Fr

TECH

De spelregels voor (online) marketing in beweging door Beatrijs Dewijngaert en Hannah Tacheny (AdaStone)

Donderdag 19 Februari 2026

De spelregels voor (online) marketing in beweging door Beatrijs Dewijngaert en Hannah Tacheny (AdaStone)

De Europese Commissie heeft twee initiatieven aangekondigd die het (digitale) regelgevingskader merkbaar kunnen beïnvloeden: de Digital Omnibus, waarin onder meer een mogelijke bijsturing van de GDPR wordt besproken, en de Digital Fairness Act, die de consumentenbescherming in het digitale tijdperk wil aanscherpen. In dit artikel lichten we toe wat er momenteel op tafel ligt.

De Digital Omnibus en recente Europese rechtspraak

Op 19 november 2025 stelde de Europese Commissie de Digital Omnibus voor. Dit initiatief heeft als doel om het geheel aan bestaande regels waarmee ondernemingen de voorbije jaren (denk aan de GDPR, de AI Act en de e-Privacyrichtlijn) beter op elkaar af te stemmen en tegelijk wat te moderniseren. De hoop is dat bedrijven daardoor minder vastlopen in de overlapping en onduidelijkheid.
  • Definitie van persoonsgegevens
Interessant is wat critici omschrijven als een mogelijke “terugdraaiing” van de GDPR. Dat zou gebeuren door de definitie van ‘persoonsgegeven’ te beperken.

Vandaag wordt er namelijk een ‘absolute’ definitie gehanteerd: zodra een gegeven betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon wordt het beschouwd als een persoonsgegeven onder de GDPR. Of de partij die de persoonsgegevens verzameld of ontvangt die link in de praktijk ook effectief kan leggen, speelt vandaag geen enkele rol.

De Omnibus stelt daarentegen voor een relatieve definitie te hanteren: gegevens zouden niet langer beschouwd worden als een ‘persoonsgegeven’ indien de ontvanger de betrokken persoon niet meer kan identificeren, rekening houdend met de middelen die zij redelijkerwijs kan (en zal) inzetten. Dit voorstel werd door het Hof van Justitie al gesuggereerd in zijn arrest van 4 september 2025 (C-413/23).

Maar zal deze wijziging de zaken inderdaad fundamenteel veranderen?

Voor de reclamesector en adtech, die zeer afhankelijk zijn van ‘toestemming’ als rechtsgrond voor bijna elke stap,  van tracking tot meten, zou deze wijziging in ieder geval welkom zijn. Zo zouden bepaalde spelers in de sector kunnen aanvoeren dat de GDPR niet van toepassing is op gegevens zodra zij niet in staat zijn de natuurlijke persoon achter die gegevens te identificeren.

Deze versoepeling moet toch wel worden genuanceerd. Het Hof van Justitie is daar duidelijk in: elke actor moet vooraf, geval per geval, en op basis van objectieve criteria,  beoordelen of een identificatie nog redelijkerwijs mogelijk is. Er moet hierbij rekening worden gehouden met de kosten en tijd die een identificatie zou vergen, net als de beveiligingsmaatregelen die werden genomen en de technologie die vandaag (of in de toekomst) beschikbaar is, alsook met de mogelijkheden van derden die aan de hand van andere gegevens alsnog in staat zijn om een persoon te identificeren…

Met andere woorden: hoewel sommigen vrezen dat een eenvoudige “verklaring” dat een identificatie niet mogelijk is volstaat, is dat volgens ons niet genoeg om buiten het toepassingsgebied van de GDPR te vallen.

In ieder geval is het laatste woord over de vraag of het begrip ‘persoonsgegeven’ absoluut dan wel relatief moet worden ingevuld, nog niet gezegd, nu het voorstel momenteel wordt betwist door het Europees Comité voor gegevensbescherming (EDPB) en de Europese Toezichthouder voor gegevensbescherming (EDPS).
 
  • Cookie banners
De Commissie wil daarnaast graag iets doen aan de “consent fatigue” rond cookie banners. Iedereen kent het reflexmatig wegklikken van cookie-banners zonder echt te begrijpen wat je net hebt toegestaan. Zo wordt “toestemming” in de praktijk eerder een formaliteit dan een bewuste keuze.

De toestemming blijft het basisprincipe maar de Commissie wil wel ook duidelijke uitzonderingen voorzien voor verwerkingen van persoonsgegevens met een laag risico (zoals statistieken, audience measurement…).

Daar waar dan wel toestemming wel nodig blijft, wil de Commissie het vooral eerlijker en eenvoudiger maken door bijvoorbeeld het aanvaarden of weigeren van cookies door één klik en liefst ook meer centrale voorkeuren via de browserinstellingen. De Commissie overweegt ook om herhaalde verzoeken te beperken door te bepalen dat een eenmaal gegeven “nee” gedurende zes maanden geldig blijft.
 
  • Direct marketing:
De huidige overlap tussen de e-Privacyrichtlijn en de GDPR maakt de regels rond direct marketing bijzonder complex: waar de ene in principe toestemming vereist, laat de andere dit onder bepaalde voorwaarden toe.

In het Inteligo Media-arrest van 13 november 2025 maakte het Hof van Justitie duidelijk dat toestemming niet vereist is wanneer:
  • het e-mailadres werd verkregen in het kader van een aankoop of een bestaande klantrelatie.
  • de marketing betrekking heeft op gelijkaardige producten of diensten.
  • de klant zowel bij het verzamelen van het e-mailadres als in elke e-mail kosteloos en eenvoudig kan uitschrijven.
Toestemming is in ieder geval onder de GDPR wel vereist in andere situaties. In elk geval moet de betrokkene steeds de mogelijkheid hebben om zich eenvoudig uit te schrijven of zijn toestemming in te trekken.

In ieder geval: schuif de GDPR echter nog niet volledig opzij: de Omnibus is nog maar een eerste voorstel. Het moet nog worden goedgekeurd door het Europees Parlement en de Raad.

Looking ahead: Digital Fairness Act

Europa is van plan om de laatste puntjes op de ‘i’ zetten wat betreft de consumentenbescherming in ons digitale tijdperk. De Europese Commissie is namelijk bezig met een nieuw wetsvoorstel: de Digital Fairness Act (DFA).

Dit initiatief volgt op de “Fitness Check” waarin de Commissie in 2022 heeft onderzocht of de huidige regels de consumenten nog voldoende beschermen, en waar ze te kort schieten. De conclusie is duidelijk: notice and consent volstaat niet als bescherming wanneer consumenten geconfronteerd worden met interfaces die bewust zo zijn ontworpen om een cognitive biases uit te buiten en hen subtiel (of minder subtiel) in een bepaalde richting te duwen.

Uit het onderzoek kwam duidelijk naar voren dat de consument in de praktijk vaak niet opgewassen is tegen de subtiele technieken die ondernemingen gebruiken zoals:
  • Dark patterns: misleidende interfaces die de consument dwingen om ‘ja’ te zeggen;
  • Verslavende ontwerpkeuzes: bijvoorbeeld autoplay op TikTok waardoor de consument eindeloos kan blijven scrollen (de EU heeft TikTok trouwens recent verplicht om het ‘verslavende’ ontwerp van hun applicatie aan te passen);
  • Oneerlijke personalisatie: misbruik van persoonsgegevens waarbij er misbruik wordt gemaakt van de kwetsbaarheid van de consument;
  • Misleidende influencermarketing: onvoldoende transparantie;
  • Oneerlijke digitale contracten: abonnementen die automatisch verlengen of bewust moeilijk opzegbaar zijn.

De Commissie wil daar met de DFA dus paal en perk aan stellen door de huidige lacunes in het consumentenrecht aan te pakken en de bescherming, in het bijzonder wat betreft minderjarigen, verder versterken. Hoe dat precies zal worden omgezet in concrete verplichtingen voor bedrijven, blijft voorlopig nog afwachten: een eerste wetsvoorstel wordt pas tegen het einde van 2026 verwacht.

Bij Adastone volgen we deze initiatieven op de voet. Voorlopig gaat het nog om voorstellen, maar de richting is nu al duidelijk: het bestaande digitale regelgevingskader verfijnen en tegelijk de consument online meer bescherming bieden. In ieder geval: wordt vervolgd.

Archief / TECH