Inleiding

Bij de ontwikkeling van de AI Professional Vaardigheden-training liep ik steeds tegen dezelfde vraag aan: wanneer is zo’n training eigenlijk effectief? De AI-verordening bleek een bruikbaar begin te geven. Zij definieert AI-geletterdheid als drie dingen tegelijk: kennis, vaardigheid én begrip (artikel 3, lid 56). Sinds 2 februari 2025 verplicht artikel 4 aanbieders (wie een AI-systeem ontwikkelt of onder eigen naam op de markt brengt) en gebruiksverantwoordelijken (de partij die een AI-systeem onder eigen verantwoordelijkheid inzet, art. 3 lid 4) om maatregelen te nemen die een toereikend niveau van AI-geletterdheid bij hun personeel waarborgen. De verantwoordelijkheid ligt dus bij de organisatie en niet bij de individuele medewerker. Het onderscheid tussen de drie lagen verklaart waarom zoveel AI-trainingen ontoereikend blijken.

Het huidige aanbod van trainingen en opleidingen valt grofweg in twee categorieën. Het aanbod uit de ene levert kennis: hoe een taalmodel werkt, wat de AI-verordening ongeveer regelt, waarom je niet zomaar alles in ChatGPT plakt. Het aanbod uit de andere categorie levert vaardigheid: prompts schrijven, met agents werken, MCP’s opzetten. Allebei nuttig, maar allebei laten ze de derde laag liggen.

---

Begrip is de moeilijkste laag

Kennis kun je overdragen in een ochtend. Vaardigheid kun je oefenen. Begrip moet je opbouwen, en dat gaat trager, omdat het niet over feiten of handelingen gaat maar over oordeelsvermogen.

Begrip is wat je in staat stelt een toepassing te beoordelen die je nog nooit eerder hebt gezien. Een collega die wéét dat AI kan hallucineren (kennis) en die ChatGPT vlot bedient (vaardigheid), mist alsnog iets essentieels: is dít specifieke gebruik in déze context verantwoord, en hoe leg ik dat uit? Begrip maakt het verschil tussen een checklist afvinken en snappen waaróm de checklist zegt wat hij zegt, zodat je ook kunt handelen als je checklist tekortschiet.

Om deze reden is begrip de laag die het meeste oplevert en het minst wordt aangeboden: het is het lastigst om te ontwikkelen.

---

Bewustwordingstraining is de verkeerde naam

Veel van het huidige AI-trainingsaanbod bestaat voor een groot deel uit zogenoemde bewustwordingstrainingen. Die naam dekt de lading echter niet. Deze trainingen willen namelijk geen bewustwording teweegbrengen, ze willen gedragsverandering.

Daar heb je drie dingen voor nodig. Mensen moeten weten wat ze moeten doen. Ze moeten weten hoe ze dat voor elkaar krijgen. En ze moeten de motivatie hebben om het ook daadwerkelijk anders te gaan doen.

Tot zover lopen bewustwording en geletterdheid parallel. Weten wát lijkt op kennis, weten hóe lijkt op vaardigheid. Bij de derde laag wordt het interessant. Begrip levert een reden om het goed te doen: wie snapt waarom een regel bestaat, heeft een motief dat verder reikt dan de regel zelf. Maar een motiverende reden is geen garantie. Begrip zegt niets over de vraag of dat motief het wint van tijdsdruk of gemak. Wie het waarom niet snapt, valt vrijwel zeker terug in oude patronen. Maar zelfs als je wél snap waarom, kan het nog steeds gebeuren. Daar kun je honderd weetjes en vaardigheden tegenaan gooien, en het is niet genoeg.

---

De omgeving

Hier is niet alles mee gezegd. De drie voorwaarden voor gedragsverandering zijn interne beweegredenen: ze gaan over wat er in het hoofd van de medewerker gebeurt. Er is een vierde component waarmee gedragsverandering en geletterdheid staan of vallen, en die zit buiten dat hoofd. Mensen moeten de mogelijkheid krijgen om het goed te doen.

Neem een medewerker die snel een klantmail wil samenvatten met een AI-tool. Wat hij moet doen is duidelijk: geen persoonsgegevens of bedrijfsvertrouwelijke data in een publieke chatbot plakken. De manier waarop doet er ook toe: anonimiseren, of de goedgekeurde tool van de organisatie gebruiken. Als hij begrijpt waarom, dan weet hij dat die data via de prompt in de logs of het trainingscorpus van een derde partij belandt, met een datalek en meldplicht als reëel gevolg.

Toch kan het misgaan. Stel dat de organisatie geen bruikbaar alternatief biedt, of dat de goedgekeurde tool traag en omslachtig is. Dan is de drempel om het goed te doen simpelweg te hoog. De medewerker grijpt naar schaduw-AI, niet uit onwil, maar omdat de rekening voor de zorgvuldige route bij hem terechtkomt en de rekening voor de andere route pas veel later bij iemand anders. Je kunt er honderd bewustwordingstrainingen tegenaan gooien. Tegen een omgeving die het foute gedrag beloont met snelheid en het goede gedrag bestraft met gedoe, zijn kennis en vaardigheid niet toereikend. Een omgeving die het goede gedrag ondersteunt, ontstaat niet vanzelf. Het is de uitkomst van keuzes die iemand moet maken, vastleggen en onderhouden.

---

Begrip cultiveer je, uitleggen is niet genoeg

Terug naar de derde laag, want die vraagt iets soortgelijks. Begrip ontstaat door zelf te oordelen. Horen hoe een ander oordeelt levert kennis op. Aan kennis ontbreekt het echter niet.

Dat er hoe dan ook geoordeeld moet worden, volgt uit hoe regels werken. Een regel bevat namelijk nooit de regel voor zijn eigen toepassing. Je kunt vastleggen dat er geen persoonsgegevens in een publieke tool gaan, maar of een geanonimiseerde klachtmail met een uniek dossiernummer daaronder valt, staat niet in die regel. Ergens houdt de uitleg op en moet iemand oordelen. Wie dat nooit geoefend heeft, houdt zich aan de letter en loopt vast zodra de casus afwijkt van het voorbeeld uit de training.

Bij de AIPV werken we met de casussen die in jouw organisatie al spelen. Algemene voorbeelden zijn nuttig om de regel scherp te krijgen, maar de oefening zit in de gevallen waarover de mensen zelf van mening verschillen. Die onenigheid is het materiaal. Zolang iedereen het eens is, oefen je namelijk geen oordeelsvermogen maar herhaal je een regel.

Dat kost tijd, en dat is de echte reden dat trainingen zich focussen op kennis en vaardigheid. Begrip laat zich niet in een ochtend wegzetten en niet afvinken met een toets.

---

Waarom je die twee niet los kunt aanpakken

Begrip zonder omgeving levert medewerkers op die precies kunnen uitleggen waarom ze zojuist de verkeerde tool hebben gebruikt. Omgeving zonder begrip levert een keurig ingerichte infrastructuur op die niemand toepast op het geval dat er net buiten valt.

Ze corrigeren elkaar bovendien. Zodra je met een werkgroep de eigen toepassingen langsloopt, komen de gaten in de omgeving vanzelf boven water, want dat zijn precies de plekken waar mensen op vastlopen. En andersom dwingt elke keuze over tools, beleid of verantwoordelijkheden tot een oordeel over waaróm die keuze zo uitvalt. Dat is begrip in de praktijk.

Hier ligt ook het punt dat in de discussie over artikel 4 van de AI-verordening vaak wordt overgeslagen. De verplichting rust op de aanbieder en de gebruiksverantwoordelijke, en het gaat om maatregelen: alles wat nodig is om een toereikend niveau van geletterdheid te waarborgen. Een cursusaanbod is daar één invulling van, en gezien het bovenstaande niet de meest voor de hand liggende. Wie alleen traint en de omgeving laat zoals hij is, heeft iets gedaan, maar niet noodzakelijk wat artikel 4 vraagt.

---

Tot slot

AI-geletterdheid is geen certificaat maar een toestand die je onderhoudt. De vraag is dus niet of je medewerkers een training hebben gevolgd. De vraag is of iemand in jouw organisatie volgende maand een AI-toepassing kan beoordelen die vandaag nog niet bestond, en of de omgeving diegene daarna in staat stelt om er iets mee te doen.

Op die twee vragen is het AI-Professional Vaardigheden-programma gebouwd. Het oordelen oefen je op de toepassingen die bij jou al draaien, en juist op de gevallen waarover je collega’s het onderling oneens zijn. Daarnaast loopt de organisatie de thema’s van het AI Maturity Model langs, waarbij elk bedrijfsonderdeel vanuit zijn eigen rol bekijkt wat verantwoord AI-gebruik daar betekent.

Wat de organisatie overhoudt is een ontwikkelplan: welke tools er nodig zijn en welke weg kunnen, welk beleid ontbreekt, en wie waarvoor verantwoordelijk is. Verankerd in de AVG, de AI-verordening en de regels van je eigen sector. Dat is tegelijk je dossier voor artikel 4: een vastgelegde afweging over wat een toereikend niveau in jouw context betekent en wat je eraan doet.

Kennis en vaardigheid krijg je erbij. Maar het gaat om die derde laag, en om de omgeving die mensen de mogelijkheid geeft om het goed te doen. De AIPV loopt in zes sessies in-company en is gebouwd voor iedereen die AI-gebruik binnen hun organisatie onder controle willen krijgen. De eerste groep start op 5 oktober. Wil je weten of jouw organisatie die vraag van hierboven volgende maand kan beantwoorden, neem dan contact op met hallo@privacy1.nl.

---

Geschreven door Dirk Walgien.

3 september 2026

Inleiding

Zaterdag 15 augustus 2026 gaat de Cyberbeveiligingswet (Cbw) officieel van kracht. Daarmee zet Nederland de Europese NIS2-richtlijn om in nationale wetgeving. Ruim 8.000 organisaties krijgen te maken met nieuwe verplichtingen.[1] Zo moeten deze organisaties risico’s beoordelen, passende beveiligingsmaatregelen nemen, significante incidenten melden en zich registreren in het nationaal entiteitenregister.[2] Ook het bestuur krijgt nadrukkelijk een rol.

Maar laten we de wet eens niet bekijken vanuit het perspectief van de organisatie of de toezichthouder. Laten we aan de andere kant van het scherm gaan zitten. Wat zijn de gevolgen voor hackers wanneer organisaties aan de Cyberbeveiligingswet voldoen?

---

[1] Het gaat om organisaties in 18 kritieke sectoren die essentiële of belangrijke diensten verlenen. Denk onder meer aan energie, zorg, vervoer, digitale infrastructuur, drinkwater en overheid.

[2] Registratie als essentiële of belangrijke entiteit vindt plaats in het nationaal entiteitenregister van het Nationaal Cyber Security Centrum (NCSC).

---

---

Een hacker zoekt geen uitdaging, maar opbrengst

Het beeld in films van de briljante hacker die nachtenlang probeert één zwaarbeveiligd systeem te kraken, klopt meestal niet. Veel cybercriminelen werken bedrijfsmatig. Zij zoeken naar schaalbare aanvallen, bekende kwetsbaarheden, gestolen wachtwoorden en medewerkers die zich onder tijdsdruk laten misleiden. Hoe eenvoudiger de toegang en hoe groter de mogelijke opbrengst, hoe aantrekkelijker het doelwit.

Daarom is cyberbeveiliging ook een economisch vraagstuk. Een organisatie hoeft niet onhackbaar te worden, dat is simpelweg onmogelijk. Zij moet de inspanning en het risico voor een aanvaller vergroten en tegelijkertijd de mogelijke opbrengst verkleinen. Precies daar kan de Cyberbeveiligingswet een verschil maken.

---

Wie zijn zwakke plekken kent, kan ze sluiten

Een belangrijk onderdeel van de Cyberbeveiligingswet is de zorgplicht.[1] Deze verplicht organisaties om passende maatregelen te nemen om de risico’s voor hun cyberbeveiliging te beheersen. De zorgplicht begint met een risicoanalyse.[2] Dat klinkt administratief, maar voor een hacker heeft het praktische gevolgen. Een organisatie die haar kroonjuwelen kent, weet welke systemen, gegevens en processen extra bescherming nodig hebben. Zij weet ook welke dreigingen waarschijnlijk zijn en welke kwetsbaarheden als eerste moeten worden aangepakt.

Door het nemen van maatregelen verdwijnen veel voor de hand liggende ingangen. Zo kan verouderde software worden bijgewerkt, worden onnodig openstaande verbindingen gesloten, krijgen accounts alleen de noodzakelijke rechten en kunnen kritieke systemen worden gescheiden van minder gevoelige omgevingen. Een aanvaller kan dan niet meer via één vergeten account of slecht beheerde laptop ongehinderd door het hele netwerk bewegen.

De zorgplicht maakt de eerste stap van de aanval moeilijker. De Cyberbeveiligingswet schrijft hiervoor tien zorgplichtmaatregelen voor, waaronder risicoanalyse, incidentrespons, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne en toegangsbeheer.

---

[1] Artikel 21 Cbw.

[2] Artikel 21 lid 3 sub a Cbw.

---

Gestolen wachtwoorden verliezen hun waarde

Veel aanvallen beginnen niet met geavanceerde malware, maar met een geldig wachtwoord. Phishing, wachtwoordhergebruik en gelekte inloggegevens geven criminelen een ingang die er voor beveiligingssystemen soms uitziet als normaal gebruik.

Goed toegangsbeleid zorgt ervoor dat gestolen wachtwoorden minder waardevol worden voor aanvallers.[1] Zo maakt meerfactorauthenticatie een gestolen wachtwoord op zichzelf minder bruikbaar en beperken functiegerichte autorisaties wat een gehackt account kan bereiken. Door accounts van oud-medewerkers en voormalige leveranciers tijdig in te trekken, wordt bovendien voorkomen dat zij toegang houden tot systemen. Logging en monitoring helpen tot slot om afwijkend gedrag snel te signaleren.

Voor een hacker betekent dit: meer barrières, minder bewegingsruimte en een grotere kans om ontdekt te worden.

---

[1] Artikel 21 lid 3 sub g jo. 21 lid 3 sub i Cbw.

---

Ransomware verliest een deel van haar drukmiddel

Ransomware is effectief wanneer een organisatie afhankelijk is van systemen die niet snel kunnen worden hersteld. De aanvaller versleutelt bestanden, legt processen stil en rekent op paniek. Zonder bruikbare back-ups of een getest herstelplan, kan betalen al snel als enige uitweg worden gezien.

De Cyberbeveiligingswet verlangt dat organisaties nadenken over bedrijfscontinuïteit, back-upbeheer, herstel en crisisbeheersing.[1] Wanneer back-ups actueel en getest zijn, neemt de macht van de aanvaller af. De organisatie kan dan nog steeds hinder en schade ondervinden, maar is minder afhankelijk van de sleutel of belofte van de aanvaller.

---

[1] Artikel 21 lid 3 sub c Cbw.

---

De leveranciersroute wordt smaller

Een organisatie kan haar eigen beveiliging goed regelen en toch kwetsbaar blijven via een IT-dienstverlener, softwareleverancier of andere ketenpartner. Aanvallers weten dat. Een zwakke leverancier kan toegang bieden tot tientallen of honderden klanten.

De Cyberbeveiligingswet verplicht organisaties om ook risico’s in de toeleveringsketen mee te nemen.[1] Daardoor zullen Cbw-organisaties hogere beveiligingseisen stellen, afspraken vastleggen, toegangsrechten beperken en leveranciers kritischer beoordelen. De wet werkt dus op deze manier indirect door naar organisaties die zelf niet binnen de formele reikwijdte vallen.

Voor hackers betekent dit dat een geliefde omweg minder betrouwbaar wordt. De leverancier blijft een mogelijk doelwit, maar een succesvolle aanval leidt minder vanzelfsprekend tot onbeperkte toegang tot alle klanten.

---

[1] Artikel 21 lid 2 sub d Cbw.

---

Sneller melden maakt herhaling minder effectief

Significante incidenten moeten zo snel mogelijk door de organisatie worden gemeld bij het Computer Security Incident Response Team (CSIRT) en de toezichthouder (AP). Dit moet in ieder geval binnen 24 uur nadat het incident is waargenomen. Dat helpt niet alleen de getroffen organisatie. Informatie over aanvalsmethoden, kwetsbaarheden en indicatoren kan ook worden gebruikt om andere organisaties te waarschuwen.

Voor cybercriminelen verkort dit de periode waarin dezelfde aanval ongemerkt bij meerdere slachtoffers kan worden herhaald. Zodra een werkwijze bekend is, kunnen organisaties hun detectie aanscherpen, kwetsbaarheden verhelpen en verdachte infrastructuur blokkeren.

De winst zit dus niet alleen in de beveiliging van één organisatie, maar in het vergroten van de collectieve weerbaarheid.

---

De mens blijft een ingang

Zelfs wanneer techniek, processen en contracten goed zijn ingericht blijft menselijk gedrag relevant. Een overtuigende phishingmail, een onverwacht telefoontje of een verzoek van een ogenschijnlijke bestuurder kan voldoende zijn om beveiligingsmaatregelen te omzeilen.

Daarom noemt de zorgplicht niet alleen technische maatregelen, maar ook cyberhygiëne en opleiding.[1] Medewerkers moeten niet alleen weten dat phishing bestaat. Zij moeten verdachte situaties leren herkennen, weten waar zij moeten melden en ervaren hoe gemakkelijk kleine handelingen informatie prijsgeven.

Dat is precies wat we bij Privacy1 tastbaar maken met Hack The Room. In deze privacy-escaperoom kruipen deelnemers zelf in de huid van een hacker. Ze ontdekken hoe informatie uit een onbeheerd document, een niet vergrendeld scherm, social media of menselijk vertrouwen kan worden gecombineerd tot een aanval. Zo wordt veilig omgaan met gegevens geen abstracte instructie, maar een ervaring die blijft hangen.

---

[1] Artikel 21 lid 3 sub g Cbw.

---

Maakt de wet hacken onmogelijk?

Nee. Ook een organisatie die aantoonbaar aan de Cyberbeveiligingswet voldoet, kan worden getroffen. Nieuwe kwetsbaarheden, menselijke fouten en gerichte aanvallen blijven bestaan. Cyber compliance is geen eenmalig certificaat, maar een doorlopend proces. Risicoanalyses, beveiligingsmaatregelen, oefeningen en controles moeten voortdurend worden uitgevoerd en bijgesteld.

Maar wanneer alle betrokken organisaties de wet serieus uitvoeren, verandert het speelveld wel degelijk. Hackers vinden minder eenvoudige ingangen en worden eerder opgemerkt. Aanvallen kosten meer tijd en geld, terwijl de kans op succes en opbrengst daalt.

De Cyberbeveiligingswet bouwt dus geen muur, maar zorgt voor meerdere gesloten deuren, betere sloten, alerte mensen en een organisatie die weet wat zij moet doen wanneer iemand toch binnenkomt.

Benieuwd hoe jouw team reageert als het zelf even in de huid van een hacker kruipt? Boek dan Hack The Room van Privacy1 en ontdek op een interactieve manier hoe kleine signalen kunnen uitgroeien tot een serieus beveiligingsrisico.

Geschreven door Fleur Kollmer, privacy- en IT-jurist.

13 augustus 2026

Inleiding

Op 26 maart 2025 is de European Health Data Space-verordening (EHDS) in werking getreden. De verordening wordt de komende jaren gefaseerd van toepassing en brengt aanzienlijke veranderingen met zich mee voor de beschikbaarheid, uitwisseling en het hergebruik van elektronische gezondheidsgegevens binnen de Europese Unie. In een eerdere blog bespraken wij al de gevolgen van de EHDS voor onderzoek in Nederland. In deze blog kijken wij naar de eerste zichtbare stappen in de Nederlandse implementatie van de verordening.

Op 18 mei 2026 bood minister Sterk (VWS) de Tweede Kamer een brief aan over de stand van zaken rond de implementatie van de EHDS. Hoewel de Nederlandse uitwerking nog volop in ontwikkeling is, bevat de Kamerbrief een aantal concrete keuzes en verkenningen op drie onderdelen: de Gezondheidsdata-autoriteit, de samenhang tussen de EHDS en de Wegiz en de invulling van burgerrechten via een toegangsdienst. Deze geven een eerste inkijk in de richting die Nederland opgaat.

---

---

Een Europees kader voor gezondheidsgegevens

De EHDS creëert een Europees kader voor zowel het primaire gebruik als het secundaire gebruik van elektronische gezondheidsgegevens. Bij primair gebruik gaat het om gegevens die worden verwerkt voor de zorgverlening aan de patiënt. Secundair gebruik ziet op het hergebruik van gezondheidsgegevens voor onder meer wetenschappelijk onderzoek, innovatie, beleidsvorming en statistiek. Hoewel de EHDS rechtstreeks van toepassing is in alle lidstaten, laat de verordening op verschillende onderdelen ruimte voor nationale invulling. Lidstaten moeten daarom aanvullende wetgeving vaststellen en instanties aanwijzen die uitvoering geven aan de verordening.

---

De Gezondheidsdata-autoriteit

De EHDS verplicht lidstaten om twee bevoegde instanties aan te wijzen: een Autoriteit voor Digitale Gezondheid (ADG) en een Health Data Access Body (HDAB). Deze instanties vervullen ieder een eigen rol. De ADG ziet daarbij op het primaire gebruik van gegevens in de zorg en de HDAB is verantwoordelijk voor het secundaire gebruik van gezondheidsgegevens.

De aanwijzing van deze instanties maakt onderdeel uit van de eerste tranche van de Nederlandse EHDS-uitvoeringswetgeving. Deze wordt uitgewerkt in het voorstel voor de Wet op het Gezondheidsinformatiestelsel (Wet GIS). Hoewel de EHDS deze functies afzonderlijk benoemt, biedt de verordening ruimte aan lidstaten om de organisatorische inrichting zelf vorm te geven. In de Kamerbrief geeft de minister aan te kiezen voor één ecosysteem: de Gezondheidsdata-autoriteit (GDA). Deze wordt als nieuw zelfstandig bestuursorgaan, zonder rechtspersoonlijkheid, ingericht en zal de taken uitvoeren die in de EHDS aan zowel de ADG als de HDAB worden toebedeeld.

De keuze om de ADG- en HDAB-taken bij één zbo te beleggen, lijkt vooral te zijn ingegeven door de samenhang tussen primair en secundair datagebruik. Beide vormen onderdeel van hetzelfde gezondheidsinformatiestelsel en maken naar verwachting gebruik van overlappende afsprakenstelsels, generieke functies en infrastructuren. Eén Gezondheidsdata-autoriteit kan daardoor als herkenbaar regiepunt fungeren.

De Kamerbrief geeft ook een eerste inkijk in de beoogde taakverdeling binnen de GDA. Voor het primaire gebruik van elektronische gezondheidsgegevens worden de taken van de ADG in de EHDS globaal omschreven. Lidstaten hebben daardoor de ruimte om deze rol nationaal nader in te vullen. Voor Nederland wordt daarbij onder meer gedacht aan het waarborgen van de werking en toegankelijkheid van systemen en technische voorzieningen, het informeren en betrekken van burgers en het zorgveld, de behandeling van klachten, samenwerking met toezichthouders en Europese samenwerking.[1]

Voor het secundaire gebruik zijn de taken van de HDAB in de EHDS concreter uitgewerkt. De GDA zal in dat kader onder meer aanvragen voor secundair gebruik toetsen, vergunningen verlenen voor toegang tot elektronische gezondheidsgegevens, toezicht houden op het gebruik van deze gegevens, zorgen voor transparantie en samenwerken met andere toezichthouders en Europese HDAB’s. Ook krijgt de GDA een rol bij het informeren van burgers over significante nevenbevindingen die relevant zijn voor hun gezondheid.[2]

---

[1] Artikel 19 EHDS.

[2] Artikel 57 EHDS.

---

Samenhang tussen de EHDS en de Wegiz

De EHDS werkt door in bestaande wetgeving zoals de Wet elektronische gegevensuitwisseling in de zorg (Wegiz). De Wegiz regelt op nationaal niveau de verplichte elektronische en gestandaardiseerde uitwisseling van bepaalde gegevens via algemene maatregelen van bestuur (AMvB’s).

Hoewel er inhoudelijke overlap bestaat tussen beide kaders, verschillen zij in reikwijdte en verplichtingen. De EHDS heeft als EU-verordening rechtstreekse werking en is leidend, waardoor nationale regelgeving waar nodig moet worden aangepast. Ook is het nodig om bepaalde verplichtingen uit de EHDS nader te implementeren en de keuzes uit de verordening verder vorm te geven. De uitwerking hiervan vindt plaats in het wetsvoorstel GIS.

---

Burgerrechten

Verder is een belangrijk onderdeel van de EHDS het versterken van de positie van burgers. De verordening geeft burgers onder meer het recht op inzage in hun gezondheidsgegevens, het recht op rectificatie en het recht om gegevens aan hun eigen elektronisch patiëntendossier (EPD) toe te voegen.[1] Deze rechten bouwen deels voort op bestaande rechten uit de AVG, maar krijgen binnen de EHDS een sectorspecifieke invulling voor elektronische gezondheidsgegevens. Om burgers in staat te stellen deze rechten daadwerkelijk uit te oefenen, verplicht de EHDS de lidstaten een toegangsdienst voor burgers in te richten. De EHDS laat lidstaten vrij in de vormgeving van deze dienst, maar stelt wel randvoorwaarden: de dienst moet publiek worden aangeboden, kosteloos zijn en voor iedereen toegankelijk, zodat burgers op een eenvoudige, veilige en privacyvriendelijke manier hun rechten kunnen uitoefenen.[2]

In de Kamerbrief geeft de minister aan dat deze toegangsdienst momenteel wordt verkend. Daarbij wordt onder meer gekeken naar de mogelijkheid om aan te sluiten bij bestaande initiatieven zoals Mijn Gezondheidsoverzicht. De verantwoordelijkheid voor deze toegangsdienst zal uiteindelijk worden belegd bij de op te richten zbo.

---

[1] HII EHDS.

[2] Artikel 4 EHDS.

---

Tot slot

De Kamerbrief van 18 mei 2026 laat zien dat de implementatie van de EHDS in Nederland in een volgende fase is gekomen. Met het voorstel voor de Wet GIS, de inrichting van de Gezondheidsdata-autoriteit en de verkenning van de toegangsdienst voor burgers wordt de Europese verordening steeds concreter vertaald naar nationale wetgeving en uitvoering.

De verdere uitwerking van de EHDS in Nederland krijgt stapsgewijs vorm. We ondersteunen organisaties graag bij het vertalen van deze ontwikkelingen naar de praktijk. Heeft u vragen over wat dit voor uw organisatie betekent? Dan denken wij bij Privacy1 graag mee!

---

Geschreven door Fleur Kollmer, privacy- en IT-jurist.

9 juli 2026

Inleiding

Het onderwijs omarmt het gebruik van AI, bewust èn onbewust. Docenten gebruiken het bij de voorbereiding van hun lessen, leerlingen gebruiken het bij het maken van huiswerk, en IT-leveranciers voegen AI functionaliteiten toe aan hun producten. Voor privacy professionals is dat laatste de grootste uitdaging: niet de AI die je bewust hebt ingevoerd, maar de AI die er al in zit zonder dat je het wist.

De Autoriteit Persoonsgegevens (hierna: AP) heeft deze uitdaging ook erkend en roept scholen en leveranciers van digitale leermiddelen op om transparanter te zijn over de verwerking van leerlinggegevens.[1] De aanleiding voor de oproep is de toenemende complexiteit van digitale ecosystemen en de verwevenheid met AI- en cloudleveranciers. Ook zijn er privacyrisico’s bij overnames van leveranciers door andere partijen. Hierdoor hebben scholen vaak onvoldoende zicht op wat er precies met persoonsgegevens van hun leerlingen en medewerkers gebeurt.

Hoewel de oproep van de AP zich richt op het onderwijs, zien wij bij Privacy1 dat dit probleem breder speelt. Naast scholen staan onder meer zorginstellingen en gemeenten voor precies dezelfde uitdaging. Ze zijn afhankelijk van leveranciers, maar hebben vaak onvoldoende inzicht in hun verwerkingen om hun transparantieverplichtingen richting betrokkenen vervullen.

Als organisatie moet je transparant zijn naar betrokkenen over de persoonsgegevens die je van hen verwerkt. Dit houdt in dat je duidelijk, open, en eerlijk moet zijn over hoe je persoonsgegevens verzamelt, gebruikt, en beheert. Hierbij wordt vaak gedacht aan een privacyverklaring op de website, maar transparantie begint veel eerder: met grip op je eigen verwerkingen. Want hoe kun je aan burgers, patiënten, leerlingen, of medewerkers uitleggen wat je met hun persoonsgegevens doet, als je dat zelf onvoldoende scherp hebt?

---

[1] https://www.autoriteitpersoonsgegevens.nl/actueel/privacyrisicos-voor-leerlingen-door-digitale-leermiddelen-in-de-klas

---

AVG-rollen en leveranciersmanagement

Transparantie begint met het helder krijgen van je AVG-rol: ben je verwerkingsverantwoordelijke, verwerker, of gezamenlijk verantwoordelijke? In de meeste gevallen is dit een simpele vaststelling: bepaal jij het doel en de middelen van de verwerking, dan ben je verwerkingsverantwoordelijke. Maar de AP benadrukt dat een leverancier onder omstandigheden zelf als verwerkingsverantwoordelijke kan worden aangemerkt wanneer deze buiten de gemaakte afspraken om de gegevens voor haar eigen doelen gaat gebruiken. De rolverdeling is belangrijk omdat de uitkomst ervan bepaalt hoe jouw organisatie de informatievoorziening naar betrokkenen moet inrichten. Maar we zien dat dit lang niet altijd goed gaat.

Daarom is leveranciersmanagement een essentieel onderdeel van privacy compliance. Een goede verwerkersovereenkomst alleen is niet voldoende. Om grip te krijgen op je leveranciers, moet je minimaal het volgende in kaart brengen:

• Welke gegevensstromen schuilen achter een dienst?
• Welke subverwerkers worden ingezet?
• Waar worden gegevens opgeslagen?
• Welke beveiligingsmaatregelen zijn getroffen?
• Hebben nieuwe functionaliteiten (zoals AI) gevolgen voor de verwerking?

Vraag daarom je leverancier om een datastroomdiagram en controleer of deze klopt met de afspraken in de verwerkersovereenkomst.

Controleer bovendien jaarlijks of het datastroomdiagram nog actueel is. Stuur je leverancier bijvoorbeeld ieder jaar in januari een verzoek om updates. Zijn er wijzigingen? Pas dan je verwerkersovereenkomst en privacyverklaring aan.

---

Privacy Governance

Voor Privacy Officers betekent grip op gegevensstromen dat zij niet alleen de AVG moeten begrijpen, maar ook de juiste vragen kunnen stellen, zoals: Welke informatie heb ik nodig om transparant te kunnen zijn naar betrokkenen? Welke contractuele afspraken zijn noodzakelijk? Welke risico’s ontstaan wanneer een leverancier onvoldoende inzicht geeft in zijn verwerkingen? En wanneer is dat reden om een leverancier niet te selecteren of bestaande afspraken te herzien?

Deze belangrijke vragen kun je alleen stellen als privacy al in een vroeg stadium onderdeel van de besluitvorming is. In de praktijk zien wij regelmatig dat Privacy Officers pas worden betrokken wanneer een nieuw systeem al is aangeschaft, een contract al is getekend of een samenwerking al is gestart. Hieruit blijkt het belang van een goede interne Privacy Governance, dat begint met heldere rollen en verantwoordelijkheden. Want wanneer deze niet duidelijk zijn afgebakend en belegd, ontstaat het risico dat privacyvraagstukken tussen afdelingen blijven hangen of over het hoofd worden gezien. Het is dus van belang dat je maandelijks overleg pleegt met de afdelingen inkoop en ICT zodat je op tijd op de hoogte bent van wijzigingen in jullie werkprocessen.

Dat vraagt ook iets van de positie van de Privacy Officer. Een Privacy Officer die onzichtbaar is of alleen wordt geraadpleegd wanneer er problemen ontstaan, kan zijn rol moeilijk effectief vervullen. Je blijft dan achter de feiten aanlopen, bent al je tijd kwijt aan brandjes blussen en komt er maar niet aan toe om structurele verbetering door te voeren. Medewerkers moeten weten waar zij terecht kunnen met vragen, twijfels of signalen. De Privacy Officer moet toegankelijk zijn, bijvoorbeeld door een wekelijks vragenuurtje te plannen.

Een effectieve Privacy Governance vraagt om meer dan alleen regels en procedures. Het gaat om samenwerking: de Privacy Officer moet zichtbaar en toegankelijk zijn, en in nauw contact staan met afdelingen als ICT, inkoop en HR. Pas als privacy integraal onderdeel wordt van de besluitvorming, kun je structureel grip houden op je verwerkingen. Voor een diepere blik op hoe wij Privacy Governance benaderen, is deze blog van mijn collega een waardevolle bron.

---

Transparantie is het resultaat van goede privacyorganisatie

Wanneer toezichthouders organisaties oproepen om transparanter te zijn, ligt de verleiding op de loer om direct te denken aan privacyverklaringen, informatiebrieven of communicatie richting betrokkenen. Maar transparantie is niet alleen een verzameling van documenten. Transparantie is het resultaat van een organisatie die haar privacyhuishouding op orde heeft.

Dat begint met het begrijpen van je eigen rol, het stellen van de juiste vragen aan leveranciers, en het verkrijgen van inzicht in de gegevensstromen waarvoor je verantwoordelijk bent. Vervolgens vraagt het om een organisatie waarin privacy structureel onderdeel is van besluitvorming, waarin taken en verantwoordelijkheden duidelijk zijn belegd en waarin medewerkers privacyrisico’s tijdig herkennen en bespreken.

Juist op die punten zien wij dat veel beginnende Privacy Officers behoefte hebben aan praktische handvatten. Niet alleen kennis van de AVG, maar vooral de vaardigheden om privacy binnen hun organisatie daadwerkelijk te organiseren.

---

Wil jij meer structuur aanbrengen in hoe jouw organisatie omgaat met privacy?

In onze opleiding Privacy Professional: Vaardigheden leer je aan de hand van onze praktische modellen alle vaardigheden die je nodig hebt om privacy in de praktijk te brengen. Met onze ervaring en inzichten zorgen we ervoor dat jij over de tools en competenties beschikt om privacy compliance cyclisch en dynamisch in jouw organisatie te verankeren. Zo wordt privacy een continue verbeterproces in plaats van een eenmalig project.

Kijk op onze opleidingspagina voor meer informatie of om je aan te melden!

---

Geschreven door Joren Kwee, privacy- en IT-jurist.

11 juni 2026

Inleiding

De AI-verordening treedt sinds 1 augustus 2024 gefaseerd in werking met het doel om AI-systemen te reguleren. Hoe groter het risico dat een systeem vormt voor mensen, hoe strenger de eisen. Het doel is veilige, transparante en grondrechten-respecterende AI binnen de Europese interne markt.

Op 20 april 2026 heeft staatssecretaris Aerdts de uitvoeringswet AI-verordening in internetconsultatie gebracht. Tot en met 1 juni 2026 kan iedereen reageren op het wetsvoorstel. Daarmee zet Nederland een concrete stap richting structureel nationaal toezicht op de Europese AI-verordening, die voor een groot deel al van kracht is. Dit is dan ook het moment om te weten waar je aan toe bent, en wat dit concreet van jouw organisatie vraagt.

---

Hoe is het toezicht georganiseerd?

Nederland kiest voor een hybride model met tien markttoezichthouders. Dat betekent: geen enkele centrale AI-autoriteit (zoals Spanje die met AESIA heeft opgericht), maar ook geen volledig gedecentraliseerd model. In plaats daarvan houdt elke toezichthouder toezicht op AI binnen het eigen domein. De Autoriteit Financiële Markten blijft verantwoordelijk voor financiële toepassingen, de Inspectie Gezondheidszorg en Jeugd voor zorgtoepassingen, de Nederlandse Arbeidsinspectie voor AI op de werkvloer, enzovoort. Organisaties krijgen daardoor zoveel mogelijk te maken met toezichthouders die zij al kennen.

Waarom deze keuze? Sectorale toezichthouders hebben al domeinkennis. De AFM weet hoe kredietverlening werkt, de IGJ kent de zorgketen. Een centrale AI-autoriteit zou die kennis vanaf nul moeten opbouwen. Tegelijk zou puur sectoraal toezicht versplintering opleveren. Daarom krijgen twee organisaties een centrale, coördinerende rol:

• De Autoriteit Persoonsgegevens (AP) wordt toezichthouder voor gebieden zonder aangewezen sectorale toezichthouder, én voor verboden AI-praktijken, transparantieverplichtingen en een groot deel van de hoog-risico toepassingen. Denk aan AI ingezet in werk, onderwijs en overheid.
• De Rijksinspectie Digitale Infrastructuur (RDI) krijgt samen met de AP een coördinerende rol, en wordt medeverantwoordelijk voor kennisopbouw, harmonisatie en de AI regulatory sandbox.

De sandbox is een begeleide omgeving waarin AI-aanbieders tijdens de ontwikkeling van hun systeem vragen kunnen voorleggen aan toezichthouders. Het doel is innovatie en naleving te combineren: organisaties krijgen vroegtijdig duidelijkheid over wat de wet van hen vraagt, zodat zij niet achteraf hoeven bij te sturen.

---

Eerst weten: ben je aanbieder of gebruiksverantwoordelijke?

Voordat je nadenkt over toezicht, is het zaak je eigen rol te bepalen. De AI-verordening maakt onderscheid tussen twee posities:

• Aanbieders ontwikkelen AI-systemen en brengen ze op de markt of nemen ze in gebruik onder eigen naam. Denk aan OpenAI (ChatGPT), Alphabet (Gemini), Microsoft (Copilot), enzovoort. Voor hen geldt het zwaarste pakket aan verplichtingen: risicobeheer, datakwaliteit, technische documentatie, conformiteitsbeoordeling.
• Gebruiksverantwoordelijken zetten AI-systemen in voor hun eigen doeleinden. De meeste organisaties vallen in deze categorie. De verplichtingen zijn lichter, maar niet onbelangrijk: zorgen voor menselijk toezicht, monitoren of het systeem werkt zoals bedoeld, en bij hoog-risico toepassingen impactanalyses uitvoeren.

Het onderscheid lijkt eenvoudig, maar de praktijk is vaak gelaagd. Een gemeente die Chat-GPT inzet voor het opstellen van conceptbeschikkingen is gebruiksverantwoordelijke. Maar als diezelfde gemeente een eigen chatbot ontwikkelt op basis van een onderliggend model, kan ze onder bepaalde omstandigheden alsnog aanbieder worden. Dat onderscheid bepaalt welke verplichtingen voor jou gelden, en wie jouw toezichthouder is.

---

Wat betekent dit concreet voor jouw organisatie?

De uitvoeringswet is nog in consultatie, maar dat betekent niet dat je kunt wachten. Belangrijke onderdelen van de AI-verordening zijn al van kracht, waaronder de regels over verboden AI-praktijken en de verplichting tot AI-geletterdheid. Organisaties doen er goed aan nu al te weten:

1. Welke AI-systemen je inzet en in welke risicocategorie deze vallen. Hoog-risico systemen, zoals AI bij sollicitatieprocedures, kredietverlening of uitkeringen, vallen onder strenge eisen op het gebied van risicobeheer, datakwaliteit en documentatie.
2. Welke toezichthouder voor jou relevant is. Werk je in de zorg, het onderwijs of als overheidsorganisatie? Dan is de AP hoogstwaarschijnlijk jouw aanspreekpunt. Werk je in finance, dan is dat de AFM.
3. Of je voldoet aan de transparantieverplichtingen. Gebruikers moeten weten wanneer zij met een chatbot communiceren of AI-gegenereerde content ontvangen. Deze verplichting volgt uit Art. 50 en wordt vanaf 2 augustus 2026 gehandhaafd.
4. Of je AI-geletterdheid op orde is. Artikel 4 van de AI-verordening verplicht aanbieders en gebruiksverantwoordelijken om passende maatregelen te nemen zodat medewerkers AI-systemen begrijpen en verantwoord kunnen inzetten.
5. Of je grip hebt op hoe AI binnen je organisatie wordt gebruikt. Heb je beleid, procedures en een register van AI-systemen? Of zetten medewerkers tools in zonder centraal overzicht? Zonder die basis worden de andere vier punten lastig te beheersen.

---

Niet wachten op de wet

De consultatie loopt tot 1 juni 2026. Daarna volgt advies van de Raad van State en behandeling door de Tweede Kamer. De definitieve uitvoeringswet is er dus nog niet. Maar de Europese AI-verordening zelf wel. Organisaties die nu beginnen met het in kaart brengen van hun AI-gebruik, hun governance en hun risicoclassificatie, bouwen een voorsprong op die straks het verschil maakt, en voorkomen zo dat naleving een kostbare crisisklus wordt.

---

Wil je weten waar jouw organisatie staat?

Privacy1 helpt organisaties bij het begrijpen en naleven van de AI-verordening. Of het nu gaat om een nulmeting van je AI-volwassenheid, het trainen van medewerkers op AI-geletterdheid, of juridisch advies over risicoclassificatie: wij vertalen de verordening naar de praktijk van jouw organisatie. Neem vrijblijvend contact op met een van onze adviseurs of stuur een bericht naar hallo@privacy1.nl.

---

Geschreven door Dirk Walgien

12 mei 2026

Inleiding

Telecombedrijf Odido, dat begin februari werd getroffen door een groot datalek, blijkt persoonsgegevens van voormalige klanten langer te bewaren dan het zelf aangeeft in de privacyverklaring. Het Financieele Dagblad meldt dat klanten die vijf tot tien jaar geleden zijn overgestapt naar een andere provider berichten hebben ontvangen dat hun gegevens mogelijk zijn buitgemaakt.[1] Dit terwijl Odido volgens de privacyverklaring stelt dat persoonsgegevens maximaal twee jaar na het einde van een contract worden bewaard.

Het incident bij Odido illustreert het belang voor organisaties om actief te waken over hoe lang persoonsgegevens worden bewaard. Niet alleen om te voldoen aan wettelijke verplichtingen, zoals de AVG, maar ook om het vertrouwen van klanten te behouden en gevolgen van datalekken te beperken. Hierbij zijn bewaartermijnen een belangrijk instrument. Om het belang hiervan te onderstrepen, bespreken we in deze blog de relevante wettelijke verplichtingen, hoe je als organisatie zelf bewaartermijnen kan vaststellen en wat er met persoonsgegevens moet gebeuren zodra een termijn is verstreken.

---

[1] Odido bewaart klantgegevens langer dan afgesproken, blijkt na datalek

---

Waarom zijn bewaartermijnen belangrijk?

Bewaartermijnen zijn belangrijk om te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor ze zijn verzameld. Het niet naleven van deze termijnen kan ernstige gevolgen hebben. Organisaties riskeren forse boetes en reputatieschade. Daarnaast kunnen betrokkenen, zoals werknemers of sollicitanten, een klacht bij de Autoriteit Persoonsgegevens (AP) indienen wanneer zij vermoeden dat de bewaartermijn wordt overschreden. Bovendien laat de situatie bij Odido zien dat het langdurig bewaren van persoonsgegevens onnodige risico’s met zich mee kan brengen, zoals ingrijpende gevolgen bij datalekken of identiteitsfraude.  

---

Hoe bepaal je een bewaartermijn?

Omdat de AVG geen concrete bewaartermijnen voorschrijft, moeten organisaties zelf bepalen hoe lang persoonsgegevens worden bewaard. Het is belangrijk om zorgvuldig af te wegen in hoeverre het bewaren van de gegevens noodzakelijk is, tegenover de mogelijke nadelige gevolgen voor de betrokkenen.

Persoonsgegevens dienen niet langer dan noodzakelijk te worden bewaard, waarbij de noodzakelijkheid afhankelijk is van de specifieke situatie. Organisaties moeten zelf vaststellen wat in hun situatie passend is. Daarbij kan onder andere worden gekeken of er wettelijke verplichtingen gelden, zoals op grond van de Archiefwet of bewaarplichten voor de administratie, of dat er nog juridische procedures lopen. Daarnaast is het van belang te beoordelen hoe lang de gegevens nodig zijn voor het doel waarvoor ze worden verwerkt, bijvoorbeeld voor interne controles of openstaande facturen.[1]

---

[1] Bewaren van persoonsgegevens | Autoriteit Persoonsgegevens

---

Vastlegging

Het is belangrijk om de vastgestelde bewaartermijnen en de onderbouwing daarvoor te documenteren. Organisaties dienen bijvoorbeeld vast te leggen waarom voor een bepaalde termijn is gekozen en waarom dit passend is voor het doel van de verwerking. Dit kan worden opgenomen in het privacybeleid of het verwerkingsregister, zodat verantwoording kan worden afgelegd richting de AP. Daarnaast is het ook verstandig om de bewaartermijnen in de privacyverklaring te vermelden. Hiermee laten organisaties zien hoe lang persoonsgegevens worden bewaard, zodat betrokkenen hier duidelijkheid over hebben.

---

Na afloop

Zodra de wettelijke grondslag of het oorspronkelijke doel van de verwerking niet meer van toepassing is, moeten de gegevens worden verwijderd of geanonimiseerd. Concreet betekent dit bijvoorbeeld dat oude sollicitatiegegevens na het verstrijken van de bewaartermijn (automatisch) uit het systeem worden verwijderd, en dat financiële gegeven zoals de salarisadministratie na de wettelijk voorgeschreven termijn worden geanonimiseerd of verwijderd. Dit voorkomt dat persoonsgegevens onnodig lang bewaard blijven en minimaliseert risico’s zoals ingrijpende gevolgen bij datalekken of misbruik van gegevens. Het is daarom belangrijk dat organisaties duidelijke procedures hebben voor het opschonen van gegevens en dat medewerkers weten wie verantwoordelijk is voor het uitvoeren van deze taken. Door systematisch te controleren welke gegevens nog nodig zijn en welke kunnen worden verwijderd, kunnen organisaties zowel voldoen aan de AVG als het vertrouwen van betrokkenen behouden. 

---

Wil je meer weten over hoe je bewaartermijnen binnen je organisatie op een verantwoorde manier kunt vaststellen en naleven, of heb je andere privacygerelateerde vragen? Neem vrijblijvend contact op met een van onze juristen of stuur een bericht naar hallo@privacy.nl.

---

Geschreven door Emmy Zhang, Privacy & IT-jurist.

18 maart 2026

Inleiding

In december 2025 meldt de gemeente Eindhoven een datalek waarbij persoonsgegevens van burgers zijn betrokken.[1] Medewerkers maakte in hun dagelijkse werkzaamheden gebruik van openbare AI-tools, zoals ChatGPT. Door het uploaden van duizenden bestanden met persoonsgegevens van zowel inwoners als collega’s naar publieke AI-websites ontstond een ernstig datalek. De gemeente heeft het incident bij de Autoriteit Persoonsgegevens gemeld en heeft de toegang tot openbare AI-tools geblokkeerd. Ook heeft de gemeente aangekondigd het beleid rondom het gebruik van AI naar aanleiding van dit incident aan te scherpen.

Het gebruik van AI-tools binnen organisaties groeit snel. Medewerkers zetten tools zoals ChatGPT en Copilot steeds vaker in om werk te versnellen of repetitieve taken te automatiseren. Tegelijkertijd brengt dit verschillende risico’s met zich mee, met name op het gebied van privacy en databeveiliging. In dit artikel gaan we dieper in op het gebruik van AI op de werkvloer, met als doel inzicht te geven in de kansen, risico’s en goede praktijken voor veilig en verantwoord gebruik van AI binnen organisaties.

---

[1] Datalek openbare AI in Eindhoven | Gemeente Eindhoven

Risico’s en aandachtspunten

Hoewel het gebruik van AI-tools veel voordelen met zich meebrengt, zijn er ook belangrijke risico’s en aandachtspunten waar organisaties rekening mee moeten houden. Met name wanneer medewerkers persoonsgegevens, bedrijfsgeheimen of andere gevoelige informatie invoeren in openbare AI-tools, komt deze informatie onbedoeld buiten de organisatie terecht. Dit kan niet alleen leiden tot de schending van de AVG, maar ook tot datalekken en reputatieschade of juridische consequenties voor de organisatie. Daarnaast dient men rekening te houden met het feit dat AI-tools gegevens opslaan en actief leren van (eerdere) input. Zelfs wanneer er geen directe persoonsgegevens of bedrijfsgeheimen worden ingevoerd, kunnen interne informatie, klantgegevens of strategische overwegingen door middel van context of voorbeelden indirect worden gelekt. Hierdoor kan vertrouwelijke informatie alsnog onbedoeld beschikbaar komen voor derden.

Kortom, zonder duidelijke richtlijnen en bewustwording kunnen AI-tools een bedreiging vormen voor de bescherming van persoonsgegevens en bedrijfsinformatie. Ongeremd gebruik van AI brengt dan ook sneller risico’s dan kansen met zich mee. Hierdoor is het van belang om het gebruik van AI door medewerkers bewust te reguleren en te structureren, zodat voordelen veilig kunnen worden benut.

Verantwoord gebruik van AI stimuleren

Het gebruik van AI-tools kan veel voordelen bieden, maar alleen als het op een bewuste en gecontroleerde manier gebeurt. Daarom is het belangrijk om interne strategieën en richtlijnen te ontwikkelen die het verantwoord gebruik van AI stimuleren, door middel van beleid, training en AI-geletterdheid onder medewerkers te bevorderen. Hieronder vind je een aantal praktische handvatten om verantwoord gebruik van AI binnen de organisatie te stimuleren.

1. Richtlijnen en beleid

Om AI-tools veilig en effectief in de workflow te integreren, is het belangrijk dat organisaties duidelijke richtlijnen en beleid opstellen. Dit geeft medewerkers heldere kaders waarbinnen zij AI kunnen gebruiken, zodat het meteen duidelijk is wat wel en niet is toegestaan. Praktische maatregelen die hierin kunnen worden opgenomen zijn bijvoorbeeld het blokkeren van bepaalde openbare AI-websites, het gebruik van uitsluitend goedgekeurde bedrijfsaccounts en het monitoren van AI-gebruik binnen de organisatie. Op deze manier ontstaat een gecontroleerde en overzichtelijke omgeving waarin AI op een verantwoorde manier kan worden ingezet.

2. Training en bewustwording van medewerkers

Het opstellen en implementeren van richtlijnen en beleid alleen is onvoldoende. Medewerkers moeten zich ook bewust zijn van de risico’s en weten hoe ze AI-tools op een veilige manier kunnen gebruiken. Regelmatige training en heldere communicatie zijn cruciaal om de richtlijnen daadwerkelijk tot leven te laten komen binnen de organisatie. Door medewerkers actief te trainen, wordt niet alleen hun kennis rondom AI vergroot, maar neemt ook de bewustwording van verantwoordelijk gebruik toe. Dit helpt om risico’s zoals datalekken, onjuiste output of ongeoorloofd gebruik te beperken en bevordert een bewuste omgang met AI. 

3. AI-geletterdheid

Het beschikken over kennis en inzicht in AI-tools is essentieel voor het ontwikkelen van de juiste vaardigheden en het verantwoord gebruik van AI. Hierbij is AI-geletterdheid van belang, wat in sommige gevallen een verplichting is onder de Europese AI Verordening. Dit betekent dat medewerkers voldoende kennis en vaardigheden moeten hebben om AI-tools op een verantwoorde manier in te zetten.[1] AI-geletterdheid gaat verder dan enkel technische kennis, het omvat ook inzicht in de sociale, ethische en praktische gevolgen van AI-gebruik. Door AI-geletterdheid te bevorderen, kunnen organisaties borgen dat medewerkers niet alleen weten hoe ze AI kunnen gebruiken, maar ook begrijpen welke impact hun gebruik kan hebben op collega’s, klanten en de organisatie als geheel.[2]

---

Slot

AI-tools bieden organisaties kansen om werkzaamheden sneller en efficiënter uit te voeren. Tegelijkertijd brengen ze aanzienlijke risico’s met zich mee, vooral op het gebied van privacy en databeveiliging. Het datalek van de gemeente Eindhoven illustreert hoe snel onzorgvuldig gebruik kan leiden tot ernstige gevolgen. Door het gebruik van AI bewust te reguleren, duidelijke richtlijnen en beleid op te stellen, medewerkers te trainen en AI-geletterdheid te bevorderen, kunnen organisaties de voordelen van AI veilig benutten en de risico’s minimaliseren. Verantwoord gebruik van AI is daarmee niet alleen een praktische noodzaak, maar ook een strategische keuze voor elke organisatie die AI-tools op de werkvloer inzet.

Wil je meer weten over hoe je het verantwoord gebruik van AI-tools binnen je organisatie kunt stimuleren, of heb je andere privacygerelateerde vragen? Met onze praktijkgerichte privacy-opleidingen en -trainingen helpen wij jouw organisatie om AI-bewust te werken. Neem vrijblijvend contact op met een van onze juristen of stuur een bericht naar hallo@privacy.nl.

[1] AI-geletterdheid | Autoriteit Persoonsgegevens

[2] Aan de slag met AI-geletterdheid | Autoriteit Persoonsgegevens

---

Geschreven door Emmy Zhang, Privacy & IT-jurist.

12 februari 2026

Aanleiding en belang

Privacy is geen vinkje op een checklist, maar een manier van werken die verankerd zit in de bedrijfscultuur. Organisaties die serieus met privacy omgaan, weten dat naleving niet begint bij het blindelings volgen van wetsregels, maar juist bij het bewustzijn en gedrag van de mensen binnen de organisatie. Desondanks zien veel organisaties dat de praktijk vaak hapert. Hoewel beleidsdocumenten en processen vaak aanwezig zijn, begrijpen medewerkers niet altijd het belang van privacy. Zonder dit draagvlak blijft compliance iets wat ‘van bovenaf wordt opgedragen’, in plaats van iets dat vanzelfsprekend een onderdeel is van de dagelijkse werkzaamheden. Om deze reden is privacybewustzijn de sleutel tot échte compliance en naleving van privacywetgeving. Door bewust te zijn van privacy, worden medewerkers in staat gesteld om niet alleen de waarde van privacy in te zien, maar ook de bijbehorende risico’s te begrijpen en hun gedrag hierop aan te passen. In deze blog worden daarom inzichten en praktische tips gedeeld om privacybewustzijn in de bedrijfscultuur te verankeren, zodat bereikt wordt dat privacy niet langer een verplichting is, maar een strategisch voordeel voor jouw organisatie. 

Praktische tips

Privacybewustzijn binnen een organisatie ontstaat niet vanzelf. Het vergt actieve betrokkenheid en voortdurende inspanning. Door privacy concreet, relevant en zichtbaar te maken, wordt een werkcultuur gecreëerd waarin privacy geen verplichting is, maar een vanzelfsprekend onderdeel van het dagelijks werk. Hieronder vind je een aantal praktische tips en handvatten om privacy concreet te maken en te verankeren in de bedrijfscultuur, om medewerkers te motiveren privacy actief te beschermen.

1. Begin bij bewustwording, niet bij regels

Hoewel wetgeving zoals de Algemene Verordening Gegevensbescherming (AVG) een juridisch kader biedt, ontstaat echte bewustwording pas wanneer medewerkers voelen waarom privacy ertoe doet. Naleving van privacywetgeving gaat niet alleen om boetes of sancties te voorkomen. Het gaat juist om het beschermen en verantwoord omgaan met persoonsgegevens en om het vertrouwen van mensen in de organisatie te respecteren.

2. Maak privacy concreet en relevant

In de praktijk kan privacy abstract of minder belangrijk lijken in verhouding met de dagelijkse werkzaamheden, maar in werkelijkheid krijgt iedereen er dagelijks mee te maken. Denk bijvoorbeeld aan het verwerken van sollicitaties door HR, het analyseren van klantgegevens of het beheren van IT systemen met vertrouwelijke informatie. Het is daarom belangrijk om privacyregels te koppelen aan dagelijkse werkzaamheden, waardoor privacy gaat ‘leven’ in de organisatie.

3. Zorg dat privacy geen extra last is

Privacy wordt in de praktijk vaak als een extra last ervaren. Veel medewerkers beschouwen privacyregels dan ook als een vertraging van hun werk, terwijl dit voorkomen kan worden door goed ingerichte processen. Automatisering en gestandaardiseerde processen waarin privacy structureel is meegenomen, maken het dan ook mogelijk om op een privacyvriendelijke manier te handelen zonder extra werkdruk. Het gebruik van tools en sjablonen, zoals modelovereenkomsten en standaardprocedures voor gegevensverwerkingsactiviteiten, ondersteunt medewerkers bij de naleving van privacywetgeving.

4. Maak van privacy een kernwaarde

Organisaties die op een transparante en verantwoorde manier omgaan met persoonsgegevens, winnen vertrouwen bij zowel klanten als andere stakeholders, wat de algehele reputatie en het imago van de organisatie versterkt. Dit vergt actieve communicatie richting medewerkers en het consequent integreren van privacy in bedrijfsprocessen en (interne) campagnes. Hierbij is het belangrijk dat het managementteam privacy ook als kernwaarde uitdraagt, zodat het beleid in de hele organisatie wordt verankerd. Hiermee wordt gerealiseerd dat privacy niet alleen een regel is, maar een kernwaarde die in ingebed in de organisatiecultuur en de dagelijkse praktijk.

5. Betrek en motiveer je medewerkers

De bescherming van privacy is een gedeelde verantwoordelijkheid waarbij een actieve houding van medewerkers wordt verwacht. Door medewerkers te betrekken bij privacy-initiatieven en hen input te laten leveren voor de ontwikkeling van bijvoorbeeld best practices op het gebied van gegevensbescherming, wordt het gevoel van betrokkenheid en eigenaarschap bevorderd.

Daarnaast is het belangrijk om te leren van fouten. Door medewerkers actief te betrekken en te informeren bij de reflectie en evaluatie van beveiligingsincidenten en datalekken, krijgen zij meer inzicht in hoe hun handelen kan bijdragen aan het voorkomen van toekomstige incidenten. Het bespreken van concrete voorbeelden of datalekken, in combinatie met praktische handvatten voor de toekomst, maakt privacy meer relevant en toepasbaar in de dagelijkse praktijk.

6. Organiseer trainingen en bewustwordingssessies

Tot slot zijn gerichte trainingen en bewustwordingssessies belangrijk voor het vergroten van het privacybewustzijn binnen de organisatie. Het aanstellen van Privacy Ambassadeurs en/of Coördinatoren binnen verschillende afdelingen, gecombineerd met trainingen en intervisies, helpt om het onderwerp privacy structureel onder de aandacht van medewerkers te houden. Daarnaast kan het simuleren van incidenten, zoals phishingmails, medewerkers ondersteunen bij het evalueren van hun gedrag en het bevorderen van gewenste best practices.

Tot slot

Privacy is geen eenmalig project, maar een continu proces. Dat geldt dus ook voor het verhogen van de privacybewustzijn binnen de organisatie. Door blijvend aandacht te besteden aan bewustwording, om medewerkers actief te betrekken en privacy structureel te verankeren in de bedrijfscultuur, wordt privacy een vanzelfsprekend onderdeel van de dagelijkse werkzaamheden. Op deze manier verandert privacy van een verplichting in een gedeelde verantwoordelijkheid en wordt het een strategische waarde voor de organisatie.

Wil je meer weten over hoe je medewerkers privacybewust maakt, of heb je andere privacygerelateerde vragen? Met onze praktijkgerichte privacy-opleidingen en -trainingen helpen wij jouw organisatie om privacybewust te werken. Neem vrijblijvend contact op met een van onze juristen of stuur een bericht naar hallo@privacy.nl.

---

Geschreven door Emmy Zhang, Privacy & IT-jurist.

29 januari 2026

In een interview met Wolters Kluwer gaat Marie-José Bonthuis, onze collega bij Privacy1  in op haar drijfveren, haar loopbaan in het privacy- en IT-recht en het belang van publiceren. Ze vertelt over haar eerste publicaties, haar visie op privacywetgeving, haar inspiratiebronnen en haar ambitie om privacyvriendelijke gegevensuitwisseling beter te ontwerpen — ook internationaal.

Daarnaast deelt zij haar advies aan jonge juristen en privacyprofessionals: “Als je iets nieuws kunt toevoegen, moet je gewoon gaan schrijven”

👉 Lees het volledige interview op de website van Wolters Kluwer
Direct het boek kopen? Klik dan [hier]
Direct naar de opleiding tot Senior privacy Professional? Klik dan [hier]

---

23 januari 2026

Inleiding

Op 19 november 2025 heeft de Europese Commissie het Digitale Omnibus-pakket aangeboden, met daarin een set aan voorstellen met als doelstelling om bestaande digitale wetgeving te vereenvoudigen en om administratieve lasten voor organisaties te verminderen.[1] Daarmee beoogt het pakket veranderingen mee te brengen voor (onder andere) de AI Act, de e-Privacy Richtlijn, de Data (Governance) Act en de Algemene Verordening Gegevensbescherming (AVG). Hoewel het hoofddoel van de Omnibus is om digitale Europese wetgeving te harmoniseren en om de naleving daarvan voor organisaties in de praktijk te vereenvoudigen, is er ook kritiek op de mogelijke gevolgen hiervan voor privacy en fundamentele rechten.[2] Zo waarschuwt de Autoriteit Persoonsgegevens (AP) in een persbericht dat de komst van de Digitale Omnibus niet ten koste mag gaan van de fundamentele rechten en de bescherming van persoonsgegevens van betrokkenen.[3]

In dit artikel worden de gevolgen die de Digitale Omnibus teweegbrengt voor de AVG geanalyseerd, welke veranderingen dit met zich meebrengt voor de verwerking van persoonsgegevens, en welke kansen en aandachtspunten dit voor jouw organisatie oplevert. Het doel van dit artikel is om inzicht te geven in hoe jouw organisatie zich kan voorbereiden op de nieuwe regels en tegelijkertijd de privacy van betrokkenen kan waarborgen.

---

[1] Voorstel voor een digitale omnibusverordening | Shaping Europe’s digital future

[2] Zie bijvoorbeeld EU-wetswijzingen ‘digitale omnibus’ zorgelijk voor grondrechten | College voor de Rechten van de Mens

[3] AP over Europees voorstel om wetten te wijzigen: mag niet ten koste gaan van mensenrechten | Autoriteit Persoonsgegevens

Gevolgen voor de AVG

De Digitale Omnibus brengt een aantal belangrijke wijzigingen aan in de AVG.[1] Hierbij is een van de meest opvallende aanpassingen de (her)verduidelijking van het begrip persoonsgegevens. Zo kwalificeren gegevens die voor een organisatie niet redelijkerwijs te herleiden zijn tot een natuurlijke persoon, niet meer als persoonsgegevens onder de AVG. Dit vergemakkelijkt met name het gebruik van gepseudonimiseerde datasets. 

Daarnaast wordt het makkelijker om persoonsgegevens te gebruiken voor de training van AI-modellen. Met invoering van de Omnibus mogen persoonsgegevens op basis van het gerechtvaardigd belang worden verwerkt voor trainingsdoeleinden van AI-modellen en het doen van wetenschappelijk onderzoek, zonder dat daarbij toestemming van de betrokkene nodig is. Hierbij geldt voor residuele bijzondere persoonsgegevens als beperking dat deze slechts mogen worden verwerkt als de organisatie aantoonbaar alle mogelijke maatregelen heeft genomen om het gebruik van deze bijzondere persoonsgegevens te vermijden.

Bovendien vindt er een versoepeling plaats van de rechten van betrokkenen. Kleine organisaties hoeven voortaan minder informatie te verstrekken bij eenvoudige en niet-data-intensieve verwerkingen. Dit is vooral het geval wanneer de betrokkene waarschijnlijk al over de kerninformatie over de verwerking beschikt. Tevens wordt ook het inzagerecht enigszins beperkt, met een lagere drempel om inzage te weigeren of een vergoeding te vragen wanneer er sprake is van misbruik.

Verder brengt de Omnibus veranderingen voor de verplichting om een Data Protection Impact Assessment (DPIA) uit te voeren. De Europese Commissie beoogt één EU-brede lijst van verwerkingen vast te stellen waarvoor geen DPIA nodig is. Organisaties hoeven hierdoor minder vaak een DPIA ‘voor de zekerheid’ uit te voeren, wat bijdraagt aan meer uniformiteit en verlichting van de administratieve lasten.

Ten slotte wordt ook de meldplicht bij datalekken versoepeld. Alleen incidenten met een hoog risico voor betrokkenen moeten voortaan worden gemeld. Hierbij geldt dat de meldingstermijn van 72 uur wordt verschoven naar 96 uur, waarbij meldingen via één centraal Europees meldloket kunnen worden gedaan, waardoor een aparte melding bij de AP niet meer nodig is.

---

[1] De Digitale Omnibus: Gevolgen voor AVG, Data Act & AI Act.

---

---

Concluderend

De voorgestelde wijzigingen in het Digitale Omnibus-pakket hebben directe gevolgen voor hoe organisaties persoonsgegevens verwerken en beheren. Met de wijzigingen in de AVG worden nieuwe kansen en mogelijkheden geboden voor innovatie, zoals het gebruik van persoonsgegevens voor AI-trainingsdoeleinden en de verlichting van administratieve lasten. De AP benadrukt echter tegelijkertijd dat de bescherming van de privacy en fundamentele rechten van betrokkenen cruciaal blijft. Organisaties zijn daarom alsnog gehouden om zorgvuldig om te gaan met persoonsgegevens, om de kansen die de Omnibus biedt effectief te kunnen benutten, zonder dat de rechten van betrokkenen worden aangetast.

Wil je meer weten over wat de komst van de Digitale Omnibus voor jouw organisatie betekent, of heb je andere privacygerelateerde vragen? Neem dan vrijblijvend contact op met een van onze juristen of stuur een bericht naar hallo@privacy1.nl.

---

Geschreven door Emmy Zhang, Privacy & IT-jurist.

19 december 2025