Anoniem of toch niet? De juridische kleine letters

Op het eerste gezicht klinkt het simpel: gegevens zijn anoniem als niemand kan worden geïdentificeerd, en is de Algemene Verordening Gegevensbescherming ("AVG") niet van toepassing. Maar in de praktijk ligt de grens tussen persoonsgegevens en anonieme gegevens minder scherp dan je denkt. In deze blog leg ik aan de hand van de recente richtsnoeren van de European Data Protection Board ("EDPB") over anonimisering uit wat er nodig is voordat gegevens buiten de AVG vallen.

Reikwijdte van de AVG

Het beschermen van privacy is een van de belangrijkste doelstellingen van de AVG. Daarom geldt de AVG wanneer persoonsgegevens worden verwerkt. De AVG bevat regels en verplichtingen om de persoonsgegevens en rechten en vrijheden van individuen te beschermen.

Als gegevens niet als persoonsgegevens worden beschouwd, vallen ze buiten het toepassingsgebied van de AVG. Een organisatie hoeft dan niet te voldoen aan de verplichtingen die hieruit volgen. Dit geeft een organisatie meer ruimte om de gegevens te gebruiken, te delen of voor andere doeleinden in te zetten. Maar dit geldt alleen zolang de anonimisering effectief is.

Gegevens zijn anoniem als ze geen betrekking hebben op een persoon of als die persoon niet kan worden geïdentificeerd. Hieronder lees je wat wel en wat niet onder de definitie van persoonsgegevens valt.

Relevant perspectief

Volgens de AVG zijn persoonsgegevens "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon". Een recente uitspraak van het Hof van Justitie van de Europese Unie ("HvJ-EU") laat zien dat het antwoord op de vraag of gegevens persoonsgegevens zijn, ook afhangt van het perspectief van de betrokken partijen.[^3]

Voordat je beoordeelt of gegevens effectief zijn geanonimiseerd, moet je dus eerst bepalen: voor wie moeten deze gegevens anoniem zijn? Hiervoor kijk je naar alle partijen die toegang tot de gegevens hebben, deze ontvangen of hierover controle kunnen uitoefenen.

Volgens de EDPB gaat het dan om elke partij die de gegevens direct of indirect kan ontvangen. Denk aan de verwerkingsverantwoordelijke, maar ook iemands partner, vrienden of collega's, onderzoeksjournalisten, (buitenlandse) inlichtingendiensten of cybercriminelen.

De EDPB noemt ook het belang van de verhouding tussen de betrokken partijen. Verwerkt de ene partij gegevens namens een andere partij (met andere woorden: is er sprake van een verwerkingsverantwoordelijke-verwerker-relatie onder de AVG)? Dan beoordeel je of gegevens anoniem zijn vanuit het perspectief van de verwerkingsverantwoordelijke.

De juridische beoordeling: "betrekking hebben op" en "geïdentificeerd of identificeerbaar"

Informatie heeft betrekking op een persoon wanneer deze door haar inhoud, doel of gevolg met die persoon verband houdt. Maar om van persoonsgegevens te spreken, moet die persoon ook geïdentificeerd of identificeerbaar zijn. Dit beoordeel je aan de hand van middelen die redelijkerwijs waarschijnlijk gebruikt zullen worden door die partij. De EDPB werkt deze twee vereisten uit in haar richtsnoeren. Hieronder lees je hoe.

Betrekking hebben op een individu

Informatie kan op drie verschillende manieren verband houden met iemand:

• Door de inhoud: de informatie beschrijft een of meer kenmerken, activiteiten of gedragingen van die persoon. Bijvoorbeeld: een personeelsdossier zegt iets over iemands kenmerken en activiteiten, denk aan functietitel, salaris of functioneringsgesprekken.

• Door het doel: de informatie wordt gebruikt, of zal waarschijnlijk gebruikt worden, om iemand te beoordelen, te benaderen of te beïnvloeden. Dat geldt zowel wanneer de informatie rechtstreeks over die persoon gaat, als wanneer het gaat om iets of iemand anders die met die persoon te maken heeft. Bijvoorbeeld: gegevens over een woning zeggen op zichzelf nog niets over de eigenaar. Maar zodra je die gegevens gebruikt om de belastingplicht van die eigenaar vast te stellen, gaan ze wél over een individu en zijn dit persoonsgegevens.

• Door het gevolg: de informatie heeft in de eerste plaats betrekking op een object, organisatie of andere persoon, maar de verwerking ervan heeft gevolgen voor de rechten van een persoon, die hierdoor anders kan worden behandeld. Bijvoorbeeld: locatiegegevens van taxi's worden vooral verzameld om rijroutes te optimaliseren en gaan in eerste instantie niet "over" de chauffeurs. Diezelfde gegevens kunnen ook laten zien hoe snel een chauffeur tussen ritten door beweegt, hoe lang zijn pauzes duren en hoe efficiënt hij werkt. Dit kan gevolgen hebben voor de functioneringsbeoordeling van de chauffeur.

Geïdentificeerd of identificeerbaar?

Iemand identificeren betekent dat je een specifiek persoon binnen een bepaalde context kunt onderscheiden van anderen. Hierdoor is het mogelijk om diegene anders te behandelen. Identificatie kan direct zijn, op basis van de informatie zelf. Of indirect, door bijvoorbeeld meer informatie te verzamelen of een decryptietechniek toe te passen.

Meestal gebeurt identificatie aan de hand van een identificator die uniek is binnen een bepaalde context, of door een combinatie van kenmerken die samen naar één specifieke persoon wijzen. Welke informatie je hiervoor gebruikt, beoordeel je aan de hand van de middelen die de partij die iemand wil identificeren, waarschijnlijk zal inzetten.

De EDPB definieert "middelen" bewust ruim. Dit gaat van simpelweg een document lezen, tot het inzetten van complexe algoritmes of AI-gedreven analyses. Ook gaat het verder dan je eigen middelen: heb je toegang tot middelen via een andere partij (bijvoorbeeld door een derde in te huren)? Dan telt dat ook mee.

Hierbij is de belangrijkste vraag of die specifieke partij redelijkerwijs deze middelen zal gebruiken. Deze beoordeling maak je aan de hand van alle objectieve factoren. Dit zijn onder meer de aard van de gegevens, of er aanvullende informatie beschikbaar is, hoeveel tijd en geld het kost, de beschikbare technologie, en de context waarin de gegevens worden gedeeld of verwerkt. Middelen die wettelijk verboden zijn hoeven in beginsel niet meegewogen te worden. De EDPB noemt hierop twee uitzonderingen: als de betrokken partij niet aan dat verbod gebonden is, of als er voldoende bewijs is dat het verbod in de praktijk gewoon niet wordt nageleefd. Een contractuele afspraak telt trouwens niet als wettelijk verbod.

Door de snelle technologische ontwikkelingen kunnen gegevens die je nu als anoniem beschouwt, op termijn alsnog als persoonsgegevens gelden. Het is dus zaak om regelmatig te checken hoe effectief je anonimisering nog is, en hoe groot de kans op heridentificatie inmiddels is geworden.

Pseudonimisering versus anonimisering

Vaak worden anonimisering en pseudonimisering door elkaar gehaald. Daarom is het belangrijk om het onderscheid tussen deze twee begrippen duidelijk te maken.

Met pseudonimisering verwerk je persoonsgegevens op zo'n manier dat ze niet meer aan iemand gekoppeld kunnen worden zonder aanvullende informatie. Die aanvullende informatie bewaar je apart.[^4] Hierdoor is het mogelijk om de gegevens alsnog naar een persoon te herleiden.

Gepseudonimiseerde gegevens zijn dus persoonsgegevens: ze zeggen nog steeds iets over iemand, en die persoon is identificeerbaar. Dat betekent dat de AVG gewoon van toepassing blijft. Dat is niet zo bij anonimisering. Gegevens zijn pas anoniem als je, ook met aanvullende informatie, een individu niet meer kunt identificeren.

Pseudonimisering kun je daarom zien als een beveiligingsmaatregel. Het maakt het lastiger om iemand te identificeren, bijvoorbeeld door een naam te vervangen door een unieke code. Anonimisering gaat een stap verder: dan val je buiten de verplichtingen van de AVG.

De EDPB publiceerde vorig jaar ook richtsnoeren over pseudonimisering. Deze zijn nog in concept, maar de consultatieperiode is inmiddels wel gesloten.

Tot slot

Deze nieuwe richtsnoeren van de EDPB zijn extra interessant met het oog op de Digital Omnibus van de Europese Commissie. Zoals besproken in een van onze recente blogs, stelt de Digital Omnibus voor om de definitie van persoonsgegevens te wijzigen: of informatie een persoonsgegeven is, hangt dan af van de specifieke betrokken partij. De EDPB heeft haar zorgen geuit over de voorgestelde wijziging en adviseert om dit niet door te voeren.

De richtsnoeren van de EDPB maken duidelijk hoe zij zelf naar de definitie van persoonsgegevens kijkt. Zo benoemt zij met welke specifieke partijen rekening moet worden gehouden bij de beoordeling of informatie een persoonsgegeven is. Ook benadrukken de richtsnoeren, zoals ik eerder noemde, dat als gegevens worden gedeeld met een verwerker, je beoordeelt vanuit het perspectief van de verwerkingsverantwoordelijke, en niet vanuit de verwerker zelf.

Hier zit het verschil met het voorstel van de Commissie. Die schrijft namelijk dat informatie over een natuurlijke persoon niet automatisch persoonsgegevens wordt voor een andere partij, enkel omdat die partij in staat is om diegene te identificeren. De Commissie besteedt geen aandacht aan de relatie tussen een verwerkingsverantwoordelijke en verwerker. Ook houdt de Commissie alleen rekening met één perspectief bij de beoordeling of gegevens persoonsgegevens zijn, en de EDPB met meer.

Considerati is benieuwd hoe de richtsnoeren van de EDPB de voorgestelde definitie in de Digital Omnibus zullen beïnvloeden. We houden dit voor je in de gaten en houden je op de hoogte met updates en praktisch advies. Heb je vragen over anonimisering van persoonsgegevens? Neem gerust contact met ons op.

De richtsnoeren van de EDPB zijn nog in concept. De consultatieperiode loopt tot 30 oktober. Feedback kan hier worden ingediend.

[^3]: Zie de betreffende uitspraak van het HvJ-EU. [^4]: Deze aanvullende informatie wordt apart bewaard.