Dataportabiliteit onder de AVG

Dit artikel is deel 2 van 6 in de reeks Persoonsgegevens, eigendom en zeggenschap. De zes blogs bouwen inhoudelijk op elkaar voort en kunnen daarom het beste in volgorde worden gelezen. Begin bij deel 1.

is Bijvoets, CIPP/E (AVG Compleet B.V.)

AVG Compleet kennisbank, 12 juli 2026

Het recht op overdraagbaarheid van gegevens (art. 20 AVG) wordt vaak aangehaald als het meest “eigendoms-achtige” recht in de Algemene Verordening Gegevensbescherming. Wie zijn gegevens kan meenemen naar een andere dienstverlener, lijkt iets te bezitten dat hij ook kan verplaatsen. Bij nadere lezing blijkt het iets anders: een afgebakend, procedureel mobiliteitsrecht dat de positie van de betrokkene versterkt zonder beschikkingsmacht in eigendomsrechtelijke zin te verlenen.

Wat art. 20 AVG precies regelt

De wettekst is nauw afgebakend. Lid 1 geeft de betrokkene het recht om persoonsgegevens “die hij aan een verwerkingsverantwoordelijke heeft verstrekt” in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en die gegevens over te dragen aan een andere verwerkingsverantwoordelijke. Dat recht geldt onder drie voorwaarden: de verwerking berust op toestemming (art. 6 lid 1 sub a of art. 9 lid 2 sub a) of op een overeenkomst (art. 6 lid 1 sub b), en de verwerking gebeurt via geautomatiseerde procedés (art. 20 lid 1).

Lid 2 voegt daaraan toe dat de betrokkene de gegevens, indien technisch mogelijk, rechtstreeks van de ene naar de andere verwerkingsverantwoordelijke kan laten doorzenden. En lid 4 stelt een grens: dataportabiliteit doet “geen afbreuk aan de rechten en vrijheden van anderen”.

Deze elementen bepalen samen de reikwijdte van het recht. Voor de eigendomsvraag is er één het scherpst: de bronafhankelijkheid.

“Verstrekt”: de kern en de grenzen van het recht

Het begrip “verstrekt” is de meest contestabele term in art. 20. De Artikel 29-werkgroep maakte in WP242 rev.01 (later endorsed door de EDPB) drie categorieën:

1. Actief verstrekte gegevens: wat de betrokkene zelf heeft ingevoerd in een formulier, account of profiel.
2. Geobserveerde gegevens: wat de verwerkingsverantwoordelijke heeft vastgelegd door het gebruik van de dienst te observeren, zoals locatie, klikgedrag, luistergeschiedenis en zoektermen.
3. Afgeleide gegevens: wat de verwerkingsverantwoordelijke daaruit heeft geconstrueerd, zoals profielen, segmenten, scores en kredietbeoordelingen.

Volgens WP29 vallen categorieën 1 en 2 onder “verstrekt”, en daarmee onder art. 20. Categorie 3 niet (Article 29 WP, 2017: 9-10).

Die afbakening is minder vanzelfsprekend dan zij lijkt. De grens tussen geobserveerde en afgeleide gegevens laat zich in concrete gevallen lastig trekken: is een rittenhistorie geobserveerd, en de daarop gebaseerde beoordeling afgeleid? De Nederlandse rechtspraak heeft de reikwijdtevraag bovendien nog niet beslecht. In de procedures van platformchauffeurs strandde het portabiliteitsberoep in hoger beroep op het ontbreken van een voldoende gespecificeerd verzoek, zonder dat het hof toekwam aan de vraag of geobserveerde gegevens onder art. 20 vallen (Hof Amsterdam 4 april 2023, ECLI:NL:GHAMS:2023:804, rov. 3.50, inzake Ola).

Voor de eigendomsvraag valt op dat zelfs in de ruimste uitleg (WP242) afgeleide gegevens buiten art. 20 vallen. Juist die afbakening maakt een vergelijking met het goederenrecht instructief. In het goederenrecht kan eigendom zich onder omstandigheden uitstrekken tot nieuw gevormde zaken, via natrekking, vermenging of zaaksvorming (art. 5:14-5:16 BW), al is dat steeds afhankelijk van specifieke regels en niet automatisch. Bij dataportabiliteit ontbreekt een vergelijkbare aanknoping: een betrokkene heeft geen art. 20-aanspraak op de profielen of scores die uit zijn klikgedrag worden geconstrueerd.

Procedurele eisen: gestructureerd, gangbaar, machineleesbaar

Het format-vereiste (“gestructureerd, gangbaar, machineleesbaar”) is volgens WP242 een minimumvloer die hergebruik door een andere verwerkingsverantwoordelijke mogelijk moet maken. Interoperabiliteit is daarbij het doel dat de richtsnoer voor ogen heeft, maar de AVG schrijft geen specifieke standaard of technisch formaat voor (Article 29 WP, 2017: 17-18). Voorbeelden van bruikbare open formaten zijn CSV, XML en JSON; waar binnen een sector een gangbaar formaat bestaat, ligt aansluiting daarbij voor de hand.

Overweging 68 AVG plaatst het recht in de sleutel van controle van de betrokkene over zijn eigen gegevens; in de praktijk verlaagt het bovendien overstapdrempels tussen aanbieders, een effect dat in de literatuur vaak met het voorkomen van lock-in wordt verbonden. Een vermogensrechtelijk regime ontstaat daarmee niet. De bepaling bevordert concurrentie en keuzevrijheid ten dienste van de betrokkene; zij maakt van hem geen koopman.

Lid 4: de rechten van anderen

Ook eigendom wordt in het civiele en grondrechtelijke kader begrensd, bijvoorbeeld door art. 1 Eerste Protocol EVRM, door misbruik van recht (art. 3:13 BW) of door de onrechtmatige daad (art. 6:162 BW). Het verschil met art. 20 lid 4 zit in de vorm: de AVG codificeert de afweging met de grondrechten van derden binnen het recht zelf, waar die afweging bij eigendom doorgaans via algemene leerstukken en externe begrenzing verloopt. Art. 20 lid 4 AVG stelt expliciet dat het portabiliteitsrecht de rechten en vrijheden van anderen niet mag aantasten. Dat is van praktisch belang: contactlijsten, communicatie, gezinsfoto’s en gedeelde documenten bevatten vrijwel altijd ook gegevens van derden. WP242 wijst er nadrukkelijk op dat verwerkingsverantwoordelijken bij doorgifte rekening moeten houden met die derdenpositie (Article 29 WP, 2017: 11-12).

De clausule maakt duidelijk dat dataportabiliteit een recht binnen een grondrechtenkader is, geen exclusief beschikkingsrecht. Het is een mobiliteitsrecht onder voorwaarden.

Vier verschillen met eigendom

Wanneer men dataportabiliteit naast het civielrechtelijke eigendomsbegrip (art. 5:1 BW) legt, vallen vier onderscheidingen op.

Het eerste verschil is de bronafhankelijkheid. Eigendom is, eenmaal rechtsgeldig verkregen, in beginsel niet afhankelijk van de herkomst van de zaak, al kunnen gebreken in de verkrijging daaraan in de weg staan (art. 3:84 jo. 3:86 BW). Art. 20 is daarentegen blijvend bronafhankelijk: het geldt alleen voor wat door de betrokkene is verstrekt. Actief, en volgens WP242 ook geobserveerd, maar uitdrukkelijk niet voor wat door de verwerkingsverantwoordelijke is afgeleid.

Daarnaast is het recht afhankelijk van de rechtsgrond. Eigendom bestaat ongeacht de juridische context, terwijl art. 20 alleen geldt wanneer de verwerking berust op toestemming of overeenkomst. Bij gerechtvaardigd belang, wettelijke verplichting of publieke taak, bijvoorbeeld de meeste verwerkingen door overheden, geldt het recht niet.

Een derde onderscheid is de formaateis. Eigendom is vorm-onafhankelijk; art. 20 vereist een gestructureerd, gangbaar en machineleesbaar formaat dat hergebruik mogelijk maakt.

Tot slot de derdenwerking. Eigendom is een absoluut recht dat in beginsel jegens iedereen werkt, hoewel het wel wordt begrensd door wet, misbruikleer en grondrechten. Art. 20 bevat daarentegen in lid 4 een ingebouwde voorrang voor de rechten en vrijheden van anderen: een conflictclausule binnen het recht zelf.

Dat is geen technische haarklieverij. De vier onderscheidingen verklaren waarom dataportabiliteit zich eerder gedraagt als een procedureel recht dan als een vermogensrecht in klassieke zin.

Conclusie

In een eerder blog op deze kennisbank betoogde ik dat persoonsgegevens onder de AVG geen eigendom zijn (Bijvoets, 2026a). Dataportabiliteit is het AVG-recht dat daar op het eerste gezicht het meest van afwijkt: het voelt als overdracht van iets eigens. De analyse hierboven laat zien dat het bij nadere lezing iets anders is. Artikel 20 regelt geen overdraagbaarheid van een vermogensrecht, maar een afgebakend mobiliteitsrecht binnen een grondrechtenkader. Het versterkt de positie van de betrokkene tegenover platforms en dienstverleners, zonder een markt voor persoonsgegevens te creëren.

De praktische gevolgen zijn aanzienlijk. Wie als verwerkingsverantwoordelijke een portabiliteitsverzoek krijgt, kan niet volstaan met “u krijgt al uw data”. De wet stelt een afgebakende verplichting: actief verstrekte (en volgens WP242 ook geobserveerde) gegevens in een bruikbaar formaat, met respect voor derdenposities, alleen voor rechtsgronden waar het recht op geldt. Wie als betrokkene art. 20 inroept, moet beseffen dat profielen en scores die op grond van zijn gegevens zijn gemaakt buiten de aanspraak vallen. En wie als rechter een geschil beslecht, komt vroeg of laat voor de reikwijdtevraag rond “verstrekt” te staan: een vraag die de Nederlandse rechtspraak tot dusver onbeantwoord heeft gelaten.

Voor de eigendomsdiscussie blijft het beeld onverminderd: dataportabiliteit biedt zeggenschap, geen bezit in goederenrechtelijke zin.

Bronnen

• Article 29 Data Protection Working Party (2017) Guidelines on the right to data portability, WP242 rev.01, 5 April 2017 (endorsed by the European Data Protection Board, 25 May 2018). Available at: https://ec.europa.eu/newsroom/article29/items/611233, accessed on 12 July 2026.
• Bijvoets, J. (2026a) Persoonsgegevens zijn geen eigendom: waarom de AVG kiest voor zeggenschap. AVG Compleet. Available at: https://avg-compleet.nl/persoonsgegevens-zijn-geen-eigendom/.
• Burgerlijk Wetboek, art. 5:1.
• Hof Amsterdam 4 april 2023, ECLI:NL:GHAMS:2023:804 (platformchauffeurs/Ola), rov. 3.50; vgl. Rb. Amsterdam 11 maart 2021, ECLI:NL:RBAMS:2021:1019.
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene Verordening Gegevensbescherming), PbEU 2016/L 119/1, met name art. 6, 9 en 20 en overweging 68.

Engelse versie

Download de Engelse versie van dit artikel (PDF)

Lees ook: