen maatregelen. Datalekken met hoog risico (bijvoorbeeld ongeautoriseerde publicatie van gezondheidsgegevens, financiele details of identificerende documenten) moeten daarnaast onverwijld aan de betrokkenen zelf worden gemeld. Interne documentatie in een datalekregister is verplicht voor alle lekken, ook die niet extern zijn gemeld. In 2024 werden bij de AP 27.728 datalekken gemeld.