Welke privacyregels veranderen er daadwerkelijk in Nederland in 2026, en wat merken organisaties daarvan? De Verzamelwet gegevensbescherming, van toepassing sinds 1 september 2026, wijzigt de Uitvoeringswet AVG (UAVG) op meerdere punten. Tegelijk verscherpt de Autoriteit Persoonsgegevens (AP) het handhavingsbeleid rond cookiebanners en bereidt zij zich voor op nieuwe taken onder de Europese AI Act. Dit artikel vergelijkt de situatie vóór en na de wetswijzigingen en analyseert waar de grootste verschuivingen zitten.
UAVG-wijzigingen vergeleken: vóór en na 1 september 2026
| Onderwerp | Situatie vóór 1 september 2026 | Situatie vanaf 1 september 2026 |
|---|---|---|
| AVG-rechten jongeren (12-16 jaar) | Alleen wettelijke vertegenwoordiger oefent rechten uit | Jongeren van 12 tot 16 jaar kunnen rechten zelfstandig uitoefenen, naast hun vertegenwoordiger |
| Toestemming intrekken door jongeren | Intrekking loopt via ouder/voogd | Jongeren kunnen zelf toestemming intrekken die eerder namens hen is gegeven |
| Biometrische toegangscontrole | Uitzondering voor beveiligingsdoeleinden relatief breed | Verwerking moet noodzakelijk zijn én verband houden met een zwaarwegend algemeen belang |
| Publicatie AP-sanctiebesluiten | Publicatie was geen standaard | Openbaarmaking van handhavingsbesluiten wordt het uitgangspunt |
De tabel maakt zichtbaar dat de verschuivingen niet marginaal zijn. Vooral de positie van jongeren en de drempel voor biometrie veranderen fundamenteel van karakter.
Zie ook: Cybercrime en juridische bescherming in Nederland: de stand van zaken in 2026
Zelfstandige privacyrechten voor jongeren: gevolgen voor scholen en leveranciers
De meest opvallende wijziging raakt het onderwijs direct. Jongeren van 12 tot 16 jaar hoeven niet langer via hun ouders een inzage- of verwijderverzoek in te dienen. Zij kunnen dat voortaan zelf doen, parallel aan hun wettelijke vertegenwoordiger.
Aanrader: Intellectueel eigendomsrecht in Nederland: bescherming van creativiteit in 2026
Voor scholen en hun softwareleveranciers betekent dit dat systemen en procedures verzoeken van zowel leerlingen als ouders moeten ondersteunen. Een leerlingportaal dat alleen ouderaccounts accepteert voor privacyverzoeken voldoet niet meer.
Onder de 12 jaar verandert er niets: alleen de vertegenwoordiger handelt. Vanaf 16 jaar konden jongeren al zelfstandig hun AVG-rechten uitoefenen. De nieuwe wet vult het gat daartussen.
Biometrische toegangscontrole en de strengere toets
Organisaties die vingerafdrukken of gezichtsherkenning gebruiken voor toegangscontrole tot gebouwen of informatiesystemen krijgen te maken met een aangescherpte norm. De UAVG stond eerder een bredere uitzondering toe voor beveiligingsdoeleinden. Sinds 1 september 2026 geldt dat biometrische verwerking noodzakelijk moet zijn én gekoppeld aan een zwaarwegend algemeen belang.
“Handig” of “efficiënt” volstaat niet meer als rechtvaardiging. Een bedrijf dat vingerafdrukscanners gebruikt puur om het gemak van medewerkers, zal moeten aantonen waarom een minder ingrijpend alternatief (zoals een pasje) niet volstaat. De bewijslast verschuift daarmee naar de organisatie.
AP-handhaving en AI-toezicht in 2026
Naast de UAVG-wijzigingen verandert ook de toezichthouder zelf. De AP treedt op als nationale toezichthouder voor de Europese AI Act, wat haar takenpakket aanzienlijk uitbreidt.
De combinatie van meer bevoegdheden (AI Act, verscherpte UAVG) roept de vraag op hoe effectief handhaving in de praktijk uitpakt naarmate de taken toenemen.
Daarnaast onderzoekt de AP actief websites op misleidende cookiebanners. De nadruk ligt op patronen waarbij gebruikers via het ontwerp van de banner worden gestuurd richting “alles accepteren”, terwijl weigeren bewust moeilijker wordt gemaakt.
Wat publiceert de AP voortaan?
Sanctiebesluiten worden in beginsel openbaar. Dat verandert de dynamiek voor organisaties die een boete of last onder dwangsom ontvangen. Waar eerder een sanctie relatief onzichtbaar kon blijven, is openbaarmaking nu het standaard uitgangspunt. De reputatiedruk stijgt daarmee aanzienlijk.
Belangrijkste actiepunten voor organisaties
- Controleer of interne systemen privacyverzoeken van jongeren (12-16 jaar) apart kunnen verwerken, los van ouderlijke accounts.
- Beoordeel bestaande biometrische verwerkingen opnieuw: documenteer de noodzaak én het zwaarwegend algemeen belang, of stap over op een minder ingrijpend alternatief.
- Inventariseer cookiebanners op misleidende patronen en pas het ontwerp aan voordat de AP onderzoek doet.
- Houd rekening met de openbaarmaking van eventuele sanctiebesluiten bij het bepalen van complianceprioriteiten.
De wijzigingen in de Nederlandse privacywetgeving per 2026 raken niet alleen juridische afdelingen. Schoolsystemen, fysieke toegangsbeveiliging en websiteontwerp vallen allemaal binnen het bereik van de aangescherpte regels. De AP krijgt er met het AI-toezicht een complete taak bij. Voor organisaties is het verschil tussen vóór en na 1 september 2026 in de UAVG concreet genoeg om nu te handelen.
