Antwoord schriftelijke vragen : Antwoord op vragen van het lid Kathmann over de nieuwe voorwaarden van WeTransfer om data van gebruikers te gebruiken voor verkoop en het trainen van AI

Antwoord van Minister Van Weel (Justitie en Veiligheid), mede namens de Minister van
Economische Zaken en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties
(ontvangen 4 september 2025).

Vraag 1

Bent u bekend met het bericht «WeTransfer haalt gebruik bestanden voor AI-training
stilletjes uit voorwaarden»?1

Antwoord 1

Ja, hier ben ik mee bekend.

Vraag 2

Bent u bekend met de nieuwe gebruiksvoorwaarden van WeTransfer, een dienst waar veel
mensen gebruik van maken om grote hoeveelheden data te delen met elkaar?

Antwoord 2

Ja, hier ben ik mee bekend. Overigens heeft WeTransfer zelf de eerdere berichtgeving
hierover weersproken2.

Vraag 3

Is bij u bekend wat de gevolgen zijn van de nieuwe gebruiksvoorwaarden voor de consumenten-,
privacy- en auteursrechten van gebruikers, die mogelijk worden geschonden als WeTransfer
rechten krijgt over de data van gebruikers? Indien dit niet bekend bij u is, kunt
u om een zienswijze vragen van de Autoriteit Consument & Markt (ACM) en/of de Autoriteit
Persoonsgegevens (AP)?

Antwoord 3

Voor mogelijke schending van consumenten- en privacyrecht is het niet aan de regering,
maar aan de gebruikers om zich tot de toezichthoudende autoriteit te wenden. Voor
zover het de naleving betreft van de Algemene Verordening Gegevensbescherming (AVG)
is dat de Autoriteit Persoonsgegevens (AP), nu WeTransfer B.V. haar hoofdzetel heeft
in Amsterdam. Met betrekking tot de naleving van het consumentenrecht kan een melding
worden gedaan bij de Autoriteit Consument en Markt (ACM). Er is geen toezichthouder
voor de naleving van het auteursrecht. Als de voorwaarden die aan de inroepbaarheid
van de uitzondering op het auteursrecht (neergelegd in artikel 15o van de Auteurswet)
zijn geschonden (zie hierover nader het antwoord het vraag3 en de maker geen toestemming voor het gebruik van zijn werk heeft verleend, dan is
sprake van een auteursrechtinbreuk. De maker kan een procedure bij de civiele rechter
starten en daarin bijvoorbeeld een verbod en schadevergoeding vorderen.

Vraag 4

Is het trainen van AI-modellen op grote hoeveelheden data van gebruikers door techbedrijven,
zoals mogelijk het geval is bij WeTransfer en eerder al het geval was bij Meta,4 toegestaan binnen de Nederlandse en Europese wet- en regelgeving? Welke beperkingen
kent deze praktijk?

Antwoord 4

Het trainen van AI-modellen met data van gebruikers is onder bepaalde voorwaarden
toegestaan. Het Europese Comité voor gegevensbescherming (EDPB), waarin de Europese
toezichthouders samenwerken, heeft op 18 december 2024 een advies aangenomen over
het gebruik van persoonsgegevens bij het ontwikkelen en in gebruik nemen van AI-modellen.5 Uit dat advies van de EDPB volgt dat een verwerkingsverantwoordelijke een gerechtvaardigd
belang (artikel 6, eerste lid onder f AVG) kan hebben bij het gebruik van persoonsgegevens
voor de ontwikkeling van een AI-model. Daarbij noemt de EDPB diverse voorwaarden voor
het gebruik van deze grondslag bij het verwerken van persoonsgegevens ten behoeve
van het ontwikkelen of inzetten van een AI-model. Een van die voorwaarden is dat uit
een belangenafweging moet blijken dat het gebruik van persoonsgegevens noodzakelijk
is en dat hetzelfde doel niet kan worden bereikt met, bijvoorbeeld, geanonimiseerde
gegevens. In deze afweging spelen de redelijke verwachtingen van de betrokkenen een
belangrijke rol. Bij het vaststellen daarvan dient onder meer rekening te worden gehouden
met de context van de verwerking en de informatie die de verwerkingsverantwoordelijke
aan de betrokkene aanbiedt. De verwerkingsverantwoordelijke kan daarbij op de concrete
omstandigheden van het geval toegespitste maatregelen nemen om de impact van de verwerking
op de belangen van de betrokkengebruikers te mitigeren. Daarbij speelt de toegang
tot rechten van betrokkenen onder de AVG een rol, zoals het recht op inzage en het
recht op bezwaar. De toezichthouder beoordeelt uiteindelijk of (en zo ja: welke) stappen
moeten worden ondernomen tegen een vorm van verwerking.

In het geval AI-modellen worden getraind met auteursrechtelijk beschermde werken,
geldt het volgende regime. De AI-verordening bepaalt dat het trainen van generatieve
AI een vorm van tekst- en datamining is. Artikel 15o van de Auteurswet bepaalt dat
het maken van een reproductie van een werk van letterkunde, wetenschap of kunst ten
behoeve van tekst- en datamining onder bepaalde voorwaarden niet als inbreuk op het
auteursrecht op het werk wordt beschouwd.6 Een reproductie van een werk mag zonder toestemming van de maker van het werk worden
gemaakt, mits: (1) degene die de tekst- en datamining verricht rechtmatig toegang
heeft tot het werk en (2) het auteursrecht door de maker of zijn rechtverkrijgenden
niet uitdrukkelijk op passende wijze is voorbehouden. De reproductie mag slechts bewaard
blijven zolang dat nodig is voor tekst- en datamining en moet daarna worden verwijderd.

Tot slot heeft de Europese Commissie op 10 juli 2025 de General-Purpose AI Code of
Practice (GPAI-CoP) heeft gepubliceerd7. Deze (vrijwillige) gedragscode bundelt de belangrijkste uitgangspunten voor aanbieders
in drie thematische hoofdstukken. Ook transparantie en auteursrecht maken daarvan
onderdeel uit.

Vraag 5

Bent u van mening dat het beschikbaar stellen van gegevens voor doorverkoop en AI-trainingsdoeleinden
ten alle tijden een goed geïnformeerde en individuele keuze voor gebruikers moet zijn?

Antwoord 5

In zijn algemeenheid merk ik op dat, zoals gezegd onder antwoord 4, de AVG ruimte
biedt om – ook zonder toestemming van de betrokkene – op basis van de verwerkingsgrondslag
«gerechtvaardigd belang» persoonsgegevens te verwerken. Of deze grondslag in een concrete
situatie kan worden ingeroepen, wordt bepaald door de omstandigheden van het geval.
De beoordeling daarvan komt (zoals toegelicht bij antwoord8 niet toe aan de regering en is aan de toezichthoudende autoriteit. Zij kan daartoe
handhaven, advies verstrekken, samenwerken met andere toezichthoudende autoriteiten
en klachten behandelen over een inbreuk op de bescherming van persoonsgegevens. Zij
toetst of sprake is van strijdigheid met de Europese gegevensbeschermingsregels.

Artikel 15o van de Auteurswet schrijft, in het voetspoor van de EU-richtlijn auteursrecht
in de digitale eengemaakte markt, voor dat het auteursrecht door de maker uitdrukkelijk
op passende wijze kan worden voorbehouden zoals door middel van machinaal leesbare
middelen bij een online ter beschikking gesteld werk (opt-out). Uit overweging 18
van de voornoemde richtlijn blijkt dat de rechthebbenden specifiek de rechten om reproducties
te maken en opvragingen te verrichten ten behoeve van tekst- en datamining op passende
wijze kunnen voorbehouden. Bij content die online voor het publiek beschikbaar is
gesteld, moet het voorbehouden van die rechten enkel als passend worden beschouwd
indien hierbij machinaal leesbare middelen worden gebruikt, waaronder metagegevens
en de voorwaarden van een website of een dienst. In andere gevallen dan online gebruik
kan het passend zijn om rechten voor te behouden met behulp van andere middelen, zoals
contractuele overeenkomsten of een eenzijdige verklaring.

Vraag 6

Welke mogelijkheden heeft u om, nationaal of Europees, het afstaan van gegevens voor
doorverkoop en AI-trainingsdoeleinden altijd een «opt-in» te maken? Zijn daartoe aanpassingen
nodig van het consumentenrecht?

Antwoord 6

Een dergelijke «opt-in» zou veronderstellen dat de onderhavige verwerkingsvorm alleen
rechtmatig is wanneer deze op toestemming van de gebruikers berust. Zoals ik in antwoorden
4 en 5 aangaf, kan onder omstandigheden ook de verwerkingsgrondslag «gerechtvaardigd
belang» worden ingeroepen. Daarvoor weegt mee of de verwerkingsverantwoordelijke voldoende
maatregelen heeft genomen om de impact van een gegevensverwerking op de belangen van
betrokkenen te beperken. Het bieden van een onvoorwaardelijke «opt-out» kan volgens het eerdergenoemde advies van de EDPB worden beschouwd als een maatregel
die de controle van individuen over de verwerking van hun persoonsgegevens versterkt.9 In artikel 4 van de Europese richtlijn auteursrecht in de digitale eengemaakte markt10 is ook gekozen voor een opt-out in plaats van een opt-in systeem. De AI-verordening
haakt daarbij aan en bouwt daarop voort. De voornoemde richtlijn wordt volgend jaar
onder het gezag van de Europese Commissie geëvalueerd.

Vraag 7

Bent u bereid om in gesprek te gaan met WeTransfer, een Nederlands bedrijf, om helderheid
te krijgen over de gevolgen van de nieuwe voorwaarden en een garantie te krijgen dat
data gewoon van de gebruikers blijft?

Antwoord 7

Dat zou een taak van de onafhankelijke toezichthouder zijn, indien deze dat opportuun
vindt. In het stelsel van de AVG is het aan verwerkingsverantwoordelijken om verplichtingen
na te leven, aan de betrokkenen om rechten uit te oefenen en is het toezicht bij onafhankelijke
instanties belegd. Deze onafhankelijkheid vind ik belangrijk en ik wil dit dan ook
niet doorkruisen.

Vraag 8

Kunt de vragen afzonderlijk van elkaar en vóór 8 augustus, wanneer de nieuwe gebruiksvoorwaarden
ingaan, beantwoorden?

Antwoord 8

De vragen zijn afzonderlijk en zo snel mogelijk beantwoord.