Wanneer kwalificeren geanonimiseerde en gepseudonimiseerde gegevens als persoonsgegevens?

De Algemene Verordening Persoonsgegevens (EU) 2016/679, (AVG) kent als centraal aangrijpingspunt het begrip ‘persoonsgegeven’. Als het geen persoonsgegevens betreft is de AVG niet van toepassing.

Wat zijn persoonsgegevens?

Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

Wat nu als de identificator ontbreekt?

Dan is de AVG niet meer van toepassing. Hoe kan een identificator ontbreken?

Bijvoorbeeld door „pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;

Het EU Hof heeft in de uitspraak EDPS/GAR (T‑557/20) op 26 april 2023 hierover een uitspraak gedaan. Voor de volledigheid zij opgemerkt dat het gaat om Verordening (EU) 2018/1725, de “AVG van de EU’. De definities van persoonsgegevens en pseudonimisering zijn gelijkluidend aan de AVG.

Wat is er van belang?

Van belang is dat door de verwerkingsverantwoordelijke gepseudonimiseerde gegevens waren verstrekt aan een verwerker. De verwerker kon deze gegevens niet koppelen aan een natuurlijke persoon. De Europese Data Protection Supervisor was van mening dat GAR de gepseudonimiseerde gegevens wel te identificeren waren, want de GAR kon dat wel, ook al kon de verwerker dat niet.

De EDPS stond op het standpunt dat nu de gegevens aan de kan van de verwerkingsverantwoordelijke konden worden herleid tot natuurlijke personen, niet meer behoefde te worden onderzocht of aan de kant van de verwerker dat eveneens het geval was.

Het EU Hof heeft echter geoordeeld dat voor het vaststellen of er sprake is van persoonsgegevens, eveneens moet worden gekeken of de verwerker de gegevens kon herleiden tot natuurlijke personen.

Waar moet wel rekening mee worden gehouden?

Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs te verwachten valt dat zij door de verwerkingsverantwoordelijke of door een andere persoon zullen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren, zoals selectietechnieken. Om uit te maken of redelijkerwijs te verwachten valt dat middelen zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd die nodig zijn voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen.

Het Hof heeft erop gewezen dat dit niet het geval zou zijn geweest als de identificatie van de betrokkene bij de wet verboden of in de praktijk ondoenlijk was geweest, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning zou hebben gevergd, zodat het gevaar voor identificatie in werkelijkheid onbeduidend had geleken (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 46).

Met andere woorden

Als persoonsgegevens daadwerkelijk zijn gepseudonimiseerd en de verwerker die de persoonsgegevens ontving, de identiteit van de betrokkene niet meer kan achterhalen, houden zij op persoonsgegevens te zijn voor die verwerking.

Heeft u vragen naar aanleiding van dit artikel of binnen het privacy recht? Onze gespecialiseerde advocaten staan u graag te woord. Neem contact met ons op via de mail, telefoon of het contactformulier voor een vertrouwelijk en vrijblijvend eerste gesprek.