Waarom persoonsgegevens geen handelswaar mogen worden

Joris Bijvoets, CIPP/E (AVG Compleet B.V.)

AVG Compleet kennisbank, 22 juli 2026

Dit artikel is deel 3 van 6 in de reeks Persoonsgegevens, eigendom en zeggenschap. De zes blogs bouwen inhoudelijk op elkaar voort en kunnen daarom het beste in volgorde worden gelezen. Begin bij deel 1

De data-economie wordt vaak voorgesteld als een nieuwe markt waarin persoonsgegevens “de prijs” zijn. Wie geen geld betaalt voor een gratis dienst, betaalt met data. Binnen het AVG-kader is dat beeld misleidend. De Algemene Verordening Gegevensbescherming behandelt persoonsgegevens niet als vrij verhandelbare goederen die een betrokkene definitief tegen een dienst kan inruilen. EDPB Opinion 08/2024 illustreert dat binnen haar specifieke reikwijdte: consent-or-pay-modellen van grote online platforms bij verwerking voor gedragsreclame.

“Data als prijs”: een verleidelijk maar onjuist model

Bedrijven beschrijven hun aanbod soms als wederkerige uitwisseling: gebruik onze gratis dienst en betaal met uw aandacht en uw data. Het taalveld is dat van de markt: vraag, aanbod, ruil, waarde. Het klinkt fair. Maar het strookt niet met wat de AVG van toestemming verwacht, en evenmin met wat de Uniewetgever heeft bedoeld toen artikel 8 van het Handvest werd opgesteld als zelfstandig grondrecht naast art. 7 (privéleven) en art. 17 (eigendom).

In eerdere bijdragen op deze kennisbank heb ik betoogd dat persoonsgegevens onder de AVG geen eigendom zijn (Bijvoets, 2026a) en dat dataportabiliteit zeggenschap betreft, geen bezit (Bijvoets, 2026b). Hier komt de derde stap: persoonsgegevens kunnen ook niet als handelswaar functioneren, omdat de juridische instrumenten waarmee de AVG werkt (toestemming, herroeping, vrije wilsvorming) zich slecht verdragen met de eigenschappen van een markt.

EDPB Opinion 08/2024: “consent or pay” als juridisch probleem

In april 2024 heeft de European Data Protection Board op verzoek van de Nederlandse, Noorse en Hamburgse toezichthouders (op grond van art. 64 lid 2 AVG) een opinie aangenomen over zogenoemde “consent or pay”-modellen bij grote online platforms (EDPB, 2024a). De conclusies liegen er niet om:

• Bij grote online platforms die alleen een binaire keuze bieden, toestemming geven voor verwerking voor gedragsreclame of een vergoeding betalen, voldoet de toestemming in de meeste gevallen niet aan het criterium “vrijelijk gegeven” van art. 4 sub 11 AVG.
• De EDPB benadrukt dat het bestaan van een “gelijkwaardig alternatief” waarvoor geen vergoeding wordt gevraagd, een zwaarwegende factor kan zijn bij de beoordeling of toestemming vrijelijk is gegeven.
• Waar het alternatief betaald is, kan het volgens de opinie, afhankelijk van de omstandigheden, nodig zijn een aanvullende variant zonder gedragsreclame aan te bieden, bijvoorbeeld met contextuele reclame, om toestemming als vrijelijk gegeven te kunnen aanmerken. De opinie benadrukt dat dit een beoordeling per geval is, geen vaste regel.

De redenering werd samengevat door EDPB-voorzitter Anu Talus: verwerkingsverantwoordelijken moeten ervoor zorgen dat het fundamentele recht op gegevensbescherming niet wordt omgezet in een functie waarvoor individuen moeten betalen om er aanspraak op te maken (EDPB, 2024b). Hoewel grondrechten economische implicaties kunnen hebben en binnen art. 52 Handvest beperkt mogen worden, mag de toegang tot bescherming feitelijk niet afhankelijk worden van betaling.

Een EU-rechtelijk spanningsveld: data als tegenprestatie

Op een ander punt erkent het Unierecht juist dat persoonsgegevens economisch worden ingezet. Richtlijn (EU) 2019/770 over digitale-inhoudovereenkomsten behandelt expliciet de situatie waarin een consument geen geld betaalt maar persoonsgegevens verstrekt in ruil voor digitale inhoud of diensten. De richtlijn rekent die situaties tot haar beschermingsbereik (art. 3 lid 1), zij het niet onbegrensd: gevallen waarin de handelaar de persoonsgegevens uitsluitend verwerkt om de dienst te leveren of om aan wettelijke verplichtingen te voldoen, vallen erbuiten. Daarmee erkent het EU-recht dat persoonsgegevens een economische rol kunnen spelen in contractuele relaties, zonder die rol onbeperkt te faciliteren.

Tussen beide regimes bestaat dus werkelijke spanning. Wat Richtlijn 2019/770 doet, is consumentenbescherming uitbreiden naar dataverwerkende diensten. Wat de AVG, en binnen haar beperkte context EDPB Opinion 08/2024, doen, is eisen dat de verwerking nog altijd op een passende rechtsgrond berust en dat toestemming, wanneer zij wordt gebruikt, daadwerkelijk “vrijelijk gegeven” is. Bij tracking en gedragsreclame moet bovendien het ePrivacy-kader worden betrokken; de juiste grondslag kan daarom niet los van de techniek en het concrete doel worden vastgesteld. Beide regimes opereren naast elkaar: persoonsgegevens kunnen contractueel relevant zijn, maar de AVG-bescherming blijft onverkort gelden. Waar de grens precies ligt, is uiteindelijk een weging die wetgever, toezichthouders en rechter maken. De vier redenen hieronder maken die weging concreet.

Vier juridische redenen waarom commodificatie niet werkt

Toestemming kan om te beginnen altijd worden ingetrokken (art. 7 lid 3 AVG). Intrekking werkt niet terug: verwerkingen die vóór de intrekking rechtmatig op toestemming berustten, worden daardoor niet achteraf onrechtmatig. Vanaf de intrekking mag de verwerkingsverantwoordelijke niet op die toestemming doorgaan. Alleen wanneer voor een verdere verwerking werkelijk een andere, zelfstandige rechtsgrond bestaat en aan alle overige AVG-eisen is voldaan, kan verwerking op die andere grond doorgaan; toestemming mag niet achteraf worden “omgelabeld”. Deze blijvend herroepbare verhouding staat op gespannen voet met het idee van een definitieve verkoopprijs.

Toestemming moet bovendien vrijelijk worden gegeven (art. 4 sub 11 AVG). Een binaire keuze, toestemmen of niet meedoen, kan de vrijwilligheid onder druk zetten, vooral bij machtsongelijkheid of bij gebrek aan reële alternatieven. Het Hof van Justitie heeft die vraag aangeraakt in Meta Platforms v Bundeskartellamt, zij het primair in de context van mededingingsrecht en AVG-samenloop (HvJ EU 4 juli 2023, C-252/21, ECLI:EU:C:2023:537). EDPB Opinion 08/2024 trekt de redenering nadrukkelijk door naar consent-or-pay-modellen.

Het beschermingsobject is bovendien de mens, niet het gegeven. Overweging 4 AVG en art. 1 lid 2 AVG stellen vast dat de verwerking van persoonsgegevens “ten dienste van de mens” moet staan. Een marktmodel dat de mens zelf tot bron van verhandelbare waar maakt, verdraagt zich daar slecht mee, al volgt uit overweging 4 geen verbod op economische exploitatie als zodanig.

Ten slotte raakt commodificatie aan waardigheid en autonomie. Artikel 8 Handvest plaatst gegevensbescherming op één lijn met artikel 7 (privéleven), beide geworteld in menselijke waardigheid (art. 1 Handvest). Het waardigheidsbegrip van het Handvest zet daarmee spanning op een zuiver vermogensrechtelijke benadering: een rechtssubject laat zich niet goed als koopwaar denken.

Wat is dan wél toegestaan?

De AVG verbiedt niet dat persoonsgegevens economische waarde hebben. Online-diensten draaien grotendeels op gedragsreclame; e-commerce vereist klantgegevens; CRM-systemen verzamelen contactdata. De grens zit niet bij commercie, maar bij wegcontracteerbaarheid. Een dienstverlener mag persoonsgegevens verwerken zolang voor ieder doel een geldige rechtsgrond bestaat en, waar relevant, ook het ePrivacy-recht wordt nageleefd. Voor gepersonaliseerde gedragsreclame zal toestemming vaak centraal staan, maar de beoordeling blijft doel-, techniek- en contextafhankelijk. De dienstverlener mag in geen geval zeggen: u heeft “betaald” met uw data, dus de AVG-bescherming vervalt. Voor grote online platforms met binaire consent-or-pay-modellen heeft EDPB Opinion 08/2024 die gedachte uitdrukkelijk weersproken.

Het verschil zit in de aard van de relatie. Een handelswaar wisselt van eigenaar; daarna heeft de oorspronkelijke eigenaar er niets meer over te zeggen. Persoonsgegevens onder de AVG blijven verbonden aan de betrokkene; ook na een verwerking heeft hij recht op inzage (art. 15), rectificatie (art. 16), wissing (art. 17) en intrekking van zijn toestemming (art. 7 lid 3). Anders dan bij een verkochte zaak blijft er een doorlopende rechtsverhouding bestaan.

Wat dreigt er bij commodificatie?

De bezwaren tegen een commodificatie-model zijn niet alleen dogmatisch; ze laten zich ook praktisch schetsen. De volgende drie risico’s zijn geen geldend recht, maar volgen uit de systematiek van het AVG-kader en de huidige praktijk.

Het eerste is lock-in: wie eenmaal data heeft afgegeven, raakt verstrengeld met de dienstverlener; herroeping wordt sociaal of technisch onaantrekkelijk. Het tweede is stratificatie van grondrechten: in een consent-or-pay-wereld kunnen burgers met geld kopen wat ze privé willen houden, terwijl burgers zonder geld met hun data moeten betalen. Dat staat haaks op het idee van fundamentele rechten als gelijke en onvervreemdbare aanspraken. Het derde is monetisering van afgeleide data, denk aan “data wallets” of persoonlijke databrokers, waarbij betrokkenen geacht worden hun profielen te verhandelen. De Artikel 29-werkgroep rekent verstrekte en geobserveerde gegevens tot het recht op dataportabiliteit, maar plaatst afgeleide en gegenereerde gegevens, zoals profielen en scores, daarbuiten (WP242 rev.01; Bijvoets, 2026b). Zelfs het meest mobiliteitsgerichte AVG-recht bestrijkt profielen dus niet; een handel in profielen zou in het huidige recht dan ook weinig aanknopingspunten vinden.

Conclusie

De AVG kent geen eigendomsregime voor persoonsgegevens (Bijvoets, 2026a); zij reguleert verwerking via rechten en verplichtingen, niet via overdraagbare vermogensrechten. In dezelfde lijn laten persoonsgegevens zich moeilijk verenigen met een handelswaar-benadering: het kader blijft grondrechtelijk, niet vermogensrechtelijk. EDPB Opinion 08/2024 bevestigt dat voor grote online platforms die consent-or-pay inzetten voor gedragsreclame; de opinie is geen algemene uitspraak over iedere betaalde privacyvariant of iedere commerciële verwerking. Persoonsgegevens worden beschermd omdat de mens beschermd wordt, niet omdat het object waardevol is.

Voor de praktijk betekent dit dat wie persoonsgegevens in zijn bedrijfsmodel betrekt, geen koopman is. Hij opereert binnen een doorlopende rechtsverhouding als verwerkingsverantwoordelijke of verwerker (art. 4 sub 7 en 8 AVG), waarin de rechten van betrokkenen centraal blijven staan. Dat is een wezenlijk ander beeld dan de marktmetafoor suggereert. En dat is maar goed ook.

Bronnen

• Article 29 Data Protection Working Party (2017) Guidelines on the right to data portability, WP242 rev.01, 5 April 2017 (endorsed by the European Data Protection Board, 25 May 2018). Available at: https://ec.europa.eu/newsroom/article29/items/611233, accessed on 22 July 2026.
• Bijvoets, J. (2026a) Persoonsgegevens zijn geen eigendom: waarom de AVG kiest voor zeggenschap. AVG Compleet. Available at: https://avg-compleet.nl/persoonsgegevens-zijn-geen-eigendom/.
• Bijvoets, J. (2026b) Dataportabiliteit onder de AVG: zeggenschap zonder eigendom. AVG Compleet. Available at: https://avg-compleet.nl/dataportabiliteit-onder-de-avg/.
• European Data Protection Board (2024a) Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, 17 April 2024. Available at: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-082024-on-valid-consent-in-the-context-of-consent-or_en, accessed on 22 July 2026.
• European Data Protection Board (2024b) EDPB: ‘Consent or Pay’ models should offer real choice (nieuwsbericht), 17 April 2024. Available at: https://www.edpb.europa.eu/news/news/2024/edpb-consent-or-pay-models-should-offer-real-choice_en, accessed on 22 July 2026.
• Handvest van de grondrechten van de Europese Unie, PbEU 2012/C 326/02, art. 1, 7, 8, 17 en 52.
• HvJ EU 4 juli 2023, C-252/21, ECLI:EU:C:2023:537 (Meta Platforms v Bundeskartellamt).
• Richtlijn (EU) 2019/770 van het Europees Parlement en de Raad van 20 mei 2019 betreffende bepaalde aspecten van overeenkomsten voor de levering van digitale inhoud en digitale diensten, PbEU 2019/L 136/1, met name art. 3 lid 1.
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene Verordening Gegevensbescherming), PbEU 2016/L 119/1, met name art. 1 lid 2, art. 4 sub 7, 8 en 11, art. 7 lid 3, art. 15-17 en overweging 4.

Engelse versie

Download de Engelse versie van dit artikel (PDF)

Lees ook: