Wanneer is de AVG van toepassing? Uitleg met concrete voorbeelden

De AVG (Algemene Verordening Gegevensbescherming) is van toepassing zodra je persoonsgegevens verwerkt van mensen die zich in de Europese Unie bevinden. Dat geldt voor vrijwel elke organisatie, elk bedrijf en ook voor veel particulieren die gegevens bijhouden over anderen. Toch zijn er uitzonderingen, en die zijn in de praktijk best bepalend voor wat je wel of niet moet doen.

Voor wie geldt de AVG?

De AVG geldt voor alle organisaties die persoonsgegevens verwerken van mensen die zich in de EU bevinden. Het maakt daarbij niet uit of de organisatie zelf in de EU gevestigd is. Een Amerikaans bedrijf dat persoonsgegevens verzamelt van Nederlandse gebruikers, valt dus ook onder de AVG.

Concreet gaat het om:

• Bedrijven en zelfstandigen (ook eenmanszaken)
• Overheidsinstellingen en gemeenten
• Verenigingen, stichtingen en andere non-profitorganisaties
• Scholen, zorginstellingen en werkgevers

Zodra je namen, e-mailadressen, telefoonnummers, IP-adressen of andere gegevens opslaat waarmee je iemand direct of indirect kunt identificeren, val je onder de AVG. Het is dus breder dan veel mensen denken.

Wanneer is de AVG niet van toepassing?

Er zijn situaties waarbij de AVG juist niet geldt. Die uitzonderingen zijn in de wet vastgelegd en zijn beperkt.

Strikt persoonlijk gebruik. Gebruik je persoonsgegevens alleen voor jezelf, thuis en zonder dat ze gedeeld worden met anderen? Dan valt dat buiten de AVG. Denk aan een adressenlijst van vrienden op je eigen telefoon. Zodra je die gegevens ook zakelijk of voor een club inzet, vervalt deze uitzondering.

Opsporing en vervolging door politie en justitie. Voor de kerntaken van politie en justitie, zoals opsporing en vervolging van strafbare feiten, geldt niet de AVG maar een aparte wet: de Wet politiegegevens of de Wet justitiële en strafvorderlijke gegevens. Let op: voor andere taken van politie en justitie, zoals het verwerken van personeelsgegevens, is de AVG wel gewoon van toepassing.

Overleden personen. De AVG beschermt alleen levende personen. Gegevens over overledenen vallen er formeel buiten, al kunnen sommige nationale wetten aanvullende bescherming bieden.

Puur journalistieke, artistieke of wetenschappelijke doeleinden. Hier geldt de AVG wel in principe, maar lidstaten mogen uitzonderingen toestaan om de vrijheid van meningsuiting en journalistiek te beschermen. In Nederland is dat geregeld in de Uitvoeringswet AVG.

Wanneer is de AVG van toepassing voor kleine organisaties?

Een veelgehoorde misvatting is dat de AVG alleen voor grote bedrijven geldt. Dat klopt niet. Ook een kleine webshop, een zzp’er met een klantenlijst of een sportvereniging met ledenregistratie moet zich aan de AVG houden. De omvang van de organisatie bepaalt soms wel welke verplichtingen zwaarder wegen. Zo hoeven kleine organisaties niet altijd een verwerkingsregister bij te houden, maar de basisregels gelden voor iedereen.

Heb je minder dan 250 medewerkers? Dan ben je in sommige gevallen vrijgesteld van de verplichting om een volledig verwerkingsregister bij te houden, maar alleen als je geen gevoelige gegevens verwerkt en de verwerking geen risico oplevert voor betrokkenen. In de praktijk verwerken de meeste organisaties toch gegevens die registratie vereisen, bijvoorbeeld personeelsgegevens of klantinformatie.

Praktische situaties: wel of geen AVG?

De rol van de Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder die controleert of organisaties de AVG naleven. Je kunt bij de AP terecht voor vragen, maar ook voor het melden van een datalek of het indienen van een klacht. De AP publiceert ook richtsnoeren en uitleg over wanneer de AVG precies van toepassing is, die gratis beschikbaar zijn op hun website.

Of de AVG op jouw situatie van toepassing is, hangt dus samen met drie vragen: verwerk je persoonsgegevens, gaat het om levende mensen in de EU, en val je niet onder een van de erkende uitzonderingen? Als je op de eerste twee vragen “ja” antwoordt en op de derde “nee”, dan geldt de AVG voor jou. Twijfel je over jouw specifieke situatie, dan is de website van de Autoriteit Persoonsgegevens het beste startpunt voor concrete informatie.