Op 1 september 2026 treedt de Verzamelwet gegevensbescherming in werking. Die wijzigt de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en tien andere wetten. Het meeste is technisch, maar een handvol wijzigingen raakt de dagelijkse praktijk direct: nieuwe leeftijdsgrenzen voor minderjarigen, verplichte publicatie van AP-sancties, een smallere uitzondering voor biometrie en een nieuwe regeling voor medische dossiers. Hieronder de eerste vier op een rij. In het vervolg-blog leest u de overige gewijzigde wetten, inclusief het ene onderdeel dat juist níét in werking treedt.
Waar komt deze wet vandaan?
De Verzamelwet gegevensbescherming (Kamerstukken 36 264) werd al op 1 december 2022 ingediend. De Tweede Kamer nam het voorstel op 20 mei 2025 aan, de Eerste Kamer deed het op 9 juni 2026 als hamerstuk af, en bij koninklijk besluit van 9 juli 2026 (Stb. 2026, 196) is de inwerkingtreding vastgesteld op 1 september 2026, met uitzondering van één onderdeel.
Het doel is bescheiden, namelijk stroomlijnen en actualiseren. In de praktijk is het een mengeling van reparaties, verduidelijkingen en nieuwe verwerkingsgrondslagen voor beroepsgroepen die daar tot nu toe zonder deden.
Nieuwe leeftijdsgrenzen voor minderjarigen (art. 5 UAVG)
Artikel 5 UAVG wordt vrijwel volledig herschreven. De regeling wordt gelaagd naar leeftijd, en dat is de wijziging waar de meeste organisaties iets aan moeten doen.Voor toestemming blijft de grens 16 jaar. Nieuw is dat toestemming voortaan óók kan worden ingetrokken door de betrokkene zelf, zodra die twaalf jaar is. En voor de uitoefening van de rechten uit hoofdstuk III AVG geldt een drietrapsindeling: onder de twaalf uitsluitend de wettelijk vertegenwoordiger, tussen twaalf en zestien de betrokkene zélf of de vertegenwoordiger, en bij curatele, bewind of mentorschap de vertegenwoordiger.
Daarnaast mag een minderjarige van zestien jaar of ouder zonder bijstand van zijn vertegenwoordiger in rechte optreden bij schending van zijn AVG-rechten. Tot slot wijken de leden 1 tot en met 4 voor de Wet op de geneeskundige behandelingsovereenkomst (WGBO). In de zorg blijft de bestaande regeling dus leidend.
Wat u nu moet regelen
- Pas intakeformulieren, toestemmingsteksten en het proces voor verzoeken van betrokkenen aan op de grenzen van 12 en 16 jaar.
- Bepaal hoe u leeftijd en vertegenwoordigingsbevoegdheid verifieert zonder onnodig extra gegevens te verzamelen.
- Extra relevant voor onderwijs, jeugdhulp, sportverenigingen, gaming en socialmediadiensten.
De AP moet sancties voortaan publiceren (art. 21b UAVG)
Via het amendement-Six Dijkstra is een nieuw artikel 21b toegevoegd. De Autoriteit Persoonsgegevens máákt een besluit tot oplegging van een bestuurlijke sanctie openbaar, behoudens voor zover artikel 5.1 lid 1, 2 en 5 Wet open overheid daaraan in de weg staat. Openbaarmaking wordt daarmee de regel, niet langer een bevoegdheid die de AP naar eigen inzicht gebruikt.
Twee waarborgen: publicatie vindt niet eerder plaats dan tien werkdagen na bekendmaking aan de overtreder, en wordt binnen die termijn een voorlopige voorziening gevraagd (art. 8:81 Awb), dan wordt de openbaarmaking opgeschort tot de voorzieningenrechter heeft beslist. De regeling geldt ook voor een beslissing op bezwaar die tot een sanctie strekt.
Het praktische gevolg is dat de reputatierisico van handhaving toeneemt. U heeft een termijn van tien werkdagen om te beslissen of u naar de voorzieningenrechter stapt en om communicatie voor te bereiden. Neem dat op in uw escalatieprotocol.
De AP moet eerst consulteren voordat zij normen uitlegt (art. 14 UAVG)
Het amendement-Krul voegt aan artikel 14 twee leden toe. Voordat de AP beleidsregels vaststelt over een consequente toepassing van de AVG of over haar handhavingsbevoegdheden, raadpleegt zij, voor zover passend, belanghebbende partijen en in de onderbouwing moet zij ingaan op wat in de consultatie naar voren is gebracht. Nadere regels volgen bij ministeriële regeling.
Voor brancheorganisaties en grote verwerkingsverantwoordelijken is dit een formeel aangrijpingspunt om invloed uit te oefenen op AP-normuitleg. Volg die consultaties actief en bepaal vooraf wie namens de sector reageert.
Biometrie: de uitzondering wordt aanzienlijk smaller (art. 29 UAVG)
Dit is de wijziging die het gemakkelijkst wordt gemist. Tot nu toe geldt het verwerkingsverbod voor biometrische gegevens niet als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Die laatste term wordt vervangen door een veel specifiekere formulering: noodzakelijk “omwille van beveiligingsdoeleinden en slechts voor zover dit noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen”.
De uitzondering is daarmee beperkt tot toegangsbeveiliging en vereist een zwaarwegend algemeen belang. Wie biometrie inzet voor iets anders, bijvoorbeeld: tijdregistratie, fraudedetectie, gemak, kan zich er vanaf 1 september niet meer op beroepen. Toets bestaande toepassingen of Data Protection Impact Assessments (DPIA) opnieuw en leg de uitkomst vast.
Wat betekent dit voor uw organisatie?
Vier acties zijn voor vrijwel iedere organisatie relevant:
- Actualiseer uw toestemmings- en verzoekprocessen op de nieuwe leeftijdsgrenzen van 12 en 16 jaar.
- Toets elke biometrische toepassing aan het aangescherpte artikel 29 UAVG en leg de uitkomst vast.
- Neem de verplichte publicatie van AP-sancties en het venster van tien werkdagen op in uw incident- en escalatieprotocol.
- Werk uw verwerkingsregister, privacybeleid en interne handreikingen bij op de gewijzigde artikelen.
Werkt u in de zorg, als curator of bewindvoerder, bij een bank of bij een overheidsorganisatie die commissies instelt? Dan komen daar de sectorspecifieke punten hierboven bij.
Hulp nodig?
AVG Juristen helpt u de gevolgen van deze wijzigingen in kaart te brengen en uw documentatie, processen en overeenkomsten tijdig aan te passen. Neem contact op via 030 785 27 91 of kantoor@avgjuristen.nl.
Dit artikel is een hulp. Het bericht wordt met aandacht samengesteld, maar aan de informatie kan geen enkel recht worden ontleend.
