Beste chatbot, wat doe je met mijn gegevens na ons gesprek?

Door Birgit Mathuvis – KU Leuven

Bijna iedereen heeft weleens met een chatbot gechat. Je pakketje komt niet aan, je opent het chatvenstertje van de webshop en typt je naam, e-mailadres en bestelnummer in. Binnen enkele minuten is je probleem opgelost, het venstertje verdwijnt en je denkt er niet meer aan. Tot je mailbox weken later overloopt van kortingscodes en nieuwsbrieven van datzelfde bedrijf, waar je nooit voor hebt getekend.

Toeval? Of liet dat "onschuldige" praatje met de klantendienst meer sporen na dan je toen dacht?

Chatbots zijn niet meer weg te denken uit ons dagelijks leven. Naast ChatGPT, Claude of Copilot kom je steeds vaker een klantenservicechatbot tegen: eerst chat je met de bot en pas als die er niet uit geraakt, krijg je een medewerker aan de lijn. Efficiënter? Ongetwijfeld. Maar wat gebeurt er met de persoonsgegevens die je aan zo'n bot doorgeeft en kan dat de spam in je mailbox verklaren? Met mijn masterproef in het kader van mijn master in de Economie, het Recht en de Bedrijfskunde aan de KU Leuven wilde ik dat blinde vlekje blootleggen: is het gebruik van je gegevens door een chatbot wettelijk en mag een bedrijf de gegevens uit een chatgesprek nadien gebruiken om je reclame te sturen?

"Uit de privacyverklaring zelf kan je vaak niet afleiden of je chatgesprek later voor reclame gebruikt wordt"

Waarom deze vraag nog niemand had gesteld

Webshops, banken en dienstverleners zetten chatbots massaal in voor hun klantendienst. Ze beantwoorden vragen over leveringen, facturen of storingen en verzamelen daarbij, vaak zonder dat je er bij stilstaat, een schat aan persoonlijke informatie: e-mailadressen, telefoonnummers, soms zelfs geüploade documenten. De wet kan de snelle ontwikkelingen in onze maatschappij vaak niet bijbenen en chatbots zijn daar een mooi voorbeeld van. De Algemene Verordening Gegevensbescherming (AVG) bepaalt dat die gegevens enkel mogen worden gebruikt voor het doel waarvoor ze zijn verzameld: jou helpen als klant. Wil een bedrijf ze nadien voor reclame gebruiken, dan gelden strengere regels.

Acht bedrijven, één blinde vlek

Om de theorie te toetsen aan de praktijk, analyseerde ik de privacyverklaringen van acht bedrijven uit de retail- en dienstensector: Ryanair, Bol.com, Zalando, Bongo, IKEA, Telenet, Shein en Albert Heijn. Ik ging na of ze duidelijk maken wat hun chatbot met gegevens doet, of (direct) marketing als apart doel wordt vermeld en of hun manier van toestemming vragen aan de regels voldoet.

Op het eerste gezicht lijken de meeste bedrijven formeel in orde: hun privacyverklaringen vermelden een rechtsgrond, een doel en een procedure om je rechten uit te oefenen. Maar wie dieper graaft, botst op een structureel probleem: de chatbot wordt zelden als apart kanaal benoemd. Alles verdwijnt onder brede noemers zoals "klantenservice" of "communicatie", waardoor het voor de gebruiker, en zelfs voor mij als onderzoeker, nauwelijks na te gaan is wat er precies met je gegevens gebeurt na het gesprek met de chatbot. Dat wil niet zeggen dat bedrijven de gegevens ook effectief verkeerd gebruiken, het betekent vooral dat je het niet kan nagaan, en dat is op zich al een probleem.

Wat me het meest opviel: in bijna geen enkele privacyverklaring staat expliciet of je gegevens uit het chatgesprek later ook voor reclame gebruikt kunnen worden. Of er ergens apart om je toestemming wordt gevraagd en of je daar in de chatbot zelf iets over kan aan- of afvinken, is voor een gebruiker niet te achterhalen. Sommige bedrijven redeneren bovendien dat ze je mailtjes mogen sturen omdat het in hun eigen commercieel belang is. Sinds een recent arrest van het Europees Hof van Justitie (de zaak Inteligo Media, november 2025) staat die redenering steeds op wankelere voet.

Een chatbot die het wél goed doet

Ik wilde niet blijven steken bij kritiek. Want wie leest er nu een privacyverklaring? Bijna niemand, tenzij je er beroepshalve mee bezig bent. Wat daarin staat, komt dus zelden bij de klant terecht en dat maakt het probleem alleen maar groter. Daarom werkte ik een concreet model uit van een chatbot die wél volledig volgens de AVG is opgebouwd. Zo'n chatbot geeft duidelijke informatie, houdt klantendienst en marketing strikt gescheiden en vraagt expliciet je toestemming. Mijn boodschap: een chatbot die de regels respecteert is niet alleen verplicht, maar ook echt haalbaar, als bedrijven er bewust voor kiezen.

Wie verdient er eigenlijk aan jouw gegevens?

Naast dit juridische onderzoek schreef ik ook een tweede, kleinere paper die de vraag economisch benadert. Achter elke chatbot schuilt vaak een hele industrie van datahandelaren: bedrijven die persoonsgegevens verzamelen, verrijken en doorverkopen aan derden, zonder dat de consument daar ooit rechtstreeks contact mee heeft. Ik onderzocht de jaarrekeningen van vier Belgische datahandelaren, InfoBel, Family Service, Black Tiger Belgium en Data.be, over de periode 2014-2024.

Ook hier stuitte ik op een verrassend inzicht: de invoering van de AVG in 2018 leidde niet meteen tot een neergang van deze bedrijven. InfoBel zag zijn winst tussen 2016 en 2018 zelfs met 193% stijgen. Veroordelingen door de Gegevensbeschermingsautoriteit blijken vooral een reeds bestaande neergang te bevestigen, eerder dan de oorzaak ervan te zijn, vaak jaren nadat de schade in de markt al was aangericht. Het faillissement van Black Tiger Belgium dateert bijvoorbeeld van 2022, de veroordeling volgde pas in 2024.

Waarom dit iedereen aanbelangt

Mijn onderzoek raakt aan iets wat we allemaal dagelijks doen zonder erbij na te denken: even snel chatten met een klantendienst. Het toont aan dat de wetgeving op papier misschien voldoet, maar dat de geest ervan (begrijpen wat er met je gegevens gebeurt) in de praktijk vaak ver weg blijft. Tegelijk biedt het concrete aanknopingspunten voor bedrijven én toezichthouders om daar iets aan te doen.

De kern van mijn masterproef? Achter een simpel chatvenstertje schuilt een kluwen van recht, economie en vertrouwen. Privacy is een hot topic en we moeten er allemaal stilaan op letten wat we online prijsgeven. Ik denk dat klanten transparantie steeds meer gaan waarderen en dat dat hun ervaring met een bedrijf ten goede komt. Openheid is dus niet alleen een wettelijke plicht, maar naar mijn mening ook een concurrentievoordeel. Want laten we eerlijk zijn: reputatie is alles.