De AVG (Algemene verordening gegevensbescherming) is de Europese wet die regelt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken en bewaren. Ze geldt sinds 25 mei 2018 in de hele EU en heet internationaal de GDPR. Elke organisatie die gegevens over mensen verwerkt, van huisartsenpraktijk tot webwinkel, moet zich eraan houden. In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht. De AVG beschermt gegevens die naar een persoon te herleiden zijn. Gegevens die echt anoniem zijn, vallen erbuiten.
Een voorbeeld uit de praktijk
Fysiotherapiepraktijk De Linde in Utrecht (een verzonnen voorbeeld) houdt van elke patiënt naam, adres, geboortedatum, verzekeringsgegevens en behandelnotities bij. Dat zijn persoonsgegevens, en de notities over klachten zijn zelfs gezondheidsgegevens.
Onder de AVG moet de praktijk weten waarom ze die gegevens heeft (de behandeling), er niet meer van verzamelen dan nodig, ze goed beveiligen en patiënten op verzoek laten zien wat er over hen is vastgelegd. Laat de praktijk een softwarebedrijf de agenda of de verslagen verwerken, dan sluit ze met dat bedrijf een verwerkersovereenkomst.
De AVG in het kort
Voor wie. Voor iedere organisatie die persoonsgegevens verwerkt van mensen in de EU, ook bedrijven buiten de EU die zich op Europeanen richten. Puur persoonlijk gebruik, zoals je eigen adresboek, valt erbuiten.
Wat ze beschermt. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare persoon. Voor bijzondere persoonsgegevens, zoals gezondheid, religie, etnische afkomst of seksuele geaardheid, geldt een verbod op verwerking, tenzij een uitzondering van toepassing is (art. 9 AVG).
De kernregels (art. 5 AVG).
- Je hebt een grondslag nodig, bijvoorbeeld toestemming, een overeenkomst of een wettelijke plicht.
- Je gebruikt gegevens alleen voor het doel waarvoor je ze verzamelde.
- Je verzamelt niet meer dan nodig en bewaart niet langer dan nodig.
- Je beveiligt de gegevens passend.
- Je kunt aantonen dat je je aan dit alles houdt.
Rechten van mensen. Iedereen heeft recht op inzage, correctie, verwijdering en bezwaar, en kan in bepaalde gevallen zijn gegevens laten overdragen.
Verwerkers. Laat je een ander bedrijf gegevens voor jou verwerken, dan is dat bedrijf een verwerker en leg je de afspraken vast in een verwerkersovereenkomst (art. 28 AVG).
Datalekken. Een datalek met risico voor mensen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens.
Nederlandse aanvulling. De Uitvoeringswet AVG (UAVG) vult de AVG aan, bijvoorbeeld met regels over het gebruik van het burgerservicenummer (BSN).
Boetes. Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, als dat hoger is.
Dit is algemene informatie, geen juridisch advies.
Wat de AVG niet beschermt
De AVG is breed, maar ze heeft een duidelijke grens: ze gaat over gegevens die naar een persoon wijzen.
- Anonieme gegevens vallen erbuiten. Overweging 26 van de AVG zegt het letterlijk: de wet is niet van toepassing op anonieme informatie. Haal je uit een behandelverslag alles weg wat naar de patiënt wijst, dan blijven diagnose, behandeling en uitkomst over. Die kunnen dan legaal worden samengevoegd, in licentie gegeven en verkocht, bijvoorbeeld aan databrokers, verzekeraars of AI-ontwikkelaars. Op het datapad zie je hoe dat stap voor stap gaat. De bronnen staan op legaal te koop.
- Gepseudonimiseerd blijft wel beschermd. Een code in plaats van een naam is nog steeds een persoonsgegeven (art. 4 lid 5 AVG). Die grens is smaller dan veel bedrijven denken. Zie pseudonimisering en anonimisering.
- Voorwaarden kunnen hergebruik toestaan. Als jij akkoord gaat met gebruiksvoorwaarden die de aanbieder een licentie geven om je inhoud te gebruiken of te anonimiseren, staat de AVG dat anonimiseren niet in de weg.
- De AVG is niet het beroepsgeheim. Voor artsen en advocaten geldt daarnaast een eigen zwijgplicht. Lees meer over het beroepsgeheim.
Wat dit betekent als je AI-tools gebruikt
Wat je in een AI-tool typt, is vaak vol persoonsgegevens. Een korte controle die voor elke tool werkt:
- Is de aanbieder verwerker, met een verwerkersovereenkomst volgens artikel 28 AVG?
- Geven de voorwaarden een licentie om je inhoud te gebruiken, te verbeteren of te anonimiseren?
- Wordt er op je gegevens getraind, of is dat contractueel uitgesloten?
- Waar staan de gegevens en hoe lang? Binnen de EU, en worden ze na verwerking verwijderd?
Wysor is verwerker en handelt alleen op jouw instructies (art. 28 AVG). We nemen geen licentie om je inhoud te hergebruiken, we trainen er nooit op en we verkopen haar nooit, geanonimiseerd of niet. Dat staat in het contract en bindt ook iedereen die Wysor ooit zou overnemen. Je gegevens zijn versleuteld tijdens transport en in opslag en worden gehost in de EU. Bij elke aangesloten AI-modelaanbieder geldt zero data retention: verwerkt, daarna verwijderd. Zo gebruik je GPT, Claude, Gemini en meer in één werkruimte, AVG-conform. Meer daarover lees je op onze pagina over AVG-conforme AI.
Veelgestelde vragen
Wat is AVG in het kort? De AVG is de Europese privacywet. Ze bepaalt dat organisaties persoonsgegevens alleen met een goede reden mogen verwerken, zo min mogelijk, veilig en niet langer dan nodig. Mensen krijgen rechten om hun gegevens in te zien en te laten verwijderen.
Waar staat AVG voor? AVG staat voor Algemene verordening gegevensbescherming. In het Engels heet dezelfde wet General Data Protection Regulation, of GDPR.
Wie controleert de AVG in Nederland? De Autoriteit Persoonsgegevens (AP). Zij behandelt klachten, ontvangt meldingen van datalekken en kan boetes opleggen.
Geldt de AVG ook voor kleine bedrijven en zzp'ers? Ja. De AVG geldt voor iedereen die persoonsgegevens verwerkt in het kader van werk, ongeacht de grootte. Sommige administratieve plichten zijn lichter voor kleine organisaties, de kernregels niet.
Is ChatGPT AVG-proof? Dat hangt af van de versie en het contract. Bij de consumentenversie van ChatGPT kunnen gesprekken voor training worden gebruikt, tenzij je dat uitzet; zakelijke en API-versies worden standaard niet gebruikt voor training. Controleer altijd of er een verwerkersovereenkomst is.
Verder lezen
- AVG-conforme AI: zo werk je privé met AI
- Wat zijn persoonsgegevens? Definitie en voorbeelden
- Wat is een verwerkersovereenkomst?
- Het datapad: wat er met je gegevens gebeurt
- Wat is AI? Kunstmatige intelligentie eenvoudig uitgelegd
- Wat is een prompt? En wat je er nooit in zet
Vragen over de AVG en Wysor? Schrijf naar [email protected] of gebruik het contactformulier in de app.
