Voor marketingdoeleinden worden soms lijsten met contactgegevens van personen aangekocht en verkocht.

De partijen (koper en verkoper) die bij een dergelijke transactie betrokken zijn dienen er zich bewust van te zijn dat zij meerdere verplichtingen hebben ten opzichte van de betrokkenen wiens persoonsgegevens zij aangekocht of verkocht hebben.

Te onthouden punten

• Betrokkenen in een contactenlijst voor marketingdoeleinden moeten weten wie in het bezit is van hun persoonsgegevens en wat zij ermee gaan doen;
• Betrokkenen in een contactenlijst voor marketingdoeleinden moeten voor ieder specifiek doel dat de bezitter van plan is met deze persoonsgegevens hun GDPR conforme en expliciete toestemming geven;
• De verkoper van dergelijke contactlijsten moet voor iedere betrokkene kunnen aantonen dat zij toestemming hebben gegeven dat hun persoonsgegevens voor marketingdoeleinden zijn bestemd.

Verwerking op basis van een toestemming

Het verwerken van persoonsgegevens moet, volgens de GDPR, gebeuren op basis van een geldige rechtsgrond.

Een van deze rechtsgronden is de toestemming van de betrokkene.

Voor direct marketingdoeleinden is dit meestal ook de enige rechtsgrond waarop de verwerkingsverantwoordelijke zich kan baseren voor de verwerking.

Het is dan ook aan de verwerkingsverantwoordelijke om aan te tonen dat de betrokkene daadwerkelijk toestemming heeft gegeven voor iedere specifiek benoemde verwerking van zijn of haar persoonsgegevens voor marketingdoeleinden.

Met andere woorden een vage en algemene beschrijving van het doel voor de toestemming van de verwerking geldt niet als een transparante en specifieke toestemming.

Aan- en verkoop van contactlijsten

Sommige organisaties en bedrijven kopen en verkopen contactlijsten voor o.a. direct marketing.

Deze aangekochte contactlijsten bevatten soms persoonsgegevens, zoals naam, functie, directe telefoonnummers, (persoonlijke) e-mailadressen van de betreffende personen.

Het aanbod van dergelijke contactlijsten gebeurt soms op basis van betaling voor het soort informatie dat de koper wenst, zoals bijvoorbeeld de naam van de contactpersoon met zijn persoonlijk telefoonnummer en e-mailadres, en in het verleden ook wel op basis van CD-Rom of USB-stick.

Koper

De koper van contactlijsten met persoonsgegevens verstrekt de betrokkenen van wie zij persoonsgegevens hebben verkregen via een verkoper van contactlijsten binnen een redelijke termijn, maar zeker binnen één maand na verwerving van de gegevens, alle nodige informatie inzake onder andere:

• wie de verwerkingsverantwoordelijke is,
• eventueel de contactgegevens van hun DPO,
• welke persoonsgegevens ze in hun bezit hebben en waar die vandaan komen,
• waarvoor ze zullen worden gebruikt evenals de rechtsgrond voor dat gebruik,
• …

De betrokkenen moeten immers weten wie in het bezit is van hun persoonsgegevens, wat deze organisaties daarmee van plan zijn, evenals waarop zij zich baseren voor hun voorgenomen doelstelling en verwerking met deze verkregen persoonsgegevens.

Indien de koper de persoonsgegevens heeft verworven voor een ander doel dan degene waarvoor de betrokkenen toestemming hebben voor gegeven, dan dient de verwerkingsverantwoordelijke-koper alvorens de gegevens te verwerken toestemming te vragen aan de betrokkenen of diens persoonsgegevens mogen worden gebruikt voor deze nieuwe doeleinden.

Geeft de betrokkene geen toestemming, dan moet de verwerkingsverantwoordelijke-koper de persoonsgegevens van deze betrokkene verwijderen uit zijn bestanden.

Verkoper

Ook de verkoper is aan dezelfde melding onderworpen wanneer, zoals meestal het geval zal zijn, hij de persoonsgegevens van een derde heeft verkregen; bijvoorbeeld een telecom operator.

Bovendien zal de verkoper de betrokkenen moeten mededelen dat de persoonsgegevens bestemd zijn voor of overwogen wordt ze door te geven aan andere ontvangers of categorieën van andere ontvangers, en dit uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt.

Indien de verkoper overweegt de persoonsgegevens te verstrekken aan derden zal hij moeten kunnen aantonen dat hij van de betrokkene de toestemming daarvoor heeft verkregen, alvorens de persoonsgegevens door te geven of te verkopen.

Contractuele bepalingen

In sommige gevallen zal een verkoper (data broker) van contactgegevens de verantwoordelijkheid voor het nakijken of de persoonsgegevens mogen worden gebruikt voor marketingdoeleinden proberen door te schuiven op de koper, of beweren dat hij de persoonsgegevens heeft verkregen met de toestemming van de betrokkenen dat zij voor marketingdoeleinden mogen worden gebruikt.

Dergelijke contractuele clausules beletten echter niet dat de verkoper van deze contactgegevens zelf moet kunnen aantonen dat de verkochte persoonsgegevens wel degelijk de toestemming van de betrokkenen hebben om voor marketingdoeleinden te worden gebruikt.

Indien de verkoper voor sommige van de personen wiens persoonsgegevens hij verkoopt niet kan aantonen dat deze voor marketingdoeleinden mogen worden gebruikt, dan dient de verkoper deze persoonsgegevens uit haar databank te verwijderen; alvorens ze door te verkopen aan een geïnteresseerde koper.

Opgelet

Deze blogpost is geen juridisch advies. Voor specifieke vragen inzake uw privacy probleem of project, neem contact met ons op via Contact Formulier.

Bloep, 5 juli 2026.