Wat u MAG verkopen (AVG & monetisatie)

Voordat u gegevens monetiseert, is er één vraag die boven alle andere uitgaat: heeft u het recht om ze te verkopen? (Deze gids vereenvoudigt vastgestelde regels en vormt geen juridisch advies: raadpleeg voor uw specifieke situatie uw DPO, de CNIL of een advocaat.)

Alles begint met een onderscheid: zijn de gegevens persoonlijk? Gegevens die een persoon direct of indirect identificeren, zijn persoonlijk en vallen onder de AVG (art. 4(1)). Vervolgens komt een doorslaggevend nuanceverschil: anonieme gegevens – dat wil zeggen, onomkeerbaar niet-identificeerbaar gemaakt – vallen buiten de AVG (overweging 26), terwijl gepseudonimiseerde gegevens persoonlijk blijven (art. 4(5)). De CNIL eist drie tests om van anonimisering te kunnen spreken: onmogelijkheid van individualisering, correlatie en inferentie.

Om persoonsgegevens over te dragen, is een wettelijke grondslag vereist (art. 6(1)): toestemming, of gerechtvaardigd belang met een wegingstest. Let op, 'verkopen onder gerechtvaardigd belang' is geen algemene regel – het is geval per geval. Een andere valkuil: het doorverkopen van gegevens vormt een nieuwe finaliteit ten opzichte van de oorspronkelijke verzameling (art. 5(1)(b) en 6(4)); in de praktijk vereist dit nieuwe toestemming, en algemene voorwaarden die 'in één keer' zijn geaccepteerd, gelden niet als toestemming (CNIL). Wat betreft prospectie: het elektronische kanaal vereist voorafgaande toestemming, terwijl de post- of telefonische weg kan steunen op gerechtvaardigd belang met recht van bezwaar.

B2B ontsnapt niet aan de AVG: een generiek e-mailadres 'contact@bedrijf' valt buiten het toepassingsgebied (overweging 14), maar een nominatief e-mailadres 'voornaam.achternaam@' of de naam van een werknemer blijven persoonsgegevens (HvJ EU, C-710/23); voor een zelfstandige ondernemer identificeren de 'bedrijfsgegevens' vaak de persoon. Vandaar een checklist in vijf vragen: zijn de gegevens persoonlijk? Heb ik een wettelijke grondslag om ze over te dragen? Is dit verenigbaar met de oorspronkelijke finaliteit? Zijn de personen geïnformeerd en kunnen ze bezwaar maken? Worden bezwaren uitgesloten, met bewijs?

Dit is niet theoretisch: op 15 mei 2025 heeft de CNIL Solocal Marketing Services (900.000 €) en Caloga (80.000 €) beboet voor gebruik en doorverkoop van prospectiegegevens zonder geldige wettelijke grondslag. De les: conforme gegevens worden verkocht, niet-conforme gegevens worden beboet. Geef de voorkeur aan geaggregeerde en geanonimiseerde gegevens, en laat uw gegevens kwalificeren voordat u ze op de markt brengt.