Persoonsgegevens herkennen: wat valt er wél en niet onder?

De AVG geldt zodra je persoonsgegevens verwerkt. Maar wat valt daar precies onder? Veel mensen denken alleen aan naam en adres. In werkelijkheid is het begrip veel breder: elk gegeven dat te herleiden is tot een persoon telt mee. Wie dat goed herkent, weet wanneer de privacyregels in beeld komen.

De definitie: herleidbaar tot een persoon

Een persoonsgegeven is elke informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. "Identificeerbaar" is breed: ook als je iemand pas met extra informatie kunt herleiden, telt het mee.

Het gaat dus niet alleen om directe gegevens zoals naam, maar ook om indirecte: een combinatie van geboortedatum, postcode en geslacht kan iemand uniek maken, ook zonder naam.

Voorbeelden die mensen vaak vergeten

Naast naam, adres en e-mail vallen ook deze gegevens eronder:

IP-adres en cookie-ID: herleidbaar tot een apparaat en daarmee vaak tot een persoon.
Kenteken: gekoppeld aan een eigenaar.
Foto's en video: waarop iemand herkenbaar is.
Locatiegegevens: waar iemand was en wanneer.
Burgerservicenummer en personeelsnummer: unieke identificatoren.
Stem en handschrift: kunnen tot een persoon leiden.

Bijzondere en strafrechtelijke gegevens

Sommige persoonsgegevens zijn extra gevoelig: gezondheid, ras of etnische afkomst, religie, politieke voorkeur, vakbondslidmaatschap, seksuele geaardheid en biometrie. Daarvoor gelden strengere regels.

Ook gegevens over strafbare feiten en het burgerservicenummer kennen aanvullende bescherming. Kom je deze tegen, behandel ze dan met extra zorg en deel ze alleen via goedgekeurde kanalen.

Zo verwerk je dit in je awarenessprogramma

Herkenning is de basisvaardigheid; richt je programma op de vraag 'wanneer gaat de AVG aan?'.

Laat medewerkers in korte oefeningen voorbeelden classificeren: wel of geen persoonsgegeven.
Gebruik voorbeelden uit het eigen werk, zoals een Excel met e-mailadressen, een foto of een IP-log.
Herhaal in microlearning, want herkenning slijt zonder oefening.
Bied verdieping per doelgroep via onze cursuscatalogus.

FAQ

Is een zakelijk e-mailadres een persoonsgegeven?

Meestal wel. Een adres als voornaam.achternaam@bedrijf.nl is herleidbaar tot een persoon en valt daarmee onder de AVG. Een algemeen adres als info@bedrijf.nl is dat doorgaans niet.

Is een IP-adres een persoonsgegeven?

Ja, in de regel wel. Een IP-adres is herleidbaar tot een apparaat en daarmee vaak tot een persoon, zeker in combinatie met andere gegevens. De AVG behandelt het daarom als persoonsgegeven.

Vallen gegevens van overleden personen onder de AVG?

Nee, de AVG geldt alleen voor levende personen. Let wel op: nationale regels of beroepsgeheim kunnen alsnog bescherming bieden, en gegevens van overledenen kunnen tegelijk gegevens van levenden bevatten.

Zijn geanonimiseerde gegevens nog persoonsgegevens?

Echt geanonimiseerde gegevens, die niet meer tot een persoon te herleiden zijn, vallen niet onder de AVG. Gepseudonimiseerde gegevens wél, want die zijn met extra informatie nog herleidbaar.

Telt een combinatie van losse gegevens mee?

Ja. Losse gegevens kunnen onschuldig lijken, maar een combinatie zoals geboortedatum, postcode en geslacht kan iemand uniek identificeren. Dan gelden de privacyregels onverkort.