Wat zijn persoonsgegevens en welke gegevens vallen daaronder?

Wie werkt met zorg, veiligheid of het sociaal domein, krijgt dagelijks de vraag welke gegevens over een inwoner mogen worden vastgelegd of gedeeld. De eerste stap is vaststellen of het om persoonsgegevens gaat. Volgens de AVG zijn dat alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon. Het kan dus gaan om informatie die rechtstreeks naar iemand verwijst, maar ook om gegevens die pas in combinatie met andere informatie herkenbaar worden.

Professionals uit zorg, gemeente en veiligheid bespreken een gegevensoverzicht aan een vergadertafel

In dit artikel leest u welke gegevens onder die definitie vallen, wanneer gegevens niet als persoonsgegevens gelden en welke aandachtspunten gelden voor bijzondere, strafrechtelijke en andere gevoelige gegevens.

Welke gegevens zijn persoonsgegevens?

Persoonsgegevens zijn gegevens die direct over een persoon gaan of die met redelijke middelen naar die persoon te herleiden zijn. De vorm maakt daarbij niet uit. Het kan gaan om tekst, beeld, geluid, een getal of een combinatie van gegevens.

Voorbeelden zijn:

naam, adres en telefoonnummer;
pasfoto, camerabeeld of geluidsopname waarop iemand herkenbaar is;
klantnummer, personeelsnummer of IP-adres;
informatie over wat iemand op internet doet of koopt;
informatie over allergieën of andere omstandigheden die aan iemand zijn gekoppeld;
financiële gegevens, locatiegegevens en gegevens over elektronische communicatie.

Sommige gegevens identificeren iemand meteen. Een naam of pasfoto is daarvan een duidelijk voorbeeld. Andere gegevens krijgen pas betekenis in samenhang met informatie die al beschikbaar is. Een IP-adres kan bijvoorbeeld een persoonsgegeven zijn als het aan een individuele gebruiker kan worden gekoppeld.

Het begrip is breed. Ook een mening of beoordeling kan een persoonsgegeven zijn als die informatie betrekking heeft op een herkenbare persoon. De vraag is daarom niet alleen wat er letterlijk in een document staat, maar vooral of de informatie iets over een bepaalde persoon zegt of naar die persoon verwijst.

Directe en indirecte persoonsgegevens

Bij directe persoonsgegevens staat de identiteit van de persoon in de informatie zelf. Denk aan een naam, e-mailadres of foto. Bij indirecte persoonsgegevens ontbreekt die directe aanduiding, maar kan de identiteit worden vastgesteld door de gegevens te combineren met andere informatie.

In een casusoverleg kan bijvoorbeeld een combinatie van leeftijd, wijk, gezinssamenstelling en een specifieke gebeurtenis voldoende zijn om een inwoner herkenbaar te maken. Het weglaten van de naam maakt de informatie dan niet automatisch anoniem. Beoordeel altijd welke informatie de ontvangers al hebben en of herkenning redelijkerwijs mogelijk is.

Anonimisering is iets anders dan pseudonimisering. Bij echte anonimisering is een persoon niet meer identificeerbaar en valt de uitkomst niet meer onder de AVG. Het anonimiseren zelf is wel een verwerking van persoonsgegevens. Bij pseudonimisering blijft herleiding mogelijk met aanvullende informatie. Die gegevens blijven daarom persoonsgegevens.

Wanneer zijn gegevens geen persoonsgegevens?

De AVG geldt in beginsel niet voor informatie die alleen over een organisatie gaat, zoals een rechtspersoon. Ook gegevens over overleden personen vallen niet zelfstandig onder de AVG. Die uitzonderingen zijn niet absoluut. Informatie over een organisatie kan alsnog iets zeggen over een natuurlijke persoon, bijvoorbeeld de eigenaar van een klein bedrijf. Ook informatie over een overleden persoon kan betrekking hebben op een levende nabestaande, bijvoorbeeld bij erfelijke aandoeningen.

Anonieme informatie valt buiten de AVG omdat niemand er redelijkerwijs meer mee kan worden geïdentificeerd. Een theoretische mogelijkheid tot identificatie is niet genoeg om informatie als persoonsgegeven aan te merken. Kijk naar de middelen, tijd en kosten die nodig zijn om iemand te herkennen en naar de beschikbare technologie.

Gewone en bijzondere persoonsgegevens

De AVG maakt onderscheid tussen gewone persoonsgegevens en bijzondere categorieën van persoonsgegevens. Bijzondere gegevens zijn extra privacygevoelig. De verwerking ervan is in principe verboden, behalve wanneer een specifieke uitzondering uit de wet van toepassing is.

Bijzondere categorieën zijn gegevens waaruit bijvoorbeeld blijkt:

wat iemands ras of etnische afkomst is;
welke politieke opvattingen of religieuze overtuigingen iemand heeft;
of iemand lid is van een vakbond;
wat iemands gezondheidstoestand is;
wat iemands seksuele gedrag of seksuele gerichtheid is;
welke genetische kenmerken iemand heeft;
welke biometrische kenmerken iemand heeft wanneer die worden gebruikt om iemand uniek te identificeren.

Gezondheidsgegevens komen in het zorg- en veiligheidsdomein vaak voor. Dat maakt een gewone vraag naar informatie niet automatisch toegestaan. Controleer eerst het doel, de wettelijke grondslag, de noodzakelijkheid en de manier waarop u de gegevens beveiligt. Meer achtergrond staat in onze toelichting op gezondheidsgegevens verwerken.

Niet ieder gevoelig gegeven is een bijzondere categorie in de technische betekenis van de AVG. Financiële gegevens, locatiegegevens en communicatiegegevens kunnen wel grote gevolgen hebben voor iemands privacy. Ook daarvoor zijn een passende beveiliging, terughoudendheid en een duidelijke grondslag nodig.

Strafrechtelijke gegevens en het BSN

Strafrechtelijke gegevens hebben betrekking op strafbare feiten en strafrechtelijke veroordelingen. Ook een gegronde verdenking kan hieronder vallen. Deze gegevens zijn volgens de AVG geen bijzondere categorie, maar er gelden wel afzonderlijke en strenge regels voor de verwerking ervan.

Het burgerservicenummer is evenmin een bijzondere categorie volgens de AVG. Het BSN is wel een nationaal identificatienummer waarvoor in Nederland specifieke wettelijke regels gelden. Gebruik het daarom niet alleen omdat het praktisch is. Controleer of er een wettelijke basis is en of het nummer voor het doel noodzakelijk is.

In samenwerkingsverbanden is het onderscheid tussen deze categorieën relevant. Een gegevensset kan gewone identificatiegegevens bevatten, maar ook informatie over gezondheid, strafbare feiten of een BSN. Elke categorie vraagt om een eigen beoordeling. Een gezamenlijke werkwijze maakt gegevensdeling niet vanzelf rechtmatig. Lees ook over privacy samenwerkingsverbanden wanneer meerdere organisaties informatie verwerken voor een gedeelde opgave.

Welke gegevens mag u verwerken?

Dat gegevens persoonsgegevens zijn, betekent niet automatisch dat verwerking verboden is. Het betekent wel dat de AVG van toepassing is. Voor iedere verwerking moet u kunnen uitleggen:

voor welk duidelijk doel u de gegevens gebruikt;
welke wettelijke grondslag daarbij hoort;
waarom de gegevens daarvoor noodzakelijk zijn;
welke gegevens u niet nodig heeft en dus weglaat;
wie toegang krijgt en met wie u de gegevens deelt;
hoe lang u de gegevens bewaart;
hoe u de gegevens beveiligt.

De AVG kent zes grondslagen, waaronder toestemming, een wettelijke verplichting en een taak van algemeen belang. Welke grondslag passend is, hangt af van de situatie en van de rol van de organisatie. Bij bijzondere en strafrechtelijke gegevens is naast een algemene grondslag een aanvullende wettelijke uitzondering of regeling nodig.

Dataminimalisatie is een praktisch uitgangspunt. Noteer in een casusoverleg niet alles wat u over een inwoner weet, maar alleen wat nodig is voor het afgesproken doel. Beschrijf ook waarom de informatie relevant is. Zo kunnen collega’s later controleren of de registratie en eventuele gegevensdeling nog steeds nodig zijn.

Een praktische controle voor professionals

Gebruik bij een nieuwe registratie of een verzoek om gegevensdeling de volgende volgorde:

1. Bepaal over wie de informatie gaat

Is een natuurlijke persoon direct of indirect herkenbaar? Kijk niet alleen naar namen, maar ook naar combinaties van kenmerken, gebeurtenissen en dossiers.

2. Bepaal om welk type gegevens het gaat

Gaat het om gewone persoonsgegevens, bijzondere gegevens, strafrechtelijke informatie of een nationaal identificatienummer? Leg vast welke categorie van toepassing is.

3. Verduidelijk het doel

Formuleer concreet wat u met de informatie wilt bereiken. Een algemeen doel zoals ‘samenwerken’ is te weinig precies om de noodzaak van iedere gegevenssoort te beoordelen.

4. Controleer grondslag en noodzaak

Vraag per gegeven waarom het nodig is en welke wettelijke basis de verwerking ondersteunt. Deel geen informatie omdat die beschikbaar is of omdat een samenwerkingspartner erom vraagt.

5. Beperk toegang en bewaartermijn

Geef alleen bevoegde medewerkers toegang. Spreek af wanneer de gegevens worden verwijderd of opnieuw beoordeeld. Bewaar persoonsgegevens niet langer dan noodzakelijk is.

6. Leg de afweging vast

Noteer de gekozen grondslag, het doel, de betrokken gegevens en de gemaakte afwegingen. Dat helpt bij overdracht, toezicht en een later verzoek van de betrokkene.

Een privacyprofessional controleert op een laptop welke gegevens in een digitaal casusdossier noodzakelijk zijn

Deze controle sluit aan bij zorgvuldig samenwerken, maar vervangt geen beoordeling van de specifieke wettelijke regeling. Bij complexe casuïstiek kan een privacyfunctionaris, juridisch adviseur of functionaris gegevensbescherming nodig zijn.

Veelgemaakte fouten bij gegevensdeling

Een veelvoorkomende fout is de aanname dat informatie mag worden gedeeld zodra meerdere betrokken organisaties hetzelfde probleem willen oplossen. Een gezamenlijk belang is op zichzelf geen grondslag. Iedere organisatie moet haar eigen bevoegdheid, doel en verantwoordelijkheid kunnen onderbouwen.

Een tweede fout is het verwarren van een naamloos dossier met anonieme informatie. Een kleine doelgroep, een unieke gebeurtenis of aanvullende kennis kan iemand alsnog herkenbaar maken. Beoordeel daarom de volledige context.

Ook worden bijzondere gegevens soms behandeld alsof het gewone persoonsgegevens zijn. Gezondheidsinformatie, gegevens over religie of informatie over strafbare feiten vragen om extra wettelijke en organisatorische waarborgen. Neem die beoordeling op in het werkproces, niet pas nadat de informatie al is gedeeld.

Tot slot is ‘alles delen wat mogelijk relevant kan zijn’ geen goede standaard. Werk met een gerichte vraag, beperk de gegevensset en bespreek vooraf wie de informatie nodig heeft. Dat beschermt de betrokkene en maakt samenwerking beter uitvoerbaar.

Veelgestelde vragen over persoonsgegevens

Is een e-mailadres een persoonsgegeven?

Ja, wanneer het e-mailadres naar een natuurlijke persoon verwijst of aan die persoon kan worden gekoppeld. Een algemeen adres zoals info@organisatie.nl zegt niet zonder meer iets over een natuurlijke persoon. Een persoonlijk werkadres kan dat wel doen.

Zijn gegevens over een organisatie altijd uitgezonderd?

Nee. Gegevens over een rechtspersoon vallen niet zelfstandig onder de AVG, maar kunnen ook informatie over een natuurlijke persoon bevatten. Dat kan bijvoorbeeld het geval zijn bij een eenmanszaak of een klein bedrijf waarvan de informatie direct iets over de eigenaar zegt.

Zijn gezondheidsgegevens altijd bijzondere persoonsgegevens?

Gegevens over de lichamelijke of geestelijke gezondheid vallen onder de bijzondere categorieën van de AVG. Voor verwerking gelden daarom extra voorwaarden naast de algemene regels voor persoonsgegevens.

Is een BSN een bijzonder persoonsgegeven?

Nee, het BSN is volgens de AVG geen bijzondere categorie. In Nederland gelden wel specifieke regels voor het gebruik van nationale identificatienummers. Controleer daarom altijd de wettelijke basis en de noodzaak.

Mag een organisatie alle gegevens uit een dossier delen?

Nee. De organisatie moet per gegeven beoordelen of delen noodzakelijk is voor een duidelijk doel, op een geldige grondslag berust en volgens de toepasselijke regels gebeurt. Een volledig dossier doorsturen is niet automatisch toegestaan.

Conclusie

Welke gegevens persoonsgegevens zijn, hangt af van de vraag of informatie direct of indirect naar een natuurlijke persoon verwijst. Namen en adressen vallen er duidelijk onder, maar ook beelden, geluidsopnames, nummers, meningen en combinaties van gegevens kunnen persoonsgegevens zijn. Gezondheidsgegevens, strafrechtelijke gegevens en het BSN vragen om extra aandacht.

Voor professionals begint zorgvuldige gegevensdeling daarom met een concrete analyse: over wie gaat de informatie, welk type gegevens betreft het, welk doel en welke grondslag gelden, en welke gegevens zijn werkelijk nodig? Door die stappen vast te leggen, kunnen zorg-, veiligheids- en gemeentelijke partners gericht samenwerken met respect voor de privacy van inwoners.