Waarom persoonsgegevens geen handelswaar mogen worden

Waarom persoonsgegevens geen handelswaar mogen worden

Joris Bijvoets, CIPP/E  (AVG Compleet B.V.)

AVG Compleet kennisbank, juli 2026

Waarom persoonsgegevens geen handelswaar mogen worden

De data-economie wordt vaak voorgesteld als een nieuwe markt waarin persoonsgegevens “de prijs” zijn. Wie geen geld betaalt voor een gratis dienst, betaalt met data. Binnen het AVG-kader is dat beeld misleidend. De Algemene Verordening Gegevensbescherming, en in het bijzonder de European Data Protection Board in haar Opinion 08/2024, maken duidelijk dat persoonsgegevens zo niet werken: zij functioneren juridisch niet als vrij verhandelbare goederen die een betrokkene tegen een dienst kan inruilen.

“Data als prijs”: een verleidelijk maar onjuist model

Bedrijven beschrijven hun aanbod soms als wederkerige uitwisseling: gebruik onze gratis dienst en betaal met uw aandacht en uw data. Het taalveld is dat van de markt: vraag, aanbod, ruil, waarde. Het klinkt fair. Maar het strookt niet met wat de AVG van toestemming verwacht, en evenmin met wat de Uniewetgever heeft bedoeld toen artikel 8 van het Handvest werd opgesteld als zelfstandig grondrecht naast art. 7 (privéleven) en art. 17 (eigendom).

In eerdere bijdragen op deze kennisbank heb ik betoogd dat persoonsgegevens onder de AVG geen eigendom zijn (Bijvoets, 2026a) en dat dataportabiliteit zeggenschap betreft, geen bezit (Bijvoets, 2026b). Hier komt de derde stap: persoonsgegevens kunnen ook niet als handelswaar functioneren, omdat de juridische instrumenten waarmee de AVG werkt (toestemming, herroeping, vrije wilsvorming) zich slecht verdragen met de eigenschappen van een markt.

EDPB Opinion 08/2024: “consent or pay” als juridisch probleem

In april 2024 heeft de European Data Protection Board op verzoek van de Nederlandse, Noorse en Hamburgse toezichthouders (op grond van art. 64 lid 2 AVG) een opinie aangenomen over zogenoemde “consent or pay”-modellen bij grote online platforms (EDPB, 2024a). De conclusies liegen er niet om:

  • Bij grote online platforms die alleen een binaire keuze bieden, toestemming geven voor verwerking voor gedragsreclame of een vergoeding betalen, voldoet de toestemming in de meeste gevallen niet aan het criterium “vrijelijk gegeven” van art. 4 sub 11 AVG.
  • De EDPB benadrukt dat het bestaan van een “gelijkwaardig alternatief” waarvoor geen vergoeding wordt gevraagd, een zwaarwegende factor kan zijn bij de beoordeling of toestemming vrijelijk is gegeven.
  • Waar het alternatief betaald is, kan het volgens de opinie, afhankelijk van de omstandigheden, nodig zijn een aanvullende variant zonder gedragsreclame aan te bieden, bijvoorbeeld met contextuele reclame, om toestemming als vrijelijk gegeven te kunnen aanmerken. De opinie benadrukt dat dit een beoordeling per geval is, geen vaste regel.

De redenering werd samengevat door EDPB-voorzitter Anu Talus: verwerkingsverantwoordelijken moeten ervoor zorgen dat het fundamentele recht op gegevensbescherming niet wordt omgezet in een functie waarvoor individuen moeten betalen om er aanspraak op te maken (EDPB, 2024b). Hoewel grondrechten economische implicaties kunnen hebben en binnen art. 52 Handvest beperkt mogen worden, mag de toegang tot bescherming feitelijk niet afhankelijk worden van betaling.

Een EU-rechtelijk spanningsveld: data als tegenprestatie

Op een ander punt erkent het Unierecht juist dat persoonsgegevens economisch worden ingezet. Richtlijn (EU) 2019/770 over digitale-inhoudovereenkomsten behandelt expliciet de situatie waarin een consument geen geld betaalt maar persoonsgegevens verstrekt in ruil voor digitale inhoud of diensten. De richtlijn rekent die situaties tot haar beschermingsbereik (art. 3 lid 1), zij het niet onbegrensd: gevallen waarin de handelaar de persoonsgegevens uitsluitend verwerkt om de dienst te leveren of om aan wettelijke verplichtingen te voldoen, vallen erbuiten. Daarmee erkent het EU-recht dat persoonsgegevens een economische rol kunnen spelen in contractuele relaties, zonder die rol onbeperkt te faciliteren.

Tussen beide regimes bestaat dus werkelijke spanning. Wat Richtlijn 2019/770 doet, is consumentenbescherming uitbreiden naar dataverwerkende diensten. Wat de AVG en EDPB Opinion 08/2024 doen, is eisen dat die dataverwerking nog altijd berust op een geldige rechtsgrond, bij gedragsreclame doorgaans toestemming, en dat die toestemming voldoet aan “vrijelijk gegeven”. Beide regimes opereren naast elkaar: persoonsgegevens kunnen contractueel relevant zijn, maar de AVG-bescherming blijft onverkort gelden. Waar de grens precies ligt, is uiteindelijk een weging die wetgever, toezichthouders en rechter maken. De vier redenen hieronder maken die weging concreet.

Vier juridische redenen waarom commodificatie niet werkt

Toestemming kan om te beginnen altijd worden ingetrokken (art. 7 lid 3 AVG). Een handelswaar verandert na verkoop van eigenaar; persoonsgegevens niet. Bij toestemming blijft de relatie tussen betrokkene en verwerkingsverantwoordelijke voortdurend herroepbaar. Dat staat op gespannen voet met het idee van een verkoopprijs.

Toestemming moet bovendien vrijelijk worden gegeven (art. 4 sub 11 AVG). Een binaire keuze, toestemmen of niet meedoen, kan de vrijwilligheid onder druk zetten, vooral bij machtsongelijkheid of bij gebrek aan reële alternatieven. Het Hof van Justitie heeft die vraag aangeraakt in Meta Platforms v Bundeskartellamt, zij het primair in de context van mededingingsrecht en AVG-samenloop (HvJ EU 4 juli 2023, C-252/21, ECLI:EU:C:2023:537). EDPB Opinion 08/2024 trekt de redenering nadrukkelijk door naar consent-or-pay-modellen.

Het beschermingsobject is bovendien de mens, niet het gegeven. Overweging 4 AVG en art. 1 lid 2 AVG stellen vast dat de verwerking van persoonsgegevens “ten dienste van de mens” moet staan. Een marktmodel dat de mens zelf tot bron van verhandelbare waar maakt, verdraagt zich daar slecht mee, al volgt uit overweging 4 geen verbod op economische exploitatie als zodanig.

Ten slotte raakt commodificatie aan waardigheid en autonomie. Artikel 8 Handvest plaatst gegevensbescherming op één lijn met artikel 7 (privéleven), beide geworteld in menselijke waardigheid (art. 1 Handvest). Het waardigheidsbegrip van het Handvest zet daarmee spanning op een zuiver vermogensrechtelijke benadering: een rechtssubject laat zich niet goed als koopwaar denken.

Wat is dan wél toegestaan?

De AVG verbiedt niet dat persoonsgegevens economische waarde hebben. Online-diensten draaien grotendeels op gedragsreclame; e-commerce vereist klantgegevens; CRM-systemen verzamelen contactdata. De grens zit niet bij commercie, maar bij wegcontracteerbaarheid. Een dienstverlener mag persoonsgegevens verwerken zolang er een geldige rechtsgrond is: toestemming, overeenkomst of gerechtvaardigd belang, waarbij voor gedragsreclame in de regel alleen toestemming in aanmerking komt. Maar hij mag niet zeggen: u heeft “betaald” met uw data, dus de AVG-bescherming vervalt. Waar grote platforms met binaire consent-or-pay-modellen die suggestie wekten, heeft EDPB Opinion 08/2024 die weersproken.

Het verschil zit in de aard van de relatie. Een handelswaar wisselt van eigenaar; daarna heeft de oorspronkelijke eigenaar er niets meer over te zeggen. Persoonsgegevens onder de AVG blijven verbonden aan de betrokkene; ook na een verwerking heeft hij recht op inzage (art. 15), rectificatie (art. 16), wissing (art. 17) en intrekking van zijn toestemming (art. 7 lid 3). Anders dan bij een verkochte zaak blijft er een doorlopende rechtsverhouding bestaan.

Wat dreigt er bij commodificatie?

De bezwaren tegen een commodificatie-model zijn niet alleen dogmatisch; ze laten zich ook praktisch schetsen. De volgende drie risico’s zijn geen geldend recht, maar volgen uit de systematiek van het AVG-kader en de huidige praktijk.

Het eerste is lock-in: wie eenmaal data heeft afgegeven, raakt verstrengeld met de dienstverlener; herroeping wordt sociaal of technisch onaantrekkelijk. Het tweede is stratificatie van grondrechten: in een consent-or-pay-wereld kunnen burgers met geld kopen wat ze privé willen houden, terwijl burgers zonder geld met hun data moeten betalen. Dat staat haaks op het idee van fundamentele rechten als gelijke en onvervreemdbare aanspraken. Het derde is monetisering van afgeleide data, denk aan “data wallets” of persoonlijke databrokers, waarbij betrokkenen geacht worden hun profielen te verhandelen. De Artikel 29-werkgroep rekent verstrekte en geobserveerde gegevens tot het recht op dataportabiliteit, maar plaatst afgeleide en gegenereerde gegevens, zoals profielen en scores, daarbuiten (WP242 rev.01; Bijvoets, 2026b). Zelfs het meest mobiliteitsgerichte AVG-recht bestrijkt profielen dus niet; een handel in profielen zou in het huidige recht dan ook weinig aanknopingspunten vinden.

Conclusie

De AVG kent geen eigendomsregime voor persoonsgegevens (Bijvoets, 2026a); zij reguleert verwerking via rechten en verplichtingen, niet via overdraagbare vermogensrechten. In dezelfde lijn laten persoonsgegevens zich moeilijk verenigen met een handelswaar-benadering: het kader blijft grondrechtelijk, niet vermogensrechtelijk. EDPB Opinion 08/2024 is daarvan de meest recente bevestiging in de Europese praktijk. Persoonsgegevens worden beschermd omdat de mens beschermd wordt, niet omdat het object waardevol is.

Voor de praktijk betekent dit dat wie persoonsgegevens in zijn bedrijfsmodel betrekt, geen koopman is. Hij opereert binnen een doorlopende rechtsverhouding als verwerkingsverantwoordelijke of verwerker (art. 4 sub 7 en 8 AVG), waarin de rechten van betrokkenen centraal blijven staan. Dat is een wezenlijk ander beeld dan de marktmetafoor suggereert. En dat is maar goed ook.

Bronnen

    Lees ook: