Wat valt allemaal onder persoonsgegevens?

Wat valt allemaal onder persoonsgegevens: Directe vs indirecte data

Het correct identificeren van wat valt allemaal onder persoonsgegevens voorkomt ernstige privacyschendingen en juridische risicos. Het begrijpen van deze wettelijke definities beschermt individuele rechten en helpt organisaties boetes te vermijden. Verken de basisprincipes van dataveiligheid om compliant te blijven met de huidige privacyregels.

Wat is een persoonsgegeven volgens de AVG?

Persoonsgegevens zijn alle informatie over een geïdentificeerde of identificeerbare levende natuurlijke persoon. Wanneer een persoon direct of indirect kan worden herkend - bijvoorbeeld via een naam, locatiegegevens of een online identificator - spreken we juridisch direct van persoonsgegevens.

De basis van de privacywetgeving is simpel: als informatie naar één specifiek mens leidt, moet je die beschermen. Soms denken ondernemers dat een gegeven pas een persoonsgegeven is als de naam erbij staat. Dat is een misvatting. Het begrip is namelijk veel breder dan je denkt.

In mijn ervaring als privacy-adviseur zie ik dat organisaties vaak worstelen met de grijze gebieden. Ik dacht in het begin ook dat een anoniem klantnummer wel veilig zou zijn. Maar na een grondige audit bleek dat we dat nummer binnen twee minuten konden koppelen aan een fysiek adres. Die realisatie veranderde alles. Het gaat niet om wat het gegeven is, maar om wat je ermee kunt doen.

Het cruciale verschil tussen directe en indirecte persoonsgegevens

Directe persoonsgegevens identificeren iemand onmiddellijk zonder dat daar extra puzzelwerk voor nodig is. Denk aan een pasfoto, een burgerservicenummer (BSN) of een uniek zakelijk e-mailadres. Indirecte persoonsgegevens daarentegen vereisen een omweg om tot een persoon te komen. Door verschillende losse datapunten met elkaar te combineren, kun je iemand alsnog feilloos traceren.

Slechts 28% van de organisaties is momenteel volledig compliant met de privacywetgeving, wat laat zien hoe lastig dit onderscheid in de praktijk is. Een combinatie van een geboortedatum, een postcode en een specifiek automerk lijkt op het eerste gezicht anoniem. Maar in een klein dorp identificeer je hiermee moeiteloos die ene buurman. Je verwerkt dan dus onbewust wat is een persoonsgegeven avg verplichtingen.

Maar er is een adder onder het gras. Veel handleidingen beweren dat je data simpelweg kunt anonimiseren door de naam weg te laten. In werkelijkheid is echte anonimisering extreem zwaar en complex. Als de data met een slim algoritme of externe database weer herleidbaar is, blijft het onder de wetgeving vallen.

Vallen digitale gegevens zoals IP-adressen en cookies ook onder de AVG?

Ja, digitale sporen zoals IP-adressen, cookie-inhoud en tracking-identifiers vallen onder de definitie van persoonsgegevens. Omdat deze online identificatoren unieke profielen van websitebezoekers opbouwen, ziet de toezichthouder dit als herleidbare informatie. Het is een van de meest gemaakte fouten bij welke gegevens zijn persoonsgegevens.

Grote techbedrijven kunnen internetgebruikers met behulp van specifieke trackingcookies met wel 100% nauwkeurigheid identificeren. Dit komt omdat die cookies direct gekoppeld worden aan ingelogde accounts of apparaat-kenmerken. Zodra jouw website een niet-anoniem script inlaadt, help je mee aan die identificatie. Dit verklaart de strenge eisen rondom cookiebanners.

Onlangs hielp ik een lokale webshop die dacht dat hun analytics-dashboard privacyvriendelijk was ingesteld. De schrik was groot toen we ontdekten dat de volledige IP-adressen van duizenden klanten onversleuteld naar servers in Amerika werden doorgestuurd. Mijn handen trilden toen we de potentiële boterham aan overtredingen zagen. We hebben direct de instellingen aangepast om de laatste octetten van de IP-adressen te maskeren, waardoor de data direct anoniem werd.

Bijzondere persoonsgegevens: Extra bescherming vereist

Bijzondere persoonsgegevens zijn data die zo gevoelig zijn dat de verwerking ervan in de basis verboden is. Dit omvat gegevens over iemands gezondheid, ras, religie, politieke voorkeur of seksuele geaardheid. Je mag deze gegevens alleen onder zeer strikte wettelijke uitzonderingen registreren.

De handhaving op dit vlak is bikkelhard. In de afgelopen jaren heeft de toezichthouder miljoenenboetes uitgedeeld aan instanties die medische dossiers of zwarte lijsten niet correct beveiligden. De maximale boete kan oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, wat de ernst van deze categorie onderstreept.

Dit deel van de wetgeving verrast de meeste mensen. Zelfs een ogenschijnlijk onschuldige opmerking in je CRM-systeem, zoals klant was afwezig wegens chemotherapie, is een zware overtreding van de wet. Sla dit soort gevoelige details nooit op, tenzij je een wettelijk mandaat hebt zoals een gecertificeerde arbodienst.

Wat is wel en wat is geen persoonsgegeven?

Directe persoonsgegevens

• Altijd beschermd; strikte verwerkingsregels en documentatie verplicht.
• Identificeert een levend mens direct zonder extra gegevens nodig te hebben.
• Voor- en achternaam, pasfoto, burgerservicenummer (BSN), vingerafdruk.

Indirecte persoonsgegevens

• Beschermd zodra de data met redelijke middelen aan een persoon te linken is.
• Identificeert een persoon in combinatie met andere (externe) databronnen.
• IP-adres, kentekenplaat, klantnummer, dynamische locatiegegevens, tracking-cookies.

Geen persoonsgegevens

• De privacywetgeving is hierop niet van toepassing. Wel gelden soms andere handelswetten.
• Niet te herleiden tot een levende, natuurlijke persoon.
• Kamer van Koophandel-gegevens van een BV, algemene bedrijfs-e-mailadressen (info@), data van overledenen.

Het AVG-leergeld van Mark: Van spreadsheet naar compliance

Mark, een IT-ondernemer uit Utrecht, beheerde een online platform met zakelijke contacten. Hij dacht dat hij veilig zat omdat zijn Excel-lijsten alleen klantinformatie van bedrijven bevatten, waardoor hij dacht de privacyregels te kunnen negeren.

Zijn eerste fout was het versturen van een onbeveiligde nieuwsbrief waarbij de e-mailadressen van honderden zzp'ers in de openbare CC-regel stonden. De reacties waren furieus en zijn mailbox stroomde vol boze klachten van ondernemers.

Het kostte hem twee slapeloze nachten en een officiële melding van een datalek om te beseffen dat e-mailadressen van zzp'ers (vaak [email protected]) wettelijk gezien gewoon persoonsgegevens zijn. Hij moest zijn hele werkwijze omgooien.

Mark investeerde direct in een gecertificeerd CRM-systeem en automatiseerde zijn marketing. Binnen dertig dagen daalde het risico op datalekken naar nul en herwon hij het vertrouwen van zijn zakelijke klanten.