Wat is de AVG? Een duidelijke gids voor appbouwers
De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) is de belangrijkste privacywet van de Europese Unie. Ze stelt regels aan hoe organisaties persoonsgegevens — elke informatie over een identificeerbare levende persoon — verzamelen, gebruiken, opslaan en delen, en geeft mensen rechten over hun eigen gegevens, zoals het recht om ze in te zien of te laten verwijderen. De wet geldt sinds 25 mei 2018, en ze kan ook gelden voor bedrijven buiten de EU als die mensen in de EU bedienen.
Geen juridisch advies. Deze gids is een algemene uitleg om de basis te begrijpen en betere vragen te stellen. Hij vervangt geen advies over jouw situatie. Voor officiële details, zie de gegevensbeschermingspagina's van de Europese Commissie en de handleiding voor kleine bedrijven van de Europese Toezichthoudende Autoriteiten.
Waarom het ertoe doet als je met AI bouwt
AI-bouwers maken het makkelijk om gegevens te verzamelen. Eén prompt levert je een aanmeldformulier, een contactformulier, analytics, bestandsuploads en een beheerdashboard op dat elke gebruiker toont. Elk daarvan verzamelt persoonsgegevens, en de AVG heeft aandacht voor al die gegevens.
Het goede nieuws is dat het meeste wat de AVG vraagt ook goede productpraktijk is:
- Verzamel alleen wat je echt nodig hebt.
- Vertel mensen wat je ermee doet.
- Bescherm het goed.
- Verwijder het wanneer je het niet meer nodig hebt.
- Laat mensen hun gegevens inzien, corrigeren of laten verwijderen.
Dit is veel makkelijker om vanaf het begin in te bouwen dan achteraf erbij te plakken. Als je je AI-bouwer vroeg de juiste vragen stelt, bespaar je jezelf een pijnlijke herbouw later.
Een alledaagse vergelijking
Denk aan persoonsgegevens als spullen die mensen bij jou achterlaten — als een garderobe, maar dan voor informatie. De AVG is het huishoudelijk reglement voor de garderobe:
- Neem alleen aan wat de persoon heeft toegestemd achter te laten, voor een reden die die begrijpt.
- Doorzoek de zakken niet voor andere doeleinden.
- Houd de ruimte op slot.
- Geef de spullen terug, of gooi ze weg, wanneer erom wordt gevraagd of wanneer je ze niet meer nodig hebt.
- Als er iets wordt gestolen, meld dat tijdig aan de juiste mensen.
Je bent verantwoordelijk voor de jassen zolang ze bij jou zijn, ook al heb je iemand anders ingehuurd om de ruimte te runnen.
De kernideeën
Wat telt als persoonsgegeven
De Europese Commissie definieert persoonsgegevens als elke informatie die betrekking heeft op een geïdentificeerde of identificeerbare levende persoon. Dat is breed. Het omvat namen, e-mailadressen, woonadressen, IP-adressen, cookie-ID's en foto's. Gegevens die ‘gepseudonimiseerd’ zijn — namen vervangen door codes — kunnen nog steeds persoonsgegevens zijn als ze naar iemand te herleiden zijn.
Sommige categorieën krijgen extra bescherming, waaronder gezondheidsgegevens, biometrische gegevens, ras of etnische afkomst, en politieke opvattingen.
Voor wie het geldt
Volgens de Commissie geldt de AVG voor organisaties die in de EU zijn gevestigd, en voor organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU (tegen betaling of gratis) of hun gedrag volgen. Een Amerikaanse of Emiraatse startup met Europese klanten kan er goed onder vallen. Het Verenigd Koninkrijk heeft zijn eigen versie, de UK GDPR, die nauw op de AVG is gebaseerd.
De beginselen
De AVG is opgebouwd op een korte lijst beginselen. In gewone taal:
| Beginsel | Wat het betekent voor je app |
|---|---|
| Rechtmatigheid, behoorlijkheid, transparantie | Heb een geldige reden voor de verwerking en vertel duidelijk wat je doet. |
| Doelbinding | Gebruik gegevens voor de redenen waarvoor je ze hebt verzameld, niet voor verrassende nieuwe doelen. |
| Minimale gegevensverwerking | Verzamel geen velden die je niet nodig hebt. |
| Juistheid | Houd gegevens correct en laat mensen ze corrigeren. |
| Opslagbeperking | Bewaar gegevens niet eeuwig; verwijder ze wanneer ze niet meer nodig zijn. |
| Integriteit en vertrouwelijkheid | Bescherm ze tegen lekken en ongeautoriseerde toegang. |
| Verantwoordingsplicht | Kunnen aantonen hoe je aan de regels voldoet. |
Rechtsgrondslagen
Voor elke manier waarop je persoonsgegevens gebruikt heb je een rechtsgrond nodig. De AVG noemt zes: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitale belangen, taak van algemeen belang en gerechtvaardigd belang. Toestemming is er maar één van. Een bestelling verwerken om die te leveren gaat bijvoorbeeld meestal over de overeenkomst, niet over toestemming. Welke grondslag past is een afweging die je moet controleren aan de officiële richtlijnen.
De rechten van mensen
De Commissie noemt deze rechten voor personen:
- Om geïnformeerd te worden over hoe hun gegevens worden gebruikt
- Om hun gegevens in te zien
- Om ze te laten corrigeren
- Om ze te laten wissen
- Om de verwerking te beperken
- Op gegevensoverdraagbaarheid (de gegevens in een bruikbaar formaat krijgen)
- Om bezwaar te maken
- Rechten rond geautomatiseerde besluitvorming en profilering
Datalekken
Als persoonsgegevens lekken en het lek waarschijnlijk de rechten en vrijheden van mensen in gevaar brengt, moet de organisatie over het algemeen zonder onnodige vertraging, en waar mogelijk binnen 72 uur nadat ze ervan op de hoogte is, de toezichthouder melden. In sommige gevallen moeten de betrokkenen ook worden ingelicht.
Een uitgewerkt voorbeeld: een boekingsapp voor een yogastudio
Stel dat je een boekingsapp bouwt voor een yogastudio met klanten in Duitsland. Zo vormt de AVG de app.
Verzamel minder. Het aanmeldformulier vraagt naam, e-mail en een optioneel telefoonnummer. Het eerste ontwerp vroeg ook om geboortedatum en woonadres — niets in de app gebruikt die, dus ze zijn verwijderd.
Gezondheidsgegevens vragen zorg. De studio wil vragen naar blessures. Dat zijn gezondheidsgegevens, een bijzondere categorie met strengere regels. De studio besluit dat persoonlijk af te handelen, zodat de app het niet verzamelt.
Wees transparant. Een privacyverklaring legt uit wat er wordt verzameld, waarom, hoe lang het wordt bewaard, wie er nog meer mee werkt (de hostingprovider, de e-maildienst, de betaalprovider) en hoe je contact opneemt met de studio.
Marketing staat los. Een les boeken meldt niemand aan voor de nieuwsbrief. Er is een apart, niet-aangevinkt vakje daarvoor.
Rechten in het product. Klanten kunnen hun profiel inzien en bewerken, hun boekingsgeschiedenis downloaden, en verwijdering aanvragen vanaf hun accountpagina.
Bewaartermijn. Inactieve accounts worden na een bepaalde periode gemarkeerd en verwijderd als de klant niet reageert. De studio kiest de periode.
Cookies. De inlogcookie is noodzakelijk. Analytics laadt pas nadat de bezoeker dat heeft geaccepteerd. Zie wat cookies zijn.
Beveiliging. Wachtwoorden worden gehasht, het beheergedeelte vereist tweestapsverificatie, en alleen de eigenaar kan klantenlijsten exporteren.
Veelgebruikte termen uitgelegd
| Term | Betekenis |
|---|---|
| Persoonsgegeven | Elke informatie over een geïdentificeerde of identificeerbare levende persoon. |
| Verwerking | Alles wat met persoonsgegevens gebeurt: verzamelen, opslaan, gebruiken, delen, verwijderen. |
| Betrokkene | De persoon over wie de gegevens gaan. |
| Verantwoordelijke (controller) | De organisatie die bepaalt waarom en hoe gegevens worden verwerkt — meestal jij, als eigenaar van de app. |
| Verwerker (processor) | Een bedrijf dat gegevens namens de verantwoordelijke verwerkt, zoals een hosting- of e-mailprovider. |
| Verwerkersovereenkomst (DPA) | Een contract tussen verantwoordelijke en verwerker over hoe gegevens worden behandeld. |
| Rechtsgrond | De juridische reden voor de verwerking, zoals toestemming of overeenkomst. |
| Toestemming | Een vrijwillig, specifiek, geïnformeerd en ondubbelzinnig ‘ja’; vooraangevinkte vakjes tellen niet. |
| Bijzondere categorie gegevens | Gevoelige gegevens zoals gezondheid of biometrie, met strengere regels. |
| Toezichthouder | De gegevensbeschermingsautoriteit van een land. |
Veelgemaakte fouten en misverstanden
- ‘We zitten niet in de EU, dus het geldt niet.’ Het kan gelden op basis van waar je gebruikers zitten.
- ‘De AVG betekent toestemming voor alles.’ Toestemming is een van zes rechtsgronden, en vaak niet de juiste.
- ‘Een cookiebanner maakt ons compliant.’ Cookies zijn een klein onderdeel. Gegevensverzameling, beveiliging, rechten en bewaring zijn belangrijker.
- ‘Onze host is AVG-proof, dus wij zijn het ook.’ Providers helpen, maar jij bepaalt wat je app verzamelt en doet.
- Verzamelen ‘voor het geval dat’. Elk extra veld is meer om te beschermen, uit te leggen en te verwijderen.
- Het privacybeleid van een andere site kopiëren. Het moet beschrijven wat jouw app werkelijk doet.
- Verwijdering onmogelijk maken. Als niemand een gebruiker kan verwijderen zonder een ontwikkelaar, worden verzoeken om rechten noodgevallen.
Wat je aan je AI-appbouwer kunt vragen
- ‘Geef een lijst van elk persoonsgegeven dat deze app verzamelt, waar het wordt opgeslagen en waarom het nodig is.’
- ‘Verwijder velden in formulieren die we niet gebruiken.’
- ‘Voeg een accountpagina toe waar gebruikers hun gegevens kunnen inzien, bewerken en downloaden, en verwijdering kunnen aanvragen.’
- ‘Bouw een beheeractie die een gebruiker en zijn gerelateerde records volledig verwijdert, of records anonimiseert die we moeten bewaren.’
- ‘Houd aanmelding voor marketing een apart, niet-aangevinkt vakje.’
- ‘Laad analytics- of marketingscripts niet voordat er toestemming is gegeven.’
- ‘Geef een lijst van elke externe dienst die gebruikersgegevens ontvangt, zodat ik ze in het privacybeleid kan opnemen.’
- ‘Beperk beheerexports tot de eigenaarrol en log wie wat heeft geëxporteerd.’
Lees daarna hoe je algemene voorwaarden en een privacyverklaring schrijft en hoe je cookietoestemming toevoegt.
AVG en Mythex
Mythex geeft je de bouwstenen, geen compliancecertificaat. De gegevens van je app staan in de eigen projectdatabase en bestandsopslag wanneer je die inschakelt, je bezit de code, en met Pro kun je het project exporteren als je het elders wilt neerzetten. Wat je app verzamelt, hoe lang het bewaart en hoe mensen hun rechten uitoefenen, zijn beslissingen die jij neemt — en die je de agent laat bouwen. De docspagina over gegevenseigendom legt uit wat Mythex host, en beveiliging voor apps die je bouwt waarschuwt ertegen compliance te claimen die je niet hebt. Heb je specifieke zaken nodig, zoals waar gegevens worden gehost of een verwerkersovereenkomst, vraag dat dan aan de Mythex-support voordat je lanceert.
Veelgestelde vragen
Wat is de AVG in simpele termen?
De Algemene verordening gegevensbescherming (AVG, in het Engels GDPR) is de belangrijkste privacywet van de Europese Unie. Ze stelt regels aan hoe organisaties informatie over personen verzamelen, gebruiken, opslaan en delen, en geeft die personen rechten over hun gegevens. De wet geldt sinds 25 mei 2018.
Geldt de AVG ook voor bedrijven buiten de EU?
Dat kan. Volgens de Europese Commissie geldt ze voor organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU, ook gratis, of die hun gedrag volgen. Waar je gevestigd bent, is niet de enige vraag; ook wie je gebruikers zijn telt mee.
Is een e-mailadres een persoonsgegeven?
Ja. Een persoonsgegeven is elke informatie die betrekking heeft op een geïdentificeerde of identificeerbare levende persoon. Namen, e-mailadressen, IP-adressen en cookie-ID's kunnen allemaal tellen.
Maakt het gebruik van een AVG-proof host mijn app compliant?
Nee. Een host kan compliance ondersteunen, maar jij bepaalt welke gegevens je app verzamelt, waarom, hoe lang ze worden bewaard en wie ze ziet. Die keuzes zijn aan jou om goed te maken.
Is deze gids juridisch advies?
Nee. Het is een algemene uitleg om je te helpen betere vragen te stellen. Voor je specifieke situatie kun je de officiële richtlijnen van de EU of je nationale toezichthouder voor gegevensbescherming raadplegen, of een gekwalificeerde adviseur inschakelen.