Sinds 1 september 2026 is de Verzamelwet gegevensbescherming grotendeels in werking. De wet wijzigt de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en verschillende andere Nederlandse wetten. Praktisch relevant zijn onder meer wijzigingen rond kinderen, biometrie, medische dossiers, publicatie van sancties en geautomatiseerde blokkering van betalingen. De ingangsdatum en uitzondering staan in het inwerkingtredingsbesluit, Staatsblad 2026, 196; de wijzigingen zelf in de Verzamelwet gegevensbescherming, Staatsblad 2026, 154. De vijf wijzigingen hieronder zijn een selectie uit de wet.
Voor wie is deze update relevant?
De gevolgen hangen af van de persoonsgegevens en processen binnen je organisatie. Onderwijsinstellingen en organisaties die met kinderen werken, moeten vooral naar de rechten van minderjarigen kijken. Voor zorgorganisaties is dossieroverdracht relevant. Werkgevers en andere organisaties die biometrische identificatie gebruiken, moeten hun onderbouwing controleren. Voor banken en betaalinstellingen gelden specifieke voorwaarden bij het automatisch blokkeren van transacties.
Let op de gedeeltelijke inwerkingtreding. Artikel I, onderdeel I, is uitgezonderd van de ingangsdatum van 1 september 2026. Dit betreft de regeling voor bijzondere persoonsgegevens bij wettelijk verplichte accountantsopdrachten in artikel 23a UAVG. Volgens de toelichting is hiervoor eerst aanvullende wetgeving en vervolgens een apart inwerkingtredingsbesluit nodig. Zie het inwerkingtredingsbesluit en de toelichting en artikel I, onderdeel I, van de wet.
Wat verandert er voor kinderen vanaf 12 jaar?
Kinderen van 12 tot en met 15 jaar kunnen de AVG-rechten uit hoofdstuk III zelf uitoefenen; hun wettelijke vertegenwoordiger kan dat eveneens. Vanaf 12 jaar kan een kind ook zelf toestemming intrekken. Voor kinderen jonger dan 12 jaar oefent de wettelijke vertegenwoordiger deze rechten uit. Zie artikel I, onderdeel D: wijziging van artikel 5 UAVG.
Dit verlaagt de algemene toestemmingsleeftijd niet naar 12 jaar. In de gevallen waarop artikel 5, eerste lid, UAVG ziet, blijft voor kinderen jonger dan 16 jaar toestemming van de wettelijke vertegenwoordiger vereist. Voor medische behandeling kunnen bijzondere regels uit de Wet op de geneeskundige behandelingsovereenkomst (WGBO) voorgaan. Ook dat volgt uit het gewijzigde artikel 5 UAVG.
Wanneer mag je biometrische identificatie gebruiken?
Een beroep op artikel 29 UAVG vraagt een concrete onderbouwing van twee punten: de biometrische verwerking moet noodzakelijk zijn voor authenticatie of beveiliging én noodzakelijk vanwege een zwaarwegend algemeen belang bij rechtmatige toegang. De wijziging betreft de wettelijke uitzondering voor biometrische gegevens die worden gebruikt om personen uniek te identificeren. Zie artikel I, onderdeel K: wijziging van artikel 29 UAVG.
De toelichting maakt duidelijk dat louter efficiëntie of kostenbesparing onvoldoende is voor deze uitzondering. Een beroep op uitdrukkelijke toestemming vraagt een afzonderlijke beoordeling van de geldigheid daarvan. Zie de memorie van toelichting, onderdeel K.
Wat verandert er bij overdracht van medische dossiers?
De nieuwe artikelen 30a en 30b UAVG regelen specifieke overdrachten van medische dossiers om aan de wettelijke bewaarplicht en het bijbehorende beheer te voldoen. Denk aan een zorgaanbieder die stopt en de dossiers overdraagt aan een andere hulpverlener of een instelling voor gezondheidszorg of maatschappelijke dienstverlening die het bewaren en beheren overneemt.
Binnen die regeling kan overdracht zonder toestemming van de patiënt plaatsvinden. De regeling bevat informatieverplichtingen; bij bepaalde uitzonderingen op individueel informeren is brede bekendmaking vereist. De overdracht binnen deze regeling is kosteloos. Zie artikel I, onderdeel M: artikelen 30a en 30b UAVG.
Wanneer maakt de AP een sanctiebesluit openbaar?
De Autoriteit Persoonsgegevens (AP) moet besluiten waarmee zij bestuurlijke sancties oplegt openbaar maken, met inachtneming van de genoemde uitzonderingen uit de Wet open overheid. In beginsel gebeurt dat pas nadat tien werkdagen zijn verstreken na de dag van bekendmaking aan de overtreder. Eerdere publicatie is in bepaalde situaties mogelijk, bijvoorbeeld bij instemming van de overtreder.
Een verzoek om een voorlopige voorziening schort de publicatie op totdat de voorzieningenrechter uitspraak heeft gedaan of het verzoek is ingetrokken. Zie artikel I, onderdeel Fb: artikel 21b UAVG.
Welke regels gelden voor het automatisch blokkeren van betalingen?
Voor de banken en betaalinstellingen waarop artikel 3:17 Wft ziet, wordt de wettelijke regeling voor geautomatiseerd blokkeren of opschorten van betalingstransacties verduidelijkt. Voorwaarden zijn onder meer:
- De blokkering of opschorting berust op afwijkingen van het individuele transactiepatroon van de cliënt.
- De instelling onderzoekt de transactie na de blokkering of opschorting onverwijld door menselijke tussenkomst.
- De cliënt kan zijn standpunt over de blokkering of opschorting kenbaar maken.
De wet voorziet daarnaast in nadere regels over waarborgen voor cliënten. Zie artikel X: toevoeging van artikel 3:17, negende en tiende lid, Wft.
Welke actie is nu verstandig?
Begin met een gerichte beoordeling van de wijzigingen die jouw organisatie raken. Werk vervolgens de betrokken procedures, formulieren en instructies bij. Koppel verbeterpunten aan een verantwoordelijke en een opleverdatum en controleer met een praktijksituatie of de aangepaste werkwijze uitvoerbaar is.