Gegevensmakelaars weten veel over je: zo laat je ze wissen

Of: waarom je eerst moet weten wie je kent, voor je kunt vragen om vergeten te worden

Ergens bestaat waarschijnlijk een profiel van jou dat je nooit zelf hebt ingevuld: je naam, je adres, je leeftijd, misschien een inschatting van je gezin of je inkomen. Het werd samengesteld door bedrijven die je niet kent en verkocht aan bedrijven die je ook niet kent. In Californië kun je dat sinds dit jaar met één formulier laten wissen bij honderden van die bedrijven tegelijk. In België moet je eerst uitzoeken wie je het moet vragen. Dat is het eigenlijke probleem, en het is oplosbaar.

Databrokers en je gegevens: wat er in Californië en België gebeurt

Eén wisknop voor 660 bedrijven

Databrokers verdienen hun geld met persoonsgegevens. Ze kopen of verzamelen gegevens, combineren ze tot profielen, voegen er schattingen aan toe en verkopen het geheel door, aan adverteerders, verzekeraars, verkopers van adresbestanden of wie er maar voor betaalt. Hun klanten zie je wel: die sturen je de folder. De databroker zelf zie je nooit.

Californië heeft daar een centrale oplossing voor gebouwd.¹ Op het overheidsplatform DROP, kort voor Delete Request and Opt-out Platform, vraagt een inwoner met één verzoek aan meer dan 660 geregistreerde databrokers om de gegevens over die persoon te wissen. Sinds 1 augustus 2026 moeten die bedrijven zulke verzoeken verwerken, en daarna minstens om de 45 dagen controleren of er nieuwe gegevens over dezelfde persoon zijn binnengekomen.

Tijdens een “Delete Week” van 12 tot 16 oktober 2026 maakte de Californische toezichthouder de eerste cijfers bekend: bijna 100 miljoen gewiste profielen. Bij een gemiddelde gebruiker meldden meer dan 150 databrokers dat ze iets hadden gewist. Bij 99,9 procent van de gebruikers wiste minstens één broker iets. Dat laatste cijfer is misschien het interessantste: bijna niemand die het vroeg, kwam er zonder profiel uit.

Twee kanttekeningen. Eén persoon kan bij verschillende brokers verschillende profielen hebben, dus 100 miljoen profielen zijn geen 100 miljoen mensen. En gegevens die openbaar zijn of onder andere wetten vallen, blijven buiten schot.

Het visitekaartje dat terugkomt

Het helpt om aan visitekaartjes te denken. Je geeft er één aan je gsm-operator, één aan een webwinkel, één aan een wedstrijd waar je een fiets kon winnen. Elk van die bedrijven mag het kaartje gebruiken waarvoor je het gaf. Een databroker is de kopiewinkel die van al die kaartjes fotokopieën maakt, ze op één fiche samenbrengt en de fiche verkoopt. Je kunt niet vragen om alle kopieën te vernietigen als je niet weet welke kopiewinkels je kaartje hebben.

Californië heeft een register van alle kopiewinkels en één loket om ze allemaal tegelijk aan te schrijven. Europa heeft dat niet. Maar Europa heeft iets anders: elke organisatie die je kaartje heeft, moet je op vraag vertellen waar ze het vandaan heeft.

Hoe goed dat werkt, toont een Belgische zaak.

Infobel: één folder, een hele keten

Iemand in België kreeg reclame van een marketingbedrijf, zonder er ooit klant te zijn geweest. De klager vroeg dat bedrijf waar het die gegevens vandaan had. Het spoor liep via een mediabureau naar Infobel, een databroker, die de gegevens op zijn beurt van een telecomoperator had gekregen.

Op 27 november 2025 legde de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) Infobel een boete van 40.000 euro op. Infobel beriep zich op toestemming, maar volgens de GBA was die op drie punten ongeldig:

• Niet geïnformeerd. De klager wist niet dat de gegevens doorverkocht zouden worden, en kon de toestemming dus ook niet intrekken.
• Niet ondubbelzinnig. Infobel leidde de toestemming af uit algemene voorwaarden. De GBA herinnerde eraan dat vooraf aangevinkte vakjes of stilzwijgen geen toestemming zijn.
• Niet specifiek. Er werd geen aparte toestemming gevraagd voor doorverkoop voor direct marketing.

Infobel moest bovendien de gegevens zonder rechtsgrond wissen en zijn zakelijke klanten verwittigen.² Op 3 juni 2026 bevestigde het Marktenhof in beroep dat Infobel persoonsgegevens zonder geldige rechtsgrond had verwerkt. Het vernietigde wel het wisbevel en de verplichting om de klanten te verwittigen, en verlaagde de boete tot 5.000 euro.

Dat bedrag zal geen sector doen beven. Maar de les zit niet in de boete. Ze zit in hoe het begon: één persoon die op een ongevraagde folder antwoordde met een eenvoudige vraag.

De GBA zelf lijkt de les ook getrokken te hebben. In haar beheersplan voor 2026 schrijft ze dat de aandacht mogelijk minder moet gaan naar “de eenvoudige vormen van direct marketing” en meer naar “het fenomeen van de zogenaamde data brokers”. Burgers hebben volgens de GBA “in de meeste gevallen” niet door wat er achter de schermen met hun gegevens gebeurt.

Zelf beginnen, in vier stappen

Een centrale wisknop is er in België niet. De rechten om er zelf een te bouwen, heb je wel. De GBA biedt modelbrieven aan voor elk van deze stappen.

1. Vraag waar ze je gegevens vandaan hebben. Krijg je reclame van een bedrijf waar je nooit klant was, vraag dan inzage in je gegevens en in de bron ervan. Zo vind je de volgende schakel in de keten.³
2. Maak bezwaar tegen direct marketing. Dat recht is absoluut: het bedrijf mag niet afwegen of zijn belang zwaarder doorweegt. Na je bezwaar mag het je gegevens niet meer voor reclame gebruiken.
3. Vraag om wissing. Als er geen geldige rechtsgrond is, of als je je toestemming intrekt, moeten je gegevens weg.
4. Hou de klok in de gaten. Een organisatie moet in principe binnen een maand antwoorden. Gebeurt dat niet, of is het antwoord onvoldoende, dan kun je klacht indienen bij de GBA.

Daarnaast zijn er twee gratis lijsten: de Robinsonlijst tegen geadresseerde reclame per post, en de Bel-me-niet-meer-lijst tegen reclame per telefoon. In maart 2025 stonden er volgens VRT NWS al bijna 1,5 miljoen Belgen op die laatste. Die lijsten zijn nuttig, maar ze stoppen het contact, niet de handel. Wat een databroker over je bijhoudt, verdwijnt er niet door.

Er bestaan ook betalende diensten die verzoeken namens jou versturen. Kijk dan na welke bedrijven ze effectief aanschrijven, en besef dat je een extra partij een volledige lijst van je gegevens en een volmacht geeft.

Waarom dit je kmo aangaat

Je zaak zit langs drie kanten aan deze tafel.

• Als doelwit. Een profiel met naam, functie, adres en telefoonnummer van een zaakvoerder of een boekhouder is precies wat iemand nodig heeft voor een overtuigende phishingmail of een telefoontje van een “nieuwe leverancier”. Hoe minder er over jou en je medewerkers rondgaat, hoe moeilijker dat wordt.
• Als koper. Wie een adresbestand of een lijst met leads koopt, is zelf verantwoordelijk voor wat er verder mee gebeurt. De klanten van Infobel kochten gegevens waarvoor geen geldige toestemming bestond. Vraag je leverancier dus schriftelijk waar de gegevens vandaan komen en op welke rechtsgrond. En laat de betrokkenen weten dat jij hun gegevens nu hebt, ten laatste bij je eerste contact of binnen een maand. Voor e-mail gelden nog strengere regels: lees eerst wie je zonder toestemming mag mailen.
• Als ontvanger van verzoeken. Vraagt iemand jou waar je die gegevens vandaan hebt, of wil die persoon gewist worden, dan heb je een maand. Een duidelijke privacyverklaring op je website en één persoon die zulke vragen opvolgt, besparen je een klacht.

Kmo-Kristof: Ik heb een bestand gekocht met 5.000 adressen van zaakvoerders in Oost-Vlaanderen. Volgende week gaat de mailing eruit.

Security-Sofie: Van wie heb je dat bestand?

Kmo-Kristof: Van een databank. Iedereen heeft toestemming gegeven, zeggen ze.

Security-Sofie: Voor wat?

Kmo-Kristof: Om gecontacteerd te worden door partners.

Security-Sofie: Infobel zei ook dat er toestemming was. Via de algemene voorwaarden. De GBA vond dat niet geldig.

Kmo-Kristof: Dat was hun probleem, niet het mijne.

Security-Sofie: Tot een van die 5.000 zaakvoerders jou vraagt waar je dat adres vandaan hebt. Zo is die hele zaak begonnen.

Kmo-Kristof: Dan zeg ik: van mijn leverancier.

Security-Sofie: En dan vraagt die zaakvoerder je leverancier waar die het vandaan heeft.

Kmo-Kristof: Mijn leverancier zegt dat alles in orde is.

Security-Sofie: Vraag het bewijs. Schriftelijk.

Kmo-Kristof: En als die het niet heeft?

Security-Sofie: Dan weet je ten minste waar die adressen niet vandaan komen. Van de zaakvoerders.

De kopiewinkel

Je krijgt niet alle kopieën van je visitekaartje terug. Er zijn te veel kopiewinkels, en de meeste hebben geen uithangbord. Maar elke keer dat er een kopie opduikt, in je brievenbus, in je mailbox of aan de telefoon, kun je vragen waar ze vandaan komt. Die vraag kost je vijf minuten en een modelbrief.

Eén Belg deed dat, en legde zo een keten bloot van een telecomoperator tot een marketingbedrijf. In Californië is er nu één knop voor 660 bedrijven. Bij ons is er nog altijd die ene vraag. Ze werkt beter dan je zou denken.