ePrivacy AI-compliance voor elektronische communicatie

Wat is de ePrivacy-richtlijn?

De ePrivacy-richtlijn (2002/58/EG) is de primaire EU-wet voor privacy in elektronische communicatie. Ze is lex specialis ten opzichte van de AVG — waar ePrivacy een specifieke regel heeft, gaat die voor op de AVG.

In de praktijk: ePrivacy regelt het verzenden van de communicatie en het openen van het apparaat. De AVG regelt de daaropvolgende verwerking van verzamelde persoonsgegevens. Ze vereisen afzonderlijke naleving — AVG-toestemming voldoet niet automatisch aan ePrivacy-eisen en vice versa.

ePrivacy-richtlijn vs ePrivacy-verordening: wat verandert er voor AI

De richtlijn van 2002 (gewijzigd in 2009) is een rechtsinstrument dat in elke lidstaat anders is omgezet, vandaar dat de Duitse TDDDG, de Nederlandse Telecommunicatiewet en de Britse PECR oppervlakkig vergelijkbaar lijken maar in detail afwijken. De voorgestelde ePrivacy-verordening zou het lappendeken hebben vervangen door één direct toepasselijke tekst, met strengere regels voor cookies, machine-to-machine-verkeer en metadata­verwerking. Na acht jaar impasse heeft de Commissie het dossier op 11 februari 2025 formeel ingetrokken.

Voor AI-deployers is de praktische consequentie dat er niets verandert onmiddellijk: de richtlijn blijft van kracht en het opt-in-gestuurde regime blijft van toepassing op outbound AI-berichten. Het Digital Omnibus Package dat in november 2025 werd voorgesteld bevat gerichte ePrivacy-wijzigingen — met name rondom cookie­toestemming­vermoeidheid en grondslag voor gerechtvaardigd belang bij analytics — die naar verwachting in 2027 worden aangenomen. AI-leveranciers moeten hun toestemming­vastlegging nu zodanig ontwerpen dat de rechtsgrondslag kan worden aangepast zonder opnieuw toestemming te vragen.

Belangrijke artikelen voor AI-deployers

Artikel 13 — Ongevraagde communicatie

Vereist voorafgaand opt-in­toestemming vóór het verzenden van direct marketing via geautomatiseerde belsystemen, e-mail, SMS, fax of enig elektronisch berichten­systeem. Dit is technologieneutraal: een AI die een marketing-e-mail verstuurt wordt identiek behandeld als een mens die hetzelfde doet.

• AI-chatbot die een WhatsApp-bericht initieert → toestemming vereist
• AI die marketing-e-mails verstuurt → toestemming vereist
• AI-gegenereerde SMS-campagnes → toestemming vereist
• Outbound AI-telefoongesprekken → toestemming vereist

Artikel 13(2) — Zachte opt-in­uitzondering

Een uitzondering die marketing zonder nieuwe toestemming toestaat als: (a) het e-mailadres is verkregen in de context van een verkoop of dienst, (b) marketing betrekking heeft op vergelijkbare producten/diensten, en (c) een eenvoudige opt-out wordt geboden bij verzameling en in elk bericht.

Artikel 5(3) — Cookies en apparaattoegang

Vereist toestemming vóór het opslaan van of toegang krijgen tot informatie op de terminal­apparatuur van een gebruiker. Voor AI-chatbots geldt dit wanneer de chatbot tracking­cookies plaatst — niet voor het gesprek zelf.

Cookie­toestemming en AI-tracking onder ePrivacy

Artikel 5(3) is technologieneutraal: het is van toepassing op elke opslag van of toegang tot informatie op de terminal­apparatuur van een gebruiker. Dat omvat klassieke HTTP-cookies, maar ook browser local storage, fingerprinting-bibliotheken en de SDK's die AI-personalisatie-engines in websites en mobiele apps integreren. Als de gegevens vervolgens worden ingevoerd in een aanbevelingsmodel of een gedrags­targeting-AI, moet de rechtsgrondslag voor het initiële lezen of schrijven nog steeds geldige AVG-toestemming zijn — vastgelegd voordat het script wordt uitgevoerd. CNIL, de Garante en de Nederlandse AP hebben allemaal bevestigd dat 'alles weigeren' even eenvoudig moet zijn als 'alles accepteren'.

Voor AI-voice- of chatbots is de cookie­vraag meestal beperkt tot de omringende webpagina — maar AI-gestuurde web­push, in-app messaging en on-device spraakmodellen activeren 5(3) zodra ze status cachen. Audact behandelt elke toestemmings­beslissing als een auditeerbare gebeurtenis, waardoor klanten de cookie­geldigheid kunnen aantonen zelfs wanneer de front-endstack verandert.

B2B-vrijstellingen onder ePrivacy voor AI-communicatie

B2B-behandeling is het meest gefragmenteerde deel van ePrivacy. De richtlijn staat lidstaten toe direct marketing aan rechtspersonen op opt-out­basis toe te staan, maar vereist dit niet. De Britse PECR stelt zakelijke abonnees vrij van de strikte opt-in voor live gesprekken en faxen (maar niet voor SMS of e-mail aan individuele medewerkers). Frankrijk staat op vergelijkbare wijze opt-out marketing toe aan professionele adressen mits het bericht verband houdt met de functie van de ontvanger. Duitsland neemt het tegenovergestelde standpunt in: §7 UWG vereist uitdrukkelijke voorafgaande toestemming zelfs voor B2B-e-mail, met zeer beperkte uitzonderingen.

Voor AI-outbound­systemen is de operationele regel eenvoudig: een globale 'B2B-vrijstelling'-vlag is per definitie niet-compliant. De policy engine moet het land van de ontvanger, het kanaal en de aard van het bericht bepalen vóór elke verzending, en die beslissing vastleggen voor de toezichthouder. Audact levert deze per-jurisdictie­regels standaard mee.

B2B vs B2C

B2C vereist altijd opt-in. B2B-behandeling verschilt per lidstaat: sommige (bijv. VK, Frankrijk) staan contact met zakelijke e-mailadressen op opt-out­basis toe voor bedrijfsgerelateerde producten. Andere (bijv. Duitsland) passen strengere regels toe. De Policy Engine van Audact verwerkt deze per-land­verschillen automatisch.

Handhaving & boetes

Gehandhaafd door nationale autoriteiten (doorgaans gegevensbeschermings­autoriteiten). Omdat ePrivacy een richtlijn is — geen verordening — variëren boetes per lidstaat:

• Duitsland (TDDDG): Tot €300.000
• VK (PECR): Boetes onder PECR, met hogere straffen mogelijk waar schendingen overlappen met de AVG
• Nederland: Nederlandse AP waarschuwde 50 organisaties in april 2025 wegens cookie­schendingen
• Frankrijk (CNIL): Strenge handhaving, blokkeert cookies vóór toestemming, verbiedt dark patterns

Het EDPB heeft bevestigd dat ePrivacy-schendingen kunnen worden meegenomen in AVG-boetes waar dezelfde autoriteit beide handhaaft.

ePrivacy-verordening — wat is er gebeurd?

De zelfstandige ePrivacy-verordening is formeel ingetrokken door de Europese Commissie op 11 februari 2025 na jaren van mislukte onderhandelingen. In plaats daarvan maken gerichte ePrivacy-wijzigingen nu deel uit van het Digital Omnibus Package (voorgesteld november 2025), momenteel in onderhandeling met verwachte politieke overeenstemming eind 2026.

Hoe Audact helpt

• Toestemmings­verificatie: Policy Engine valideert opt-in­status vóór elke outbound AI-communicatie wordt verzonden
• Per-land­regels: Jurisdictie-specifieke toestemmings- en opt-out­eisen automatisch gehandhaafd
• Bewijs­logging: Elke toestemmings­controle wordt vastgelegd met cryptografisch bewijs voor toezichthouders­audits
• Zachte opt-in­validatie: Automatische verificatie dat aan Artikel 13(2)-voorwaarden is voldaan vóór communicatie wordt toegestaan

Veelgestelde vragen

Vergelijk EU AI-compliancewetgeving

Gerelateerde compliance­bronnen

• Overzicht EU AI Act Artikel 50 compliance
• NL Telecomwet AI-toestemmingsregels
• AVG AI-compliance met Audact
• Audact compliance platform prijzen