Privacyrecht

Een privacyrecht advocaat van Law & More helpt organisaties hun omgang met persoonsgegevens op orde te brengen en staat hen bij als er iets misgaat, zoals een datalek, een klacht of een onderzoek van de Autoriteit Persoonsgegevens. Wij werken voor ondernemers, werkgevers en instellingen, in het Nederlands en Engels. De eerste stap is een gratis kennismakingsgesprek, waarin wij uw vraag en eventuele termijnen bespreken.

Cliënten beoordelen Law & More op Klantenvertellen met een 9,6 uit 10 (81 beoordelingen, stand oktober 2026).

Waarmee helpen wij u?

• de basis op orde brengen: grondslagen, verwerkingsregister, privacyverklaring en DPIA;
• het opstellen en beoordelen van verwerkersovereenkomsten en contracten met IT-leveranciers;
• de inzet van AI-toepassingen en algoritmes die persoonsgegevens gebruiken;
• cameratoezicht en monitoring van personeel;
• cookies, analytics en online adverteren;
• een datalek: beoordelen, melden en de gevolgen beperken;
• een inzageverzoek, een klacht of een schadeclaim van een betrokkene;
• een onderzoek, last onder dwangsom of boete van de Autoriteit Persoonsgegevens.

Wat moet uw organisatie op grond van de AVG geregeld hebben?

Iedere verwerking van persoonsgegevens heeft een grondslag nodig, en uw organisatie moet kunnen aantonen dat zij de regels naleeft. Dat volgt uit de Algemene verordening gegevensbescherming (AVG), aangevuld met de Nederlandse Uitvoeringswet AVG.

Artikel 6 AVG noemt zes grondslagen, waaronder de uitvoering van een overeenkomst, een wettelijke plicht en een gerechtvaardigd belang. Toestemming is er maar één van, en vaak niet de handigste, omdat de betrokkene die altijd mag intrekken. Voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, geldt in beginsel een verwerkingsverbod met beperkte uitzonderingen (artikel 9 AVG).

Daarnaast heeft de AVG een aantal vaste verplichtingen:

• een register van verwerkingsactiviteiten (artikel 30 AVG);
• een gegevensbeschermingseffectbeoordeling (DPIA) bij verwerkingen met een hoog risico (artikel 35 AVG);
• een verwerkersovereenkomst met iedere partij die gegevens in uw opdracht verwerkt (artikel 28 AVG);
• een duidelijke privacyverklaring voor betrokkenen (artikel 13 en 14 AVG);
• passende beveiliging (artikel 32 AVG) en in bepaalde gevallen een functionaris gegevensbescherming (artikel 37 AVG).

Een privacyrecht advocaat brengt in kaart welke verplichtingen voor uw organisatie gelden en stelt de documenten op of beoordeelt ze.

Wat mag u als werkgever en bij cameratoezicht?

Een werkgever mag werknemers controleren, maar alleen met een gerechtvaardigd doel, zo beperkt mogelijk en in beginsel niet heimelijk. Heeft uw onderneming een ondernemingsraad, dan heeft die instemmingsrecht bij regelingen voor personeelsvolgsystemen en de verwerking van personeelsgegevens (artikel 27 Wet op de ondernemingsraden).

Voor camera's in een kantoor of winkel maakt u vooraf een afweging: is er een concreet belang, zoals diefstal, en zijn er geen minder ingrijpende middelen? Medewerkers en bezoekers moeten weten dat er camera's hangen. Heimelijk cameratoezicht is alleen bij een concreet vermoeden en voor korte tijd verdedigbaar. Monitoring van e-mail en internetgebruik vraagt dezelfde afweging en een helder beleid. Een privacyrecht advocaat toetst uw plannen voordat u ze invoert, samen met onze collega's arbeidsrecht.

Welke regels gelden voor AI, cookies en online adverteren?

Voor AI-toepassingen met persoonsgegevens gelden de gewone AVG-regels, en voor cookies geldt daarnaast de Telecommunicatiewet. Bij AI gaan de meeste vragen over doelbinding en transparantie: weet de betrokkene waarvoor zijn gegevens worden gebruikt?

Een besluit dat uitsluitend op geautomatiseerde verwerking berust en iemand in aanmerkelijke mate treft, is in beginsel niet toegestaan (artikel 22 AVG). Daarnaast is de Europese AI-verordening op 1 augustus 2024 in werking getreden; haar verplichtingen gelden gefaseerd. Een DPIA is bij AI-toepassingen met persoonsgegevens vaak verplicht.

Voor het plaatsen en uitlezen van cookies heeft u vooraf toestemming nodig, tenzij de cookie functioneel is of alleen beperkte analytics meet (artikel 11.7a Telecommunicatiewet). Tracking cookies, remarketing en de meeste advertentiepixels vragen dus voorafgaande, vrije en geïnformeerde toestemming. De Autoriteit Persoonsgegevens controleert actief op cookiebanners.

Wat doet u bij een datalek of een onderzoek van de toezichthouder?

Een datalek met risico voor de betrokkenen meldt u binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Is het risico hoog, dan informeert u ook de betrokkenen zelf zonder onnodige vertraging (artikel 34 AVG).

Ieder datalek legt u intern vast, ook als u het niet hoeft te melden. Maakt een leverancier de fout, dan moet die u informeren op grond van de verwerkersovereenkomst. Daarna komen vragen over aansprakelijkheid en schadevergoeding: een betrokkene kan materiële en immateriële schade vorderen (artikel 82 AVG).

De Autoriteit Persoonsgegevens kan een last onder dwangsom of een boete opleggen. De hoogste boetes bedragen 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, als dat hoger is (artikel 83 AVG). Tegen een besluit van de toezichthouder maakt u binnen zes weken bezwaar; daarna is beroep bij de rechtbank mogelijk. Een privacyrecht advocaat begeleidt u bij de melding, de correspondentie met de toezichthouder en een eventuele procedure.

Hoe snel moet u een inzageverzoek beantwoorden?

Een verzoek van een betrokkene, zoals een inzageverzoek, beantwoordt u binnen één maand (artikel 12 en 15 AVG). Bij complexe of veel verzoeken mag u die termijn met twee maanden verlengen, als u de betrokkene binnen de eerste maand laat weten waarom.

Hoe werkt een traject met Law & More?

1. Kennismaking. In een gratis gesprek bespreken wij uw vraag en welke termijnen lopen, zoals de meldtermijn van 72 uur.
2. Advies en kosteninschatting. Uw privacyrecht advocaat beoordeelt uw situatie en documenten en geeft aan wat nodig is, met een inschatting van de kosten.
3. Aanpak. Wij stellen documenten op, voeren overleg met leveranciers, betrokkenen of de toezichthouder en leggen afspraken vast.
4. Procedure of afronding. Lukt een regeling niet, dan procederen wij in bezwaar, bij de rechtbank of in een civiele zaak.

Wat kost een privacyrecht advocaat?

Het uurtarief van een advocaat bij Law & More ligt tussen 250 en 350 euro exclusief btw; voor een partner is dat 300 tot 400 euro exclusief btw. Wij bespreken het tarief en een inschatting van de kosten altijd vooraf.

Het kennismakingsgesprek is gratis. Een los adviesgesprek zonder verdere begeleiding kost 300 euro inclusief btw. Gefinancierde rechtsbijstand (een toevoeging) via de Raad voor Rechtsbijstand bestaat, maar Law & More werkt niet op die basis. Externe kosten, zoals griffierecht, komen apart.

Wie behandelt uw zaak?

Privacyzaken worden behandeld door Aylin Acar, die bij Law & More werkt als privacyrecht advocaat en daarnaast arbeidsrecht en familierecht doet. Meer over haar leest u in ons teamoverzicht. Privacy maakt deel uit van ons ICT-recht.

Welke artikelen helpen u verder?

• Verwerkingsregister, DPIA en datalek: welke AVG-verplichtingen vergeten mkb-bedrijven vaak?
• Verwerkersovereenkomst opstellen
• AVG en AI: persoonsgegevens in algoritmes
• Personeelsmonitoring en privacy
• Cameratoezicht op kantoor en in de winkel
• Tracking cookies, analytics en remarketing
• Cybersecurity en aansprakelijkheid bij een datalek

Veelgestelde vragen

Wanneer schakelt u een privacyrecht advocaat in?

Een privacyrecht advocaat is nuttig voordat u een nieuwe verwerking start, zoals een AI-toepassing, cameratoezicht of een nieuw softwarepakket. Dan kunt u grondslag, DPIA en contracten nog goed regelen. Bij een datalek, een klacht of een brief van de Autoriteit Persoonsgegevens is snel advies belangrijk, omdat termijnen kort zijn, zoals de meldtermijn van 72 uur.

Heb ik toestemming nodig om persoonsgegevens te verwerken?

Niet altijd. Toestemming is één van de zes grondslagen in artikel 6 AVG. Vaak past een andere grondslag beter, zoals de uitvoering van een overeenkomst, een wettelijke plicht of een gerechtvaardigd belang. Toestemming kan de betrokkene namelijk altijd intrekken. Voor tracking cookies en direct marketing per e-mail is toestemming in de regel wel nodig.

Wanneer heb ik een verwerkersovereenkomst nodig?

U heeft een verwerkersovereenkomst nodig zodra een andere partij persoonsgegevens in uw opdracht verwerkt, bijvoorbeeld een salarisadministrateur, hostingpartij of softwareleverancier (artikel 28 AVG). In die overeenkomst staan onder meer de beveiliging, geheimhouding, het inschakelen van subverwerkers en wat er gebeurt bij een datalek. Een standaardovereenkomst van de leverancier is niet altijd volledig.

Moet ik ieder datalek melden?

Nee. U meldt een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de rechten van de betrokkenen. Bij een hoog risico informeert u ook de betrokkenen zelf. Ieder datalek, ook een niet-gemeld lek, legt u wel intern vast, zodat u later kunt verantwoorden waarom u niet heeft gemeld.

Welke boete kan de Autoriteit Persoonsgegevens opleggen?

Voor de zwaarste overtredingen kan de Autoriteit Persoonsgegevens een boete opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, als dat hoger is (artikel 83 AVG). Bij de hoogte kijkt de toezichthouder onder meer naar de ernst, de duur en de maatregelen die u heeft genomen. Ook een last onder dwangsom of een berisping is mogelijk.

Mag ik mijn personeel monitoren?

Ja, maar alleen met een gerechtvaardigd doel, zo beperkt mogelijk en in beginsel niet heimelijk. Werknemers moeten vooraf weten wat u controleert en waarom. Heeft uw onderneming een ondernemingsraad, dan heeft die instemmingsrecht bij een regeling voor personeelsvolgsystemen. Bij een concreet vermoeden van fraude kan tijdelijke, gerichte controle verdedigbaar zijn.

Twijfelt u over uw positie? Leg uw situatie aan ons voor. Wij laten u binnen één werkdag weten wat uw opties zijn. Neem contact met ons op, bel 040 - 369 06 80 of mail naar info@lawandmore.nl.

Law & More, Marconilaan 13, 5612 HM Eindhoven (040 - 369 06 80) en bezoeklocatie Pietersbergweg 291, 1105 BM Amsterdam (020 - 369 71 21). Bereikbaar maandag tot en met vrijdag 08:00-22:00, zaterdag en zondag 09:00-17:00.

Deze pagina geeft algemene informatie en vervangt geen advies over uw specifieke situatie.