Digital legislation for the cultural sector: a practical overview

1. GDPR (privacy and personal data) 

Do you sell tickets, send newsletters, work with a CRM system, or manage data of visitors, donors, or volunteers? Then you process personal data and the GDPR applies. The GDPR is about handling personal data of visitors and relationships carefully and demonstrably.

2. Copyright and related rights 

Do you publish photos, videos, livestreams, collection materials, or educational content online? Then you almost always deal with copyright. Copyright determines who may use, share, or publish a work. Related rights protect performers such as musicians, actors, and dancers. 

3. AI Act (artificial intelligence) 

Do you use AI tools like ChatGPT for texts, communication, marketing, subtitles, or collection descriptions? Then you are subject to the AI Act. The AI Act is European legislation that sets rules for the use of artificial intelligence. The goal is to ensure AI is used safely, transparently, and responsibly. 

4. Digitale toegankelijkheid (European Accessibility Act) 

Bied je online tickets, informatie of andere digitale diensten aan via een website of app? Dan moet je rekening houden met digitale toegankelijkheid. Sinds 28 juni 2025 geldt de European Accessibility Act (EAA). Deze wet zorgt ervoor dat digitale producten en diensten toegankelijk moeten zijn voor mensen met een beperking. Voor culturele organisaties betekent dit dat digitale dienstverlening bruikbaar moet zijn voor iedereen, ongeacht beperking of hulpmiddel. 

5. Cybersecurity en de Cyberbeveiligingswet (NIS2)

Werk je met ticketingsystemen, cloudopslag, digitale archieven of andere externe IT-diensten? Dan heb je te maken met digitale risico’s en strengere eisen via leveranciers. 

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet verplicht organisaties om beter om te gaan met digitale veiligheid en incidenten.  

Geldt de Cyberbeveiligingswet voor culturele organisaties? 

Op dit moment niet rechtstreeks. De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, richt zich vooral op organisaties die een essentiële of belangrijke maatschappelijke functie vervullen. De cultuursector wordt daarbij niet expliciet genoemd. Toch is de wet ook voor culturele organisaties relevant. Veel instellingen krijgen namelijk indirect met de nieuwe regels te maken. 

1. Je bent afhankelijk van digitale leveranciers 

Vrijwel iedere culturele organisatie maakt gebruik van digitale diensten zoals ticketingsystemen, kassasystemen, cloudoplossingen en IT-infrastructuur. Leveranciers die wel onder de Cyberbeveiligingswet vallen, zullen hogere beveiligingseisen stellen aan hun klanten en partners. 

2. Je maakt deel uit van een digitale keten 

Musea, theaters, festivals, bibliotheken, archieven en andere culturele organisaties verwerken persoonsgegevens en wisselen gegevens uit met leveranciers en samenwerkingspartners. De wet verplicht organisaties om risico's in hun hele keten te beheersen. Daardoor kunnen culturele organisaties steeds vaker vragen krijgen over hun informatiebeveiliging. 

3. Sommige grotere instellingen kunnen mogelijk wel onder de wet vallen 

Voor een beperkt aantal organisaties kan de wet mogelijk rechtstreeks van toepassing worden. Denk aan instellingen met een grote maatschappelijke rol, publieke taken of een bijzondere digitale infrastructuur. Dit hangt af van de definitieve Nederlandse uitwerking van de wet. 

Ook als de Cyberbeveiligingswet niet rechtstreeks voor jouw organisatie geldt, nemen de verwachtingen rondom digitale veiligheid toe. Daarom is het verstandig om nu al aandacht te besteden aan cyberweerbaarheid en informatiebeveiliging. 

6. Telecommunicatiewet (E-Privacyrichtlijn)

Stuur je elektronische marketingberichten of maak je gebruik van cookies of trackingtechnologie? Dan is de Telecommunicatiewet (waarin de Europese ePrivacy-richtlijn is geïmplementeerd) voor jouw organisatie van toepassing. De richtlijn stelt bepaalde eisen aan deze activiteiten, onder meer het spamverbod en het gebruik van cookies.

Afsluiting 

Digitale wet- en regelgeving raakt vrijwel alle onderdelen van culturele organisaties. Door hier tijdig en praktisch mee aan de slag te gaan, verklein je risico’s en versterk je de digitale basis van je organisatie. 

Het doel is niet om alles perfect op orde te hebben, maar om stap voor stap bewuste keuzes te maken in hoe je omgaat met data, technologie, publiek en digitale diensten.