Richtsnoer
Richtsnoeren 4/2019 over artikel 25 gegevensbescherming door ontwerp en door standaardinstellingen
- Datum
- Status
- definitief
- Instantie
- European Data Protection Board (EDPB)
- Kenmerk
- Guidelines 4/2019, versie 2.0
Waar het over gaat
De EDPB legt uit wat privacy by design en privacy by default in de praktijk betekenen: technische en organisatorische maatregelen die de beginselen van artikel 5 inbouwen. Per beginsel geeft de tekst voorbeelden. Versie 2.0 is aangenomen op 20 oktober 2020 na consultatie en is definitief.
Wat dit betekent voor de praktijk
U moet al bij het ontwerp van een systeem of proces bepalen hoe u de beginselen borgt en dat kunnen aantonen. Standaardinstellingen moeten zo min mogelijk gegevens verwerken. Bij inkoop van software is het verstandig de leverancier te vragen hoe die dit ondersteunt, omdat u als verwerkingsverantwoordelijke verantwoordelijk blijft.
De AVG-artikelen waar het om gaat
Bron: EDPB guideline pagegecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
De tegenhanger in de andere wet
- Artikel 3 AI Act: Definities
- Artikel 9 AI Act: Systeem voor risicobeheer
- Artikel 10 AI Act: Data en datagovernance
- Artikel 11 AI Act: Technische documentatie
via Vastleggen: verwerkingsregister, technische documentatie en logs
- Artikel 12 AI Act: Registratie
via Vastleggen: verwerkingsregister, technische documentatie en logs
- Artikel 15 AI Act: Nauwkeurigheid, robuustheid en cyberbeveiliging
- Artikel 16 AI Act: Verplichtingen van aanbieders van AI-systemen met een hoog risico
- Artikel 18 AI Act: Bewaring van documentatie
via Vastleggen: verwerkingsregister, technische documentatie en logs
- Artikel 19 AI Act: Automatisch gegenereerde logs
via Vastleggen: verwerkingsregister, technische documentatie en logs
- Artikel 25 AI Act: Verantwoordelijkheden in de AI-waardeketen
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
via Vastleggen: verwerkingsregister, technische documentatie en logs
Rechtspraak8 van 10
- Rechtbank Gelderland: curator is verwerkingsverantwoordelijke, AP-boete voor onbeveiligde harde schijf verlaagd naar 58.125 euro
2025-08-07 · status niet vastgesteld, Rechtbank Gelderland
- Russmedia: beheerder van een online marktplaats is verantwoordelijke voor persoonsgegevens in advertenties en moet vooraf controleren
2025-12-02 · definitief, Hof van Justitie van de EU (Grote kamer), X tegen Russmedia Digital SRL en Inform Media Press SRL
- Rechtbank Noord-Nederland houdt AP-boete voor dorpslivestream in stand, verlaagt naar 375 euro
2025-01-09 · status niet vastgesteld, Rechtbank Noord-Nederland
- Schrems tegen Meta: geen onbeperkt bewaren en combineren van gegevens voor gerichte advertenties
2024-10-04 · definitief, Hof van Justitie van de EU (Vierde kamer), Maximilian Schrems tegen Meta Platforms Ireland Limited
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- Mousse: aanhef meneer of mevrouw vragen bij een treinkaartje is niet noodzakelijk
2025-01-09 · definitief, Hof van Justitie van de EU (Eerste kamer), Mousse tegen Commission nationale de l'informatique et des libertés (CNIL) en SNCF Connect
- Rechtbank Overijssel herroept AP-boete voor wifi-tracking Enschede
2024-02-02 · definitief, Rechtbank Overijssel
- Voorzieningenrechter: AP moet boetebedrag onleesbaar maken bij verstrekking van handhavingsbesluit aan klagers
2024-05-31 · status niet vastgesteld, Rechtbank Den Haag, voorzieningenrechter (kort geding, team handel)
Richtsnoeren8 van 9
- Richtsnoeren 02/2025 over verwerking van persoonsgegevens via blockchaintechnologie
2026-07-07 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 01/2025 over pseudonimisering
2025-01-16 · aangenomen, European Data Protection Board (EDPB)
- Richtsnoeren 02/2026 over anonimisering
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Opinie 28/2024 over bepaalde gegevensbeschermingsaspecten van de verwerking van persoonsgegevens in het kader van AI-modellen
2024-12-17 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 01/2021 met voorbeelden over de melding van inbreuken in verband met persoonsgegevens
2021-12-14 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren 1/2024 over verwerking van persoonsgegevens op grond van artikel 6 lid 1 onder f AVG (gerechtvaardigd belang)
2024-10-08 · aangenomen, European Data Protection Board (EDPB)
- Richtsnoeren 1/2026 over verwerking van persoonsgegevens voor wetenschappelijk onderzoek
2026-04-15 · aangenomen, European Data Protection Board (EDPB)
Handhaving en boetes8 van 11
- HAN University of Applied Sciences krijgt boete van 175.000 euro voor onvoldoende beveiliging
2025-12-15 · definitief, Autoriteit Persoonsgegevens
- AP en KNLTB beëindigen rechtszaak: boete verlaagd van 525.000 naar maximaal 250.000 euro
2025-10-18 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Boete van 600.000 euro voor AS Watson (Kruidvat) om tracking cookies zonder toestemming
2024-05-02 · vernietigd, Autoriteit Persoonsgegevens
- Boete van 500 euro en last onder dwangsom voor Stichting Oud Lemmer om webcam-livestream
2021-07-09 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
2026-04-01 · status niet vastgesteld, Autoriteit Persoonsgegevens
- AP verlaagt Kruidvat-boete in bezwaar naar 50.000 euro
2025-05-27 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
2026-02-03 · definitief, Autoriteit Persoonsgegevens
- Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging
- Voorstel: definitie wetenschappelijk onderzoek, doelbinding en informatieplicht bij onderzoek (artikel 4, punt 38, artikel 5, lid 1, onder b, en artikel 13, lid 5 AVG)
2025-11-19 · in onderhandeling, Europese Commissie
- Raad: Cypriotisch voorzitterschap legt onderhandelingsmandaat voor, Coreper-stemming van 26 juni 2026 geannuleerd
2026-06-22 · in onderhandeling, Raad van de Europese Unie, Antici-groep (vereenvoudiging) en Coreper
- Commissie publiceert Digital Omnibus voorstel COM(2025) 837
2025-11-19 · voorstel, Europese Commissie