Waarom de AVG kiest voor zeggenschap

“Data is the new oil,” zei econoom Clive Humby in 2006. De metafoor is verleidelijk en hardnekkig: persoonsgegevens als grondstof, als bezit, als iets dat je hoort te kunnen kopen, verkopen of terugnemen. Juridisch is zij misleidend. De Algemene Verordening Gegevensbescherming geeft betrokkenen geen eigendomsrecht op hun persoonsgegevens. Wat zij geeft, is iets anders: zeggenschap.

Eigendom is niet hetzelfde als zeggenschap

Eigendom is in het civiele recht een omvattend, in beginsel exclusief en overdraagbaar recht (vgl. art. 5:1 BW). De eigenaar mag bezitten, gebruiken, vervreemden en uitsluiten. Wie iets verkoopt, raakt het kwijt. Voor persoonsgegevens past die figuur slecht. Terstegge verwoordt het in Grip op de AVG expliciet:

De gegevens zijn dus ook niet zijn eigendom, en dat is maar goed ook: eigendom kan je namelijk weggeven, verliezen of bezwaren. Bescherming van persoonsgegevens is een grondrecht en dat kan je niet weggeven, verliezen of bezwaren; dat heb je altijd.” (Terstegge, 2025: 125)

Het onderscheid is geen technische haarklieverij: het bepaalt de aard van de bescherming. Een grondrecht is niet overdraagbaar zoals een vermogensrecht en kan niet als eigendom worden vervreemd; de uitoefening kan binnen de kaders van artikel 52 Handvest wel worden beperkt, maar dat is iets anders dan wegcontracteren. De keuze tussen een eigendomsregime en een grondrechtenregime is daarmee een keuze tussen verhandelbaarheid en onvervreemdbaarheid van de kern.

Maar de server is toch van het bedrijf?

Een veelgehoorde tegenwerping: als een bedrijf alle gegevens op zijn eigen server heeft staan, zijn die data toch gewoon “van” dat bedrijf? In het dagelijks spraakgebruik kan dat zo klinken, maar juridisch klopt het niet zonder meer. Wat het bedrijf bezit, is de gegevensdrager: de server of de harde schijf. Dat is een stoffelijke zaak (vgl. art. 3:2 BW) en die kan inderdaad eigendom zijn. De persoonsgegevens die door de elektronische toestand van die drager worden gerepresenteerd, worden daarmee niet automatisch een zelfstandig eigendomsobject. Wie de schijf bezit, beschikt over het apparaat, niet over een eigendomstitel op de informatie erop.

Het verschil wordt het scherpst zichtbaar bij kopiëren. Een fysieke zaak is rivaliserend: geef ik mijn fiets weg, dan heb ik die niet meer. Data zijn niet-rivaliserend: een bestand laat zich bit voor bit kopiëren zonder dat het origineel verdwijnt. Wie data “overdraagt”, levert dus geen vervangend exemplaar in, maar zet een tweede, identieke instantie naast de bestaande. Exclusiviteit ontstaat daar niet door eigendom, maar moet apart worden geregeld: via een geheimhoudingsplicht, een verwerkersovereenkomst of een wettelijke bewaar- of wisplicht. Bij clouddiensten is het nog duidelijker: de aanbieder houdt de fysieke dragers, terwijl de klant alleen contractuele aanspraken heeft op toegang, export en verwijdering.

Kortom: eigendom ziet hooguit op de infrastructuur, niet op de persoonsgegevens zelf. En precies daarom regelt de AVG niet de eigendom van een afgebakend object, maar elke verwerking van persoonsgegevens, op welke drager en in hoeveel kopieën dan ook.

Wat de AVG wel geeft

Wie hoofdstuk III van de AVG leest (de rechten van de betrokkene) vindt geen bepaling waarin staat dat de persoonsgegevens “van” de betrokkene zijn. Wat de verordening wel regelt is een set procedurele en materiële rechten: inzage (art. 15), rectificatie (art. 16), gegevenswissing (art. 17), beperking van de verwerking (art. 18), bezwaar (art. 21) en, als enige met een quasi-eigendomsachtig karakter, dataportabiliteit (art. 20). Geen van deze rechten beweert dat de betrokkene de “eigenaar” is. Ze veronderstellen integendeel dat een derde, de verwerkingsverantwoordelijke, de doelen en middelen van de verwerking bepaalt (art. 4 sub 7 AVG), en dat de betrokkene daar via zijn rechten invloed op uitoefent.

Die rolverdeling is ook in de jurisprudentie zichtbaar. In Nowak legt het Hof de nadruk op informatie die de betrokkene betreft, een formulering die past bij gegevensbescherming en niet bij eigendomstaal (HvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (Nowak), punten 33-35). Het ging in die zaak niet om de vraag van wie het examen “was”, maar of de daarin verwerkte beoordeling iets over de student zegt. Wie zo redeneert, beweegt zich in een ander juridisch kader dan dat van het eigendomsrecht.

Waarom de Uniewetgever deze keuze maakte

De Europese keuze is verankerd in de systematiek van het Handvest. Artikel 8 plaatst gegevensbescherming naast, en uitdrukkelijk onderscheiden van, het recht op respect voor het privéleven (art. 7) en het recht op eigendom (art. 17). Drie aparte bepalingen, drie aparte beschermingsobjecten. Die systematiek wijst erop dat de opsteller deze rechten bewust uit elkaar heeft willen houden: persoonsgegevens zijn iets anders dan privacy, en geen van beide is een vermogensrecht.

De keuze sluit aan bij wat de AVG zelf als doel formuleert. Niet vermogen, maar grondrechten en fundamentele vrijheden van natuurlijke personen (art. 1 lid 2 AVG; vgl. overwegingen 1 en 4). Het taalveld is een ander dan dat van het zakenrecht: behoorlijke verwerking, transparantie, doelbinding, dataminimalisatie. Dat zijn geen eigendomsrechtelijke begrippen.

Dataportabiliteit: een quasi-eigendomsmechanisme, geen eigendomsrecht

Het recht op dataportabiliteit (art. 20 AVG) wordt soms aangehaald als bewijs van het tegendeel. De betrokkene kan zijn gegevens immers “meenemen” naar een andere dienstverlener. Een echte eigenaar zou dat ook kunnen.

De reikwijdte van artikel 20 is echter veel beperkter dan een eigendomsrecht zou suggereren. Het geldt voor gegevens die de betrokkene aan de verwerkingsverantwoordelijke heeft “verstrekt”, een begrip dat volgens de richtsnoeren van de Artikel 29-werkgroep zowel actief verstrekte als door gebruik van de dienst geobserveerde gegevens omvat (Article 29 WP, 2017: 9-10). Het geldt alleen wanneer de verwerking berust op toestemming of overeenkomst, en alleen voor zover de verwerking via geautomatiseerde procedés plaatsvindt (art. 20 lid 1 AVG). Afgeleide gegevens (profielen, scores, conclusies van een verzekeraar) vallen erbuiten. Deze begrenzingen wijken af van wat men intuïtief met eigendom associeert, waarin de beschikkingsmacht in beginsel ruimer en niet gekoppeld aan de bron van het object wordt vormgegeven.

Wat winnen we met deze keuze?

Het verleidelijke aan de eigendomsmetafoor is haar eenvoud. Wie iets bezit, kan het beschermen. Wie iets verkoopt, krijgt er iets voor terug. Voor persoonsgegevens werkt dat model averechts. Een eigendomsmodel impliceert verhandelbaarheid, en daarmee de mogelijkheid persoonsgegevens definitief af te staan in ruil voor een dienst, een korting of een platformtoegang. De AVG probeert juist te voorkomen dat persoonsgegevens zonder waarborgen verhandelbaar worden. Toestemming kan onder de verordening op ieder moment worden ingetrokken (art. 7 lid 3 AVG); een eigendomsoverdracht in beginsel niet.

De grondrechtenbenadering biedt een waarborg die een markt niet geeft: bescherming blijft bestaan, ook als de betrokkene zijn rechten op een ongunstig moment zou willen weggeven. Zie HvJ EU 4 juli 2023, C-252/21, ECLI:EU:C:2023:537 (Meta Platforms), waarin het Hof kritisch kijkt naar de geldigheid van toestemming wanneer toegang tot een dienst daarvan afhankelijk wordt gemaakt; en de richtsnoeren van de European Data Protection Board (EDPB, 2020). De AVG eist dat zulke toestemming “vrijelijk” wordt gegeven (art. 4 sub 11 AVG). Een vergelijkbare expliciete kwaliteitseis op de wilsvorming kent het eigendomsrecht niet; daar wordt de vrije wil hoofdzakelijk via algemene wilsgebreken (art. 3:33 en 3:44 BW) achteraf gecorrigeerd.

Conclusie

Persoonsgegevens zijn geen eigendom van de betrokkene. Ze gaan over de betrokkene, en de Uniewetgever heeft via de systematiek van Handvest en AVG gekozen voor een ander beschermingsregime: zeggenschap door rechten, geen verhandelbaarheid via eigendom. Het vermengen van deze begrippen kan tot misvattingen leiden over de aard en reikwijdte van de bescherming onder de AVG. Met de discussies over data-economieën, AI-trainingsdata en “data wallets” die de eerstkomende jaren onvermijdelijk lijken, verdient die helderheid juridische precisie.

Of, korter: ik bezit mijn gegevens niet. De AVG beschermt mij desondanks.

Bronnen

• Article 29 Data Protection Working Party (2017) Guidelines on the right to data portability, WP242 rev.01, 5 April 2017 (endorsed by the European Data Protection Board, 25 May 2018). Available at: https://ec.europa.eu/newsroom/article29/items/611233, accessed on 15 June 2026.
• European Data Protection Board (2020) Guidelines 05/2020 on consent under Regulation 2016/679, version 1.1, 4 May 2020. Available at: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en, accessed on 15 June 2026.
• Handvest van de grondrechten van de Europese Unie, PbEU 2012/C 326/02, art. 7, 8, 17 en 52.
• HvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994 (Nowak).
• HvJ EU 4 juli 2023, C-252/21, ECLI:EU:C:2023:537 (Meta Platforms v Bundeskartellamt).
• Terstegge, J. (2025) Grip op de AVG: de privacywet voor niet-juristen. 4e herziene druk. Deventer: Wolters Kluwer, hoofdstuk 9.5 ‘De betrokkene en diens rechten’, p. 125.
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene Verordening Gegevensbescherming), PbEU 2016/L 119/1.

For English, use this link: https://avg-compleet.nl/wp-content/uploads/2026/06/Personal-data-is-not-property-EN.pdf

Lees ook: