UAVG aangepast per september 2026: de wijzigingen op een rij

Minderjarigen krijgen meer zeggenschap over hun gegevens (Art. 5 UAVG)

Jongeren vanaf 12 jaar krijgen meer zeggenschap over hun eigen persoonsgegevens. Zij kunnen voortaan zelf bepaalde AVG-rechten uitoefenen en ook zelf toestemming intrekken. Denk bijvoorbeeld aan foto’s die met toestemming van een ouder online zijn geplaatst. Wil een 13-jarige die foto’s later niet meer online hebben, dan kan hij of zij de toestemming voortaan zelf intrekken. Deze rechten komen naast de rechten van ouders, die verdwijnen dus niet. Het is van belang hier uw procedure voor het uitoefenen van AVG rechten op aan te passen.

Let wel op: voor sommige sectoren bestaan al regels waarmee jongeren meer zeggenschap hebben over hun eigen gegevens. In de zorg hebben jongeren op grond van de WGBO al rechten rond hun medisch dossier. Zo heeft een jongere van 12 tot 16 jaar zelf recht op inzage in het dossier. Vanaf 16 jaar oefent de jongere die rechten volledig zelfstandig uit. Ook de Jeugdwet kent al eigen regels. De nieuwe UAVG-rechten komen dus naast deze bestaande bijzondere regels. Waar de WGBO of Jeugdwet een specifieke regeling geeft, blijft die leidend.

Nieuwe regels voor de overdracht van zorgdossiers (Art 30a en b UAVG)

Een belangrijke wijziging voor de zorg gaat over de overdracht van medische dossiers.

Overdracht tussen zorgverleners

Artikel 30a gaat over de overdracht van dossiers tussen zorgverleners. Denk bijvoorbeeld aan een praktijkovername. De wet verduidelijkt dat het overdragen en vervolgens bewaren en beheren van deze dossiers kan vallen onder de bestaande uitzondering voor het verwerken van gezondheidsgegevens binnen de zorg. Voor deze specifieke overdracht is geen toestemming van iedere patiënt nodig. Patiënten moeten in principe wel over de overdracht worden geïnformeerd. Ook moet de overdracht kosteloos plaatsvinden.

Als een niet-zorgverlener de dossiers onder zich heeft

Artikel 30b regelt de situatie waarin medische dossiers terechtkomen bij iemand die zelf geen hulpverlener is. Denk bijvoorbeeld aan een curator bij een faillissement. De wettelijke bewaarplicht voor medische dossiers verdwijnt niet wanneer een zorgorganisatie failliet gaat of een zorgverlener stopt. De dossiers moeten dus veilig bewaard en beheerd blijven. Een curator is zelf geen hulpverlener en kan die taak niet zonder meer blijvend overnemen. Artikel 30b UAVG biedt daarom een wettelijke basis om de dossiers over te dragen aan een hulpverlener of zorginstelling die het bewaren en beheren van de dossiers op zich neemt. De nieuwe bepaling maakt een overdracht dus niet alleen juridisch mogelijk, maar zorgt er vooral voor dat ook in situaties zoals een faillissement aan de bestaande bewaarplicht kan worden voldaan.

Strengere voorwaarden voor biometrische gegevens (Art 29 UAVG)

De uitzondering voor het gebruik van biometrische gegevens voor beveiligingsdoeleinden is nu strenger geformuleerd. Verwerking is alleen toegestaan als dat noodzakelijk is vanwege een zwaarwegend algemeen belang bij rechtmatige toegang tot bijvoorbeeld gebouwen, informatiesystemen, diensten of werkprocessen. Dat betekent dat organisaties niet zonder meer biometrische toegangscontrole kunnen inzetten omdat dit handig of efficiënt is. Bestaande documentatie zoals DPIA’s moeten op dit punt geëvalueerd worden.

AP-sancties worden openbaar en consultatie wordt verplicht (Art 14 en 21b UAVG)

Voorheen kon de Autoriteit Persoonsgegevens zelf besluiten om een sanctiebesluit openbaar te maken. Vanaf 1 september 2026 is dat uitgangspunt omgedraaid: een bestuurlijke sanctie wordt in principe openbaar gemaakt, tenzij een uitzondering uit de Wet open overheid van toepassing is. De AP wacht ten minste tien werkdagen na bekendmaking aan de overtreder. Wordt binnen die termijn een voorlopige voorziening gevraagd, dan wordt de publicatie uitgesteld totdat de voorzieningenrechter heeft beslist.

Daarnaast moet de AP belanghebbenden voortaan, voor zover passend, raadplegen voordat zij bepaalde beleidsregels vaststelt. Voor organisaties betekent dit dus enerzijds een groter reputatierisico bij sancties en anderzijds meer gelegenheid om via consultaties input te geven.

Heeft u vragen naar aanleiding van dit artikel? Neem dan contact met ons op.