Wat valt er onder persoonsgegevens?

Wat valt er onder persoonsgegevens? Definitie van de AVG

Het correct identificeren van wat valt er onder persoonsgegevens voorkomt zware juridische sancties en datalekken. Organisaties riskeren handhavingskosten en miljardenboetes bij een foutieve verwerking van data. Het begrijpen van de privacywetgeving beschermt tegen grote financiële risicos en voorkomt gevaarlijke misvattingen.

Wat valt er onder persoonsgegevens?

Onder directe persoonsgegevens vallen onder andere iemands geboortedatum, voor- en achternaam, geslacht, adres, pasfoto, telefoonnummer, e-mailadres, burgerservicenummer (BSN), bankrekeningnummer en patiëntendossier. De interpretatie en omvang van deze begrippen kunnen echter sterk variëren en zijn in de praktijk vaak afhankelijk van de specifieke context waarin informatie wordt verzameld.

Het begrijpen van deze scheidslijn en weten wat valt er onder persoonsgegevens is essentieel om datalekken en zware juridische sancties te voorkomen. Privacytoezichthouders hanteren strenge normen waarbij foutieve verwerking van data kan leiden tot handhavingskosten en boetes die wereldwijd al miljarden euros bedragen. ^[1] Er is een hardnekkig misverstand dat data pas een persoonsgegeven is als de naam er direct bij staat - maar dat is een gevaarlijke misvatting die ik hieronder in het gedeelte over indirecte gegevens recht zal zetten.

Het fundament: Definitie van persoonsgegevens volgens de AVG

Volgens de definitie persoonsgegevens avg is een persoonsgegeven alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.^[2] Dit betekent dat de informatie direct naar iemand toe te leiden is, of dat dit met een omweg via extra datapunten kan gebeuren. De privacywetgeving beschermt hiermee uitsluitend levende mensen, niet de gegevens van overleden personen of rechtspersonen zoals besloten vennootschappen.

In mijn beginjaren als privacy-analist worstelde ik enorm met deze definitie. Ik dacht dat een los IP-adres of een uniek klantnummer wel mee zou vallen - totdat ik tijdens een audit zag hoe gemakkelijk die te koppelen waren aan surfgedrag en betaalgegevens. Het was een pijnlijke les: als je een individu uit een groep kunt pikken, verwerk je persoonsgegevens. De wetgever kijkt niet naar je intentie, maar naar de feitelijke mogelijkheid tot identificatie.

Directe versus indirecte persoonsgegevens

Om overzicht te houden in databeheer, verdelen we gegevens in twee hoofdcategorieën: directe identificatoren en indirecte datapunten. Het verschil zit in de moeite die nodig is om een identiteit te onthullen.

Het onderscheid is cruciaal omdat organisaties vaak onbewust de mist in gaan met indirecte data. In de digitale wereld is klantidentificatie de meest voorkomende vorm van gelekte data geworden,^[3] die een rol speelt bij een aanzienlijk deel van alle geregistreerde datalekken. Dit toont aan waarom de controle op schijnbaar anonieme datastromen scherper moet.

Directe persoonsgegevens

Dit zijn voorbeelden van persoonsgegevens die zonder aanvullend onderzoek meteen duidelijk maken om wie het gaat. Je hoeft geen puzzel op te lossen: Naam en adresgegevens: Voornaam, achternaam en de fysieke woonplaats. Digitale contactgegevens: Persoonlijke e-mailadressen en directe telefoonnummers. Overheidsnummers: Het burgerservicenummer (BSN) dat uniek aan één burger is gekoppeld.

Indirecte persoonsgegevens

Herinner je de misvatting die ik in de inleiding noemde? Hier klapt de val dicht. Indirecte persoonsgegevens identificeren iemand niet direct, maar maken dit wel mogelijk door gegevens te combineren: Digitale vingerafdrukken: Dynamische IP-adressen, MAC-adressen en tracking cookies. Financiële en zakelijke kenmerken: Kentekenplaten, personeelsnummers of een combinatie van functie en bedrijf. Locatiedata: GPS-coördinaten van een telefoon die dagelijks hetzelfde patroon tussen thuis en werk laten zien.

Bijzondere persoonsgegevens: Extra zware bescherming

De privacywetgeving maakt een strikt onderscheid tussen reguliere data en bijzondere persoonsgegevens. Omdat de verwerking hiervan iemands grondrechten ernstig kan aantasten, geldt hiervoor in de basis een wettelijk verwerkingsverbod - tenzij er een expliciete wettelijke uitzondering van kracht is.

Dit zijn gegevens over iemands gezondheid (zoals een patiëntendossier), religie, politieke voorkeur, ras of seksuele geaardheid. Ook biometrische gegevens vallen hieronder wanneer ze worden gebruikt voor unieke identificatie, zoals een vingerafdrukscan voor toegang tot een kantoor. De financiële impact van fouten is hier enorm: datalekken in de gezondheidszorg kosten organisaties wereldwijd gemiddeld 6.64 miljoen dollar per incident, de hoogste misstappen in welke sector dan ook. ^[4]

Vergelijking van Gegevenscategorieën onder de AVG

Reguliere Persoonsgegevens

• Standaard organisatorische en technische maatregelen zoals versleuteling en toegangsbeheer.
• Laag tot gemiddeld; misbruik leidt tot privacyhinder maar zelden tot directe discriminatie.
• Toegestaan mits gekoppeld aan een van de zes grondslagen van de AVG.

Bijzondere Persoonsgegevens

• Zware aanvullende beveiliging, verplichte logging en vaak een voorafgaande privacy-impactbeoordeling.
• Zeer hoog; gegevens zijn gevoelig voor uitsluiting, fraude of stigmatisering.
• In de basis verboden; verwerking mag alleen bij strikte wettelijke uitzonderingen.

Anonieme Gegevens

• Geen doorlopende privacybeveiliging nodig zodra de herleidbaarheid volledig is vernietigd.
• Verwaarloosbaar, mits de anonimisering onomkeerbaar is uitgevoerd.
• Vrijgesteld van de privacywetgeving; de AVG is hierop niet van toepassing.

Frictie in databeheer bij een marketingbureau in Utrecht

Thomas, een startende compliance officer bij een middelgroot marketingbureau in Utrecht, wilde de opslagkosten van klantdata verminderen. De directie was sceptisch en weigerde budget voor geautomatiseerde tools, omdat ze dachten dat het opschonen van e-maillijsten binnen een dag handmatig kon.

Thomas begon enthousiast en verwijderde handmatig de namen uit de database om de data te 'anonimiseren'. De schrik was groot toen een proefaudit uitwees dat de overgebleven postcodes in combinatie met aankoopdata nog steeds direct herleidbaar waren naar individuele klanten in kleine dorpen.

Hij realiseerde zich dat indirecte persoonsgegevens net zo risicovol zijn als directe identificatoren. In plaats van oppervlakkig wissen, introduceerde hij een strikt protocol voor pseudonimisering waarbij data structureel werd losgekoppeld en versleuteld.

Binnen twee maanden daalde het datavolume met meer dan de helft, was het bureau volledig compliant en slaagde het team met vlag en wimpel voor een officiële externe privacy-audit.