Privacywetten in Nederland berusten op de Algemene Verordening Gegevensbescherming (AVG), maar de regels voor online diensten zijn de laatste jaren uitgebreid met aanvullende Europese en nationale verplichtingen. Nieuwe wetgeving zoals de Digital Services Act (DSA) en de Dataverordening legt extra eisen op aan bedrijven die persoonsgegevens verwerken of digitale diensten aanbieden op de Nederlandse markt.
Samenspel tussen AVG en Digital Services Act
De AVG bepaalt hoe organisaties persoonsgegevens mogen verzamelen, bewaren en gebruiken. De DSA bouwt daarop voort met regels die specifiek gericht zijn op online platforms, van sociale media en marktplaatsen tot hostingdiensten en zoekmachines.
Verder lezen: Diensten digitalisering in Nederland: bedrijven leiden de weg
De Autoriteit Persoonsgegevens (AP) stelt dat AVG en DSA tegelijk van toepassing kunnen zijn op dezelfde dienst. Verwerkt een platform persoonsgegevens, dan gelden de AVG-verplichtingen onverminderd, ook wanneer de DSA eigen transparantie-eisen oplegt, bijvoorbeeld de plicht om gebruikers te informeren bij het verwijderen of aanpassen van inhoud.
In de praktijk houdt dat in dat compliance niet bij één wet eindigt. Een online marktplaats onderhoudt zowel een verwerkingsregister op grond van de AVG als openbare rapportages over moderatiebeslissingen op grond van de DSA. Die dubbele verplichting maakt juridische begeleiding voor middelgrote en grote platforms vrijwel onmisbaar.
Zie ook: Digitalisering van juridische diensten in Nederland: een blik op de toekomst.
Handhaving op cookiebanners door de Autoriteit Persoonsgegevens
Sinds 2024 controleert de AP actiever of websites geldige toestemming vragen voor trackingcookies en andere volgsoftware. Het uitgangspunt: weigeren moet net zo eenvoudig zijn als accepteren. Een cookiebanner met een opvallende groene “Alles accepteren”-knop en een weigeroptie die weggestopt zit in een submenu, voldoet niet.
De AP richt zich niet alleen op e-commercesites of advertentieplatforms. Ook organisaties in media, zorg, welzijn en de verzekeringssector ontvingen waarschuwingen. Daarmee reikt de handhaving breder dan veel bedrijven verwachten.
Wat maakt een cookiebanner compliant?
- De weigerknop staat op hetzelfde scherm en heeft dezelfde visuele nadruk als de accepteerknop.
- Vooraf aangevinkte vakjes voor niet-noodzakelijke cookies ontbreken; toestemming is actief en specifiek.
- Gebruikers kunnen hun keuze achteraf wijzigen zonder diep in de instellingen te hoeven zoeken.
Deze vereisten gelden voor elke website die zich richt op Nederlandse gebruikers, ongeacht de vestigingsplaats van het bedrijf.
Dataverordening en toegang tot niet-persoonsgebonden gegevens
Naast persoonsgegevens wint het debat over niet-persoonsgebonden data aan belang. Denk aan machinegegevens van slimme apparaten of industriële sensoren. De Europese Dataverordening bepaalt wie toegang heeft tot zulke gegevens en onder welke voorwaarden. De verordening is de afgelopen jaren vormgegeven en richt verplichtingen aan aanbieders van connected products en aanverwante diensten.
Concrete verplichtingen voor aanbieders van online diensten en connected products:
- Gebruikers krijgen het recht om data die hun apparaten genereren op te vragen en door te geven aan derden.
- Cloudaanbieders moeten de overstap naar een andere provider technisch mogelijk en financieel haalbaar maken.
- Overheidsinstanties kunnen in uitzonderlijke situaties, zoals een noodsituatie, toegang tot bedrijfsdata vorderen.
De Dataverordening raakt niet alleen techbedrijven. Ook fabrikanten van consumentenelektronica, aanbieders van slimme-thuistoepassingen en industriële IoT-platforms die actief zijn op de Nederlandse markt vallen eronder.
Privacywetten en online bescherming van kinderen in Nederland
Zowel op Europees als op nationaal niveau groeit de aandacht voor de positie van minderjarigen in digitale omgevingen. De AVG bevat regels over de verwerking van persoonsgegevens van kinderen. Zo geldt in Nederland een leeftijdsgrens van zestien jaar waarboven minderjarigen zelf toestemming mogen geven voor bepaalde gegevensverwerkingen; daaronder is toestemming van een ouder of voogd vereist.
De achterliggende gedachte is dat kinderen dezelfde privacybescherming online verdienen als offline, maar extra waarborgen nodig hebben omdat zij de gevolgen van dataverzameling minder goed kunnen overzien. Diensten gericht op jonge gebruikers dienen daar in hun ontwerp rekening mee te houden.
Voor aanbieders van apps, games en sociale platforms die minderjarigen bereiken, betekent dit dat privacy by design een wettelijke eis is. Leeftijdsverificatie moet betrouwbaar zijn zonder zelf onnodige persoonsgegevens te verzamelen. Die technische balans is nog volop in ontwikkeling en vraagt om oplossingen die de privacy van het kind respecteren en tegelijkertijd effectief verifiëren, zonder gevoelige identificatiegegevens op grote schaal op te slaan.
Praktische gevolgen voor Nederlandse bedrijven
De stapeling van AVG, DSA, Dataverordening en aanvullende nationale regels maakt privacy-compliance complexer dan enkele jaren geleden. Bedrijven die online diensten aanbieden in Nederland krijgen te maken met meerdere toezichthouders en overlappende verplichtingen.
De kern blijft helder: transparantie over gegevensgebruik, echte keuzevrijheid voor gebruikers en technische maatregelen die privacy standaard waarborgen. Organisaties die dat als uitgangspunt hanteren, voldoen aan de geest van de wet nog voordat specifieke regels veranderen. De AP heeft aangekondigd de komende periode actiever te handhaven, waardoor reactieve compliance een risicovollere strategie wordt dan een proactieve aanpak.
