Gratis digitale diensten zijn juridisch niet gratis: data, dark patterns en addictive design

Social media, online games, datingapps en generatieve AI hebben één ding gemeen: consumenten kunnen veel van deze diensten gebruiken zonder rechtstreeks met geld te betalen. Dat betekent alleen niet automatisch dat de juridische relatie tussen aanbieder en gebruiker ook buiten het consumentenrecht valt.

De Richtlijn digitale inhoud en digitale diensten, in Nederland verwerkt in titel 7.1AA BW, biedt consumenten bescherming wanneer zij digitale inhoud of een digitale dienst afnemen. Die bescherming is niet uitsluitend relevant voor betaalde abonnementen. Ook het verstrekken van persoonsgegevens kan ertoe leiden dat een gratis aangeboden digitale dienst binnen het toepassingsgebied valt.

Voor startups en scale-ups is dat een belangrijk uitgangspunt. Een freemium- of gratis model kan commercieel aantrekkelijk zijn, maar de keuze om geen geld te vragen betekent niet dat er geen contractuele verplichtingen tegenover gebruikers bestaan. Dat wordt extra relevant wanneer persoonsgegevens worden gebruikt voor personalisatie, advertenties of andere doeleinden die verder gaan dan strikt noodzakelijk is om de dienst te leveren.

Waarom ‘gratis’ digitale diensten juridisch ingewikkeld zijn

Het klassieke beeld van een consumentenovereenkomst is eenvoudig: de ondernemer levert een product of dienst en de consument betaalt een prijs. Bij digitale diensten is die werkelijkheid veel minder overzichtelijk.

Een gebruiker kan een platform openen zonder abonnement af te sluiten. De aanbieder kan ondertussen gegevens verzamelen over bijvoorbeeld het gebruikte apparaat, de locatie, het gebruik van de dienst of de bekeken content. Wie een account aanmaakt, kan daarnaast profielgegevens, berichten, afbeeldingen, zoekopdrachten of andere informatie verstrekken.

Die gegevens kunnen vervolgens worden gebruikt om de dienst te personaliseren of advertenties beter af te stemmen op de individuele gebruiker. Daardoor ontstaat een economische relatie waarin de gebruiker weliswaar geen geld overmaakt, maar waarin zijn gegevens een belangrijke rol spelen in het businessmodel van de aanbieder.

Juist daar komt de Richtlijn digitale inhoud en digitale diensten in beeld. De regeling ziet niet alleen op situaties waarin een consument een geldbedrag betaalt. Zij kan ook van toepassing zijn wanneer een consument persoonsgegevens verstrekt of zich ertoe verbindt persoonsgegevens te verstrekken.

Daarop bestaat wel een belangrijke uitzondering. Wanneer persoonsgegevens uitsluitend worden verwerkt om de digitale dienst te kunnen leveren of om aan wettelijke verplichtingen te voldoen, kan de situatie buiten het betreffende deel van het toepassingsgebied vallen. De vraag wat werkelijk noodzakelijk is voor de uitvoering van de dienst wordt daardoor cruciaal.

Wanneer valt een gratis digitale dienst onder het consumentenrecht?

Bij gratis digitale diensten spelen verschillende juridische vragen tegelijk. Voor techbedrijven zijn vooral vier punten belangrijk: het bestaan van een overeenkomst, de manier waarop persoonsgegevens worden verstrekt, de relatie tussen gegevens en de dienst en de noodzakelijkheid van de gegevensverwerking.

Ook gratis gebruik kan een overeenkomst opleveren

Dat een gebruiker nergens op een knop met ‘kopen’ klikt, betekent niet automatisch dat geen overeenkomst ontstaat.

Veel digitale aanbieders werken met gebruiksvoorwaarden waarin staat dat het gebruik van het platform of de dienst betekent dat de gebruiker met de voorwaarden instemt. Bij diensten waarvoor registratie verplicht is, is het contractuele karakter meestal relatief duidelijk. De consument maakt een account aan en accepteert daarbij de toepasselijke voorwaarden.

Interessanter is de situatie waarin iemand een digitale dienst zonder account kan gebruiken. Denk aan het bekijken van bepaalde content of het gebruiken van een beperkte versie van een online dienst.

Ook dan kan een overeenkomst ontstaan. Een aanbieder stelt immers een dienst beschikbaar onder bepaalde voorwaarden en een consument maakt daar vervolgens gebruik van. Onder omstandigheden kan dat gebruik worden gezien als aanvaarding van het aanbod.

Voor startups is het daarom riskant om ervan uit te gaan dat bezoekers zonder account juridisch slechts ‘bezoekers’ zijn tegenover wie nauwelijks contractuele verplichtingen bestaan. Ook beperkt gebruik van een digitale dienst kan onderdeel worden van een contractuele verhouding.

Persoonsgegevens hoeven niet altijd bewust te worden ingevoerd

Een tweede vraag is of een consument persoonsgegevens actief moet verstrekken voordat de regels voor digitale diensten relevant worden.

Bij sommige gegevens is dat evident. Een gebruiker maakt een profiel aan, plaatst content, voert een zoekopdracht in of geeft informatie over zichzelf door. De gebruiker verricht dan zelf een duidelijke handeling.

Maar digitale diensten verzamelen ook veel gegevens zonder dat een consument iedere keer bewust informatie invoert. Denk aan technische informatie, locatiegegevens, een gebruikers-ID en gegevens over het gebruik van de dienst.

Een strikte scheiding tussen actief ingevoerde en automatisch verzamelde gegevens sluit slecht aan bij de manier waarop moderne digitale producten werken. Voor de beoordeling van een gratis digitaal businessmodel is het daarom niet voldoende om alleen te kijken naar de informatie die in een registratieformulier staat.

Ook de gegevensverwerking die tijdens het gebruik van het product plaatsvindt, kan relevant zijn.

Voor productteams, legal teams en founders betekent dit dat de juridische analyse niet moet stoppen bij de onboarding. De volledige datastroom rond de dienst kan van belang zijn.

Zijn persoonsgegevens de tegenprestatie voor de dienst?

De formulering ‘betalen met persoonsgegevens’ ligt gevoelig. Persoonsgegevens zijn geen gewone valuta en het gegevensbeschermingsrecht blijft onverminderd van toepassing. Toch kan het verstrekken van persoonsgegevens binnen het contractenrecht wel een functie vervullen die vergelijkbaar is met een tegenprestatie.

Dat is vooral relevant wanneer een dienst als gratis wordt gepresenteerd, terwijl persoonsgegevens een centrale rol spelen in de wijze waarop de aanbieder inkomsten genereert of de gebruikerservaring personaliseert.

Het maakt daarbij niet automatisch verschil dat de gebruiksovereenkomst en het privacybeleid juridisch of tekstueel van elkaar zijn gescheiden. De feitelijke inrichting van de dienst blijft relevant.

Veel digitale diensten verlangen bovendien dat gebruikers bepaalde juiste of actuele informatie verstrekken. Bij een platform waarop personalisatie onderdeel is van de dienst, kan gegevensverwerking nauw verweven zijn met hetgeen de gebruiker krijgt aangeboden.

Voor startups en scale-ups is hier een belangrijk aandachtspunt zichtbaar. Het woord ‘gratis’ zegt op zichzelf weinig over de toepasselijke consumentenrechtelijke regels. De manier waarop het product economisch en technisch is ingericht, is veel belangrijker.

Een gratis consumentenproduct waarbij nauwelijks persoonsgegevens worden verwerkt, kan juridisch anders worden beoordeeld dan een dienst waarbij gebruikersgedrag uitgebreid wordt verzameld voor personalisatie en commerciële doeleinden.

De cruciale vraag: welke gegevens zijn echt noodzakelijk?

Niet iedere verwerking van persoonsgegevens brengt een gratis digitale dienst automatisch binnen dezelfde consumentenrechtelijke regeling.

De uitzondering voor gegevens die uitsluitend noodzakelijk zijn om de dienst te leveren is daarom belangrijk. Maar ‘noodzakelijk’ moet niet te ruim worden uitgelegd.

Een aanbieder kan personalisatie bijvoorbeeld presenteren als een essentieel onderdeel van zijn product. Dat betekent nog niet automatisch dat alle persoonsgegevens die daarvoor worden gebruikt strikt noodzakelijk zijn om de overeenkomst uit te voeren.

Vooral wanneer gegevens worden gebruikt voor gepersonaliseerde advertenties, uitgebreide profilering of verdere personalisatie, wordt het moeilijker om te stellen dat de verwerking uitsluitend plaatsvindt omdat de dienst anders niet kan worden geleverd.

Bij sommige diensten kan de situatie genuanceerder liggen. Voor een digitale dienst die bepaalde gegevens daadwerkelijk nodig heeft om de gevraagde functionaliteit uit te voeren, kan verwerking wel binnen de uitzondering vallen. Doorslaggevend is dan dat de verwerking niet verder gaat dan strikt noodzakelijk voor het uitvoeren van de overeenkomst.

Dat kan in de praktijk zelfs tot verschillen leiden tussen gebruikers van dezelfde dienst. De juridische positie van een consument kan afhankelijk zijn van de manier waarop het product wordt gebruikt en welke gegevens daarbij worden verwerkt.

Voor techbedrijven is dit een goede reden om niet alleen een algemene privacyanalyse uit te voeren, maar gegevensverwerkingen ook te koppelen aan concrete productfunctionaliteiten. Welke verwerking is nodig voor de kernfunctie? Welke verwerking dient personalisatie? Welke gegevens worden gebruikt voor advertenties of optimalisatie? Dat onderscheid kan consumentenrechtelijk relevant zijn.

Toepasselijkheid betekent ook verplichtingen rond kwaliteit

Waarom is de kwalificatie van een gratis digitale dienst zo belangrijk? Omdat toepasselijkheid van de regels voor digitale inhoud en digitale diensten consumenten concrete contractuele rechten kan geven.

Centraal staat het conformiteitsvereiste. Eenvoudig gezegd moet de geleverde digitale dienst beantwoorden aan wat de consument daarvan mag verwachten.

Daarbij bestaan zowel subjectieve als objectieve criteria.

De subjectieve kant gaat over hetgeen daadwerkelijk tussen aanbieder en consument is afgesproken. Bij digitale diensten is dat niet altijd eenvoudig vast te stellen. Veel algemene voorwaarden beschrijven uitgebreid wat een gebruiker wel en niet mag doen, maar zijn aanzienlijk minder concreet over de kwaliteit die de aanbieder zelf moet leveren.

De objectieve conformiteitseisen bieden daarom een belangrijk aanvullend kader. Daarbij kan onder meer worden gekeken naar publieke mededelingen en naar eigenschappen die consumenten redelijkerwijs van vergelijkbare diensten mogen verwachten. Aspecten zoals toegankelijkheid, continuïteit, compatibiliteit en beveiliging kunnen daarbij een rol spelen.

Ook noodzakelijke updates maken onderdeel uit van het beschermingsniveau.

Voor een startup betekent dit dat algemene voorwaarden niet uitsluitend een instrument zijn om risico’s af te dekken. Wanneer consumentenrecht van toepassing is, kan dwingend recht minimumvereisten stellen die niet simpelweg met een brede disclaimer opzij kunnen worden gezet.

Een bepaling dat een digitale dienst ‘as is’ wordt geleverd, lost dat probleem dus niet zonder meer op.

Een digitale dienst mag niet onbeperkt worden gewijzigd

Digitale producten veranderen continu. Features worden toegevoegd, functionaliteiten verdwijnen, algoritmen veranderen en complete productonderdelen kunnen opnieuw worden ontworpen.

Vanuit productontwikkeling is dat logisch. Juridisch is die vrijheid echter niet onbeperkt.

Wanneer de regels voor digitale diensten van toepassing zijn, kunnen ook wijzigingen aan de dienst aan voorwaarden zijn gebonden. Een wijziging mag bijvoorbeeld niet zomaar extra kosten voor de consument meebrengen en gebruikers moeten op duidelijke en begrijpelijke wijze over wijzigingen worden geïnformeerd.

Ook het volledig stopzetten van een dienst is niet per definitie iets wat een aanbieder contractueel onbeperkt naar eigen inzicht kan doen.

Voor startups en scale-ups raakt dit direct aan product governance. Een algemene bepaling waarin staat dat de onderneming iedere functionaliteit op ieder moment mag aanpassen, verwijderen of beëindigen, biedt niet noodzakelijk de vrijheid die de tekst suggereert.

Dat is vooral relevant voor bedrijven die snel itereren. Hoe sneller een product verandert, hoe belangrijker het wordt om consumentenrechtelijke verplichtingen al in het releaseproces mee te nemen.

Dark patterns kunnen meer zijn dan een UX-probleem

Dark patterns zijn ontwerpkeuzes die het vermogen van gebruikers om autonome en weloverwogen keuzes te maken wezenlijk kunnen verstoren of belemmeren.

Voorbeelden kunnen voorkomen in cookiebanners, accountinstellingen, toestemmingsschermen, betaalflows of andere keuzemomenten. Het ontwerp stuurt de gebruiker dan richting een uitkomst die vooral gunstig is voor de aanbieder.

Voor digitale bedrijven wordt dit vaak benaderd als een privacy- of UX-vraagstuk. Maar bij consumentenovereenkomsten kan de impact breder zijn.

Wanneer een dienst persoonsgegevens verwerkt, blijven de eisen van de AVG relevant. Toestemming moet vrijelijk worden gegeven en gegevens moeten niet alleen rechtmatig, maar ook behoorlijk worden verwerkt. Een interface die gebruikers manipuleert om meer gegevens te delen, kan daarmee op gespannen voet staan.

Die regels kunnen vervolgens ook doorwerken in de vraag of de digitale dienst contractueel conform is.

Dat is juridisch belangrijk. Een dark pattern kan dan niet alleen leiden tot discussie over de geldigheid van toestemming of de rechtmatigheid van gegevensverwerking, maar mogelijk ook tot de conclusie dat de consument niet de digitale dienst krijgt waarop hij recht heeft.

Voor startups is privacy compliance daarmee niet volledig los te zien van contractenrecht en productdesign. Dezelfde ontwerpbeslissing kan meerdere juridische regimes tegelijk raken.

Addictive design kan eveneens relevant worden voor conformiteit

Naast dark patterns krijgt ook addictive design steeds meer aandacht.

Daarbij gaat het om ontwerptechnieken die erop zijn gericht gebruikers zo lang mogelijk bij een dienst betrokken te houden of hen te stimuleren meer tijd of geld aan het product te besteden. Denk aan infinite scroll, autoplay, tijdelijk beschikbare content, pushnotificaties of bepaalde vormen van gamificatie.

Personalisatie kan het effect van zulke technieken verder versterken.

Voor diensten die door minderjarigen worden gebruikt, is de juridische gevoeligheid extra groot. Onder de Digital Services Act gelden specifieke verplichtingen voor bepaalde aanbieders rond de bescherming van minderjarigen. Daaruit kan volgen dat bepaalde vormen van verslavend ontwerp moeilijk verenigbaar zijn met het vereiste beschermingsniveau.

Als wettelijke verplichtingen mede bepalen wat een consument redelijkerwijs van een digitale dienst mag verwachten, kunnen zulke regels ook invloed hebben op de conformiteitsbeoordeling.

Daarmee wordt productdesign onderdeel van een contractenrechtelijke discussie.

Een interface is juridisch dan niet alleen de verpakking van de dienst. De wijze waarop functies, aanbevelingen, notificaties en keuzemogelijkheden zijn ontworpen kan mede bepalen of de dienst voldoet aan het niveau dat consumenten mogen verwachten.

Wat kan een consument doen bij een niet-conforme digitale dienst?

Wanneer een digitale dienst onder de regeling valt en niet aan de toepasselijke conformiteitseisen voldoet, beschikt de consument over contractuele remedies.

De consument kan in beginsel verlangen dat de dienst alsnog conform wordt geleverd. Onder omstandigheden kunnen ook verdergaande remedies, waaronder ontbinding, relevant worden.

Dat maakt de discussie over dark patterns en addictive design bijzonder interessant. Wanneer een ontwerpkeuze daadwerkelijk leidt tot non-conformiteit, blijft het niet bij de abstracte vaststelling dat een interface juridisch problematisch is. De consument kan dan mogelijk aanspraak maken op een aangepaste, conforme dienstverlening.

Bij dark patterns kan dat betekenen dat een dienst moet worden aangeboden zonder de problematische ontwerpkeuzes. Voor minderjarige gebruikers kan daarnaast discussie ontstaan over standaardinstellingen en functionaliteiten die verslavend gebruik stimuleren.

Voor aanbieders maakt dit het risico concreter. Designkeuzes raken dan niet alleen toezicht en handhaving, maar potentieel ook de individuele contractuele relatie met gebruikers.

Wat betekent dit voor startups en scale-ups?

Voor jonge techbedrijven is vooral van belang dat consumentenrecht veel eerder relevant kan worden dan vaak wordt gedacht.

Een product hoeft niet per se een betaald abonnement te hebben. Ook een gratis consumentenversie kan een contractuele relatie opleveren. Persoonsgegevens kunnen daarbij voldoende zijn om de regels voor digitale diensten relevant te maken, vooral wanneer gegevens worden verwerkt voor doeleinden die verder gaan dan strikt noodzakelijk voor het leveren van de kernfunctionaliteit.

Daarmee raken verschillende onderdelen van een techbedrijf elkaar direct.

De productarchitectuur bepaalt welke gegevens worden verzameld. Het verdienmodel bepaalt waarvoor die gegevens worden gebruikt. De algemene voorwaarden bepalen wat tussen partijen wordt afgesproken. Het privacybeleid legt uit hoe gegevens worden verwerkt. UX-design beïnvloedt hoe gebruikers keuzes maken. En al die onderdelen kunnen uiteindelijk relevant zijn voor de vraag wat de consument juridisch van de dienst mag verwachten.

Voor founders en managementteams betekent dit dat een gratis model niet uitsluitend als marketing- of growthstrategie moet worden bekeken.

Een praktische juridische beoordeling zou daarom in ieder geval moeten kijken naar de vraag of een overeenkomst met de gebruiker ontstaat, welke persoonsgegevens tijdens het gebruik worden verzameld, waarom die gegevens worden verwerkt, welke functionaliteiten daadwerkelijk zijn toegezegd en hoe wijzigingen aan de dienst worden doorgevoerd. Ook personalisatie, advertentiemodellen, dark patterns en ontwerpkeuzes die langdurig gebruik stimuleren verdienen daarbij aandacht.

Het gaat dus niet alleen om goede algemene voorwaarden. De juridische beoordeling loopt dwars door het product heen.

Freemium, personalisatie en ‘pay or OK’

Een bijzonder model ontstaat wanneer consumenten kunnen kiezen tussen betaling met geld en een gratis variant waarin persoonsgegevens intensiever worden gebruikt, bijvoorbeeld voor gepersonaliseerde advertenties.

Voor aanbieders lijkt zo’n keuze op het eerste gezicht overzichtelijk. De gebruiker kiest zelf tussen een betaald en een gratis product.

Juridisch wordt het daarmee niet automatisch eenvoudiger.

Ook bij de gratis variant moet worden onderzocht welke gegevens worden verwerkt en voor welke doeleinden. Wanneer profilering en personalisatie een belangrijke rol spelen, ligt toepassing van de consumentenrechtelijke regels eerder voor de hand dan wanneer uitsluitend gegevens worden verwerkt die technisch noodzakelijk zijn voor het leveren van de dienst.

Dat betekent ook dat verschillende varianten van hetzelfde product juridisch anders kunnen uitpakken.

Voor scale-ups die experimenteren met betaalde abonnementen naast advertentiegedreven of datagedreven gratis versies is het daarom verstandig om niet alleen de prijsstructuur te vergelijken. Ook de contractuele en gegevensrechtelijke positie van gebruikers kan per productvariant verschillen.

Algemene voorwaarden zijn niet de enige maatstaf

Veel techbedrijven proberen flexibiliteit te creëren met brede contractuele bepalingen. De aanbieder garandeert zo min mogelijk, mag functionaliteiten aanpassen en behoudt zich het recht voor om de dienst te beëindigen.

Dat soort bepalingen geven echter geen volledige controle over de rechtsverhouding.

Dwingendrechtelijke conformiteitseisen kunnen grenzen stellen aan wat contractueel kan worden uitgesloten. Bovendien wordt niet alleen gekeken naar de letterlijke tekst van de overeenkomst. Ook objectieve verwachtingen en relevante wettelijke normen kunnen betekenis hebben.

Voor een startup die haar juridische documentatie opstelt, is het daarom belangrijk dat product, voorwaarden en feitelijke dienstverlening bij elkaar aansluiten.

Wie een hoogwaardige, veilige of continu beschikbare dienst presenteert, kan niet zonder meer veronderstellen dat zeer ruime disclaimers iedere verwachting van de consument neutraliseren.

Hetzelfde geldt voor privacy en design. Een zorgvuldig geformuleerd privacybeleid voorkomt niet dat de feitelijke interface problematisch kan zijn als gebruikers via dark patterns richting bepaalde keuzes worden gestuurd.

De grens tussen consumentenrecht, privacy en platformregels vervaagt

Een van de belangrijkste ontwikkelingen rond digitale diensten is dat verschillende rechtsgebieden steeds sterker met elkaar samenhangen.

Het contractenrecht bepaalt wat een consument van de dienst mag verwachten. De AVG stelt eisen aan de verwerking van persoonsgegevens. De Digital Services Act bevat aanvullende verplichtingen voor bepaalde digitale diensten en platforms. Normen uit die regelgeving kunnen vervolgens weer relevant zijn bij het beoordelen van contractuele conformiteit.

Voor startups en scale-ups is een gescheiden compliance-aanpak daardoor steeds minder logisch.

Een privacyvraag kan ook een contractenrechtelijke vraag worden. Een productwijziging kan zowel UX als consumentenrecht raken. Een aanbevelingssysteem kan relevant zijn voor gegevensbescherming, platformregulering en de kwaliteit van de geleverde dienst.

Dat vraagt om een andere manier van juridisch werken. Niet pas controleren wanneer de algemene voorwaarden worden aangepast, maar juridische eisen meenemen bij productontwikkeling, onboarding, personalisatie en feature changes.

Naar strengere regels voor digitale fairness

De regels voor gratis digitale diensten zijn nog niet op ieder punt eenvoudig toe te passen. Vooral het onderscheid tussen gegevens die noodzakelijk zijn voor een dienst en gegevens die voor aanvullende doeleinden worden verwerkt, kan tot ingewikkelde grensgevallen leiden.

Ook het conformiteitsvereiste biedt niet altijd direct een concreet antwoord op de vraag welke kwaliteit van een online platform, game, datingapp of AI-dienst mag worden verwacht.

Een verdere ontwikkeling richting regels over digital fairness kan daarom belangrijk worden. Daarbij ligt het voor de hand dat onderwerpen als dark patterns, manipulerende personalisatie en addictive design nadrukkelijk aandacht blijven krijgen.

Voor techbedrijven is vooral van belang dat nieuwe regels niet op zichzelf zullen staan. Bestaande verplichtingen rond digitale diensten, persoonsgegevens en platformdesign grijpen al in elkaar.

Wie pas reageert wanneer nieuwe regelgeving definitief is, mist daarom een belangrijk deel van het huidige juridische kader.

Gratis is een businessmodel, geen juridische vrijstelling

Een digitale dienst gratis aanbieden kan een slimme manier zijn om snel gebruikers te bereiken, netwerkeffecten te creëren of een freemium-model op te bouwen. Juridisch is ‘gratis’ echter geen vrijstelling.

Wanneer consumenten persoonsgegevens verstrekken en die gegevens voor meer worden gebruikt dan strikt noodzakelijk is om de digitale dienst te leveren, kan het consumentenrecht voor digitale inhoud en diensten van toepassing zijn. Dat brengt verplichtingen mee rond conformiteit, updates, wijzigingen en contractuele remedies.

Dark patterns en addictive design maken die discussie nog relevanter. Designkeuzes kunnen raken aan privacy, digitale regelgeving en uiteindelijk ook aan de vraag of de consument krijgt waarop hij juridisch recht heeft.

Voor startups en scale-ups is de belangrijkste les daarom eenvoudig: kijk bij een gratis digitaal product niet alleen naar prijs en privacy. Kijk naar de volledige relatie met de gebruiker. Juist daar komen contract, data en productdesign samen.

‍