In een vorige blogpost, Data als intellectuele eigendom en privacy, werd reeds kort aangehaald dat data meer en meer een ruilmiddel is geworden in de zogenaamde gratis economie.

Hierbij kunnen we denken aan hetgeen gebeurt in het social media landschap, waar online diensten “gratis” ter beschikking worden gesteld aan de gebruiker; maar weliswaar staan deze gebruikers in ruil bepaalde gegevens af aan de aanbieder van deze diensten.

Tot deze gegevens behoren o.a. locatiegegevens, webpage clicks, etc.

Maar soms betreft het ook directe persoonsgegevens, zoals bepaalde voorkeuren, contactgegevens zoals e-mailadressen, mobiele telefoonnummers, etc.

In deze blogpost zal kort worden ingegaan of persoonsgegevens al dan niet kunnen worden vermarkt als handelswaar.

Deze blogpost is geen wetenschappelijke analyse inzake de verhandelbaarheid van persoonsgegevens, en heeft dan ook niet die pretentie.

Noch neemt het een standpunt in inzake het toelaten of niet toelaten van het verhandelen van persoonsgegevens.

Persoonsgegevens als handelswaar

Een handelsgoed of handelswaar is een materieel of immaterieel goed dat overgedragen kan worden al dan niet voor een tegenprestatie.

Deze tegenprestatie hoeft niet steeds te gebeuren in chartaal of in giraal geld, maar zal in de meeste gevallen een tegenprestatie in natura zijn, zoals bijvoorbeeld het leveren van een dienst. Bijvoorbeeld: de mogelijkheid om nieuwsartikelen te lezen, films te bekijken, een e-mailadres te gebruiken, etc.

M.a.w. we hebben hier te maken met ruilhandel en een ruileconomie.

In het kader van persoonsgegevens zullen we in de meeste gevallen eerder praten over een immaterieel goed, dat via het verstrekken van een licentie gebruiksrechten erop geeft.

Echter, persoonsgegevens, hoewel immaterieel van oorsprong, kunnen ook een materiële vorm aannemen, namelijk via hun drager. Dit is bijvoorbeeld het geval bij foto’s en filmmateriaal.

Verkoop van persoonsgegevens

Wanneer persoonsgegevens, in hun immateriële of in hun afgeleide materiële vorm, worden verkocht door de titularis van de persoonsgegevens zelf (de betrokkene of het data subject), dan weet de titularis met wie hij of zij handelt.

De titularis van deze persoonsgegevens zou dan contractuele voorwaarden kunnen bedingen die de koper van de persoonsgegevens dient na te leven.

Je zou dit kunnen vergelijken met het verstrekken van een licentie, zoals een productie-licentie of een licentie op het gebruik van een merk of van een model aan één tegenpartij.

De vraag hierbij is dan wat indien de titularis van de persoonsgegevens bijvoorbeeld zijn of haar “toestemming” intrekt, of wilt afzien van de aangegane overeenkomst?

Doorverkoop van persoonsgegevens

Bij doorverkoop heeft de titularis van de persoonsgegevens doorgaans geen vat meer op het gebruik van zijn of haar persoonsgegevens, tenzij initieel met de eerste tegenpartij-verwerver werd bedongen dat doorverkoop niet is toegestaan.

De vraag die men in verband met doorverkoop kan stellen is of dit een haalbare kaart is wanneer de persoonsgegevens in hun afgeleide vorm, bijvoorbeeld foto’s of filmmateriaal, worden vermarkt?

Maar ook hier heeft men het probleem van o.a. het zich terugtrekken uit de overeenkomst door de titularis van de persoonsgegevens.

Charter grondrechten EU

Het handvest inzake de grondrechten van de Europese Unie voorziet in haar artikel 8 o.a. het volgende:

• Eenieder heeft recht op bescherming van zijn persoonsgegevens.
• Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet.
  Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan.

De vraag is of het handvest inzake de grondrechten van de EU toelaat, weliswaar mits de toestemming van de betrokkene, dat persoonsgegevens mogen worden vermarkt?

Volgens de EDPB, in haar richtlijnen 2/2019 met betrekking tot de verwerking van persoonsgegevens op basis van art. 6, 1b, zijn persoonsgegevens geen verhandelbaar goed omdat data subjecten hun fundamentele rechten niet kunnen verhandelen (punt 54); zie tevens het artikel van B.Custers en G. Malgieri, Priceless data: why the EU fundamental right to data protection is at odds with trade in personal data, Elsevier, 2022.

GDPR

Zoals hierboven reeds kort werd aangehaald geven zowel het direct verhandelen als het subsequent verhandelen van persoonsgegevens problemen.

De basis zou de toestemming, via een overeenkomst (licensing of verkoop), moeten/kunnen zijn.

Echter de GDPR biedt de betrokkene nog een heleboel bijkomende rechten, zoals het recht om te weten wat er met de persoonsgegevens gebeurt, het recht op beperking van de verwerking, het recht op het (geheel of gedeeltelijk) wissen van zijn of haar persoonsgegevens, het recht om een gegeven toestemming op ieder moment in te trekken, etc.

Vraag rest of deze rechten zouden kunnen worden uitgeoefend via een mandaat?

Men zou kunnen argumenteren dat de betrokkene een mandataris aanduidt die in zijn of haar plaats de door de GDPR voorziene rechten kan uitoefenen.

Dit zou praktisch mogelijk zijn wanneer er in de keten slechts één gekende tegenpartij is, maar wat bij het verder vermarken van deze persoonsgegevens.

In dat geval zullen deze verdere houders-verwervers van deze persoonsgegevens bij de betrokkene of bij diens mandataris niet gekend zijn.

Dus in de praktijk zullen deze rechten die de GDPR de betrokkene biedt bij het verhandelen van persoonsgegevens moeilijk uit te voeren laat staan na te leven zijn.

Dit geeft voor verwerkingsverantwoordelijken een enorme rechtsonzekerheid.

Conclusie

We kunnen stellen dat persoonsgegevens, gezien hun bescherming in het Handvest van de Grondrechten van de EU en hun dynamisch karakter, (nog) geen verhandelbare goederen zijn, noch via verkoop noch via licensing.

Bij zowel de verkoop als bij licensing kunnen betrokkenen immers hun rechten, zoals het recht op gegevenswissing, het recht op beperking van de verwerking, het recht om de gegeven toestemming te allen tijde in te trekken, etc., die door de GDPR worden voorzien niet uitoefenen; evenmin kan er aan de basisprincipes van de GDPR worden voldaan, zoals onder andere een transparante, doelgebonden, minimale gegevensverwerking.

Dit brengt ook rechtsonzekerheid voor verwerkingsverantwoordelijken, een situatie waar men een zakenmodel niet kan op baseren.

Bloep, 8 februari 2026.