Verstrekken, delen en verkopen zijn juridisch drie dingen
Doorverkoop is de zwaarste beschuldiging in dit veld en tegelijk de slechtst onderbouwde. De AVG kent het woord verkoop niet eens; die kent verstrekking aan een ontvanger. De Californische wet kent wel verkoop, en definieert die zo breed dat een gewone advertentiecookie er al onder valt. Wie een Amerikaanse definitie in een Nederlands stuk gebruikt zonder het te zeggen, beweert iets anders dan hij denkt.
Het woord dat de AVG niet kent¶
Zoek in de Algemene verordening gegevensbescherming naar verkoop en je vindt niets bruikbaars. De verordening werkt met andere begrippen, en dat is precies waarom het debat hier scheefloopt.
Verwerking. Elke handeling met persoonsgegevens. Verzamelen, opslaan, raadplegen, doorsturen, wissen. Het woord is expres zo breed dat vrijwel alles eronder valt.
Verstrekking aan een ontvanger. Gegevens gaan naar een andere partij. Betaling is irrelevant. Gratis weggeven is net zo goed een verstrekking als verkopen, en heeft dezelfde eisen: een grondslag, een vermelding in de informatie aan de betrokkene, een plek in het verwerkingsregister.
Verwerker. Een partij die uitsluitend in opdracht en volgens instructie verwerkt, zonder eigen doel. Een hostingpartij, een e-mailverzender. Er hoort een verwerkersovereenkomst bij.
Verwerkingsverantwoordelijke. De partij die doel en middelen bepaalt. Dit is de rol die aansprakelijk is.
Gezamenlijke verantwoordelijkheid (artikel 26). Twee partijen bepalen samen. Dit is de rol waar de advertentieketen bijna altijd in valt en die bijna nooit wordt ingevuld zoals het artikel eist.
Waarom bijna elke tracker géén verwerker is¶
Dit is de meest voorkomende juridische fout in dit veld, en organisaties maken hem te goeder trouw.
Ze denken: wij hebben een verwerkersovereenkomst met dat advertentiebedrijf, dus wij zijn gedekt. Maar een verwerker mag alleen doen wat de opdrachtgever zegt en heeft geen eigen doel. Een advertentiebedrijf dat de waarneming gebruikt om zijn eigen profielen te verrijken en om op andere sites advertenties te richten, heeft een eigen doel. Dan is het geen verwerker maar een zelfstandige of gezamenlijke verantwoordelijke, en dan is de overeenkomst het verkeerde papier.
De praktische toets: verrijkt de ontvanger zijn eigen model met wat hij van jouw bezoekers ziet? Dan is hij geen verwerker. Bij vrijwel elk advertentie- en identiteitsbedrijf is het antwoord ja, en het staat gewoon in hun eigen voorwaarden.
De Amerikaanse definitie, en waarom die verwarring geeft¶
De Californische privacywet (CCPA, uitgebreid door de CPRA) kent het woord verkoop wel, en definieert het als het beschikbaar stellen van persoonlijke informatie aan een derde tegen een geldelijke of andere tegenprestatie. Die laatste vier woorden doen het werk. Een advertentiecookie die jou volgt in ruil voor gratis advertentie-inkomsten valt daar al onder. Daarom staat er op Amerikaanse sites een knop met de tekst "Do not sell or share my personal information", ook bij bedrijven die nooit een factuur voor data hebben gestuurd.
Gevolg: als een Amerikaans bedrijf zegt dat het jouw data niet verkoopt, kan dat waar zijn in de Californische zin en tegelijk verhullen dat er tientallen partijen meekijken. En als een activist zegt dat een Nederlandse site jouw data verkoopt, gebruikt hij de Californische definitie in een Nederlandse context zonder dat te zeggen.
Wie beide gebruikt, moet er expliciet bij zetten welke hij bedoelt. Ik doe dat als volgt: verstrekking als het over de AVG gaat, doorverkoop alleen als er geld voor een dataset is betaald, en de Californische betekenis noem ik met de wet erbij.
De ladder in juridische termen¶
Terug naar de vijf trappen uit Van aanwezig tot doorverkocht zijn vijf trappen, met vijf bewijslasten, nu met het recht ernaast.
- Aanwezigheid van code: geen verwerking, geen overtreding.
- Verzoek zonder gegevens over jou: grensgeval, het IP-adres komt wel aan.
- Verstrekking van een identifier: verwerking, en zonder geldige toestemming vrijwel altijd onrechtmatig onder zowel de cookiebepaling als de AVG.
- Koppeling tussen twee partijen: gezamenlijke verantwoordelijkheid, artikel 26.
- Doorverkoop van een dataset: verstrekking aan een ontvanger, met alle plichten, plus mogelijk een eigen grondslagprobleem.
Hoe de ladder een telling verandert¶
Een voorbeeld uit mijn eigen meting van 18 juli 2026 op de vijf grootste pornosites. In de tabel bij dat artikel staat Pornhub op 0 gedeelde identifiers, terwijl er wel degelijk een client-ID naar Google Analytics gaat, samen met de oriëntatie-instelling van de sessie.
Dat is geen slordigheid maar de ladder in werking. De client-ID van een statistiekendienst is trap 3: er wordt een identifier verstrekt aan een ontvanger. Hij is geen trap 4, want er is geen tweede partij die met datzelfde nummer naar dezelfde persoon wijst. Bij xhamster is dat er wel: daar gaat hetzelfde nummer in dezelfde beweging naar twee partijen, en dat levert 9 gedeelde-identifier-events op, waarvan 4 zonder toestemming.
Wie die twee op één hoop gooit, krijgt een tabel waarin Pornhub en xhamster op elkaar lijken. Wie ze scheidt, ziet dat het twee verschillende problemen zijn met twee verschillende juridische routes. De strengere telling maakt het eigen cijfer lager en het stuk sterker.
Merk op dat de derde trap juridisch al zwaar is. Je hebt de vijfde niet nodig om een overtreding aan te wijzen, en dat is precies waarom het geen goed idee is om die vijfde te beweren als je hem niet hebt. Zie Zonder geldige toestemming is de cookie onrechtmatig en Tracking is niet meteen een datalek.
De vier woorden die ik consequent gebruik¶
- Ontvanger voor een partij die gegevens krijgt. Neutraal, dekt alles.
- Verstrekking voor de handeling. Zegt niets over geld.
- Koppeling voor het samenbrengen van profielen.
- Doorverkoop alleen als er een dataset tegen betaling van eigenaar wisselt, met een document eronder.
Dat kost af en toe een krantenkop. Het levert een stuk op dat een woordvoerder niet kan slopen, en dat is de betere ruil. Zie Technisch juiste uitspraken kunnen een verkeerde indruk wekken.