Dataminimalisatie betekent dat persoonsgegevens toereikend, relevant en beperkt moeten zijn tot wat nodig is voor het doel. Dat is de norm van artikel 5 lid 1 onder c AVG. Het gaat dus niet om zo weinig mogelijk gegevens tegen elke prijs. Een dossier moet ook voldoende informatie bevatten om een verzoek goed te behandelen of een verkeerde beslissing te voorkomen. De vraag is welke gegevens de concrete verwerking nodig heeft, met welke nauwkeurigheid en op welk moment.
Deze gids helpt u een bestaande verwerking per veld te beoordelen. U begint bij het doel, onderzoekt minder ingrijpende alternatieven en vertaalt het resultaat naar formulieren, koppelingen, toegang en bewaring. Het eindproduct is een uitlegbare keuze om een gegeven te behouden, later te verzamelen, te beperken of te verwijderen. Een vinkje “optioneel” of een beveiligde opslagplaats is op zichzelf geen bewijs dat het gegeven passend is.
Een bruikbare minimalisatietoets begint bij het doel
Schrijf eerst op welk resultaat de verwerking moet bereiken. Voor het afleveren van een pakket kan een bezorgadres nodig zijn; voor het versturen van een digitale nieuwsbrief doorgaans niet. Dezelfde organisatie kan beide diensten aanbieden, maar hoeft daarom niet voor elke dienst dezelfde gegevens te verzamelen. Koppel ieder veld aan een afgebakend verwerkingsdoel. Als het doel alleen “klantenbeheer” heet, is moeilijk vast te stellen waar de grens ligt.
Vraag vervolgens wat er misgaat als u het gegeven niet verzamelt. Een medewerker kan het handig vinden om iedere klant te bellen, terwijl de klant al per e-mail bereikbaar is en telefonisch contact voor deze dienst niet nodig is. Handigheid is een relevante operationele wens, maar geen zelfstandig bewijs van noodzakelijkheid. Onderzoek of het proces met een minder ingrijpend alternatief even doeltreffend kan worden uitgevoerd, zonder de uitkomst vooraf door het bestaande systeem te laten bepalen.
Toereikendheid verdient daarbij evenveel aandacht als beperking. Een klacht registreren zonder de informatie die nodig is om haar te onderzoeken kan tot onjuiste conclusies leiden. Minimaliseren betekent dan dat u de relevante toelichting bewaart en ongerelateerde details weglaat. Als een dossier onjuist of onvolledig is, speelt ook het recht op rectificatie. De beginselen versterken elkaar wanneer u precies vastlegt welke informatie voor een eerlijke behandeling nodig is.
Beoordeel omvang, detail en moment afzonderlijk
Een gegeven kan nuttig zijn, maar nauwkeuriger dan nodig. Voor een overzicht van de regio waarin klanten wonen kan een grovere geografische indeling volstaan in plaats van een volledig adres. Voor het controleren van een leeftijdsgrens is soms alleen een bevestiging van het bereiken van die grens nodig. Dat moet passen bij de werkelijke wettelijke of operationele eis. Een sectorale verplichting om een exacte datum vast te leggen mag u niet vervangen door een benadering zonder die verplichting te onderzoeken.
Het moment van verzamelen is een tweede keuze. Bankgegevens kunnen nodig worden als iemand in dienst treedt of een betaling ontvangt, maar nog niet bij ieder eerste informatieverzoek. Door gegevens pas op het relevante moment op te vragen, verkleint u ook de hoeveelheid informatie over personen die nooit klant of werknemer worden. Controleer wel of het latere verzoek uitvoerbaar is en de betrokkene duidelijk begrijpt waarom de informatie dan nodig is.
Denk ook aan de omvang van documenten. Wie één adresgegeven nodig heeft, heeft niet automatisch een volledige bankafschriftkopie nodig. Misschien volstaat een uitsnede, een andere bewijsbron of het bekijken zonder bewaren. Beoordeel daarbij of het alternatief voldoende betrouwbaar is voor de beslissing. Een frauderisico rechtvaardigt geen onbeperkte gegevensverzameling, maar een onbetrouwbare controle is evenmin een goede uitkomst. Leg de gekozen verhouding tussen betrouwbaarheid en inbreuk vast.
Verplichte en optionele formuliervelden
Maak een onderscheid tussen gegevens zonder welke de dienst niet kan worden uitgevoerd en gegevens voor een werkelijk afzonderlijke keuze. Een telefoonnummer als verplicht veld bij een download verdient een concrete verklaring. Als het alleen dient voor een optionele terugbelservice, moet de gebruiker die keuze kunnen overslaan zonder dat de download daardoor onnodig onmogelijk wordt. Het formulier moet het gekozen proces weerspiegelen, ook in foutmeldingen en validatieregels.
Een optioneel veld valt nog steeds onder de AVG. U moet een rechtmatig doel en een passende grondslag hebben en de gegevensverzameling beperken tot wat daarvoor nodig is. De gebruiker laten kiezen of hij zijn geboortedatum invult, maakt een onverklaarde verzameling niet automatisch passend. Bovendien kunnen mensen een optioneel veld als feitelijk verplicht ervaren door de presentatie. Controleer tekst, standaardinstellingen en de consequenties van het leeg laten van het veld samen.
Vrije tekstvelden vragen extra aandacht. Een klant kan daarin medische of andere gevoelige informatie opnemen die uw organisatie niet nodig heeft. Gebruik gerichte vragen en een begrijpelijke toelichting over wat relevant is. Stel ook een werkwijze vast voor onnodige informatie die toch binnenkomt. Verwijder niet blind de hele klacht of aanvraag als daardoor relevante feiten verloren gaan. Beperk de overbodige gegevens zorgvuldig en zorg dat medewerkers weten wanneer specialistische beoordeling nodig is.
Identiteit controleren is niet hetzelfde als een kopie bewaren
Bij een inzageverzoek moet u voorkomen dat gegevens bij de verkeerde persoon terechtkomen. Artikel 12 lid 6 AVG staat aanvullende, noodzakelijke informatie toe als redelijke twijfel bestaat over de identiteit. Daaruit volgt geen algemene verplichting om iedere verzoeker een volledige identiteitskopie te laten uploaden. Kijk eerst welke betrouwbare informatie en bestaande veilige contactkanalen beschikbaar zijn. Houd rekening met de gevoeligheid van de gegevens die u gaat verstrekken.
De AP bespreekt op haar pagina over kopieën van identiteitsbewijzen het verschil tussen een wettelijke situatie en een kopie zonder zo’n specifieke verplichting. Een werkgever en een bank hebben bijvoorbeeld een ander juridisch kader dan een gewone webshop die een privacyverzoek ontvangt. Pas een advies om gegevens af te schermen daarom niet mechanisch toe op iedere wettelijk geregelde identificatieprocedure.
Als een kopie in de concrete situatie echt nodig is, beoordeelt u welke onderdelen relevant zijn en welke gegevens mogen of moeten worden afgeschermd. Een wettelijk toegestane volledige kopie vraagt een andere aanpak dan een beperkte verificatie zonder zo’n wettelijke regeling. Zelfs na afscherming blijven persoonsgegevens over. Bepaal daarom ook wie de kopie mag zien, hoe zij veilig wordt ontvangen en wanneer zij wordt verwijderd. Een watermerk beperkt niet alle risico’s en vervangt deze beoordeling niet.
De DPG-zaak: onderscheid besluit en hoger beroep
De AP maakte op 24 februari 2022 een boete van 525.000 euro voor DPG Media bekend wegens de werkwijze rond identiteitsbewijzen bij privacyverzoeken. Na een uitspraak van de rechtbank in 2023 volgde hoger beroep. De bijgewerkte AP-publicatie vermeldt dat de Afdeling bestuursrechtspraak op 24 september 2025 oordeelde dat een boete mocht worden opgelegd en het bedrag uiteindelijk 262.500 euro werd. Alleen het oorspronkelijke bedrag noemen geeft dus een onvolledig beeld.
De praktische les is beperkt maar belangrijk: kies een passende verificatiemethode voor de bestaande relatie en het verzoek. Een standaard uploadplicht kan te veel gegevens vragen en de uitoefening van rechten onnodig moeilijk maken. De zaak betekent niet dat identiteitscontrole verboden is of dat ieder verzoek zonder controle moet worden ingewilligd. Ontwerp een proportionele route met een alternatief voor situaties waarin het gewone account of contactkanaal niet beschikbaar is.
Het BSN heeft een afzonderlijk Nederlands regime
Gebruik het burgerservicenummer niet als algemene handige klantsleutel. Artikel 46 van de Uitvoeringswet AVG koppelt het gebruik van een wettelijk voorgeschreven identificatienummer aan uitvoering van de betreffende wet of wettelijk bepaalde doeleinden. Het tweede lid biedt ruimte voor aangewezen gevallen bij algemene maatregel van bestuur. De vraag is dus welke specifieke wettelijke bevoegdheid of verplichting uw gebruik dekt, niet alleen of iemand toestemming wil geven.
Een gegeven dat terecht in de salarisadministratie staat, hoort daardoor niet automatisch in het CRM, een algemene personeelslijst of een rapport voor een externe consultant. Beoordeel ontvanger en doel afzonderlijk. Gebruik waar mogelijk een intern nummer dat voor dat proces geschikt is, maar besef dat ook zo’n nummer persoonsgegevens kan vertegenwoordigen. De nationale beperking van BSN-gebruik komt boven op de algemene beginselen uit artikel 5 AVG.
Personeelsdossiers vragen keuzes per fase en rol
Een sollicitatie, de uitvoering van een arbeidsovereenkomst en een verzuimproces hebben niet dezelfde informatiebehoefte. Een diploma kan relevant zijn voor een functie waarvoor de opleiding nodig is; een compleet overzicht van persoonlijke omstandigheden is dat niet vanzelf. Laat een selectieteam alleen zien wat het nodig heeft om kandidaten te beoordelen. Verzamel gegevens voor latere loonadministratie pas wanneer de relevante noodzaak ontstaat en onder het daarvoor geldende wettelijke kader.
Bij gezondheidsinformatie moet naast noodzakelijkheid ook het verbod en de uitzonderingen van artikel 9 AVG worden beoordeeld. De informatiebehoefte van een behandelend arts of bedrijfsarts is niet gelijk aan die van een leidinggevende. Geef medewerkers geen vrijbrief om medische details in gewone personeelsnotities vast te leggen omdat iemand die spontaan heeft verteld. Bepaal wie welke informatie voor zijn eigen rol mag verwerken en gebruik voor de inrichting van het personeelsdossier een passende, afgebakende werkwijze.
Ook binnen een rechtmatig dossier hoeft niet iedereen alles te zien. Een teamplanner kan beschikbaarheid nodig hebben zonder toegang tot onderliggende documenten. Beperk exports en gedeelde mappen daarom op taakniveau. Dit is zowel een kwestie van noodzakelijke beschikbaarheid als van beveiliging van persoonsgegevens. Minder brede toegang voorkomt dat een rechtmatig verzameld gegeven in een onnodig groot deel van de organisatie gaat circuleren.
Minimaliseer ook koppelingen, logboeken en kopieën
Een kort formulier kan toch leiden tot een groot gegevensbestand wanneer systemen extra informatie toevoegen. Onderzoek daarom welke velden een koppeling doorstuurt en welke gegevens een leverancier teruglevert. Een integratie die standaard het volledige klantobject kopieert, kan meer verspreiden dan het ontvangende proces nodig heeft. Vraag om een beperkte veldselectie en controleer de feitelijke uitvoer, in plaats van alleen de instellingen in het dashboard te lezen.
Logboeken kunnen nodig zijn voor beveiliging en foutonderzoek, maar hoeven niet altijd volledige berichtinhoud of ingevulde formulieren te bevatten. Beschrijf welke gebeurtenissen moeten kunnen worden onderzocht en welke kenmerken daarvoor voldoende zijn. Toets toegangsrechten en bewaartermijnen mee. Een onbeperkt bewaard log met alle invoer kan de minimalisatie van de hoofddatabase grotendeels ongedaan maken, terwijl het voor de beoogde beveiliging onvoldoende extra waarde toevoegt.
Let op werkkopieën in e-mail, gedeelde documenten en lokale downloads. Een medewerker kan voor één analyse een beperkte selectie nodig hebben, maar vervolgens de volledige export bewaren voor later. Maak duidelijk welke kopie bij de opdracht hoort en wanneer zij moet verdwijnen. Voor ontwikkel- en demonstratiewerk kunnen fictieve gegevens vaak geschikt zijn. Als echte gegevens nodig worden geacht, moet die noodzaak afzonderlijk worden onderbouwd en moeten passende maatregelen gelden.
Dataminimalisatie is geen vervanging voor beveiliging of bewaring
Een kleinere gegevensverzameling kan de blootstelling bij een incident verminderen, maar het risico neemt niet automatisch evenredig met het aantal velden af. Eén gevoelig gegeven kan veel schade veroorzaken. Ook een minimale dataset moet passend worden beveiligd. Omgekeerd rechtvaardigt sterke versleuteling niet het verzamelen van gegevens zonder noodzaak. Beoordeel hoeveelheid, gevoeligheid, toegang en gevolgen in samenhang, zodat één maatregel geen excuus wordt om andere verplichtingen te negeren.
Bewaartermijnen beantwoorden de vraag hoe lang identificeerbare gegevens nodig blijven. Dataminimalisatie gaat ook over wat u überhaupt verwerkt. Een onnodig gegeven gedurende een korte periode verzamelen blijft een probleem. Een noodzakelijk gegeven kan na verloop van tijd zijn functie verliezen. Plan daarom zowel een beoordeling van de invoer als een beoordeling van de bestaande voorraad, met aandacht voor wettelijke bewaarplichten en andere zelfstandig gerechtvaardigde doelen.
Pseudonimisering kan nuttig zijn wanneer een analyse geen namen nodig heeft, maar zij maakt gegevens niet automatisch anoniem. De mogelijkheid tot koppelen of herleiden blijft relevant. De uitleg over anonimiseren en pseudonimiseren helpt dit onderscheid te maken. Als het doel met daadwerkelijk anonieme uitkomsten kan worden bereikt, onderzoek die route. Vergeet niet dat het maken van die uitkomsten uit persoonsgegevens zelf ook rechtmatig moet plaatsvinden.
Leg de afweging vast zonder een tweede overvolle administratie
Voor een veldbeoordeling is een korte, concrete motivering bruikbaarder dan een standaardtekst bij ieder veld. Vermeld het doel, waarom het gegeven nodig is, welke minder ingrijpende alternatieven zijn onderzocht en welke beperking is gekozen. Leg ook vast wie de beslissing heeft genomen en wanneer herbeoordeling nodig is. U hoeft daarvoor niet opnieuw alle persoonsgegevens op te nemen; het gaat om de inrichting en onderbouwing van de verwerking.
Een verwerkingsregister bevat verplichte informatie op het niveau van verwerkingsactiviteiten. Een motivering per veld is niet letterlijk een afzonderlijk voorgeschreven artikel 30-registerveld, maar kan helpen om de verantwoordingsplicht aantoonbaar in te vullen. Koppel de analyse daarom aan de betreffende activiteit zonder het register onleesbaar te maken. Bewaar beslissingen over uitzonderingen op een vindbare plek, zodat een latere systeembeheerder weet waarom een veld beperkt is.
Bij veel formulieren en systemen kan software voor AVG-beheer helpen om verantwoordelijken, besluiten en wijzigingen bij elkaar te houden. Beoordeel de praktische ondersteuning en exportmogelijkheden; een product kan niet zelfstandig bewijzen dat ieder veld noodzakelijk is. De inhoudelijke keuze blijft bij de organisatie. Een eenvoudige administratie die wordt bijgehouden kan nuttiger zijn dan een uitgebreid systeem met overal dezelfde nietszeggende motivering.
Van beoordeling naar een werkende wijziging
Voer een besloten wijziging door op alle relevante plaatsen. Een veld verwijderen uit het scherm is onvoldoende als de API het nog verplicht ontvangt of de koppeling het uit een oud profiel aanvult. Controleer ook rapporten, exports en notificaties. Dit sluit aan bij privacy by design en standaardinstellingen: de gekozen beperking moet onderdeel worden van het proces en niet afhankelijk blijven van de oplettendheid van iedere individuele medewerker.
Test de gewijzigde route met fictieve gegevens en realistische uitzonderingen. Kan iemand zonder optioneel telefoonnummer nog bestellen? Kan support een klacht onderzoeken met de beperktere dataset? Wordt het geschrapte veld ook niet meer naar de leverancier gestuurd? Deze controles ondersteunen een verantwoorde invoering. Als een alternatief onvoldoende werkt, beschrijf wat ontbreekt en beoordeel gericht welke aanvullende informatie noodzakelijk is, in plaats van direct het hele oude formulier terug te zetten.
Bepaal daarna wat er met historische gegevens gebeurt. Dat een veld voortaan vervalt, bewijst niet dat iedere bestaande waarde onmiddellijk moet worden gewist ongeacht andere verplichtingen. Onderzoek de resterende doeleinden, eventuele bewaarplichten en de mogelijkheid tot scheiding. Verwijder overbodige kopieën zodra daarvoor geen rechtmatige noodzaak meer bestaat. Documenteer beperkingen bij bijvoorbeeld back-ups en zorg dat verwijderde informatie niet zonder beoordeling opnieuw in actief gebruik terugkomt.
Neem deze controle op in een passende AVG-audit en bij relevante proceswijzigingen. De AVG schrijft niet voor iedere organisatie dezelfde jaarlijkse veldcontrole voor. Kies een frequentie en aanleiding die passen bij veranderingen en risico’s. Een nieuw aanvraagformulier, nieuwe gegevensbron of gewijzigde beslissing kan aanleiding zijn voor een nieuwe beoordeling, ook als de vorige periodieke controle nog maar kort geleden plaatsvond.
Veelgestelde vragen
Is toestemming voldoende om extra velden te verzamelen?
Nee. Toestemming kan onder voorwaarden een rechtsgrond zijn, maar schakelt dataminimalisatie niet uit. Er moet een duidelijk doel zijn waarvoor de verzamelde gegevens passend en noodzakelijk zijn. Een optionele afzonderlijke dienst kan andere gegevens vragen dan de basisdienst, maar die koppeling moet werkelijk bestaan en begrijpelijk zijn. Verzamel geen brede reservevoorraad voor onbepaalde toekomstige toepassingen.
Moet ik een identiteitskopie altijd afschermen?
Dat hangt af van het toepasselijke juridische kader en de noodzaak van de kopie. Sommige wettelijk geregelde situaties laten een volledige kopie toe of stellen specifieke eisen. Bij andere verificaties moet u eerst minder ingrijpende alternatieven beoordelen en, als een kopie nodig is, overbodige onderdelen afschermen. Maak geen uniforme werkinstructie die de verschillen tussen loonadministratie, bankdiensten en een gewoon inzageverzoek negeert.
Is het verwijderen van namen voldoende?
Niet als personen via andere kenmerken of aanvullende informatie nog identificeerbaar zijn. Een klantnummer, exacte locatie of combinatie van kenmerken kan daarvoor voldoende zijn. Beoordeel de gegevens en de redelijkerwijs te gebruiken middelen in hun context. Als de informatie persoonsgegevens blijft, gelden ook na die bewerking de eisen aan doel, grondslag, toegang en bewaring.