Anonimiseren en pseudonimiseren zijn verschillende beslissingen onder de AVG. Bij pseudonimisering kunnen gegevens met aanvullende informatie nog aan een persoon worden gekoppeld; artikel 4 lid 5 noemt daarbij de scheiding van die aanvullende informatie en passende technische en organisatorische maatregelen. Het blijven persoonsgegevens voor partijen die de persoon redelijkerwijs kunnen identificeren. Bij daadwerkelijke anonimisering is de betrokkene voor de relevante partij niet meer identificeerbaar met middelen die redelijkerwijs kunnen worden gebruikt. Alleen dan vallen de gegevens voor die partij buiten de AVG. Een softwareknop met het label ‘anoniem’ beslist dit niet.
Deze gids helpt een team de uitkomst voor een concrete dataset en ontvanger te beoordelen. De juridische toets staat in overweging 26 en artikel 4 AVG: kijk naar kosten, tijd, beschikbare technologie en de middelen die redelijkerwijs door de verwerkingsverantwoordelijke of een andere persoon worden ingezet. De EDPB-richtsnoeren 01/2025 over pseudonimisering stonden op de geraadpleegde pagina nog als consultatieversie; gebruik ze als uitleg van vragen, niet als een nieuwe bindende regel.
Begin met de vraag: voor wie en in welke context?
Een dataset heeft niet voor alle partijen automatisch dezelfde juridische status. De organisatie die een sleutel bewaart, kan gecodeerde records aan klanten koppelen. Een ontvanger zonder sleutel kan dat misschien niet, mits hij geen redelijke andere route heeft via contract, publieke informatie, interne kopieën of samenwerking met een derde. Omgekeerd maakt een contractuele belofte ‘wij kijken niet’ gegevens niet vanzelf anoniem als identificatie feitelijk eenvoudig is. Beschrijf daarom de afzender, ontvanger, hun informatie en de manier waarop de gegevens worden gedeeld. De beoordeling verandert als iemand later nieuwe datasets of hulpmiddelen krijgt.
Het Hof van Justitie oordeelde in Breyer, C-582/14 dat een dynamisch IP-adres voor een websiteaanbieder een persoonsgegeven kan zijn als die via wettelijke wegen redelijkerwijs aanvullende gegevens bij een internetprovider kan laten verkrijgen. Het Hof verwierp daarmee zowel ‘alleen directe naam telt’ als een onbeperkte veronderstelling dat ieder denkbaar middel telt. In EDPS tegen SRB, C-413/23 P verduidelijkte het Hof in 2025, in een zaak onder de privacyverordening voor EU-instellingen (2018/1725), dat gepseudonimiseerde gegevens niet in alle gevallen en voor iedereen persoonsgegevens hoeven te zijn; voor een ontvanger kan effectieve pseudonimisering identificatie onmogelijk maken. Die begripsuitleg is relevant bij de vergelijkbare identificeerbaarheidstoets onder de AVG, maar de zaak besliste niet dat elk gedeeld gecodeerd bestand buiten de AVG valt. Dat is geen vrijstelling voor elk bestand zonder naam. Feiten over aanvullende informatie en redelijke middelen blijven doorslaggevend.
De verstrekker moet zijn eigen verplichtingen vóór en tijdens de verstrekking beoordelen. Als hij zelf de sleutel heeft, verwerkt hij persoonsgegevens bij het maken en delen van de dataset, ook als een ontvanger na een afzonderlijke toets geen redelijke identificatiemogelijkheid heeft. Een beoordeling voor de ontvanger mag niet achteraf worden gebruikt om een onrechtmatige verwerking bij de afzender weg te redeneren. Leg de rol van iedere partij vast, inclusief contractuele toegang, support en mogelijke samenvoeging met andere bestanden. De AVG-beginselen blijven op de persoonsgegevens bij de afzender van toepassing; het doelbindingsbeginsel vraagt ook om een beoordeling van het nieuwe gebruik.
Pseudonimisering als werkbare maatregel
Vervang in een onderzoeksbestand directe namen bijvoorbeeld door willekeurige codes. Bewaar de koppeltabel bij een apart team, met beperkte rechten, versleuteling en logging. De onderzoeker kan dan over tijd resultaten van dezelfde deelnemer verbinden zonder in zijn werkomgeving direct een naam te zien. Dit is pseudonimisering wanneer herleiding met aanvullende informatie nog mogelijk is. Het vermindert risico’s, maar de organisatie heeft nog steeds een passende grondslag, informatieplicht, beveiliging en een werkwijze voor rechten van betrokkenen nodig. De rechtsgronden van artikel 6 kunnen niet door codering worden vervangen.
Beoordeel de sleutel praktisch. Een sleuteltabel in dezelfde map als de onderzoeksdata biedt weinig bescherming. Ook een kleine groep medewerkers die beide bronnen kan openen, maakt scheiding minder effectief. Kijk naar back-ups, exports, ontwikkelomgevingen en supportaccounts. Documenteer wie mag koppelen, met welk doel, hoe goedkeuring werkt en wanneer de koppeling wordt verwijderd. Pseudonimisering telt in artikel 32 mee bij passende beveiliging en kan relevant zijn in een risicobeoordeling, maar is geen garantie dat een datalek onschadelijk is. De gids over beveiligingsmaatregelen behandelt de bredere afweging.
Een organisatie kan ook pseudoniemen zonder expliciete sleutel gebruiken, bijvoorbeeld een hash van een e-mailadres. Dat bestand is niet vanzelf anoniem. E-mailadressen zijn vaak te raden en dezelfde hash kan in verschillende datasets gekoppeld worden. Een geheim sleutelelement en geschikte methode kunnen risico’s verkleinen, maar ook dan moeten doel, ontvanger en overige kenmerken worden beoordeeld. ‘Hash is niet leesbaar’ is geen juridische test. Vraag aan een technisch team om een aanval met realistische woordenlijsten en beschikbare aanvullende gegevens te simuleren voordat het de dataset vrijgeeft.
Wanneer is anonimisering een verdedigbare uitkomst?
Bij een rapport met alleen voldoende grote totalen, zonder kleine groepen of identificeerbare uitzonderingen, kan anonimiteit haalbaar zijn. Stel dat een organisatie voor een openbare publicatie gemiddelde wachttijden per regio toont. Als een regio slechts één patiënt omvat of de combinatie van leeftijd, datum en zeldzame aandoening naar één persoon wijst, kan een totaalcijfer toch identificeerbaar zijn. Voeg cellen samen, onderdruk kleine aantallen, rond waarden waar passend af en test koppeling met publiek beschikbare informatie. De vorm ‘statistiek’ is op zichzelf geen bewijs van anonimiteit.
Let op de mogelijkheid van herhaalde queries. Een dashboard dat een gebruiker steeds een iets ander filter laat kiezen, kan door het verschil tussen twee totalen informatie over één persoon onthullen. Stel grenzen aan filters, minimumgroottes en export, en controleer of gebruikers meerdere rapporten kunnen combineren. Een foto waarbij alleen de naam is verwijderd, kan nog herkenbaar zijn aan gezicht, achtergrond of context. Een gesprekstranscript kan ondanks het wissen van namen herkenbare gebeurtenissen bevatten. Beoordeel dus de volledige inhoud en de omgeving waarin publicatie plaatsvindt.
Anonimiseren is meestal een proces met verlies aan detail. Als een onderzoeker individuele deelnemers later opnieuw moet kunnen benaderen, is echte anonimisering van die werkversie niet het juiste doel. Gebruik dan pseudonimisering met passende bescherming en bewaar een afzonderlijke, eventueel later te anonimiseren publicatieversie. Wees duidelijk tegen ontvangers welke versie zij krijgen en waarvoor zij haar mogen gebruiken. Een dataset kan ook na vrijgave opnieuw beoordeeld moeten worden wanneer technologie of beschikbare achtergrondinformatie wezenlijk verandert.
Vergelijk technieken op hun faalwijze
Aggregatie vermindert het detail door groepsuitkomsten te tonen. Zij faalt bij kleine groepen, bijzondere combinaties of verschillen tussen meerdere rapporten. Generalisatie maakt bijvoorbeeld leeftijdsgroepen in plaats van exacte leeftijden, maar kan unieke combinaties van postcode en beroep laten bestaan. Onderdrukking verwijdert zeldzame records of cellen, mits de weglating zelf niet verklapt wie in de bron voorkomt. Kies een methode op basis van het voorgenomen gebruik, niet op basis van een algemene regel dat een groep van een bepaalde grootte altijd veilig is.
Hashing en tokenisatie kunnen directe identificatoren verhullen. Een token met een bewaarde koppeling is in de gebruikelijke situatie pseudonimisering; een hash van een voorspelbare invoer kan teruggevonden worden met een woordenlijst. Salt, sleutelbeheer en toegangsbeperking kunnen het risico verlagen, maar geen enkele maatregel op zichzelf bewijst dat het gehele record anoniem is. Synthetische gegevens lijken op een dataset maar kunnen trainingsvoorbeelden reproduceren; test op memorisatie en bijzondere waarden. Een methode met statistische ruis kan nuttig zijn, maar uitkomst en privacyrisico hangen af van de configuratie en de opeenstapeling van publicaties.
De keuze voor een techniek is daarom niet het einde van de beoordeling. Noteer welke aanvallen zijn getest, welke externe bronnen beschikbaar zijn, welke fouten mogelijk blijven en wie een herbeoordeling uitvoert. Bij gevoelige of omvangrijke verwerking kan een DPIA-stappenplan helpen bepalen of artikel 35 een formele gegevensbeschermingseffectbeoordeling verlangt; een DPIA is niet automatisch verplicht voor iedere pseudonimisering. Documenteer dan zowel de techniek als de resterende risico’s in de bredere verwerking.
Een besluitdocument voor één dataset
Neem een fictief bestand met medische afspraken. Een ziekenhuis bewaart de identiteit, een onderzoeksteam krijgt codes en een gemeente ontvangt een openbaar rapport per wijk. Voor elk van de drie partijen beschrijft u welke gegevens zij zien, of zij aanvullende informatie hebben, welke koppeling redelijkerwijs mogelijk is en welke maatregelen de toegang beperken. De ziekenhuis- en onderzoeksversie zijn in beginsel persoonsgegevens voor wie ze kan herleiden; de gepubliceerde wijkcijfers moeten afzonderlijk op kleine cellen en koppeling worden getest. Eén etiket voor de gehele keten verbergt de relevante verschillen.
Leg daarna vast wie de conclusie goedkeurt, welke versie van het bestand is beoordeeld en welke verandering een nieuwe toets triggert. Dat kan een nieuw extern register, een ruimere toegang voor de ontvanger of een publicatie van een aanvullende tabel zijn. Als de anonimiteit niet verdedigbaar kan worden aangetoond, behandel de vrijgave als verwerking van persoonsgegevens en onderzoek rechtsgrond, informatie, beveiliging en eventuele internationale doorgifte. Een twijfelachtige ‘anonieme’ classificatie is geen alternatief voor die analyse.
Vraag bij een leverancier die ‘automatisch anonimiseert’ om een proef met uw reële datavormen maar fictieve personen. Laat de leverancier ook mislukte gevallen tonen: zeldzame combinaties, herhaalde filters en herkenbare vrije tekst. Eis een verslag met aannames, transformatiestappen en resterende risico’s. Een score op een dashboard zonder uitleg is onvoldoende om een dataset publiek vrij te geven. De organisatie blijft verantwoordelijk voor de context waarin de output gebruikt wordt.
Rechten, incidenten en doorgifte bij pseudonieme data
Omdat pseudonieme gegevens voor een identificeerbare persoon persoonsgegevens blijven, moet de verantwoordelijke organisatie verzoeken van betrokkenen kunnen beoordelen. Ontwerp een beheerste route om de code te vinden zonder aan alle medewerkers toegang tot de sleutel te geven. Artikel 11 AVG kent nuances waar identificatie niet nodig of mogelijk is; dat artikel is geen algemene reden om rechten te weigeren bij een bestaande sleuteltabel. De gids over inzage helpt de antwoordplicht in de juiste verwerking plaatsen.
Bij een lek van een gecodeerd bestand beoordeelt de organisatie de feitelijke gevolgen, inclusief de vraag of de sleutel ook is gelekt en welke aanvullende gegevens beschikbaar zijn. Een gescheiden sleutel kan risico verminderen, maar maakt niet elk lek automatisch niet-meldplichtig. Artikel 33 lid 5 verlangt documentatie van elke inbreuk in verband met persoonsgegevens; melding aan de AP gebeurt zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennisname tenzij een risico voor personen onwaarschijnlijk is, met motivering bij latere melding. Artikel 34 stelt een afzonderlijke vraag bij hoog risico. Lees de uitleg over datalekmelding voor de route.
Pseudonimisering kan een aanvullende waarborg bij doorgifte buiten de EER zijn, maar is geen zelfstandig doorgiftemechanisme. Kijk of de ontvanger of een partij in dat land toegang tot de sleutel of andere herleidingsmiddelen heeft. Een contract dat herleiding verbiedt, kan onderdeel van een bredere beoordeling zijn maar vervangt de feitelijke bescherming niet. De beoordeling van een anonieme output kan voor een ontvanger anders zijn dan die van de persoonsgegevens die de verzender verwerkte om haar te maken.
Test de bewering bij een volgende ontvanger
Een vrijgavebesluit hoort niet alleen de eerste ontvanger te beschrijven. Stel dat een onderzoeksteam een gecodeerd bestand ontvangt en later een partner uitnodigt die een omvangrijk regionaal register bezit. De eerste beoordeling zegt weinig over de middelen van die nieuwe partij. Vraag welke gegevens de partner al heeft, welke koppelingen contractueel en feitelijk mogelijk zijn en of resultaten verder mogen worden gedeeld. Laat de beoordeling opnieuw uitvoeren vóór de nieuwe verstrekking. Een verbod op heridentificatie kan een nuttige waarborg zijn, maar vervangt deze feitelijke toets niet.
Leg bij publicatie bovendien vast welke combinaties van eerdere releases beschikbaar blijven. Een tabel met veilige groepsgroottes kan samen met een oudere tabel alsnog een klein verschil onthullen. Bewaar daarom niet alleen de definitieve export, maar ook de beschrijving van querybeperkingen, geteste achtergrondbronnen en bekende onzekerheden. Wijs een verantwoordelijke aan voor nieuwe versies en voor vragen van ontvangers. Zo wordt anonimiteit een controleerbare conclusie over een concrete verspreiding, in plaats van een permanent etiket dat elke volgende toepassing zou dekken.
Veelgestelde vragen
Is een bestand anoniem zodra de naam is weggehaald?
Nee. Andere kenmerken kunnen iemand identificeerbaar maken, afzonderlijk of samen met aanvullende informatie. Beoordeel wie het bestand ontvangt, welke redelijke middelen beschikbaar zijn en of zeldzame combinaties of externe bronnen herleiding toelaten. Het wissen van namen kan een nuttige eerste stap zijn, maar levert niet vanzelf anonimiteit op.
Zijn gepseudonimiseerde gegevens altijd persoonsgegevens voor iedereen?
Niet zonder context. Voor de partij die de sleutel heeft, blijven zij doorgaans persoonsgegevens. Het Hof van Justitie heeft in 2025 bevestigd dat effectieve pseudonimisering onder omstandigheden kan betekenen dat een ontvanger de persoon niet redelijkerwijs kan identificeren. Beoordeel de ontvanger en zijn toegankelijke middelen concreet; neem niet op basis van het ontbreken van een sleutel aan dat alle risico verdwenen is.
Maakt een hash of een groep van vijf records data anoniem?
Geen van beide regels is universeel. Een hash van een voorspelbare waarde kan te raden zijn; groepscijfers kunnen via kleine cellen of opeenvolgende rapporten naar één persoon wijzen. Test de werkelijke dataset, aanvaller en context. Vergelijk verschillende maatregelen en schrijf de resterende onzekerheid op.
Moet ik nog een AVG-grondslag hebben na pseudonimisering?
Ja, wanneer het voor de relevante verwerking nog om persoonsgegevens gaat. Pseudonimisering kan risico beperken en beveiliging verbeteren, maar vervangt geen grondslag, informatie of passend beheer van rechten. Alleen een onderbouwde conclusie dat gegevens voor de relevante partij niet meer redelijkerwijs herleidbaar zijn, kan de toepasselijkheid van de AVG voor die gegevens veranderen.
Een naamloze dataset is nog geen anonieme dataset
Gebruik pseudonimisering wanneer een gecontroleerde koppeling nodig blijft en organiseer sleutel, rechten en beveiliging. Claim anonimisering pas na een toets van alle redelijke herleidingswegen voor de ontvanger en een plan voor herbeoordeling. De relevante juridische vraag is niet welke techniek op de knop staat, maar welke personen met de feitelijke gegevens en middelen nog identificeerbaar zijn.