Klaar voor de nieuwe UAVG?

Op 1 september 2026 is de Verzamelwet gegevensbescherming (Verzamelwet) in werking getreden. Deze wet wijzigt verschillende wetten met betrekking tot gegevensbescherming, waaronder de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Het doel van de Verzamelwet is het actualiseren en moderniseren van het Nederlandse gegevensbeschermingsrecht. Klinkt droog? Op het eerste gezicht misschien wel, maar een aantal wijzigingen heeft directe gevolgen voor organisaties. De belangrijkste veranderingen zien op het verwerken van persoonsgegevens van minderjarigen, publicatie van sanctiebesluiten en een wijziging van de definitie van strafrechtelijke gegevens.

Benieuwd wat er concreet verandert en wat dit mogelijk voor jouw organisatie betekent? In dit blog zetten we de belangrijkste veranderingen op een rij.

Strafrechtelijke gegevens (artikel 1 UAVG)

Voor strafrechtelijke gegevens gelden strengere regels dan voor gewone persoonsgegevens. De verwerking ervan is in principe verboden, tenzij een specifieke wettelijke uitzondering van toepassing is én er een grondslag voor de verwerking bestaat op grond van artikel 6 AVG.

De Verzamelwet past de definitie van strafrechtelijke gegevens in artikel 1 UAVG aan. Voorheen vielen ook gegevens over een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag onder strafrechtelijke gegevens. De Verzamelwet schrapt dit onderdeel, waardoor dergelijke gegevens niet langer automatisch als strafrechtelijke gegevens worden aangemerkt.

Jongeren krijgen meer eigen zeggenschap (artikel 5 UAVG)

Jong geleerd is oud gedaan, moet de wetgever gedacht hebben. Een van de meest opvallende wijzigingen gaat namelijk over de leeftijd waarop jongeren over hun persoonsgegevens mogen beslissen. Voorheen lag de grens voor het zelfstandig uitoefenen van AVG-rechten op 16 jaar. Op bepaalde vlakken is die grens nu verlaagd naar 12 jaar.

Dit betekent dat:

• jongeren vanaf 12 jaar zelfstandig een verzoek op grond van hoofdstuk III van de Algemene verordening gegevensbescherming kunnen indienen;

• jongeren vanaf 12 jaar zelfstandig toestemming voor een verwerking kunnen intrekken. Voor het geven van toestemming blijft de grens van 16 jaar gelden; 

• en ouders of wettelijke vertegenwoordigers de rechten van jongeren tussen de 12 en 16 jaar ook namens hen kunnen blijven uitoefenen.

De wijziging gaat uit van het idee dat jongeren zelf zeggenschap over hun persoonsgegevens horen te hebben, zonder tussenkomst van hun ouders.

Werk je met persoonsgegevens van minderjarigen? Controleer dan even of je procedures, formulieren en privacybeleid al aansluiten op deze nieuwe leeftijdsgrens.

Verplichte publicaties van AP-sancties (artikel 21b UAVG)

De Autoriteit Persoonsgegevens (AP) speelt voortaan verplicht open kaart: sanctiebesluiten moeten openbaar worden gemaakt. Helemaal nieuw is dat niet, want de AP deed dit voorheen al op grond van eigen beleid. Toch heeft het een voordeel, aangezien het standaard publiceren van de sancties ervoor zorgt dat het voor organisaties duidelijker en transparanter wordt hoe de AP de wet interpreteert en toepast.

Er gelden wel twee regels. Ten eerste mag de sanctie pas worden gepubliceerd tien werkdagen nadat de organisatie de beschikking heeft ontvangen. Daarnaast kan de organisatie bezwaar maken tegen zowel de sanctie als de publicatie daarvan.

Nieuw is ook dat de AP voortaan belanghebbenden raadpleegt voordat zij nieuwe beleidsregels vaststelt. Dit geeft organisaties een stem in hoe de AP de AVG uitlegt en handhaaft.

Strengere eisen voor het gebruik van biometrische gegevens (artikel 29 UAVG)

Personeel laten inklokken met een vingerafdruk? Handig misschien, maar mag dat nog wel? De regels voor het gebruik van biometrische gegevens zijn namelijk aangescherpt. De UAVG bevatte al een uitzondering waardoor organisaties biometrische gegevens onder bepaalde omstandigheden mochten gebruiken voor authenticatie of beveiliging. De Verzamelwet scherpt die uitzondering aan.

Verwerking van biometrische gegevens moet niet alleen noodzakelijk zijn voor authenticatie of beveiliging. Er moet ook sprake zijn van een zwaarwegend algemeen belang van rechtmatige toegang tot gebouwen, diensten, producten, informatiesystemen en werkprocessen. Organisaties zullen daarom moeten beoordelen of hun huidige toepassingen nog onder deze uitzondering vallen.

Duidelijke regels bij overdracht van medische dossiers (artikelen 30a en 30b UAVG)

Heb je te maken met de overdracht van patiëntendossiers? De wet regelt nu expliciet dat dit mag zónder toestemming van de patiënt, mits je de patiënt informeert over de overdracht en zijn rechten. Is dat op individueel niveau een onevenredige inspanning of niet toegestaan vanwege het beroepsgeheim? Dan moet de overdracht in ieder geval tijdig en in algemene bewoordingen bekend worden gemaakt.

Ook partijen die zelf geen zorgaanbieder zijn, krijgen een wettelijke basis voor overdracht. Denk aan een curator die na een faillissement in het bezit komt van dossiers van een gestaakte zorgpraktijk. Met de juiste waarborgen dragen zij die dossiers over aan een zorgaanbieder of zorginstelling die ze verder beheert.

Wat betekent dit voor jouw organisatie?

Geen paniek: je hoeft je privacywerkwijze niet van A tot Z om te gooien. Wel is het verstandig dat organisaties alert zijn op de gevolgen van de wijzigingen en dat zij waar nodig hun werkwijze aanpassen.

Heb je vragen over wat de Verzamelwet concreet voor jouw organisatie betekent? Neem gerust contact met ons op, wij denken graag met je mee.