Bijzondere persoonsgegevens zijn onder de AVG gevoelige gegevens waarvoor een verwerkingsverbod geldt, tenzij een uitzondering van toepassing is. Het gaat om gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie, lidmaatschap van een vakbond, genetische en biometrische gegevens (ter unieke identificatie), en gegevens over iemands seksuele leven of geaardheid. Dat staat in artikel 9 AVG. De hoofdregel is simpel: u mag deze gegevens niet verwerken, tenzij u zich op een van de tien uitzonderingen van artikel 9 lid 2 kunt beroepen — én, in Nederland, op een uitzondering uit de Uitvoeringswet AVG (UAVG).
Wie bijzondere gegevens verwerkt zonder geldige uitzondering, riskeert de zwaarste handhaving. De Autoriteit Persoonsgegevens (AP) behandelt gezondheidsgegevens en strafrechtelijke gegevens als hoogste prioriteit.
Key Takeaways
- Art. 9 AVG kent een verwerkingsverbod voor bijzondere categorieën, met tien uitzonderingen in lid 2.
- Naast een AVG-uitzondering heeft u in Nederland vaak een UAVG-grondslag nodig (arts. 22-30).
- Strafrechtelijke gegevens vallen onder art. 10 AVG + UAVG art. 31-33, met een apart, strenger regime.
- Het BSN is geen bijzonder gegeven maar kent een eigen strikt regime (UAVG art. 46).
- Verzuimregistratie door werkgevers raakt art. 9: de werkgever mag géén medische gegevens verwerken, alleen wat nodig is voor loondoorbetaling.
Welke gegevens zijn bijzonder?
Artikel 9 lid 1 somt de categorieën uitputtend op. Let op twee nuances. Ten eerste zijn biometrische gegevens alleen bijzonder als ze worden gebruikt met het oog op de unieke identificatie van een persoon — een vingerafdruk voor toegangscontrole valt eronder, een pasfoto niet automatisch. Ten tweede vallen gegevens waaruit een gevoelig kenmerk kan worden afgeleid er ook onder: een lidmaatschap van een kerkkoor onthult religie, een sportclub voor een specifieke doelgroep kan gezondheid onthullen.
Deze categorieën verschillen fundamenteel van gewone persoonsgegevens, waarvoor de zes rechtsgronden van artikel 6 AVG volstaan. Voor bijzondere gegevens heeft u eerst een uitzondering op het verbod nodig, en pas daarna een gewone grondslag.
Let op de zogeheten afgeleide bijzondere gegevens. Gegevens die op zichzelf gewoon lijken, kunnen bijzonder worden zodra u ze gebruikt om een gevoelig kenmerk te achterhalen. Een lijst met dieetvoorkeuren in een kantine onthult mogelijk religie of gezondheid; een analyse van boodschappen kan een ziekte blootleggen. Het EU-Hof oordeelde in de zaak OT/Vyriausioji (C-184/20, 2022) dat ook gegevens waaruit indirect een gevoelig kenmerk kan worden afgeleid, onder artikel 9 vallen. De les: kijk niet alleen naar het gegeven zelf, maar naar wat u ermee doet. Een profielanalyse die feitelijk gezondheidsconclusies trekt, raakt het regime van bijzondere gegevens, ook al bestaat de invoer uit ogenschijnlijk gewone data.
De uitzonderingen: AVG én UAVG
De tien uitzonderingen van artikel 9 lid 2 lopen van uitdrukkelijke toestemming tot zwaarwegend algemeen belang. De meest gebruikte in de praktijk:
| Uitzondering (art. 9 lid 2) | Typische toepassing |
|---|---|
| a — uitdrukkelijke toestemming | Optionele gezondheidsapp, wetenschappelijk onderzoek |
| b — arbeidsrecht/sociale zekerheid | Verzuimbegeleiding via arbodienst |
| h — gezondheidszorg | Medisch dossier bij arts, ziekenhuis, apotheek |
| j — archief/onderzoek/statistiek | Wetenschappelijk onderzoek met waarborgen |
Belangrijk voor Nederland: de UAVG (arts. 22 tot en met 30) werkt deze uitzonderingen nationaal uit en stelt aanvullende voorwaarden, bijvoorbeeld dat alleen bepaalde beroepsbeoefenaren onder geheimhoudingsplicht gezondheidsgegevens mogen verwerken. Een uitzondering in de AVG is dus niet genoeg; u toetst altijd óók de UAVG. Dit is precies waarom de Uitvoeringswet AVG zo bepalend is voor de Nederlandse praktijk.
Strafrechtelijke gegevens en het BSN
Twee categorieën vallen buiten artikel 9 maar zijn minstens zo gevoelig. Strafrechtelijke gegevens (art. 10 AVG) mogen alleen worden verwerkt onder toezicht van de overheid of met een specifieke wettelijke grondslag; de UAVG (arts. 31-33) staat verwerking door private partijen slechts beperkt toe, bijvoorbeeld voor eigen beveiliging of via een vergunning. Zwarte lijsten zijn hier het risicogebied: die zijn vrijwel altijd DPIA-plichtig.
Het BSN is formeel geen bijzonder gegeven, maar de UAVG (art. 46) verbiedt verwerking tenzij een wet dat voorschrijft. Het BSN “voor het gemak” als klantnummer gebruiken is dus verboden.
Handhaving: verzuim en werkgevers
Het scherpste praktijkvoorbeeld in Nederland is de verzuimregistratie. De AP houdt strikt vast aan de lijn dat een werkgever bij ziekmelding geen medische gegevens mag verwerken — geen diagnose, geen aard van de klacht. Alleen de bedrijfsarts of arbodienst mag dat. De werkgever registreert enkel wat nodig is voor de loondoorbetaling en re-integratie. De AP heeft hierover meerdere handhavingsbesluiten genomen tegen bedrijven die toch gezondheidsgegevens van zieke werknemers vastlegden; de beleidslijn staat toegelicht op de website van de Autoriteit Persoonsgegevens. Meer over de werkgeverscontext leest u in AVG voor werkgevers en personeel.
Voor de zorg geldt bovendien de HagaZiekenhuis-boete (€460.000, 2019) als anker: onvoldoende toegangsbeveiliging op medische dossiers is een schending van artikel 32 AVG in combinatie met artikel 9. De EDPB geeft richtsnoeren over gezondheids- en biometrische gegevens.
Verwerkt u bijzondere gegevens, dan is een sluitend register onmisbaar. Een platform zoals Legiscope legt per verwerking vast welke categorie bijzondere gegevens u verwerkt en op welke AVG- én UAVG-uitzondering u zich baseert — het bewijs dat de AP als eerste opvraagt.
Praktische aanpak: van verbod naar rechtmatige verwerking
Wilt u bijzondere gegevens verwerken, doorloop dan een vaste volgorde. Een uitzondering “aannemen” is de meest voorkomende fout; u toetst hem expliciet.
- Bepaal of het écht bijzondere gegevens zijn. Een pasfoto is niet automatisch een biometrisch gegeven; dat wordt het pas bij verwerking voor unieke identificatie. Een gegeven waaruit een gevoelig kenmerk kan worden afgeleid, telt wél mee.
- Zoek de AVG-uitzondering (art. 9 lid 2). Kies de uitzondering die past — vaak de zorguitzondering (h) of de arbeidsrechtelijke (b), zelden toestemming (a).
- Toets de UAVG-grondslag. Nederland stelt aanvullende eisen in de artikelen 22-30 UAVG, bijvoorbeeld een geheimhoudingsplicht voor wie gezondheidsgegevens verwerkt.
- Kies een grondslag uit artikel 6. De uitzondering heft alleen het verbod op; u heeft daarnaast een gewone rechtsgrond nodig.
- Tref extra waarborgen. Bijzondere gegevens vragen om strengere beveiliging, beperkte toegang en, bij grootschalige verwerking, een verplichte DPIA.
Deze stappen laten zien waarom bijzondere gegevens zoveel meer werk vergen dan gewone gegevens: u stapelt drie lagen toetsing (AVG-uitzondering, UAVG-grondslag, artikel 6-grondslag) plus aanvullende waarborgen. Slaat u een laag over, dan is de verwerking onrechtmatig, ook al had u goede bedoelingen. Leg daarom per verwerking vast op welke drie grondslagen u zich baseert; dat is precies wat de AP bij een controle van bijzondere gegevens als eerste natrekt.
FAQ
Wat zijn bijzondere persoonsgegevens onder de AVG?
Gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwing, vakbondslidmaatschap, genetische en biometrische gegevens (voor identificatie), en gegevens over seksueel gedrag of geaardheid. Voor al deze categorieën geldt een verwerkingsverbod, tenzij een uitzondering van artikel 9 lid 2 én de UAVG van toepassing is.
Mag ik als werkgever de reden van ziekteverzuim registreren?
Nee. De AP is hier strikt: u mag alleen registreren dat iemand ziek is en gegevens die nodig zijn voor loondoorbetaling en re-integratie. De aard of oorzaak van de ziekte is een gezondheidsgegeven dat alleen de bedrijfsarts mag verwerken.
Is het BSN een bijzonder persoonsgegeven?
Nee, het BSN valt niet onder artikel 9. Maar het kent een eigen strikt regime in artikel 46 UAVG: u mag het alleen verwerken als een wettelijke bepaling dat voorschrijft, bijvoorbeeld in de loonadministratie of de zorg.
Heb ik altijd toestemming nodig voor bijzondere gegevens?
Nee. Uitdrukkelijke toestemming is één van de tien uitzonderingen, maar vaak niet de juiste. In de zorg is de zorguitzondering (art. 9 lid 2 onder h) passender, en bij werkgevers de arbeidsrechtelijke uitzondering. Toestemming is bovendien lastig geldig in een gezagsverhouding zoals werkgever-werknemer.
Zie ook: AVG in de huisartsenpraktijk, AVG in de kinderopvang en AVG voor apotheken.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial