Uitspraken van de maand | augustus 2026

B2B-data: openbaar betekent niet vrij te gebruiken

De Italiaanse privacytoezichthouder legde dataplatform Lusha een boete van €2 miljoen op voor de manier waarop het zakelijke contactgegevens verzamelde en beschikbaar stelde aan klanten. Lusha verzamelt persoonsgegevens uit verschillende bronnen. Daaronder vallen publiek beschikbare bronnen en professionele socialmediaprofielen, maar ook gegevens afkomstig van derde partijen en gegevens die via gebruikers van Lusha werden verzameld. Klanten kunnen de database vervolgens gebruiken voor onder meer sales en marketing.

Lusha beriep zich voor het verzamelen en beschikbaar stellen van deze gegevens op het gerechtvaardigd belang. Deze grondslag vereist dat de verwerking noodzakelijk is om het gerechtvaardigde belang te behartigen en de belangen van de betrokken personen niet zwaarder wegen. Volgens de toezichthouder had Lusha die afweging onvoldoende gemaakt. Zo werd onvoldoende rekening gehouden met de aard en herkomst van de gegevens, de personen die in de database terechtkwamen en hun redelijke verwachtingen.

Voor B2B-marketeers is vooral belangrijk om te weten dat zakelijke gegevens ook persoonsgegevens kunnen zijn. Dat een telefoonnummer, e-mailadres of functie online staat, bijvoorbeeld op LinkedIn, betekent dus niet dat iemand redelijkerwijs hoeft te verwachten dat deze gegevens worden verzameld, verrijkt en vervolgens voor commerciële doeleinden aan andere bedrijven worden aangeboden. Ook bij het inkopen van B2B-data blijft het daarom belangrijk om te controleren waar gegevens vandaan komen, op welke grondslag ze zijn verzameld en verstrekt en hoe betrokkenen daarover zijn geïnformeerd. “Het stond openbaar op internet” is op zichzelf nog niet voldoende.

Google krijgt €890 miljoen boete

De Europese Commissie legde Google in juli twee boetes op van in totaal €890 miljoen wegens overtreding van de Digital Markets Act (DMA). De eerste boete van €460 miljoen draait om Google Search. Volgens de Commissie gaf Google zijn eigen diensten een prominentere positie in de zoekresultaten dan vergelijkbare diensten van concurrenten. De tweede boete van €430 miljoen heeft betrekking op Google Play. Google beperkte volgens de Commissie de mogelijkheden van appontwikkelaars om gebruikers te wijzen op alternatieve, vaak goedkopere aanbiedingen buiten de Play Store.

De DMA bevat specifieke verplichtingen voor gatekeepers: grote digitale platforms die door hun positie een belangrijke toegangspoort vormen tussen bedrijven en eindgebruikers. Een van de uitgangspunten is dat zo’n platform zijn eigen diensten niet mag bevoordelen ten opzichte van vergelijkbare diensten van derden. Ook moeten bedrijven voldoende ruimte houden om klanten buiten het platform te bereiken en aanbiedingen te doen.

Voor marketeers is deze zaak relevant omdat de DMA steeds zichtbaarder ingrijpt op de digitale klantreis. De DMA probeert de afhankelijkheid te begrenzen. Deze uitspraak kan meer ruimte opleveren om consumenten vanuit een app-store naar een eigen website of ander verkoopkanaal te sturen. De Google-boetes laten daarmee zien dat de DMA niet alleen regelgeving voor Big Tech is, maar ook gevolgen kan hebben voor de kanalen waarlangs merken hun klanten bereiken.

Samenwerking met influencer voorbij? Vergeet de oude content niet

Dat een influencercampagne is afgelopen, betekent niet automatisch dat ook het gebruik van de bijbehorende content stopt. Dat blijkt uit een Noorse zaak rond Lab Pharma. Een influencer had het bedrijf het recht gegeven om haar naam, foto en bepaalde content te gebruiken. De overeenkomst gold voor een beperkte periode, maar ook jaren later werd materiaal met haar persoonsgegevens nog op verschillende websites gebruikt.

Bij influencercontent spelen vervolgens twee juridische vragen naast elkaar:

• Mag je de content nog gebruiken? Welke gebruiksrechten precies uit een influencerovereenkomst voortvloeien, wanneer een licentie eindigt en wat na beëindiging nog is toegestaan, hangt mede af van het toepasselijke nationale contracten- en auteursrecht. De uitkomst van de Noorse zaak is op dit punt daarom niet één-op-één naar Nederland te vertalen.
• Mag je de persoonsgegevens in die content nog verwerken? Als een merk de naam, foto, testimonial of andere persoonsgegevens van een influencer voor commerciële doeleinden gebruikt, is daarvoor een grondslag onder de AVG nodig. Die privacyrechtelijke les is ook voor Nederlandse organisaties relevant, omdat de AVG ook in Noorwegen van toepassing is. Dat content ooit rechtmatig is gepubliceerd of inmiddels elders openbaar op internet staat, betekent niet dat de persoonsgegevens daarin onbeperkt opnieuw voor marketingdoeleinden mogen worden gebruikt.

Neem daarom bij influencerovereenkomsten niet alleen op waar en waarvoor content mag worden gebruikt, maar ook hoelang. Zorg bovendien dat het einde van een samenwerking intern iets in gang zet. Controleer bijvoorbeeld advertenties, websites, testimonials en landingspagina’s waarop de naam, afbeelding of andere persoonsgegevens van de influencer nog voorkomen.

Een klant mogen mailen betekent niet dat je alles met zijn aankoopdata mag doen

Tot slot een zaak die heel dicht bij de dagelijkse CRM-praktijk ligt. De Belgische Gegevensbeschermingsautoriteit trof in juli een schikking met een onderneming uit de entertainmentsector. De klacht ontstond nadat iemand een ticket had gekocht en vervolgens direct-marketingmails ontving waarbij ook historische aankoopgegevens werden gebruikt.

Het onderscheid tussen het versturen van een marketingmail en wat er achter de schermen met klantdata gebeurt om te bepalen welke marketing iemand ontvangt, is hierbij belangrijk. Voor bestaande klanten kan onder voorwaarden gebruik worden gemaakt van de zogenoemde soft opt-in voor eigen gelijksoortige producten of diensten. Dat betekent echter niet automatisch dat historische aankoopgegevens ook mogen worden gebruikt om klanten te segmenteren en marketing te personaliseren.

Voor dat verdere gebruik moet je beoordelen of de verwerking rechtmatig is. Daarbij speelt ook de vraag of het nieuwe gebruik verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verzameld. Ligt het verdere gebruik voldoende in het verlengde van dat oorspronkelijke doel, dan kan verdere verwerking onder dezelfde grondslag mogelijk zijn. Daarbij moet je onder meer kijken naar de samenhang tussen beide doeleinden, de context waarin de gegevens zijn verzameld en wat de klant redelijkerwijs mocht verwachten. Is het nieuwe doel niet verenigbaar met het oorspronkelijke doel, dan is een nieuwe grondslag nodig.

Kijk bij CRM-campagnes daarom verder dan alleen de vraag: “mogen we deze klant mailen?” Het selecteren van klanten op basis van eerdere aankopen, interesses of ander gedrag is óók een verwerking van persoonsgegevens. Breng in kaart welke gegevens je daarvoor gebruikt, voor welk doel en of dit doel verenigbaar is met het oorspronkelijke doel. Ook moet bezwaar maken tegen direct marketing eenvoudig blijven. Een ontvanger onnodige stappen laten doorlopen om zich af te melden, past daar niet bij.

Legal advies nodig?

Ben je lid van DDMA en heb je legal vragen? Neem dan contact op met onze Legal Counsels via legal@ddma.nl.

Team Legal DDMA

Kennisbank voor marketing en data