Welke gegevens vallen onder AVG?

Wat valt er onder persoonsgegevens volgens de AVG? Een heldere uitleg

De Algemene Verordening Gegevensbescherming (AVG) beschermt persoonsgegevens. Maar wat zijn persoonsgegevens precies? De definitie is breder dan je misschien denkt en omvat veel meer dan alleen de voor de hand liggende informatie. De AVG definieert persoonsgegevens als alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon ('betrokkene'). Dit betekent dat het gaat om gegevens die, direct of indirect, naar een individu verwijzen.

Directe identificatie: Dit is de meest voor de hand liggende categorie. Denk aan:

• Naam: Voor- en achternaam, roepnaam.
• Adresgegevens: Straatnaam, huisnummer, postcode, woonplaats, land.
• Contactgegevens: Telefoonnummer (vast en mobiel), e-mailadres.
• Geboortedatum en -plaats: Deze gegevens, vaak in combinatie met andere, leiden tot directe identificatie.
• Burgerlijke staat: Gehuwd, gescheiden, weduwe/weduwnaar etc.
• Rijbewijsnummer, paspoortnummer, burgerservicenummer (BSN): Unieke identificatiegegevens.
• Biometrische gegevens: Vingerafdrukken, gezichtsherkenning, DNA-profiel.
• Medische gegevens: Diagnoses, behandelingen, medische geschiedenis.
• Financiële gegevens: Bankrekeningnummer, salarisgegevens.

Indirecte identificatie: Hier wordt het complexer. Gegevens die op zichzelf niet direct identificeerbaar zijn, kunnen in combinatie met andere gegevens wel leiden tot de identificatie van een persoon. Voorbeelden hiervan zijn:

• IP-adres: Hoewel het lijkt op een anoniem nummer, kan het in combinatie met andere logs worden gebruikt om een individu te traceren.
• Locatiegegevens (GPS): Nauwkeurige locatiegegevens kunnen, gecombineerd met andere informatie, een persoon identificeren.
• Cookie-ID's: Deze unieke identificatoren worden gebruikt om gebruikersgedrag op websites te volgen en kunnen, samen met andere gegevens, leiden tot identificatie.
• Online identificatoren: Gebruikersnamen, online alias, forumnamen etc., vooral in combinatie met andere informatie.
• Foto's en video's: Zelfs foto's zonder expliciete identificatie kunnen, afhankelijk van de context en andere beschikbare gegevens, iemand identificeren.
• Online gedrag: Surfgedrag, aankopen, zoekopdrachten etc. kunnen, in combinatie met andere gegevens, een profiel schetsen dat tot identificatie leidt.

Wat valt niet onder persoonsgegevens?

Gegevens die anoniem zijn gemaakt, zodat ze niet meer naar een individu te herleiden zijn, vallen niet onder de AVG. Dit vereist echter een grondige anonimisering, waarbij alle mogelijkheden tot herleiding volledig uitgesloten moeten zijn. Pseudonimisering, waarbij de gegevens wel gekoppeld kunnen worden aan een individu maar alleen met een unieke identificatiecode in plaats van de directe persoonsgegevens, valt wel onder de AVG.

Conclusie:

De AVG heeft een brede definitie van persoonsgegevens. Het is essentieel om bewust te zijn van welke informatie onder deze definitie valt en de wettelijke vereisten na te leven bij de verwerking van deze gegevens. Bij twijfel is het altijd raadzaam om deskundig advies in te winnen.