Welke data valt onder GDPR?

Wat valt er precies onder de GDPR-regels voor persoonsgegevens?

De Algemene Verordening Gegevensbescherming (AVG), beter bekend als GDPR (General Data Protection Regulation), is een strenge Europese wetgeving die de verwerking van persoonsgegevens regelt. Maar wat valt er nu precies onder die term "persoonsgegevens"? Het is niet zo eenvoudig als het lijkt, en de definitie is breder dan veel mensen denken.

De GDPR definieert persoonsgegevens als "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon". Cruciaal hierbij is het begrip "identificeerbaar": het gaat niet alleen om gegevens die direct iemands identiteit onthullen, zoals naam en adres. Ook informatie die indirect leidt tot identificatie valt onder de GDPR. Laten we dat eens verder uitdiepen aan de hand van voorbeelden:

Direct identificeerbare gegevens: Dit zijn gegevens die onmiddellijk iemand identificeren. Denk hierbij aan:

• Basisgegevens: Naam, adres, telefoonnummer, e-mailadres, geboortedatum, burgerservicenummer (BSN).
• Financiële gegevens: Bankrekeningnummer, creditcardgegevens, salarisinformatie.
• Online activiteit: IP-adressen (in combinatie met andere gegevens), cookies, browsegeschiedenis, zoekopdrachten. Let op: een IP-adres op zich is vaak niet direct identificeerbaar, maar in combinatie met andere gegevens wel.
• Biometrische gegevens: vingerafdrukken, gezichtsherkenning, DNA-gegevens.
• Gezondheidsgegevens: medische dossiers, genetische informatie.
• Locatiegegevens: GPS-gegevens, locatiegegevens van mobiele apparaten.
• Religieuze overtuigingen, politieke opvattingen, seksuele geaardheid: Deze vallen onder bijzondere categorieën persoonsgegevens en vereisen extra bescherming.

Indirect identificeerbare gegevens: Dit zijn gegevens die op zichzelf geen directe identificatie mogelijk maken, maar in combinatie met andere informatie wel. Voorbeelden:

• Pseudonieme gegevens: gegevens waarbij de identificatie van de betrokkene niet direct mogelijk is, maar wel kan worden herleid met behulp van aanvullende informatie (bijvoorbeeld een gebruikersnaam gekoppeld aan een profiel).
• Anoniem gemaakte gegevens: gegevens die zodanig bewerkt zijn dat de identiteit van de betrokkene niet meer kan worden vastgesteld, vallen in principe niet onder de GDPR. Echter, de vraag of data daadwerkelijk geanonimiseerd is, is complex en vereist vaak een grondige analyse. Re-identificatie is vaak mogelijk.
• Een combinatie van gegevens die op zichzelf onschuldig lijken: Bijvoorbeeld, een geboortedatum in combinatie met een postcode en geslacht kan al voldoende zijn om iemand te identificeren.

Wat is geen persoonsgegevens volgens de GDPR?

Gegevens over een overleden persoon vallen in principe niet onder de GDPR, tenzij er een specifieke wettelijke uitzondering geldt. Ook gegevens over bedrijven of organisaties zijn geen persoonsgegevens.

Conclusie:

De definitie van persoonsgegevens in de GDPR is ruim. Het is van cruciaal belang voor organisaties om zich bewust te zijn van de reikwijdte van deze definitie en de bijbehorende verplichtingen. Twijfelt u of bepaalde data onder de GDPR valt? Neem dan contact op met een expert op het gebied van privacy en gegevensbescherming. De consequenties van een overtreding kunnen immers aanzienlijk zijn.