De Spaanse YouTuber Carles Tamayo heeft opnieuw een gevoelige snaar geraakt, op zijn gebruikelijke informele, grappige en puntige manier. In de laatste aflevering van Se nos ha ido de las manos (“Het is uit de hand gelopen”), een documentaireserie die in april 2026 in première ging op de Spaanse publieke televisie, onderzoekt hij hoe bedrijven persoonsgegevens kopen en verkopen.

De aflevering, getiteld El activo eres tú (“Jij bent het bezit”), legt een ongemakkelijke vraag op tafel: wie heeft onze gegevens, en wat wordt ermee gedaan? En wat zijn we bereid op te geven in ruil voor de belofte van iets gratis? Nadat hij spamtelefoontjes had gekregen van bedrijven die te veel over hem wisten, veranderde Tamayo zijn eigen productiebedrijf in een datamakelaar om van binnenuit te zien hoe persoonsgegevens worden verzameld en verhandeld.

Zo werkt het datamakelaarsbedrijf, en welke rechten de GDPR (General Data Protection Regulation) u geeft.

Wat een datamakelaar is, en hoe ze geld verdienen

Een datamakelaar is een bedrijf dat informatie over mensen en organisaties verzamelt, analyseert en verkoopt. Wat die informatie waardevol maakt voor kopers, is hoe ze kan worden gecombineerd en geanalyseerd. Gewoonten, interesses, locatiegegevens en andere signalen kunnen aan elkaar worden geknoopt, steeds vaker met behulp van AI, tot iets bruikbaars. Datamakelaars verkopen de grondstof waarmee je van bijna iedereen een profiel kunt opbouwen.

In de reportage van Tamayo biedt een datamakelaar hem bijvoorbeeld informatie aan over mensen die onlangs een baby hebben gekregen. Die kersverse ouders hadden in het ziekenhuis hun gegevens overhandigd in ruil voor deelname aan een prijsvraag voor producten voor pasgeborenen.

Datamakelaars verzamelen doorgaans e-mailadressen, IP-adressen(nieuw venster), globale locatie, onlineaankopen, internetzoekopdrachten, interesses die in een app zijn geselecteerd en de apparaten die iemand gebruikt.

Hebt u ooit een telefoontje gekregen van een telecombedrijf (of een ander bedrijf) en u afgevraagd waar ze uw nummer vandaan hebben? Het is eenvoudiger dan u denkt. Cookies, mobiele apps en onlineformulieren kunnen uw gegevens verzamelen en doorgeven aan datamakelaars. Dat geldt ook voor offlinebronnen, zoals loyaliteitskaarten, prijsvragen en openbare registers.

Wat cookies zijn en waarvoor ze dienen

U hebt ze op elke website die u bezoekt wel gezien: een kleine pop-up die u vraagt cookies te accepteren of te weigeren. Waarschijnlijk leest u die vluchtig door, accepteert u de cookies(nieuw venster) en gaat u verder, zonder ooit te vragen wat cookies nu eigenlijk zijn(nieuw venster) of waarmee u net hebt ingestemd dat bedrijven met uw gegevens doen.

Cookies zijn kleine bestanden die een website in uw browser opslaat om informatie over uw bezoek te onthouden. Degenen die datamakelaars interesseren zijn advertentiecookies, die zijn ontworpen om gedragsprofielen op te bouwen en gepersonaliseerde advertenties te tonen.

Maar u kunt nu worden gevolgd met methoden die veel verder gaan dan cookies. Browserfingerprinting maakt bijvoorbeeld een unieke signatuur van de kenmerken van uw apparaat, terwijl cross-sitetracking uw activiteit volgt terwijl u tussen websites navigeert. Op mobiel doen advertentie-ID’s iets vergelijkbaars door uw gedrag te koppelen aan een blijvende identificatie.

Het weigeren van cookies verbetert uw privacy, maar garandeert die niet volledig. En zodra u zich afvraagt waar uw gegevens naartoe gaan, wie ze in handen heeft en hoe ze worden gebruikt, stuit u onvermijdelijk op de vraag of handel in uw gegevens überhaupt wel legaal is.

Hoe de GDPR u beschermt

De GDPR is het regelboek van de Europese Unie dat bepaalt hoe organisaties en bedrijven de persoonsgegevens van iedereen in de EU verzamelen, gebruiken, delen en opslaan. De verordening geldt ook voor bedrijven buiten de EU die zich op mensen daar richten. In Spanje houdt de Spaanse Gegevensbeschermingsautoriteit (AEPD) toezicht op de naleving; zij behandelt ook klachten wanneer een bedrijf deze rechten schendt.

De GDPR legt verschillende fundamentele rechten vast:

Recht op toegang: kom te weten welke persoonsgegevens een bedrijf over u heeft, waarvoor het ze gebruikt, met wie het ze heeft gedeeld en waar het ze vandaan heeft. U kunt ook een kopie opvragen.

Recht op rectificatie: laat onjuiste of verouderde informatie corrigeren.

Recht op gegevenswissing: dit staat bekend als het “recht op vergetelheid” en laat u vragen om uw gegevens te verwijderen wanneer het bedrijf ze niet meer nodig heeft, wanneer u uw toestemming intrekt of bezwaar maakt tegen het gebruik, of wanneer ze onrechtmatig zijn verwerkt.

Recht van bezwaar: weiger bepaalde soorten verwerking, zoals het gebruik van uw gegevens voor advertenties. Voor directmarketing is dit recht absoluut: zodra u bezwaar maakt, moet het bedrijf stoppen.

Recht op gegevensoverdraagbaarheid: ontvang de persoonsgegevens die u aan een bedrijf hebt gegeven in een gestructureerd, algemeen gebruikt en machineleesbaar formaat, zodat u ze naar een andere dienstverlener kunt overbrengen. Dit geldt wanneer het bedrijf uw gegevens verwerkt op basis van uw toestemming of een overeenkomst, met geautomatiseerde middelen.

De GDPR geeft mensen afdwingbare rechten, ondersteund door boetes, maar veel mensen beseffen niet dat ze deze rechten kosteloos kunnen uitoefenen. Een bedrijf mag alleen kosten in rekening brengen of weigeren wanneer een verzoek kennelijk ongegrond of buitensporig is.

Zoals de reportage van Tamayo laat zien, gaapt er een groot verschil tussen de waarborgen die de wet biedt en wat de gemiddelde burger weet over het beschermen van de eigen persoonsgegevens. Dat verschil maakt het moeilijker om de wettelijke middelen die mensen tot hun beschikking hebben te gebruiken en de controle over hun gegevens terug te pakken.

Hoe u uw GDPR-rechten tegen datamakelaars gebruikt

De bovenstaande rechten werken alleen als u ze gebruikt. Geen ervan vereist een advocaat of een speciaal formulier: een e-mail naar de privacycontactpersoon van het bedrijf is genoeg.

Vraag waar uw gegevens vandaan komen. Als een bedrijf contact met u opneemt terwijl u het nooit uw gegevens hebt gegeven, vraag dan naar de bron. Op grond van het recht op toegang moet het bedrijf u dat vertellen, en dat antwoord leidt vaak rechtstreeks naar een datamakelaar.

Stuur een verzoek om toegang. Vraag het bedrijf of de makelaar welke gegevens het over u heeft, waarvoor het die gebruikt en met wie het ze heeft gedeeld, en vraag om een kopie. Het verzoek is gratis en het bedrijf moet binnen een maand reageren. Bij complexe verzoeken kan het die termijn met nog twee maanden verlengen, maar het moet u daarvan op de hoogte stellen.

Maak bezwaar en vraag om wissing. In dezelfde e-mail kunt u bezwaar maken tegen het gebruik van uw gegevens voor marketing en vragen om verwijdering. Het bedrijf moet de verwijdering ook doorgeven aan iedereen met wie het uw gegevens heeft gedeeld, tenzij dat onmogelijk is of buitenproportioneel veel moeite zou kosten.

Schrijf u in voor de Lista Robinson. In Spanje moeten bedrijven die directmarketing versturen deze lijst om advertenties te weigeren raadplegen voordat ze contact met u opnemen. Inschrijven is gratis.

Dien een klacht in bij de AEPD. Als een bedrijf u negeert, zonder geldige reden weigert of de deadline mist, kunt u gratis een klacht indienen bij de Spaanse Gegevensbeschermingsautoriteit.

Beperk wat datamakelaars überhaupt kunnen verzamelen

Uw GDPR-rechten ruimen op wat er al is. Een paar eenvoudige gewoonten beperken hoeveel nieuwe gegevens makelaars bereiken.

Controleer de machtigingen van uw apps en schakel toegang uit die een app niet nodig heeft om te werken, vooral de apps met toegang tot uw locatie, contacten of foto’s.

Weiger niet-essentiële cookies. Op EU-websites zou weigeren net zo makkelijk moeten zijn als accepteren, en het blokkeert de advertentiecookies die gedragsprofielen voeden.

Blijf uitgelogd bij websites en diensten wanneer u alleen aan het browsen bent. Wanneer u bent ingelogd bij Google, YouTube, Amazon of een nieuwssite, is alles wat u zoekt, bekijkt, leest of koopt gekoppeld aan uw account. Browsen terwijl u uitgelogd bent, geeft bedrijven minder om aan u te koppelen.

Gebruik een browser die op privacy is gericht, zoals Firefox of Brave, die standaard veel trackers blokkeren. U kunt ook Europese alternatieve webbrowsers verkennen die op privacy zijn gericht.

Stap over op Proton Mail, onze private en veilige e-maildienst die uw e-mails niet kan lezen en uw inbox niet scant op advertenties, tracking of surveillance. De dienst blokkeert ook trackingpixels, die marketeers doorgaans gebruiken om te zien wanneer u een bericht opent (plus andere indicatoren).

Gebruik een VPN(nieuw venster) om uw IP-adres te verbergen voor websites, apps en advertentienetwerken, zodat ze het niet kunnen gebruiken om uw locatie te schatten of uw activiteit over verschillende websites te koppelen. Proton VPN heeft ook een functie genaamd NetShield, die advertenties en trackers blokkeert voordat ze worden geladen. De dienst heeft een onafhankelijk gecontroleerd beleid zonder logboeken(nieuw venster), dus er wordt niet bijgehouden wat u online doet.

Gebruik een versleutelde wachtwoordbeheerder om sterke, unieke wachtwoorden te maken, zodat één gekraakt account niet de rest blootlegt. Proton Pass geeft u ook hide-my-email-aliassen voor nieuwsbrieven, prijsvragen en webshops. Als een ervan spam begint te ontvangen, kunt u zien wie die mogelijk heeft gedeeld of gelekt, en vervolgens de alias uitschakelen.

Zoals de reportage van Tamayo duidelijk maakt, maken datamakelaars deel uit van een bedrijfsmodel dat op onze gegevens is gebouwd. Maar de GDPR en de tools die onze privacy beschermen, bieden ons manieren om de controle terug te pakken. Het doel is niet om van het internet te verdwijnen, maar om bewust te bepalen wie toegang tot onze gegevens heeft en met welke reden.