Wordt de AVG eenvoudiger? Wat verandert er voor organisaties en wat betekent dit voor privacy?

Minder administratie, minder cookiebanners en mogelijk meer tijd om een datalek te melden. De Europese Unie werkt aan veranderingen in de privacywetgeving die het voor bedrijven en organisaties eenvoudiger moeten maken om aan de regels te voldoen. Maar terwijl organisaties mogelijk minder verplichtingen krijgen, groeit ook de discussie over de gevolgen voor de bescherming van persoonsgegevens.

De Algemene Verordening Gegevensbescherming (AVG) is sinds 2018 van toepassing. De wet heeft ervoor gezorgd dat organisaties bewuster omgaan met persoonsgegevens, maar heeft ook veel administratieve verplichtingen met zich meegebracht.

Vooral kleinere bedrijven en organisaties ervaren het naleven van de AVG soms als ingewikkeld. Tegelijkertijd hebben grotere organisaties te maken met steeds meer Europese regels voor gegevensbescherming, cybersecurity en kunstmatige intelligentie.

De Europese Commissie wil deze regelgeving beter op elkaar afstemmen en waar mogelijk vereenvoudigen.

Dat klinkt aantrekkelijk. Maar wat betekent het concreet voor uw organisatie? Welke verplichtingen kunnen veranderen, welke blijven bestaan en wat betekent dit voor de privacy van klanten, medewerkers en andere betrokkenen?

Voor wie gaat er iets veranderen?

De voorgestelde wijzigingen zijn relevant voor vrijwel iedere organisatie die persoonsgegevens verwerkt.

Voor het midden- en kleinbedrijf kunnen bepaalde administratieve verplichtingen eenvoudiger worden. Denk aan informatieverplichtingen en het gebruik van standaarddocumenten.

Organisaties met een website kunnen mogelijk profiteren van minder ingewikkelde regels voor bepaalde cookies.

Voor organisaties die regelmatig met datalekken of beveiligingsincidenten te maken krijgen, kunnen de meldprocedures veranderen.

Ook zorginstellingen, onderwijsorganisaties, overheden en grotere bedrijven kunnen gevolgen ondervinden. Vooral wanneer zij meerdere Europese wetten moeten naleven of gebruikmaken van AI-systemen die persoonsgegevens verwerken.

Belangrijk is dat de voorgestelde vereenvoudigingen niet voor iedere organisatie hetzelfde betekenen. Sommige wijzigingen zijn alleen relevant voor specifieke verwerkingen, situaties met beperkte privacyrisico's of organisaties die onder meerdere wettelijke meldplichten vallen.

Bovendien gaat het voorlopig om voorstellen. De bestaande verplichtingen blijven gelden totdat nieuwe wetgeving daadwerkelijk van kracht wordt.

Waarom wil Europa de AVG aanpassen?

De AVG heeft een belangrijk doel: mensen controle geven over hun persoonsgegevens en organisaties verplichten daar zorgvuldig mee om te gaan.

Dat uitgangspunt staat niet ter discussie.

Wel is de digitale wereld sinds 2018 sterk veranderd.

Organisaties gebruiken steeds meer clouddiensten, wisselen gegevens uit met leveranciers en zetten AI in voor dagelijkse werkzaamheden. Tegelijkertijd zijn er nieuwe Europese regels bij gekomen, waaronder de AI Act en de NIS2-richtlijn.

Daardoor kunnen organisaties te maken krijgen met verschillende administratieve verplichtingen, rapportages en meldprocedures.

De Europese Commissie wil deze regels beter op elkaar laten aansluiten. Het doel is om onnodige administratieve lasten te verminderen, innovatie te ondersteunen en Europese bedrijven concurrerender te maken.

De voorstellen maken deel uit van het Europese wetgevingspakket Digital Omnibus.

De gedachte erachter is begrijpelijk: organisaties zouden meer tijd en middelen moeten kunnen besteden aan daadwerkelijke gegevensbescherming en minder aan administratieve handelingen die weinig toevoegen.

Maar juist daar ontstaat een belangrijke vraag.

Wanneer wordt regelgeving eenvoudiger en wanneer wordt de bescherming van persoonsgegevens daadwerkelijk minder?

Dat onderscheid is essentieel.

1. Minder administratieve verplichtingen bij beperkte privacyrisico's

Een belangrijk onderdeel van de voorstellen betreft het vereenvoudigen van bepaalde informatie- en verantwoordingsverplichtingen.

Op dit moment moeten organisaties onder andere kunnen uitleggen welke persoonsgegevens zij verwerken, waarom zij dat doen en welke rechten betrokkenen hebben.

Die transparantie blijft belangrijk.

Wel wordt onderzocht hoe bepaalde verplichtingen eenvoudiger kunnen worden toegepast, bijvoorbeeld wanneer een verwerking weinig risico oplevert voor de betrokken personen.

Ook moeten gezamenlijke Europese modellen en richtlijnen het eenvoudiger maken om aan bepaalde verplichtingen te voldoen.

Voor organisaties kan dit betekenen dat zij minder tijd kwijt zijn aan het interpreteren van regels of het ontwikkelen van eigen documenten.

Maar dat betekent niet dat privacyverklaringen, verwerkingsregisters of verwerkersovereenkomsten zomaar kunnen verdwijnen.

De verplichtingen blijven afhankelijk van de aard van de gegevensverwerking en de uiteindelijke wettelijke bepalingen.

Wat betekent dit voor uw organisatie?

Het is verstandig om bestaande privacydocumentatie kritisch te bekijken.

Zijn alle documenten nog actueel? Sluiten ze aan bij de werkelijke processen? En worden ze gebruikt om risico's te beheersen, of vooral bijgehouden omdat het nu eenmaal moet?

Een eenvoudiger administratief systeem kan helpen. Maar alleen wanneer de organisatie daadwerkelijk begrijpt welke persoonsgegevens worden verwerkt en welke risico's daarbij horen.

2. Minder cookiebanners, maar niet onbeperkt volgen

Vrijwel iedere internetgebruiker kent de cookiebanner.

Bij het openen van een website verschijnt een melding waarin toestemming wordt gevraagd voor het gebruik van cookies.

Niet alle cookies hebben echter hetzelfde doel.

Sommige zijn noodzakelijk om een website goed te laten functioneren. Andere worden gebruikt voor statistieken, beveiliging, personalisatie of het volgen van bezoekers voor commerciële doeleinden.

De Europese voorstellen moeten duidelijker maken wanneer toestemming noodzakelijk is en wanneer bepaalde cookies zonder toestemming mogen worden geplaatst.

Voor bepaalde vormen van bezoekersmeting en beveiliging kunnen ruimere uitzonderingen ontstaan.

Dat kan betekenen dat websitebezoekers minder vaak toestemming hoeven te geven.

Voor websitebeheerders kan het beheer van cookies daardoor eenvoudiger worden.

Maar er zit ook een privacyvraagstuk achter.

Wanneer meer cookies zonder toestemming mogen worden gebruikt, krijgen bezoekers mogelijk minder mogelijkheden om vooraf zelf te bepalen welke gegevens over hun gedrag worden verzameld.

Daarom blijft het belangrijk onderscheid te maken tussen noodzakelijke functionaliteit en commerciële tracking.

Wat betekent dit voor uw website?

Controleer welke cookies en vergelijkbare technieken uw website daadwerkelijk gebruikt.

Kijk daarbij niet alleen naar de cookiebanner, maar ook naar externe scripts, analysetools, advertentieplatforms en geïntegreerde diensten.

Een website die minder toestemming hoeft te vragen, is niet automatisch een website die minder persoonsgegevens verwerkt.

Minder cookiebanners betekent dus niet vanzelfsprekend meer privacy.

3. Meer tijd om datalekken te melden

Een andere voorgestelde verandering betreft de meldplicht voor datalekken.

Onder de huidige AVG moet een organisatie een meldplichtig datalek in beginsel binnen 72 uur nadat zij ervan op de hoogte is geraakt melden bij de toezichthouder.

Die termijn kan in de praktijk uitdagend zijn.

Wanneer een incident wordt ontdekt, moet een organisatie snel vaststellen wat er is gebeurd, welke persoonsgegevens betrokken zijn en welke gevolgen het incident kan hebben.

Het Europese voorstel voorziet in een verlenging van de meldtermijn naar 96 uur.

Daarnaast wordt voorgesteld om de meldplicht bij de toezichthouder sterker te richten op incidenten met een hoog risico voor betrokkenen.

Voor organisaties kan dat administratieve verlichting opleveren.

Maar er bestaat ook een keerzijde.

Wanneer minder incidenten bij toezichthouders worden gemeld, kan dat gevolgen hebben voor het inzicht in de omvang en aard van datalekken.

Bovendien betekent een langere meldtermijn niet dat een organisatie langer mag wachten met het beperken van de schade.

Een datalek vraagt altijd om een snelle en zorgvuldige reactie.

Wat verandert er niet?

Ook wanneer de voorstellen worden aangenomen, blijft het noodzakelijk om beveiligingsincidenten te onderzoeken, risico's voor betrokkenen te beoordelen en passende maatregelen te nemen.

De verplichting om datalekken intern te documenteren verdwijnt niet zomaar.

En zolang de nieuwe regels niet zijn aangenomen en van kracht zijn geworden, blijft de huidige meldtermijn van 72 uur gelden.

Voor organisaties is het daarom verstandig de bestaande datalekprocedure voorlopig ongewijzigd te blijven toepassen.

4. Eenvoudiger melden van beveiligingsincidenten

Voor sommige organisaties is een cyberincident niet alleen een privacyvraagstuk.

Een ransomware-aanval kan bijvoorbeeld tegelijkertijd gevolgen hebben voor persoonsgegevens, de beschikbaarheid van essentiële diensten en de continuïteit van de organisatie.

Afhankelijk van de omstandigheden kunnen daardoor meerdere wettelijke meldplichten ontstaan.

Denk aan verplichtingen vanuit de AVG en de Cyberbeveiligingswet.

Europa wil deze meldprocedures beter op elkaar afstemmen.

In de onderhandelingspositie van de Raad is onder meer opgenomen dat lidstaten een nationaal meldpunt moeten krijgen voor verschillende soorten incidentmeldingen.

Dat kan het melden van incidenten eenvoudiger maken.

Maar één meldpunt betekent niet automatisch dat alle wettelijke verplichtingen hetzelfde worden.

Een organisatie moet nog steeds kunnen bepalen welke regels van toepassing zijn, welke termijnen gelden en welke informatie moet worden verstrekt.

Daarom blijft een goed ingericht incidentresponsproces noodzakelijk.

5. Een gevoelige discussie: wat zijn eigenlijk persoonsgegevens?

Een van de meest fundamentele onderdelen van de Europese voorstellen gaat over de definitie van persoonsgegevens.

Dat lijkt misschien een juridisch detail, maar het raakt de kern van de AVG.

De wet beschermt informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

Denk aan namen, contactgegevens, klantnummers, personeelsgegevens en informatie waarmee iemand indirect kan worden herkend.

De Europese Commissie stelde voor om duidelijker vast te leggen wanneer gegevens voor een bepaalde organisatie niet als persoonsgegevens hoeven te worden beschouwd.

Daarbij speelt onder andere de vraag of een organisatie redelijkerwijs in staat is iemand te identificeren.

Dat kan bijvoorbeeld relevant zijn bij gepseudonimiseerde gegevens.

Bij pseudonimisering worden direct identificerende gegevens vervangen door codes of andere aanduidingen. Dat maakt gegevens minder direct herleidbaar, maar betekent niet automatisch dat zij anoniem zijn.

Waarom is dit zo belangrijk?

Wanneer gegevens buiten de definitie van persoonsgegevens vallen, zijn de beschermingsregels van de AVG daarop niet van toepassing.

Een wijziging in die definitie kan dus grote gevolgen hebben.

Europese privacytoezichthouders hebben gewaarschuwd dat de oorspronkelijke voorstellen de bescherming van persoonsgegevens aanzienlijk zouden kunnen verzwakken.

De Raad van de Europese Unie heeft inmiddels een andere koers gekozen en wil de bestaande definitie van persoonsgegevens behouden. Wel wil de Raad meer duidelijkheid bieden over pseudonimisering en identificeerbaarheid.

Daarmee is een belangrijk discussiepunt nog niet definitief afgesloten.

De uiteindelijke uitkomst hangt af van de verdere Europese onderhandelingen.

Voor organisaties is de praktische boodschap voorlopig duidelijk: ga er niet van uit dat gepseudonimiseerde gegevens automatisch buiten de AVG vallen.

Wordt privacybescherming hierdoor zwakker?

Dat is een belangrijke vraag waarop geen eenvoudig ja of nee mogelijk is.

Sommige voorstellen kunnen organisaties helpen om privacy beter te organiseren.

Eenduidige Europese formulieren, duidelijkere regels en minder overlappende meldprocedures kunnen bijvoorbeeld zorgen voor minder fouten en meer aandacht voor daadwerkelijke risico's.

Tegelijkertijd kunnen andere wijzigingen gevolgen hebben voor de bescherming van betrokkenen.

Dat speelt vooral wanneer minder gegevens onder de AVG zouden vallen, informatieverplichtingen worden beperkt of bepaalde gegevensverwerkingen zonder toestemming mogelijk worden.

De Europese privacytoezichthouders EDPB en EDPS hebben daarom nadrukkelijk gewaarschuwd dat vereenvoudiging niet mag leiden tot een aantasting van fundamentele rechten.

De Europese Commissie en de Raad benadrukken juist dat de voorstellen bedoeld zijn om de regelgeving werkbaarder te maken, met behoud van een hoog beschermingsniveau.

De discussie gaat dus niet alleen over minder administratie.

Het gaat ook over de vraag hoeveel bescherming burgers moeten behouden wanneer organisaties meer ruimte krijgen om gegevens te verwerken.

En dat maakt de uiteindelijke keuzes belangrijk voor iedereen.

Wat blijft er voor organisaties gewoon verplicht?

Ondanks alle plannen blijft de kern van de AVG overeind.

Organisaties moeten zorgvuldig omgaan met persoonsgegevens en kunnen uitleggen waarom zij deze gegevens verwerken.

Ook blijven de fundamentele beginselen van gegevensbescherming het uitgangspunt.

Dat betekent onder andere dat persoonsgegevens alleen voor gerechtvaardigde doeleinden mogen worden verwerkt, dat niet meer gegevens mogen worden verzameld dan noodzakelijk en dat informatie niet langer mag worden bewaard dan nodig.

Daarnaast moeten organisaties passende beveiligingsmaatregelen nemen.

Betrokkenen behouden rechten, zoals het recht op inzage, correctie en onder bepaalde voorwaarden verwijdering van persoonsgegevens.

Ook blijft het noodzakelijk om medewerkers bewust te maken van privacyrisico's.

Want wetgeving kan eenvoudiger worden, maar menselijke fouten verdwijnen daarmee niet.

Een medewerker die persoonsgegevens naar een verkeerde ontvanger stuurt, vertrouwelijke informatie invoert in een ongeautoriseerde AI-tool of gevoelige documenten onbeveiligd deelt, kan nog steeds een ernstig privacyincident veroorzaken.

Daarom blijft bewustwording een essentieel onderdeel van goede gegevensbescherming.

Wat betekent dit voor zorg, onderwijs, overheid en het MKB?

De gevolgen van de voorgestelde wijzigingen verschillen per organisatie.

Voor kleinere bedrijven kan vooral de vermindering van administratieve lasten interessant zijn.

Voor organisaties met websites en digitale dienstverlening zijn de mogelijke veranderingen in cookieregels relevant.

Zorginstellingen en arbodiensten verwerken regelmatig bijzondere persoonsgegevens. Daar blijft extra zorgvuldigheid noodzakelijk, ongeacht eventuele administratieve vereenvoudigingen.

Onderwijsorganisaties verwerken persoonsgegevens van leerlingen, studenten, ouders en medewerkers. Ook daar blijft bescherming van gegevens essentieel, zeker wanneer nieuwe digitale toepassingen of AI-systemen worden ingezet.

Overheden en grotere organisaties kunnen vooral voordeel hebben van duidelijkere procedures en beter afgestemde wettelijke verplichtingen.

Maar voor al deze organisaties geldt hetzelfde uitgangspunt.

De vraag is niet hoeveel administratieve verplichtingen kunnen verdwijnen.

De belangrijkste vraag blijft of persoonsgegevens daadwerkelijk goed worden beschermd.

Wat kunt u nu al doen?

Het is niet nodig om te wachten op nieuwe Europese wetgeving.

Sterker nog, juist nu is het verstandig om de bestaande privacyorganisatie te beoordelen.

Begin met een eenvoudige interne controle.

Weet uw organisatie welke persoonsgegevens worden verwerkt?

Controleer of er een actueel overzicht bestaat van de belangrijkste gegevensverwerkingen en de systemen waarin deze plaatsvinden.

Worden er meer gegevens verzameld dan noodzakelijk?

Kijk kritisch naar formulieren, klantdossiers, personeelsadministraties en digitale toepassingen.

Zijn de beveiligingsmaatregelen nog passend?

Denk aan toegangsrechten, wachtwoorden, multifactorauthenticatie, leveranciersbeheer en veilige gegevensuitwisseling.

Weten medewerkers wat zij moeten doen bij een datalek?

Een procedure is pas effectief wanneer medewerkers incidenten herkennen en weten hoe zij deze moeten melden.

Worden medewerkers regelmatig getraind?

Privacybewustzijn vraagt om herhaling. Nieuwe medewerkers, veranderende processen en nieuwe technologieën brengen voortdurend nieuwe risico's met zich mee.

Door deze onderwerpen periodiek te controleren, ontstaat een beter beeld van de werkelijke privacyrisico's binnen de organisatie.

Wanneer gaan de veranderingen in?

Op 21 oktober 2026 heeft de Raad van de Europese Unie zijn standpunt vastgesteld over de voorgestelde vereenvoudiging van de digitale regelgeving.

Dat is een belangrijke stap, maar nog geen definitieve wetswijziging.

Het Europees Parlement moet zijn positie bepalen. Vervolgens moeten de Europese instellingen overeenstemming bereiken over de definitieve tekst.

Pas daarna kan duidelijk worden welke wijzigingen daadwerkelijk worden ingevoerd en wanneer deze van toepassing worden.

Tot die tijd blijven de huidige AVG-verplichtingen gelden.

Organisaties doen er daarom verstandig aan de ontwikkelingen te volgen, maar hun bestaande privacymaatregelen niet voortijdig af te bouwen.

Minder regels betekent niet minder verantwoordelijkheid

De plannen om de AVG te vereenvoudigen kunnen organisaties helpen om privacybescherming efficiënter te organiseren.

Dat is waardevol wanneer administratieve verplichtingen daadwerkelijk eenvoudiger worden zonder dat de bescherming van persoonsgegevens achteruitgaat.

Maar het risico bestaat dat vereenvoudiging vooral wordt gezien als een mogelijkheid om minder aandacht aan privacy te besteden.

Dat zou een verkeerde conclusie zijn.

De AVG gaat uiteindelijk niet over formulieren, registers of cookiebanners.

De wet gaat over de bescherming van mensen en hun persoonsgegevens.

En die verantwoordelijkheid verandert niet doordat bepaalde procedures eenvoudiger worden.

Hoe goed is privacy binnen uw organisatie geregeld?

Wilt u weten waar mogelijke risico's liggen binnen uw organisatie?

Met de risicoanalyse van ComplianceTrainingen.nl krijgt u op een laagdrempelige manier inzicht in aandachtspunten rondom privacy, informatiebeveiliging en compliance.

Start de risicoanalyse en ontdek waar uw organisatie staat.

Wilt u daarnaast zorgen dat medewerkers privacyrisico's herkennen en weten hoe zij verantwoord met persoonsgegevens moeten omgaan?

Vraag dan een gratis demo van onze compliance trainingen aan en ontdek hoe u privacybewustzijn praktisch en structureel binnen uw organisatie kunt versterken.

Bronnen;

• Raad van de Europese Unie, 21 oktober 2026. De actuele onderhandelingspositie en de voorgestelde wijzigingen.
• Europese Commissie, Digital Package. De doelstellingen en achtergrond van de vereenvoudiging.
• Europese privacytoezichthouders, 11 februari 2026. De mogelijke gevolgen voor gegevensbescherming en fundamentele rechten.