Mag een bedrijf u reclamemails sturen na een online aankoop?

U koopt online een ticket, en meteen daarna stromen de reclamemails binnen. Mag een onderneming dat zomaar? In een beslissing van 16 juli 2026 (nr. 163/2026) aanvaardde de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) dat een onderneming uit de entertainmentsector haar klanten mag e-mailen over gelijkaardige producten en diensten, op voorwaarde dat het bezwaar maken echt eenvoudig verloopt en dat de website de klant niet misleidt over zijn aankoopkanaal. De onderneming betaalt een bedrag van 5.000 euro en past haar praktijk aan, zonder dat de GBA een formele inbreuk vaststelt.

De feiten

De klager kocht een ticket via de website van de onderneming en ontving daarna herhaaldelijk direct-marketingmails die hij niet wilde. Wat hem vooral stoorde: hij koopt zijn tickets normaal anoniem aan de kassa, net om niet in een klantenbestand te belanden. Tijdens de zomer van 2020, toen de sector na een lockdownperiode heropende, vermeldde de website echter dat tickets enkel online konden worden gekocht. De klager ging er daardoor van uit dat een fysieke aankoop onmogelijk was.

Uit het onderzoek van de Inspectiedienst bleek die mededeling feitelijk onjuist te zijn: tickets konden nog steeds ter plaatse worden gekocht, en de onderneming verkocht tussen juli en oktober 2020 effectief nog een deel van haar tickets in haar eigen gebouwen. De klacht dateert van 1 september 2020. Na een onderzoek en een lange periode van stilstand koos de GBA in 2026 voor een schikkingstraject, dat op 15 juli 2026 tot een akkoord leidde.

De beslissing

De Geschillenkamer stelt geen inbreuk vast. Zij valideert een schikking op grond van artikel 95, § 1, 2° van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit (WOG). Bij een schikking spreekt de GBA zich niet uit over de vraag of de regels geschonden zijn; de onderneming verbindt zich tot een reeks maatregelen en, in dit geval, tot een geldsom. De verweerder stemde onvoorwaardelijk in met drie voorwaarden.

Een misleidende websitezin (artikel 5, lid 1, a) AVG)

De Inspectiedienst meende dat de onjuiste vermelding dat tickets enkel online te koop waren, botste met de behoorlijkheidsverplichting uit de Algemene Verordening Gegevensbescherming (AVG/GDPR). Wie liever anoniem aan de kassa kocht, werd zo naar het onlinekanaal geduwd, met bijkomende verwerkingen van persoonsgegevens tot gevolg. De verweerder erkende dat de vermelding feitelijk niet correct was. De Geschillenkamer hield rekening met de uitzonderlijke sanitaire omstandigheden, met de loyale medewerking van de onderneming en met het feit dat de vermelding haar geen commercieel voordeel opleverde. Voor dit punt verbindt de verweerder zich tot het betalen van een geldsom van 5.000 euro aan de Belgische Schatkist.

Reclamemails en een vlot recht van bezwaar (soft opt-in)

De Inspectiedienst stelde vast dat klanten na hun aankoop direct marketing kregen en dat onvoldoende duidelijk was hoe zij zich daartegen konden verzetten. Het gaat hier om de zogenaamde soft opt-in uit de e-Privacyrichtlijn (Richtlijn 2002/58/EG): wie elektronische contactgegevens verkrijgt bij de verkoop van een product of dienst, mag die gebruiken om reclame te sturen over gelijkaardige eigen producten of diensten. Die uitzondering is in België uitgewerkt in artikel 1, 1° van het koninklijk besluit van 4 april 2003, een uitvoeringsbesluit bij het algemene toestemmingsvereiste van artikel XII.13 van het Wetboek van economisch recht (WER). De voorwaarde is telkens dat de klant zich op een gemakkelijke manier kan verzetten.

De verweerder verbindt er zich toe die uitschrijving eenvoudig te maken. Binnen dertig dagen bezorgt zij een gedateerd bewijsstuk van de aangepaste website, en in elke reclamemail voorziet zij een rechtstreekse uitschrijflink die werkt zonder login en zonder dat de klant reeds gekende gegevens opnieuw moet ingeven.

Bewaartermijnen en profielopbouw (artikelen 5, lid 1, e), 6, lid 1, b) en f) AVG)

De Inspectiedienst had ook vragen bij het opbouwen van klantprofielen op basis van aankoophistoriek en bij de lange bewaartermijnen. De verweerder verduidelijkte dat haar “profilering” niet meer is dan een segmentatie van de databank op basis van eerdere aankopen. Zij bracht haar bewaartermijn voor niet-actieve klanten al terug van vijf naar drie jaar en verbindt zich ertoe historische bezoekers- en aankoopdata die de bewaartermijn overschrijden, te verwijderen of onomkeerbaar te anonimiseren, uiterlijk vier maanden na de beslissing.

Juridische analyse en duiding

Soft opt-in als zelfstandige grondslag, en waar de AVG toch opduikt

De beslissing valt niet los te zien van een recent arrest van het Hof van Justitie. In het arrest Inteligo Media (HvJ 13 november 2025, C-654/23) oordeelde het Hof dat de soft opt-in uit artikel 13, lid 2 van de e-Privacyrichtlijn een op zichzelf staande rechtsgrond is. Zijn de voorwaarden vervuld, dan hoeft een onderneming voor die reclamemails geen aparte rechtsgrond onder de AVG meer aan te tonen. De e-Privacyrichtlijn geldt hier als bijzondere regeling die voorrang heeft op de algemene AVG-rechtsgronden.

Dat betekent niet dat de AVG helemaal verdwijnt. Het Hof bevestigde dat de omringende verwerkingen, zoals de transparantie tegenover de klant en de beperking van de bewaartermijn, onverkort onder de AVG blijven vallen. De GBA vertaalt dat scherp in deze zaak: het versturen van de mail zelf beoordeelt zij langs de soft opt-in, maar het afzonderlijk opbouwen van profielen of segmenten op basis van aankoophistoriek toetst zij apart aan artikel 6 van de AVG. Zo ontstaat een tweedeling die ondernemingen best in het oog houden: één handeling (de reclamemail) kan onder de e-Privacyregeling vallen, terwijl een andere handeling (het profiel achter die mail) een eigen AVG-rechtsgrond nodig heeft. De GBA werkte haar bredere visie op direct marketing recent uit in aanbeveling 01/2026.

Een schikking is geen inbreukvaststelling

De beslissing is geen veroordeling. De Geschillenkamer stelt uitdrukkelijk geen inbreuk vast en legt geen boete op; zij bekrachtigt een akkoord waarin de onderneming maatregelen en een geldsom aanvaardt. Dat verschil is juridisch niet zonder gevolg. Een schikking bevat geen erkenning van een inbreuk als vaststaand feit en put de herstelbevoegdheid van de GBA uit voor de omschreven punten. De geldsom van 5.000 euro is dan ook geen administratieve geldboete in de zin van de AVG, maar een onderdeel van het akkoord.

De Geschillenkamer weegt de houding van de onderneming mee: de uitdrukkelijke erkenning van de feitelijke fout en de loyale informatieverstrekking aan de Inspectiedienst worden gelezen als het gedrag van een verantwoordelijke verwerkingsverantwoordelijke. Voor wie een GBA-dossier boven het hoofd hangt, illustreert dat de aantrekkingskracht van de schikking: ze biedt een uitweg zonder formele inbreukvaststelling. Tegelijk blijft ook een schikkingsbeslissing vatbaar voor beroep bij het Marktenhof (artikel 108 WOG), zodat een partij of derde die zich gegriefd acht, niet zonder rechtsbescherming valt.

Wat betekent dit concreet?

Voor ondernemingen die online verkopen. Reclame sturen naar bestaande klanten kan zonder voorafgaande toestemming, maar enkel binnen de grenzen van de soft opt-in: het moet gaan om gelijkaardige eigen producten of diensten, en de klant moet zich op elk moment vlot kunnen uitschrijven. Voorzie in elke mail een rechtstreekse uitschrijflink zonder login en zonder herinvoer van gekende gegevens. Let ook op uw eigen communicatie: een onjuiste mededeling dat een aankoop enkel online kan, kan op zich al een probleem van behoorlijkheid opleveren, ook als daar geen commercieel voordeel achter zit.

Voor wie klantprofielen opbouwt. Het versturen van de mail en het opbouwen van een profiel zijn twee verschillende verwerkingen. Voor dat profiel volstaat de soft opt-in niet; u hebt een eigen rechtsgrond onder artikel 6 van de AVG nodig, en die verschilt naargelang het om accounthouders (uitvoering van de overeenkomst) of om andere klanten (gerechtvaardigd belang) gaat. Houd de bewaartermijn kort en gedifferentieerd, en verwijder of anonimiseer gegevens die daarbuiten vallen.

Voor wie een schikking overweegt in een GBA-dossier. De schikking is een de-escalatieroute: geen inbreukvaststelling, geen boete, wel afdwingbare maatregelen en soms een geldsom. Een loyale, meewerkende houding en het erkennen van feitelijke onjuistheden kunnen in uw voordeel spelen. Vergeet niet dat de beslissing binnen dertig dagen vatbaar blijft voor beroep bij het Marktenhof.

Veelgestelde vragen (FAQ)

Mag een webshop mij reclamemails sturen als ik iets heb gekocht?
Ja, dat kan zonder aparte toestemming op grond van de soft opt-in, zolang het gaat om gelijkaardige producten of diensten van diezelfde onderneming en u zich makkelijk kunt uitschrijven. Voor volledig nieuwe prospecten of voor niet-gelijkaardige producten ligt dat anders en is in de regel toestemming vereist.

Hoe lang mag een bedrijf mijn aankoopgegevens bijhouden?
Er bestaat geen vaste termijn. Het beginsel van opslagbeperking vereist dat gegevens niet langer worden bewaard dan nodig is voor het doel. In deze zaak bracht de onderneming de bewaartermijn voor niet-actieve klanten terug van vijf naar drie jaar en verbond zij zich ertoe oudere gegevens te verwijderen of te anonimiseren.

Wat is een schikking bij de Gegevensbeschermingsautoriteit?
Een schikking is een akkoord waarbij de onderneming maatregelen en soms een geldsom aanvaardt, zonder dat de GBA een inbreuk vaststelt of een boete oplegt. Het is een alternatief voor een procedure ten gronde en blijft vatbaar voor beroep bij het Marktenhof.

Conclusie

Reclamemails na een online aankoop zijn in België niet verboden, maar staan of vallen met een eenvoudig recht van bezwaar en met correcte informatie aan de klant. Deze schikkingsbeslissing bevestigt, in het spoor van het arrest Inteligo Media, dat de reclamemail zelf onder de soft opt-in valt, terwijl het profiel erachter een eigen AVG-toets vergt. En zij toont dat een misleidende websitezin, zelfs zonder commercieel oogmerk, een prijskaartje kan dragen.