Namen vervangen door tijdelijke aanduidingen is een goede eerste stap. Op grond van de AVG maakt dat de gegevens op zichzelf niet anoniem. In dit artikel lees je wat de verordening zegt, wat het Hof van Justitie van de Europese Unie in september 2025 heeft beslist en wat je daarmee moet doen.
Het korte antwoord
Ja, in het algemeen. De AVG zegt dat persoonsgegevens die zijn gepseudonimiseerd, maar met behulp van aanvullende informatie aan een persoon kunnen worden gekoppeld, informatie zijn over een identificeerbare persoon. Als jij de sleutel hebt waarmee „Person_1” weer aan een echte naam kan worden gekoppeld, zijn de gegevens die je hebt vervangen in jouw handen nog steeds persoonsgegevens en valt jouw verwerking ervan onder de AVG.
Het zorgvuldiger antwoord is dat het afhangt van wie de gegevens in handen heeft en welke middelen diegene redelijkerwijs kan gebruiken om de persoon te identificeren. Daar is de rechterlijke beslissing uit 2025 van belang.
Wat de AVG zegt
Artikel 4, lid 5, definieert pseudonimisering als:
„de verwerking van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en onderworpen zijn aan technische en organisatorische maatregelen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld”
Overweging 26 zegt dat persoonsgegevens die zijn gepseudonimiseerd, maar met behulp van aanvullende informatie aan een natuurlijke persoon kunnen worden gekoppeld, moeten worden beschouwd als informatie over een identificeerbare natuurlijke persoon. Om te bepalen of een persoon identificeerbaar is, moet rekening worden gehouden met alle middelen die redelijkerwijs kunnen worden gebruikt, zoals het eruit pikken van een persoon, door de verwerkingsverantwoordelijke of door een andere persoon, met inbegrip van de benodigde kosten en tijd en de beschikbare technologie.
Uit de formulering volgen twee praktische punten. De sleutel moet apart worden bewaard, met technische en organisatorische maatregelen. En „identificeerbaar” wordt beoordeeld op basis van middelen die in de praktijk redelijkerwijs inzetbaar zijn, niet op basis van de vraag of identificatie theoretisch mogelijk is.
Wat het Hof van Justitie in 2025 heeft toegevoegd
Op 4 september 2025 heeft het Hof van Justitie van de EU uitspraak gedaan in EDPS v SRB (zaak C-413/23 P). De zaak ging over opmerkingen die een bankautoriteit aan een adviesbureau had doorgegeven nadat de identiteit van de auteurs was vervangen door codes. De zaak werd beslist op grond van Verordening 2018/1725, die van toepassing is op EU-instellingen, maar de definities van persoonsgegevens en pseudonimisering daarin komen overeen met die van de AVG.
Het Hof oordeelde dat gepseudonimiseerde gegevens niet „in alle gevallen en voor elke persoon” als persoonsgegevens moeten worden beschouwd. Of gegevens voor een bepaalde ontvanger persoonsgegevens zijn, hangt af van de omstandigheden, waaronder de vraag of die ontvanger over middelen beschikt waarmee de betrokken personen redelijkerwijs opnieuw kunnen worden geïdentificeerd. De partij die de gegevens heeft gepseudonimiseerd en de aanvullende informatie bezit, bevindt zich in een andere positie dan een ontvanger die de codes op geen enkele manier aan personen kan koppelen.
Dit is een juridische ontwikkeling waar specialisten zich nog over buigen. Zie dit niet als toestemming om gepseudonimiseerde klantgegevens naar om het even wie te sturen. Het zegt dat de vraag vanuit het perspectief van de ontvanger wordt beoordeeld, niet dat de vraag niet meer van belang is.
Wat dit betekent voor een AI-chatbot
- Jij blijft de verwerkingsverantwoordelijke voor de oorspronkelijke gegevens en de sleutel. Je eigen verplichtingen onder de AVG gelden voor wat je met het document doet, waaronder het vervangen van gegevens.
- Of de AI-aanbieder persoonsgegevens ontvangt is afhankelijk van de specifieke feiten. De context kan een persoon identificeren, zelfs zonder naam: een zeldzame functie, een kleine plaats, een ongebruikelijke gebeurtenis. Als iemand redelijkerwijs kan achterhalen over wie de tekst gaat, behandel die dan als persoonsgegevens.
- Baseer je naleving niet op het idee dat tijdelijke aanduidingen de tekst anoniem maken. Ga ervan uit dat de tekst nog persoonsgegevens kan zijn en behandel tijdelijke aanduidingen als één van meerdere beveiligingsmaatregelen.
Pseudonimisering blijft nuttig, en de AVG zegt dat ook. Artikel 32, lid 1, onder a), noemt pseudonimisering als een van de beveiligingsmaatregelen die een verwerkingsverantwoordelijke kan nemen. Overwegingen 28 en 78 zeggen dat de maatregel risico's voor betrokkenen kan verkleinen en gegevensbescherming door ontwerp en standaardinstellingen ondersteunt. De verordening behandelt pseudonimisering als een beveiligingsmaatregel, niet als een manier om buiten de verordening te vallen.
Wat je in de praktijk kunt doen
- Beperk eerst de gegevens. Stuur alleen het fragment dat nodig is voor de taak. Zie hoe je AI-tools gebruikt met cliëntdocumenten.
- Vervang elke identificator, niet alleen namen. Rekeningnummers, ID-nummers en geboortedatums zijn ook identificatoren. De checklist geeft een overzicht.
- Houd de sleutel aan jouw kant, apart van de tekst die je verstuurt, en verwijder hem wanneer de zaak is afgerond.
- Controleer de voorwaarden van de aanbieder en je abonnement. Een zakelijk abonnement met een verwerkersovereenkomst is een andere situatie dan een gratis persoonlijk account. Zie wat de gegevensinstellingen inhouden.
- Vraag advies voor risicovolle gevallen: gezondheidsgegevens, gegevens van kinderen, bijzondere categorieën of alles waarbij een datalek ernstige gevolgen zou hebben.
In alledaags taalgebruik worden de termen vaak losjes gebruikt. Anonimisering, pseudonimisering en redactie vergelijkt ze.
Veelgestelde vragen
Zijn gepseudonimiseerde gegevens hetzelfde als anonieme gegevens?
Nee. Overweging 26 zegt dat de beginselen van gegevensbescherming niet van toepassing zijn op anonieme informatie: informatie die geen betrekking heeft op een identificeerbare persoon, of gegevens die anoniem zijn gemaakt zodat de persoon niet langer identificeerbaar is. Gepseudonimiseerde gegevens die opnieuw aan een persoon kunnen worden gekoppeld, vormen een andere categorie.
Verbiedt de AVG het gebruik van AI-tools met persoonsgegevens?
Nee. De AVG vereist een rechtsgrond, dataminimalisatie, beveiliging en, als je met een aanbieder werkt, een passende overeenkomst. Het gebruik van tijdelijke aanduidingen helpt bij dataminimalisatie.
Geldt dit ook buiten de EU?
Het Verenigd Koninkrijk heeft een eigen versie en veel landen hebben vergelijkbare regels. De AVG kan ook gelden voor bedrijven buiten de EU die diensten aanbieden aan mensen in de EU.
ClientSafe bewaart op je pc de tabel die tijdelijke aanduidingen aan echte namen koppelt. De tekst die je voor een AI-tool kopieert, bevat alleen de tijdelijke aanduidingen. Controleer eerst wat de tool heeft gevonden, want geen enkele tool vindt alles.
Algemene informatie, geen juridisch advies. Vraag een gekwalificeerde adviseur op het gebied van gegevensbescherming naar jouw situatie.