Anonimiseren
Anonimiseren bewerkt gegevens zo dat niemand de persoon nog redelijkerwijs kan identificeren, ook niet met extra informatie. Volgens overweging 26 van de AVG geldt de verordening niet voor zulke anonieme gegevens.
Volledige anonimiteit is moeilijker dan ze lijkt. Een functie, een datum of een zeldzaam feit kan iemand herkenbaar maken, ook als zijn naam weg is.
Pseudonimiseren
Artikel 4, punt 5 AVG omschrijft pseudonimiseren als het verwerken van persoonsgegevens zodat ze niet meer aan een specifieke persoon te koppelen zijn zonder aanvullende gegevens. Die aanvullende gegevens, zoals een omkeersleutel, moeten apart bewaard en beschermd worden.
Gepseudonimiseerde gegevens blijven persoonsgegevens voor wie ze kan herleiden. Toch is pseudonimiseren nuttig: de AVG noemt het uitdrukkelijk als maatregel voor gegevensbescherming door ontwerp (artikel 25) en voor beveiliging (artikel 32).
Het verschil in één tabel
| Vraag | Anonimiseren | Pseudonimiseren |
|---|---|---|
| Terug te koppelen? | Nee | Ja, met de omkeersleutel |
| Geldt de AVG? | Nee, als niemand de persoon redelijkerwijs kan identificeren | Ja, voor wie kan herleiden |
| Geschikt voor | Publiceren, opleidingsmateriaal, statistiek | AI-gebruik met namen terug, dossiers delen met een externe partij |
Wat het Hof van Justitie in 2025 besliste
In het arrest EDPS tegen SRB (C-413/23 P) van 4 september 2025 oordeelde het Hof van Justitie dat gepseudonimiseerde gegevens niet in alle gevallen en voor iedereen persoonsgegevens zijn. Voor een ontvanger die de personen redelijkerwijs niet kan identificeren, kunnen ze dat niet zijn.
Wie de sleutel heeft, blijft wel gebonden aan de AVG, ook voor de informatieplicht bij het verzamelen. Voor jou als advocaat of organisatie met de omkeersleutel blijven gepseudonimiseerde stukken dus persoonsgegevens.
Wat de Europese toezichthouders aanbevelen
Het Europees Comité voor gegevensbescherming (EDPB) nam op 16 januari 2025 ontwerprichtsnoeren 01/2025 over pseudonimisering aan. Ze bevestigen dat gepseudonimiseerde gegevens persoonsgegevens blijven en vragen om de aanvullende gegevens gescheiden te bewaren. Leg ook vast wie mag herleiden en waar de gepseudonimiseerde gegevens naartoe mogen.
Welke aanpak kies je?
- Pseudonimiseer als je het resultaat later terug wilt koppelen aan de echte personen, zoals bij het gebruik van AI.
- Anonimiseer als je publiceert of de gegevens definitief uit handen geeft.
- Twijfel je, dan is anonimiseren het veiligst. Je kunt dan wel niet meer terug.
In anonimize kies je per verwerking. Bij pseudonimiseren krijgt dezelfde persoon binnen een project overal hetzelfde pseudoniem, en bewaar je de omkeersleutel apart.
Probeer het met je eigen documenten
Na bevestiging van je e-mailadres krijg je 1.000 gratis credits, eenmalig per organisatie. Herkenning zonder AI, verwerkt en versleuteld bewaard in de EU.
Bronnen
- EUR-Lex: Algemene verordening gegevensbescherming (AVG), artikel 4, 25, 32 en overweging 26
- LegalNews: wanneer zijn gepseudonimiseerde gegevens nog persoonsgegevens? (arrest C-413/23 P)
- Hunton: EDPB-richtsnoeren 01/2025 over pseudonimisering
Dit artikel is algemene informatie en geen juridisch advies.