Wat zijn persoonsgegevens? Uitleg met voorbeelden
Bijna alles wat met privacy te maken heeft, begint met één vraag: gaat het om persoonsgegevens? Alleen dan geldt de AVG. Het begrip is breder dan veel mensen denken. In dit artikel leest u wat de wet zegt, wat het verschil is tussen direct en indirect herleidbare gegevens en welke gegevens extra bescherming krijgen.
De definitie in de AVG
Volgens artikel 4, punt 1 AVG zijn persoonsgegevens alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Iemand is identificeerbaar als hij direct of indirect kan worden herkend, bijvoorbeeld aan de hand van een naam, een identificatienummer, locatiegegevens, een online identificator of kenmerken van zijn fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit.
Drie dingen vallen op:
- Het gaat om natuurlijke personen: levende mensen. Gegevens van een bv als rechtspersoon vallen er niet onder, maar de naam en het e-mailadres van een medewerker wel.
- "Alle informatie" is ruim: ook meningen, beoordelingen en foto's kunnen persoonsgegevens zijn.
- Ook indirect herleidbare informatie telt mee.
Direct en indirect herleidbaar
Direct herleidbaar zijn gegevens die op zichzelf al naar één persoon wijzen, zoals een naam met adres, een BSN of een pasfoto. Indirect herleidbaar zijn gegevens die pas in combinatie met andere informatie iemand aanwijzen. Denk aan een kenteken, een klantnummer, een IP-adres of een omschrijving als "de enige tandarts in het dorp". Volgens overweging 26 AVG kijkt u daarbij naar alle middelen waarvan redelijkerwijs valt te verwachten dat ze worden gebruikt om iemand te identificeren.
Voorbeelden van persoonsgegevens
- naam, adres, woonplaats, telefoonnummer en e-mailadres;
- geboortedatum, BSN, paspoortnummer en kopie van een identiteitsbewijs;
- IBAN, klantnummer, polisnummer en factuurgegevens met een naam;
- kenteken, IP-adres, cookie-ID en locatiegegevens;
- foto's en camerabeelden waarop iemand herkenbaar is;
- een beoordeling, een verzuimregistratie of een klachtdossier over een persoon.
Bijzondere persoonsgegevens
Sommige gegevens zijn zo gevoelig dat de AVG het verwerken ervan in beginsel verbiedt (artikel 9 AVG). Het gaat om gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische en biometrische gegevens (voor identificatie), gezondheid en seksueel gedrag of seksuele gerichtheid. Er zijn uitzonderingen, bijvoorbeeld uitdrukkelijke toestemming of een wettelijke plicht, maar de lat ligt hoog.
Strafrechtelijke gegevens hebben een eigen regeling in artikel 10 AVG. En voor het BSN gelden in Nederland extra regels; lees daarover BSN zwartlakken: wanneer en hoe.
Wanneer is iets géén persoonsgegeven?
Gegevens over overleden personen, over bedrijven als zodanig en echt anonieme gegevens vallen buiten de AVG. Let op: "anoniem" betekent dat niemand de persoon redelijkerwijs nog kan herkennen. Namen vervangen door labels is meestal pseudonimiseren, en dan blijft de AVG gelden. Het verschil leest u in Pseudonimiseren of anonimiseren.
In de praktijk: wilt u een brief of document delen met een collega, adviseur of AI-assistent? Haal dan eerst de persoonsgegevens eruit die de ontvanger niet nodig heeft. VerumVault vervangt namen, BSN, IBAN, adressen en telefoonnummers lokaal in uw browser door labels.
Lees ook: Document anonimiseren in 3 stappen en AVG voor mkb en zzp.
Anonimiseer uw document gratis met VerumVault →Werkt lokaal in uw browser · geen upload · geen accountVeelgestelde vragen
Is een e-mailadres een persoonsgegeven?
Ja, als het naar een persoon te herleiden is, zoals [email protected]. Een algemeen adres als [email protected] is dat meestal niet, tenzij er maar één persoon achter zit.
Is een IP-adres een persoonsgegeven?
Vaak wel. Een IP-adres kan, in combinatie met gegevens van de internetprovider, naar een persoon leiden. Het Hof van Justitie van de EU heeft dat ook voor dynamische IP-adressen aangenomen, onder voorwaarden.
Zijn bedrijfsgegevens persoonsgegevens?
Gegevens over een rechtspersoon, zoals de bv zelf, niet. Gegevens over een eenmanszaak of zzp'er en contactgegevens van medewerkers vaak wel, omdat ze naar een persoon leiden.
Wat zijn bijzondere persoonsgegevens?
Gegevens over onder meer gezondheid, religie, etnische afkomst, politieke opvattingen, vakbondslidmaatschap, seksuele gerichtheid en genetische of biometrische gegevens. De verwerking ervan is in beginsel verboden (artikel 9 AVG).