Op 13 november 2025 wees het Hof van Justitie van de Europese Unie (hierna: het Hof) arrest in de zaak Inteligo Media/ANSPDCP. Het Hof oordeelde dat de AVG geen aanvullende verplichtingen mag opleggen wanneer een verwerking al onder de e-Privacyrichtlijn valt. Mijn collega behandelde in een eerder blog drie pijnpunten bij e-mailmarketing.[1] In dit blog zoom ik in op het laatste pijnpunt: de verhouding tussen de AVG en de e-Privacyrichtlijn. Dit is met name relevant voor direct marketing bij bestaande klanten: zolang je voldoet aan de e-Privacyrichtlijn, hoeft dezelfde verwerking niet óók aan artikel 6 van AVG getoetst te worden. Dat klinkt als een vereenvoudiging, maar roept ook nieuwe vragen op voor bijvoorbeeld cookies en andere vergelijkbare technieken. Hieronder analyseren we de redenering van het Hof en de mogelijke gevolgen voor de praktijk.
Algemene ‘uitzondering’ van de AVG op de e-Privacyrichtlijn
De verhouding tussen de AVG en de e-Privacyrichtlijn is geregeld in artikel 95 AVG. De e-Privacyrichtlijn ziet op de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer binnen de sector elektronische communicatie.[2] Daarbij geldt de e-Privacyrichtlijn als lex specialis ten opzichte van de AVG, die als algemeen kader, of wel lex generalis, fungeert. Dat betekent dat de regels uit de e-Privacyrichtlijn voorgaan wanneer zij van toepassing zijn, tenzij de AVG uitdrukkelijk anders bepaalt.
In het arrest Inteligo Media laat het Hof zien hoe deze systematiek werkt. De kern: waar de e-Privacyrichtlijn al specifieke verplichtingen oplegt, mag de AVG geen aanvullende eisen stellen aan verwerkingen binnen openbaar beschikbare elektronische-communicatienetwerken.[3]
Geen AVG-grondslag meer nodig voor direct marketing bij bestaande klanten
Het Hof maakt duidelijk dat artikel 13 lid 2 van de e-Privacyrichtlijn[4] op uitputtende wijze regelt onder welke voorwaarden persoonsgegevens mogen worden verwerkt in het kader van elektronische direct marketing. Die bepaling bevat al de relevante voorwaarden en doeleinden van de verwerking en legt daarmee specifieke verplichtingen op aan de verwerkingsverantwoordelijke in de zin van artikel 95 AVG. Dat betekent dat een verwerking die binnen de reikwijdte van artikel 13 lid 2 valt, niet nog eens afzonderlijk hoeft te worden getoetst aan artikel 6 lid 1 AVG.[5]
De praktische betekenis hiervan is groot. Het Hof lijkt te bevestigen dat de soft opt-in van artikel 13 lid 2 van de e-Privacyrichtlijn zelfstandig een grondslag kan bieden voor direct marketing. Voor de verzending is dan geen afzonderlijk beroep meer nodig op het gerechtvaardigd belang van artikel 6 AVG, en dus ook geen aparte gerechtvaardigd belangenafweging. Gezien de lex specialis de voorwaarden voor het verwerken van persoonsgegevens hier al uitputtend regelt, is er geen verdere AVG-grondslag nodig.
En voor cookies en andere technieken?
Of de redenering uit Inteligo Media ook geldt voor cookies en vergelijkbare technieken[6], is nog niet met zekerheid te zeggen. Toch is het relevant om te onderzoeken of eenzelfde systematiek hier kan spelen, in het bijzonder voor noodzakelijke cookies.
Artikel 5 lid 3 van de e-Privacyrichtlijn bepaalt dat het opslaan van of toegang verkrijgen tot informatie op de eindapparatuur van gebruikers slechts is toegestaan met voorafgaande toestemming overeenkomstig de AVG. Op deze hoofdregel geldt echter een uitzondering: toestemming is niet vereist wanneer de opslag of toegang uitsluitend dient om communicatie over het netwerk te verzenden of te vergemakkelijken, of strikt noodzakelijk is voor de levering van een door de gebruiker uitdrukkelijk gevraagde dienst.
Zou de lijn van het Hof worden doorgetrokken, dan rijst de vraag of ook deze uitzondering kwalificeert als een specifieke verplichting in de zin van artikel 95 AVG. In dat geval zou de e-Privacyrichtlijn de voorwaarden voor noodzakelijke cookies uitputtend regelen en is een afzonderlijke grondslag onder artikel 6 AVG niet meer vereist.
Er lijkt echter een verschil te bestaan met artikel 13 lid 2 van de e-Privacyrichtlijn. Die bepaling regelt zelf onder welke voorwaarden direct marketing is toegestaan. De uitzondering in artikel 5 lid 3 lijkt beperkter van aard: zij bepaalt slechts wanneer de toestemmingseis niet geldt, zonder zelfstandig de voorwaarden voor rechtmatige verwerking te formuleren. Het zou daarom ook verdedigbaar kunnen zijn dat ook bij noodzakelijke cookies een zelfstandige toetsing aan de AVG vereist blijft, zij het dat die toetsing in de praktijk waarschijnlijk in het voordeel van de verwerkingsverantwoordelijke zal uitvallen.
De precieze uitwerking hangt bovendien af van de nationale implementatie van de richtlijn.
De Nederlandse Telecommunicatiewet
In Nederland is de e-Privacyrichtlijn omgezet in de Telecommunicatiewet (hierna: Tw). De structuur van artikel 11.7a Tw vertoont dezelfde systematiek als de richtlijn: lid 1 vereist toestemming "onverminderd de AVG", terwijl lid 3 bepaalt dat dit niet geldt voor onder meer noodzakelijke cookies en privacyvriendelijke analytische cookies. Ook hier rijst dus de vraag of met het wegvallen van lid 1 tevens de aanvullende werking van de AVG vervalt.
De onzekerheid op richtlijnniveau zet zich daarmee door naar het nationale recht. Daar komt bij dat de uitzondering voor privacyvriendelijke analytische cookies een Nederlandse toevoeging is. Of Inteligo Media ook op dergelijke nationale uitbreidingen ziet, zal moeten blijken uit verdere rechtspraak en toezicht.
Conclusie
Het arrest Inteligo Media/ANSPDCP laat vooral zien dat de verhouding tussen de AVG en de e-Privacyrichtlijn systematisch moet worden gelezen. De bredere les van het arrest is daarmee dat de AVG en de e-Privacyrichtlijn niet als dubbele hobbel naast elkaar moeten worden gezien, maar als een algemeen en een specifiek regime die elkaar aanvullen. Juist daarin zit de winst van Inteligo Media: minder dubbel werk en een juridisch zuiverder samenspel tussen algemene en sectorspecifieke regels. Tevens roept deze benadering nieuwe vragen op, bijvoorbeeld in het geval van cookies, waardoor de precieze reikwijdte van deze lijn nog verder zal moeten worden ingekleurd.
Benieuwd naar meer blogs over data & privacy? Bekijk ze hier.
[1] (1) Wanneer iets ‘direct marketing’ is, (2) wanneer er sprake is van een verkoop van een product of dienst, en (3) hoe de verhouding ligt tussen de AVG en de e-Privacyrichtlijn.
[2] A. Engelfriet, C. van Ekeren en P. Kager, ‘Artikel 95. Verhouding tot Richtlijn 2002/58/EG’, in: De Algemene Verordening Gegevensbescherming en Uitvoeringswet AVG Artikelsgewijs commentaar, Amsterdam: Ius Mentis 2023/2024, p. 328-329.
[3] HvJ EU 13 november 2025, C‑654/23, ECLI:EU:C:2025:871 (Inteligo Media/ANSPDCP), r.o. 66 en 67.
[4] In Nederland omgezet naar artikel 11.7 lid 4 Telecommunicatiewet.
[5] Inteligo Media/ANSPDCP, r.o. 68.
[6] Zoals URL- en pixeltracking.
