Wat zijn persoonsgegevens?

Juridisch Nieuws

26 sep '23

Auteur(s): Lars Boer

Als je gaat ondernemen krijg je met ontzettend veel dingen te maken waarmee je als individu niet, niet zo snel, of niet op dezelfde manier te maken krijgt. Een van die dingen is de Algemene verordening gegevensbescherming (AVG). Waar je als individu over het algemeen kunt profiteren van de zogenaamde huishoudelijke exceptie (als je al persoonsgegevens verwerkt, verwerk je die voor niet-zakelijke doeleinden) waardoor de AVG niet van toepassing is, zal de AVG al snel van toepassing zijn op de verwerkingsactiviteiten die je als ondernemer uitvoert. Om die reden is het van groot belang als (startende) ondernemer goed duidelijk te hebben welke persoonsgegevens je verwerkt, zodat je ervoor kunt zorgen dat je die persoonsgegevens verwerkt op een manier die door de AVG is toegestaan.

Daarnaast kleeft er nóg een groot voordeel aan het helder hebben van welke persoonsgegevens je verwerkt. In de praktijk zien wij namelijk vaak dat van bepaalde gegevens wordt aangenomen dat het persoonsgegevens zijn, terwijl dat helemaal niet het geval is. Die gegevens mogen dan eigenlijk veel vrijer, bijvoorbeeld voor meer doeleinden, gebruikt worden dan gedacht. Om die gegevens volledig te kunnen benutten, is het erg belangrijk om goed te onderscheiden welke gegevens wél en welke gegevens níét kwalificeren als persoonsgegevens. In het vervolg van dit blog zal worden ingegaan op de vraag welke gegevens kwalificeren als persoonsgegevens en worden handvaten gegeven om dit begrip in de praktijk toe te passen.

Wat zijn persoonsgegevens volgens de AVG?

De AVG geeft in artikel 4 een definitie van het begrip “persoonsgegevens”. Volgens de AVG is een persoonsgegeven “alle informatie over een geïdentificeerde of identificeerbare natuurlijk persoon”. Uit deze definitie volgen twee voorwaarden waaraan informatie moet voldoen om te kwalificeren als persoonsgegeven, namelijk:

De informatie moet betrekking hebben op een natuurlijke persoon; en
Die natuurlijke persoon moet geïdentificeerd of identificeerbaar zijn.

Aan de eerste voorwaarde is voldaan als gegevens iets zeggen over een bepaalde natuurlijke persoon. Hierbij moet worden bedacht dat gegevens al vrij snel iets zeggen over een bepaalde natuurlijke persoon. Zo is een huisnummer een (erg concrete) indicator van de plaats waar iemand woont.

Naast dat een huisnummer iets zegt over een persoon (namelijk waar diegene woont), is het ook mogelijk om (mede) aan de hand van een huisnummer een persoon te identificeren. Met alleen een huisnummer is dit uiteraard lastig (immers, dit is niet meer dan een cijfer), maar wanneer je weet dat je een man of vrouw zoekt die in een bepaalde straat woont, maakt het huisnummer het in veel gevallen mogelijk die persoon te identificeren. Het huisnummer maakt het daardoor in vrijwel alle gevallen (potentieel) mogelijk een natuurlijke persoon te identificeren. Om die reden is een huisnummer in de regel dan ook een persoonsgegeven.

Anonimiseren en pseudonimiseren

In veel gevallen zijn persoonsgegevens alleen nuttig als je deze kunt koppelen aan degene waarvan de persoonsgegevens afkomstig zijn. Bijvoorbeeld wanneer een klant een bestelling heeft geplaatst en je het huisnummer nodig hebt om de bestelling op de juiste plek af te kunnen leveren. Bij de verwerking van het huisnummer moet dus rekening worden gehouden met de regels die de AVG geeft.

Een van die regels is dat je de privacy van degenen waarvan de persoonsgegevens afkomstig zijn moet beschermen. Een manier om dit te doen is het pseudonimiseren van de gegevens. Gepseudonimiseerde gegevens zij nog wel te herleiden naar een persoon, maar dit is wel lastiger gemaakt. Zo kun je bijvoorbeeld in plaats van de naam van de klant, de bestelling een bepaalde code geven. Het huisnummer wordt dan aan een code gekoppeld in plaats van aan een persoon, waardoor de gegevens minder bruikbaar zijn voor kwaadwillende derden.

Daarnaast kun je de persoonsgegevens anonimiseren. Wanneer je persoonsgegevens anonimiseert, zorg je ervoor dat deze niet meer tot een persoon herleidbaar zijn. Geanonimiseerde gegevens zijn derhalve geen persoonsgegevens meer en de AVG is dan ook niet meer van toepassing op de verwerking van deze gegevens. Dit is bijvoorbeeld mogelijk wanneer je bijvoorbeeld een onderzoek zou willen doen naar de huisnummers van jouw klanten, om in kaart te brengen op welke huisnummers jouw klanten wonen. Je kunt dan enkel en alleen de huisnummers noteren, waardoor je slechts de cijfers overhoudt. Deze zijn dan niet meer herleidbaar tot natuurlijke personen, maar geven wel inzicht in op welke huisnummers jouw klanten wonen.

Dit is wellicht een flauw voorbeeld van de mogelijkheid om te anonimiseren omdat dit onderzoek waarschijnlijk geen nuttige inzichten zal geven. Echter, voor de resultaten van veel onderzoeken geldt dat door input volledig los te koppelen van personen, anonieme gegevens kunnen worden gecreëerd. Als dit is gedaan, is geen sprake meer van persoonsgegevens waardoor de AVG geen toepassing meer vindt. De gegevens zijn daardoor veel breder bruikbaar geworden.

Wat kunnen wij voor jou doen?

Als full-service advocatenkantoor beschikken wij onder meer over expertise inzake het adviseren over de verwerking van persoonsgegevens. Wij wijzen er graag op dat, ook onder de AVG, nog altijd veel ruimte bestaat om gegevens op een nuttige manier te gebruiken. Daarbij is wel van belang dat je er voor zorgt dat je je aan de AVG houdt.

Ben jij benieuwd welke data jij wel of niet mag gebruiken, of wil je weten of jouw huidige verwerkingsactiviteiten voldoen aan de eisen die de AVG daaraan stelt? Neem dan contact op met Lars Boer via l.boer@ploum.nl.

Contact