Acht jaar AVG: lessen en wat er komt

Acht jaar van ‘s werelds invloedrijkste privacywet

Op 25 mei 2018 werd de Algemene Verordening Gegevensbescherming in de hele Europese Unie van toepassing. Acht jaar later is de AVG het meest ingrijpende stuk technologieregelgeving uit de geschiedenis geworden — niet omdat ze perfect is, maar omdat ze het wereldwijde gesprek over gegevensbescherming, de verantwoordingsplicht van bedrijven en individuele rechten in het digitale tijdperk fundamenteel heeft veranderd.

De cijfers vertellen een deel van het verhaal. Tegen 1 maart 2026 hadden Europese gegevensbeschermingsautoriteiten volgens het CMS GDPR Enforcement Tracker Report 2026 voor ongeveer EUR 6,1 miljard aan boetes opgelegd, verspreid over meer dan 2.600 geregistreerde beslissingen. Meta alleen al kreeg meer dan EUR 2,5 miljard aan boetes voor uiteenlopende inbreuken. Amazon, Google, TikTok en tientallen andere bedrijven kregen boetes van enkele duizenden tot honderden miljoenen euro. Maar de echte impact van de AVG reikt veel verder dan boetes.

Wat werkte

Wereldwijde normstelling: De belangrijkste verwezenlijking van de AVG is misschien haar extraterritoriale invloed. De Braziliaanse LGPD, de wijzigingen aan de Japanse APPI, de aanpassingen aan de Zuid-Koreaanse PIPA, de Indiase DPDP Act en tientallen andere nationale privacywetten zijn rechtstreeks gebaseerd op de principes van de AVG. De verordening creëerde een wereldwijde basisnorm voor gegevensbescherming die voordien niet bestond.

Ander gedrag van bedrijven: Vóór de AVG behandelden de meeste bedrijven persoonsgegevens als een gratis grondstof die zonder noemenswaardige beperkingen verzameld, gecombineerd en te gelde gemaakt kon worden. De AVG maakte verantwoordingsplicht tot een wettelijke vereiste. Bedrijven hebben nu functionarissen voor gegevensbescherming in dienst, voeren gegevensbeschermingseffectbeoordelingen uit en houden een register van verwerkingsactiviteiten bij — niet uit goede wil, maar omdat de wet het eist en de boetes bij niet-naleving voelbaar zijn.

Bewustzijn van individuele rechten: Het recht op inzage, het recht op gegevenswissing, het recht op gegevensoverdraagbaarheid — vóór de AVG waren dat obscure juridische abstracties. Vandaag oefenen Europese burgers die rechten routinematig uit. Inzageverzoeken zijn een standaardinstrument geworden waarmee mensen begrijpen en bepalen hoe hun gegevens worden gebruikt.

Privacy by design: De verplichting om gegevensbescherming van bij het begin in systemen in te bouwen — in plaats van ze er achteraf aan vast te schroeven — heeft wereldwijd beïnvloed hoe producten in de techsector worden ontworpen en gebouwd.

Wat niet werkte

Inconsistente handhaving: De grootste structurele zwakte van de AVG is haar afhankelijkheid van nationale gegevensbeschermingsautoriteiten met sterk uiteenlopende middelen, prioriteiten en politieke onafhankelijkheid. De Ierse Data Protection Commission, die toezicht houdt op de meeste grote Amerikaanse techbedrijven omdat hun Europese hoofdkantoor in Dublin ligt, kreeg herhaaldelijk kritiek wegens trage onderzoeken en milde handhaving. Het one-stop-shopmechanisme, bedoeld om grensoverschrijdende zaken te stroomlijnen, zorgde vaak eerder voor flessenhalzen dan voor efficiëntie.

Te weinig middelen bij toezichthouders: Veel nationale autoriteiten blijven chronisch ondergefinancierd. De kloof tussen de ambitieuze vereisten van de AVG en de middelen om ze te handhaven, is een van de hardnekkigste problemen van de verordening. Kleine toezichthouders kunnen het simpelweg niet opnemen tegen multinationals met onbeperkte juridische budgetten.

Cookiemoeheid: De cookiebanner is de meest zichtbare — en meest bekritiseerde — uiting van de AVG geworden. De toestemmingsvereisten van de verordening zijn in principe degelijk, maar de uitvoering via cookie-pop-ups vol dark patterns heeft geleid tot gebruikersmoeheid en heeft het publieke beeld van privacyregelgeving aangetast. Dat is grotendeels een falen van de handhaving tegen manipulatieve toestemmingsontwerpen, niet van de verordening zelf.

Nalevingslast voor kmo’s: Kleine en middelgrote ondernemingen dragen een nalevingslast die niet in verhouding staat tot het werkelijke risico van hun gegevensverwerking. De uniforme aanpak van de verordening kreeg kritiek omdat hetzelfde kader geldt voor een startup van twee personen en voor een multinationale databroker.

De invloed van de AVG op nieuwere regelgeving

De AVG was de eerste golf. Haar principes en handhavingsmodel hebben de latere digitale regelgeving van de EU rechtstreeks gevormd:

De AI Act bouwt voort op de risicogebaseerde aanpak van de AVG en breidt de vereisten voor datagovernance uit naar de datasets waarmee AI wordt getraind. De Digital Markets Act neemt de toestemmingsprincipes van de AVG op in de mededingingsregels voor platforms en verbiedt poortwachters om persoonsgegevens over diensten heen te combineren zonder uitdrukkelijke toestemming. De Data Act breidt de portabiliteitsprincipes die de AVG voor persoonsgegevens vastlegde, uit naar niet-persoonlijke industriële en IoT-gegevens.

Elke nieuwe verordening versterkt en verbreedt de basisprincipes van de AVG, wat resulteert in een alomvattend Europees kader voor digitaal bestuur dat veel samenhangender en ambitieuzer is dan enige vergelijkbare inspanning elders ter wereld.

Hoe een AVG 2.0 eruit zou kunnen zien

De herziening is geen toekomstmuziek meer. In november 2025 stelde de Europese Commissie gerichte wijzigingen van de AVG voor als onderdeel van haar Digital Omnibus-pakket, en in dezelfde maand nam de EU een aparte verordening aan die de procedures voor grensoverschrijdende handhaving harmoniseert. In oktober 2026 wordt nog over de Omnibus-wijzigingen onderhandeld door het Europees Parlement en de Raad, en sommige ervan — met name een engere definitie van persoonsgegevens — stuiten op verzet van de EDPB en de EDPS. De belangrijkste thema’s:

Geharmoniseerde handhaving: Verordening (EU) 2025/2518 legt gemeenschappelijke procedureregels vast voor grensoverschrijdende zaken: geharmoniseerde ontvankelijkheid van klachten, een termijn van 15 maanden (te verlengen met 12 maanden) voor het ontwerpbesluit van de leidende toezichthouder en een vereenvoudigde procedure voor eenvoudige zaken. Ze is van toepassing vanaf april 2027 en behoudt het one-stop-shopmechanisme, maar moet voorkomen dat het een flessenhals wordt.

Eenvoudigere naleving: De Omnibus stelt lichtere administratieve verplichtingen voor, waaronder sjablonen en methodes van de Commissie voor gegevensbeschermingseffectbeoordelingen, één meldpunt voor beveiligingsincidenten en een meldplicht aan toezichthouders alleen voor datalekken met een hoog risico, binnen 96 uur in plaats van 72.

Hervorming van toestemming: De Omnibus zou de cookieregels naar de AVG verhuizen, weigeren met één klik mogelijk maken, websites na een keuze zes maanden lang verbieden het opnieuw te vragen en de weg vrijmaken voor automatische, machineleesbare browsersignalen in plaats van pop-ups per website.

AI en geautomatiseerde besluitvorming: Het voorstel zou gerechtvaardigd belang erkennen als mogelijke rechtsgrond voor het ontwikkelen en gebruiken van AI-systemen en verduidelijken wanneer geautomatiseerde besluiten onder artikel 22 zijn toegestaan — wijzigingen die critici zien als een verzwakking van beschermingen die de opstellers van de AVG in 2016 schreven, lang vóór de moderne AI-systemen.

De erfenis na acht jaar

De AVG is niet perfect. De handhaving is inconsistent, de nalevingslast voor kleine bedrijven is buitensporig en de manier waarop cookietoestemming wordt uitgevoerd, is alom gehaat. Maar afgemeten aan haar kerndoelstellingen — fundamentele rechten over persoonsgegevens verankeren, bedrijven verantwoordelijk houden voor hoe ze met gegevens omgaan en een wereldwijde norm voor privacybescherming creëren — is de AVG geslaagd, verder dan de meeste waarnemers verwachtten toen ze in 2018 van toepassing werd.

De wereld vóór de AVG was er een waarin bedrijven onbeperkt persoonsgegevens verzamelden, ze zonder beveiliging opsloegen, ze zonder toestemming deelden en geen noemenswaardige gevolgen ondervonden als het misliep. Die wereld bestaat in Europa niet meer, en steeds vaker ook nergens anders. Dat is de erfenis van de AVG na acht jaar, en het is een erfenis om op voort te bouwen.