Sinds 1 september 2026 gelden nieuwe regels voor de verwerking van persoonsgegevens. De Verzamelwet gegevensbescherming is per die datum in werking getreden. Die wet heeft de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) op verschillende punten gewijzigd. Sommige wijzigingen zijn vooral technisch, maar andere hebben directe gevolgen voor organisaties. Denk aan de privacyrechten van minderjarigen, biometrische toegangscontrole en de openbaarmaking van sancties door de Autoriteit Persoonsgegevens (AP). Wat verandert er precies en wanneer moet u actie ondernemen?
Minderjarigen krijgen vanaf 12 jaar meer privacyrechten
Een belangrijke wijziging betreft artikel 5 UAVG. Jongeren van 12 tot 16 jaar kunnen voortaan zelfstandig hun rechten uit hoofdstuk III AVG uitoefenen, zoals het recht op inzage, rectificatie en verwijdering van persoonsgegevens. Hun wettelijke vertegenwoordigers behouden eveneens de mogelijkheid deze rechten uit te oefenen.
Ook kunnen jongeren vanaf 12 jaar zelfstandig een eerder gegeven toestemming voor gegevensverwerking intrekken. Voor het zelfstandig geven van toestemming blijft de leeftijdsgrens van 16 jaar gelden, behoudens de toepasselijke bijzondere regels.
Voor organisaties die persoonsgegevens van minderjarigen verwerken, betekent dit dat bestaande procedures mogelijk moeten worden aangepast. Denk aan de afhandeling van inzage- en verwijderverzoeken, identiteitscontrole en de inrichting van toestemmingsprocedures.
Strengere voorwaarden voor biometrische gegevens
Ook artikel 29 UAVG is aangepast. Hierbij gaat het om de aanscherping van de uitzondering op het verbod om biometrische gegevens te verwerken voor unieke identificatie.
Voorheen bood de UAVG ruimte voor biometrische verwerking wanneer deze noodzakelijk was voor authenticatie of beveiliging. De uitzondering is nu nader beperkt: de verwerking moet noodzakelijk zijn vanwege een zwaarwegend algemeen belang bij rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen.
Dat is relevant voor organisaties die bijvoorbeeld vingerafdrukken of gezichtsherkenning gebruiken voor toegangscontrole.
Een beroep op gemak, efficiëntie of algemene beveiligingswensen is niet voldoende om deze wettelijke uitzondering toe te passen. Organisaties moeten kunnen onderbouwen waarom hun biometrische toepassing aan de aangescherpte voorwaarden voldoet.
AP moet sanctiebesluiten openbaar maken
De nieuwe UAVG bevat een wettelijke publicatieplicht voor de AP.
Op grond van artikel 21b UAVG moet de toezichthouder beschikkingen tot het opleggen van bestuurlijke sancties in beginsel openbaar maken. Daarbij gelden uitzonderingen op grond van de Wet open overheid.
Publicatie vindt normaal gesproken niet eerder plaats dan tien werkdagen nadat het besluit aan de overtreder bekend is gemaakt. Wanneer tijdig een voorlopige voorziening wordt gevraagd, wordt openbaarmaking opgeschort totdat de voorzieningenrechter uitspraak heeft gedaan of het verzoek is ingetrokken.
Voor organisaties betekent dit dat een AVG-overtreding niet alleen financiële en juridische gevolgen kan hebben, maar ook reputatieschade kan veroorzaken.
Andere wijzigingen: strafrechtelijke gegevens en medische dossiers
De Verzamelwet beperkt daarnaast de definitie van strafrechtelijke persoonsgegevens in artikel 1 UAVG. Voorheen vielen daaronder ook gegevens over een door de rechter opgelegd verbod wegens onrechtmatig of hinderlijk gedrag. Die afzonderlijke categorie is geschrapt, omdat dergelijke verboden niet noodzakelijk betrekking hebben op strafbare feiten. Daarmee sluit de Nederlandse definitie beter aan bij artikel 10 AVG. Dit betekent overigens niet dat deze gegevens voortaan zonder meer mogen worden verwerkt: de overige AVG-regels blijven van toepassing.
Verder regelen de nieuwe artikelen 30a en 30b UAVG onder welke duidelijke voorwaarden medische dossiers kunnen worden overgedragen en beheerd, bijvoorbeeld wanneer een zorgpraktijk wordt beëindigd. Daarbij gelden onder meer informatieverplichtingen en waarborgen voor de betrokken patiënten.
Deze wijzigingen zijn vooral relevant voor organisaties die dergelijke gegevens verwerken.
Wat betekent dit voor uw privacybeleid?
Door de Verzamelwet hoeft niet iedere organisatie haar volledige privacydocumentatie te herschrijven. Wel is een gerichte controle verstandig.
Bijzondere aandacht verdienen:
Procedures voor AVG-verzoeken van minderjarigen tussen de 12 en 16 jaar.
Toestemmingsprocedures en de mogelijkheid toestemming in te trekken.
Het gebruik van biometrische identificatie en toegangscontrole.
Privacyverklaringen, interne instructies en de inrichting van ICT-systemen die deze processen ondersteunen.
Ook bestaande afspraken met softwareleveranciers en verwerkers kunnen aandacht verdienen wanneer technische aanpassingen nodig zijn om de gewijzigde rechten daadwerkelijk te kunnen uitvoeren.
Tijd voor een gerichte UAVG-check
De wijzigingen zijn sinds 1 september 2026 grotendeels van kracht. Voor organisaties is het daarom verstandig om na te gaan of hun huidige werkwijze nog aansluit bij de gewijzigde wetgeving.
Wilt u weten of uw privacybeleid, AVG-procedures en contractuele afspraken voldoen aan de gewijzigde UAVG? Legalz kan een gerichte juridische beoordeling uitvoeren en adviseren welke aanpassingen voor uw organisatie noodzakelijk zijn. Neem contact met ons op via 010-229 06 46 of klik op onderstaande button.