Wanneer zijn gegevens écht anoniem?

23-09-2025 Het onderscheid tussen pseudonimisering en anonimisering lijkt op het eerste gezicht klein: beide technieken beïnvloeden de herleidbaarheid van (persoons)gegevens. Toch heeft dit onderscheid grote juridische gevolgen. Geanonimiseerde data vallen buiten de reikwijdte van de AVG, terwijl pseudonieme data daar juist vaak nog onder vallen. Hoe verhouden deze technieken zich tot elkaar? En wat betekent dat in de praktijk voor uw organisatie?

In dit blog bespreek ik deze vragen aan de hand van een recente, invloedrijke uitspraak van het Hof van Justitie van de Europese Unie (hierna: het Hof) van 4 september 2025 in de zaak EDPS v. SRB. Deze uitspraak heeft belangrijke gevolgen voor de verantwoordelijkheden en verplichtingen van organisaties die betrokken zijn bij de verwerking van gepseudonimiseerde gegevens.

Waarom deze uitspraak ertoe doet?

Deze uitspraak is van groot belang omdat het Hof verduidelijkt dat gepseudonimiseerde gegevens niet altijd als persoonsgegevens hoeven te worden beschouwd, ten minste niet voor iedere partij. Of data als persoonsgegevens kwalificeren, hangt af van de context en de middelen waarover de ontvanger beschikt. Tot voor kort bestond er veel onduidelijkheid over deze kwestie. Sommige organisaties, waaronder verschillende toezichthouders, hanteerden namelijk de objectieve benadering, waarbij gegevens als persoonsgegevens worden beschouwd zodra er in theorie een mogelijkheid bestaat om een persoon te identificeren aan de hand van die gegevens, ongeacht of de ontvanger daadwerkelijk over de middelen beschikt om dit te doen.

Het Hof kiest echter nadrukkelijk voor een relatieve (contextuele) benadering. Tegelijkertijd benadrukt het Hof dat de oorspronkelijke verwerkingsverantwoordelijke wél gebonden blijft aan de AVG-verplichtingen, zoals de informatieplicht. De benadering van het Hof biedt verwerkingsverantwoordelijken meer ruimte bij het delen van gepseudonimiseerde gegevens, maar vraagt ook om zorgvuldige analyse van wie toegang heeft tot welke gegevens en welke maatregelen zijn getroffen om heridentificatie te voorkomen.

Wat speelde er in deze zaak?

De Single Resolution Board (SRB), een Europese instelling die verantwoordelijk is voor de afhandeling van faillissementen van banken, verzamelde feedback van aandeelhouders en crediteuren (betrokkenen) en deelde deze informatie in gepseudonimiseerde vorm met Deloitte voor analyse. De betrokkenen werden hierover niet geïnformeerd. Volgens de European Data Protection Supervisor (EDPS), de Europese toezichthouder voor gegevensbescherming, was dat een schending van de informatieplicht, omdat de gepseudonimiseerde gegevens nog steeds als persoonsgegevens golden. Deze verplichting houdt in dat de SRB als verwerkingsverantwoordelijke de betrokkene onder andere moet informeren over aan wie zijn of haar persoonsgegevens worden verstrekt.

Het Gerecht had eerder genuanceerder geoordeeld en de beslissing van de EDPS vernietigd: voor Deloitte waren de gegevens mogelijk géén persoonsgegevens, omdat zij geen toegang had tot de achterliggende database en de betrokkenen dus niet kon her-identificeren. Volgens het Gerecht moet bij de beoordeling gekeken worden vanuit het perspectief van de ontvanger van de gegevens. Ook oordeelde het Gerecht dat een standpunt alleen een persoonsgegeven is als het direct aan een persoon te koppelen is. Deze beoordeling had de EDPS volgens het Gerecht niet gemaakt. De EDPS kon zich niet vinden in deze lezing en stelde beroep in bij het Hof.

Wat zegt het Hof?

Het Hof komt tot drie belangrijke conclusies:

1. Persoonlijke meningen zijn persoonsgegevens

Het Hof oordeelt dat persoonlijke meningen of standpunten op zichzelf al persoonsgegevens kunnen zijn, omdat ze direct met de auteur verbonden zijn. Volgens het Hof vormen persoonlijke meningen of opvattingen een uitdrukking van iemands gedachten en zijn ze noodzakelijkerwijs nauw verbonden met die persoon. Het is dus niet nodig om ook het doel of gevolg van de feedback van de betrokkenen te onderzoeken.

2. Relatieve benadering bevestigd

Het Hof bevestigt, zoals hiervoor aangegeven, de relatieve benadering van persoonsgegevens: gepseudonimiseerde gegevens zijn niet automatisch persoonsgegevens voor elke partij. Het Hof geeft aan dat deze kwalificatie samenhangt met de identificeerbaarheid van de gegevens. Dit vereist volgens het Hof een contextuele beoordeling, waarbij moet worden gekeken naar de middelen waarover een partij beschikt om een persoon te identificeren. In de praktijk houdt dit in dat gepseudonimiseerde gegevens voor de ene partij als persoonsgegevens kunnen kwalificeren, terwijl dat voor een andere partij niet het geval hoeft te zijn.

Zo kwalificeert het Hof de gepseudonimiseerde gegevens voor de SRB wél als persoonsgegevens, omdat de SRB beschikt over aanvullende informatie om de betrokkene te identificeren. Voor Deloitte geldt dat volgens het Hof niet, omdat Deloitte de pseudonimisering niet ongedaan kan maken en niet over aanvullende gegevens beschikt waarmee gepseudonimiseerde gegevens aan een betrokkene gekoppeld kunnen worden.

3. De informatieplicht geldt vanaf het moment van gegevensverzameling

Tot slot oordeelt het Hof dat de informatieplicht geldt op het moment van gegevensverzameling en vanuit het perspectief van de verzamelende partij.  In dit geval had SRB dus bij verzameling moeten melden dat Deloitte de gepseudonimiseerde gegevens zou ontvangen, ongeacht of Deloitte de personen kon identificeren.

Wat betekent dit voor uw organisatie?

De uitspraak benadrukt dat organisaties bij het moment van het verzamelen van persoonsgegevens altijd helder moeten zijn over welke partijen toegang krijgen tot deze gegevens, ook wanneer deze gepseudonimiseerd worden gedeeld. Of data als persoonsgegevens worden beschouwd, hangt af van de ontvanger en diens mogelijkheden om de gegevens te herleiden tot een natuurlijke persoon.

Daarom is het essentieel om niet alleen technische, maar ook organisatorische waarborgen in te richten die het ongedaan maken van pseudonimisering voorkomen. Zo minimaliseert u juridische risico’s en voldoet u beter aan de AVG-verplichtingen.