Dataminimalisatie AVG: principe en praktijk

Dataminimalisatie onder de AVG betekent dat u alleen persoonsgegevens verwerkt die toereikend, ter zake dienend en beperkt tot het noodzakelijke zijn voor uw doel. Dat is de kern van artikel 5 lid 1 onder c AVG. Concreet: vraag geen geboortedatum als een leeftijdscheck volstaat, vraag geen kopie van een identiteitsbewijs als een naam en klantnummer de identiteit al bevestigen, en bewaar geen velden “voor het geval dat”. Elk gegeven dat u niet nodig heeft, is een gegeven dat u kunt lekken, moet beveiligen en waarover u verantwoording aflegt.

Dataminimalisatie is het beginsel dat het makkelijkst te controleren is en het vaakst wordt geschonden — meestal door standaardformulieren die meer vragen dan het doel rechtvaardigt.

Key Takeaways

• Art. 5 lid 1c AVG eist gegevens die toereikend, ter zake dienend en niet bovenmatig zijn voor het doel.
• Minimalisatie is doelgebonden: pas als het doel scherp is, weet u welke velden noodzakelijk zijn.
• Een kopie van een identiteitsbewijs vragen mag zelden; de AP adviseert werken met een afgeschermde kopie of helemaal geen kopie.
• Het BSN mag u alleen verwerken met een wettelijke grondslag (art. 46 UAVG) — nooit “voor het gemak”.
• Minder gegevens = minder risico bij een datalek en minder werk voor beveiliging.

Wat “toereikend, ter zake dienend en niet bovenmatig” betekent

De drie criteria vullen elkaar aan. Toereikend betekent dat u genoeg gegevens heeft om het doel te bereiken — te weinig is ook een probleem. Ter zake dienend betekent dat elk gegeven relevant is voor precies dit doel. Niet bovenmatig betekent dat u niet meer verzamelt dan nodig. Samen dwingen ze u om per veld te motiveren waarom het er staat.

Dataminimalisatie werkt niet los van de andere beginselen uit artikel 5 AVG. Het is de brug tussen doelbinding (waarvoor mag ik verwerken?) en opslagbeperking (hoe lang?). Vraagt u een gegeven zonder doel, dan is het per definitie bovenmatig.

Een veelgehoord misverstand is dat minimalisatie betekent “zo min mogelijk gegevens”. Dat klopt niet: het gaat om precies genoeg. Te weinig gegevens verzamelen kan ook een probleem zijn — een schuldeiser die geen adres vastlegt, kan zijn vordering niet innen. Minimalisatie is dus een afstemming, geen bezuiniging. De juiste vraag is niet “hoe min mogelijk?” maar “wat is de kleinste set die dit doel volledig dient?”. Die nuance voorkomt dat teams uit angst voor de AVG juist onvoldoende gegevens vastleggen en hun eigen processen frustreren.

De minimalisatietoets per veld

De praktische methode is een toets per gegevensveld. Loop elk veld op uw formulier, in uw CRM of in uw HR-systeem langs en beantwoord drie vragen:

Een webformulier dat om geslacht, geboortedatum en telefoonnummer vraagt terwijl het doel alleen een nieuwsbrief per e-mail is, faalt op alle drie de vragen. De correcte set is: e-mailadres, en hooguit een voornaam voor de aanhef.

Kopie identiteitsbewijs en BSN

Twee gegevens verdienen aparte aandacht in de Nederlandse praktijk. Ten eerste de kopie van het identiteitsbewijs: veel organisaties vragen die routineus, terwijl dat zelden noodzakelijk is. De AP wijst erop dat een ID-kopie een pasfoto en het BSN bevat — gegevens die u meestal niet nodig heeft. Heeft u een kopie echt nodig (bijvoorbeeld voor de Wwft), scherm dan de pasfoto en het BSN af. Ten tweede het BSN: dat mag u volgens artikel 46 van de Uitvoeringswet AVG (UAVG) alleen verwerken als een wet dat voorschrijft. Een klantnummer “handig koppelen” aan het BSN is verboden.

De onderliggende regel bij beide gevallen is dezelfde: gemak is geen noodzaak. Dat een gegeven een proces makkelijker maakt, betekent niet dat u het mag verzamelen. De toets is of het gegeven noodzakelijk is voor het doel — niet of het comfortabel is. Wie die twee verwart, verzamelt structureel te veel en creëert onnodig risico dat bij het eerste het beste datalek zichtbaar wordt.

Handhaving en risico

Dataminimalisatie zit vaak verweven in bredere AP-besluiten. Bij de Belastingdienst-FSV-affaire (boete €3,75 miljoen, 12 april 2022) speelde bovenmatige gegevensverzameling een rol naast geschonden doelbinding. Belangrijker voor de meeste organisaties is het risicoargument: elk overbodig veld vergroot de schade bij een datalek. Vraagt u geen BSN, dan kan het ook niet uitlekken. Dataminimalisatie is daarmee niet alleen een juridische plicht maar de goedkoopste vorm van beveiliging.

De AP publiceert richtsnoeren over onder meer identiteitsbewijzen op de website van de Autoriteit Persoonsgegevens, en de EDPB behandelt minimalisatie als integraal onderdeel van privacy by design.

Dataminimalisatie per afdeling

Minimalisatie is geen abstract principe maar een reeks concrete keuzes die per afdeling anders uitpakken. Enkele voorbeelden uit de Nederlandse praktijk:

• Marketing. Een inschrijfformulier voor een nieuwsbrief heeft alleen een e-mailadres nodig. Vraagt u ook geboortedatum, geslacht en woonplaats, dan verzamelt u bovenmatig — tenzij u per veld een concreet marketingdoel kunt onderbouwen dat de betrokkene redelijkerwijs verwacht.
• HR. In een personeelsdossier horen geen medische diagnoses; alleen de gegevens die nodig zijn voor de arbeidsrelatie, loondoorbetaling en re-integratie. De reden van ziekteverzuim registreren is verboden.
• Sales/CRM. Vrije notitievelden zijn een minimalisatierisico: medewerkers noteren er soms gevoelige of overbodige informatie. Beperk of structureer die velden.
• IT. Logbestanden bewaren vaak meer dan nodig. Bepaal welke velden echt nodig zijn voor beveiliging en anonimiseer of verkort de rest.

Voer de minimalisatietoets één keer per jaar uit als vast onderdeel van een AVG-audit. Formulieren, CRM-velden en logboeken groeien namelijk vanzelf: iemand voegt “handig” een veld toe, en zonder periodieke opschoning stapelt de overtolligheid zich op. Een jaarlijkse toets houdt de dataset schoon en verkleint uw aanvalsoppervlak.

Minimalisatie inbouwen in systemen

De duurzame oplossing is minimalisatie standaard maken, niet achteraf opschonen. Dat is precies wat privacy by design en standaardinstellingen uit artikel 25 AVG voorschrijven: de standaardinstelling verzamelt de minimale set, en extra velden zijn optioneel en gemotiveerd. Documenteer per verwerking welke velden u verzamelt en waarom, in uw verwerkingsregister. Een platform zoals Legiscope helpt om per verwerking de gegevenscategorieën vast te leggen en te toetsen of ze passen bij het doel — zodat de minimalisatietoets een terugkerende controle wordt in plaats van een eenmalige opschoonactie.

FAQ

Wat betekent dataminimalisatie in de praktijk?

Dat u per gegevensveld kunt onderbouwen waarom u het verzamelt en dat u het schrapt als het doel het niet vereist. In de praktijk komt het neer op kortere formulieren, geen ID-kopieën zonder noodzaak, en geen “reservevelden” die u ooit misschien gebruikt.

Mag ik een kopie van een identiteitsbewijs vragen?

Zelden. Alleen als er een concrete noodzaak of wettelijke plicht is, en dan afgeschermd (pasfoto en BSN onleesbaar). Voor identiteitsverificatie bij een inzageverzoek volstaat meestal een controlevraag; een ID-kopie eisen is juist een schending — DPG Media kreeg daarvoor in 2022 een boete van €525.000.

Is dataminimalisatie hetzelfde als bewaartermijnen?

Nee. Minimalisatie gaat over welke en hoeveel gegevens u verzamelt; bewaartermijnen gaan over hoe lang u ze houdt. Beide vloeien voort uit het doel: minder verzamelen én tijdig verwijderen.

Hoe toon ik aan dat ik dataminimalisatie toepas?

Door per verwerking te documenteren welke gegevenscategorieën u verzamelt en waarom die noodzakelijk zijn. Die onderbouwing legt u vast in het verwerkingsregister; dat is het bewijs dat de AP als eerste opvraagt bij een controle.