Persoonsgegevens zijn alle gegevens over een levend persoon die geïdentificeerd is of te identificeren is. Dat staat in artikel 4 van de AVG. Het gaat dus niet alleen om je naam of BSN, maar om alles wat naar jou wijst: een e-mailadres, een IP-adres, een foto, een diagnose in je dossier, of een combinatie van postcode, geboortedatum en beroep. Zodra iets naar een persoon te herleiden is, geldt de AVG. Gegevens die echt anoniem zijn, vallen erbuiten.
Een voorbeeld uit de praktijk
Administratiekantoor Visser in Groningen (een verzonnen voorbeeld) heeft een klantmap van tandarts Jeroen Smit. Daarin staan:
- zijn naam, adres en telefoonnummer (duidelijk persoonsgegevens);
- zijn inkomen, zijn hypotheek en een notitie over een lopende scheiding (ook persoonsgegevens, want ze gaan over hem);
- de omzet van zijn praktijk (omdat hij een eenmanszaak heeft, is ook dat over hem als persoon);
- een spreadsheet met "klant 117, tandarts, Groningen, 52 jaar". Geen naam, maar in een stad met een handvol tandartsen van die leeftijd vind je hem zo terug. Ook dat is een persoonsgegeven.
De definitie, simpel uitgelegd
Geïdentificeerd of identificeerbaar. Iemand is identificeerbaar als je hem direct of indirect kunt herkennen, bijvoorbeeld via een naam, een identificatienummer, locatiegegevens, een online identificator of kenmerken van zijn fysieke, economische, culturele of sociale identiteit (art. 4 lid 1 AVG).
Voorbeelden van gewone persoonsgegevens:
- naam, adres, telefoonnummer, e-mailadres;
- geboortedatum, BSN, klantnummer, kenteken;
- IP-adres, cookie-ID, locatiegegevens;
- foto's, stemopnames, beoordelingen, salaris.
Bijzondere persoonsgegevens (art. 9 AVG). Voor gegevens over gezondheid, genetica, biometrie, religie of levensovertuiging, ras of etnische afkomst, politieke opvattingen, lidmaatschap van een vakbond en seksueel gedrag of geaardheid geldt een verbod, tenzij een uitzondering van toepassing is. Voor strafrechtelijke gegevens gelden aparte regels (art. 10 AVG).
Het BSN. In Nederland mag je het burgerservicenummer alleen gebruiken als een wet dat toestaat. Dat staat in de Uitvoeringswet AVG.
Wat geen persoonsgegevens zijn. Gegevens over een bv als rechtspersoon, gegevens over overleden personen, en gegevens die echt anoniem zijn (overweging 26 AVG).
Wie persoonsgegevens verwerkt, heeft een grondslag nodig en moet de regels van de AVG volgen. In Nederland houdt de Autoriteit Persoonsgegevens toezicht. Boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.
Dit is algemene informatie, geen juridisch advies.
Wat de definitie niet beschermt
De definitie bepaalt waar de AVG begint, en dus ook waar ze ophoudt.
- Zonder herleidbaarheid geen bescherming. De wet beschermt het deel dat naar een persoon wijst. Haal dat deel weg en de rest, het inkomen, de diagnose, de clausule, is geen persoonsgegeven meer. Zulke anonieme gegevens kunnen legaal worden samengevoegd, in licentie gegeven en verkocht, bijvoorbeeld aan databrokers, verzekeraars of AI-ontwikkelaars. Op het datapad zie je stap voor stap wat er bij het strippen overblijft en wie daarvoor zou betalen. De bronnen staan op legaal te koop.
- Een code is geen anonimisering. "Klant 117" blijft een persoonsgegeven zolang iemand het kan terugkoppelen. Lees het verschil in pseudonimisering en anonimisering.
- Herkennen is makkelijker dan je denkt. Latanya Sweeney liet zien dat ongeveer 87% van de Amerikanen te identificeren is met postcode, geboortedatum en geslacht. In 2019 vond een studie in Nature Communications dat 99,98% van de Amerikanen te herkennen is met 15 kenmerken.
- Voorwaarden kunnen een licentie geven. Als de gebruiksvoorwaarden van een dienst de aanbieder toestaan je inhoud te gebruiken of te anonimiseren, is dat hergebruik contractueel geregeld, buiten jouw zicht.
Wat dit betekent als je AI-tools gebruikt
Bijna alles wat je in een AI-tool typt over klanten, patiënten of collega's bevat persoonsgegevens. Een korte controle:
- Is de aanbieder verwerker, met een verwerkersovereenkomst?
- Staat er een licentie in de voorwaarden om je inhoud te gebruiken, te verbeteren of te anonimiseren?
- Wordt er op je gegevens getraind, of is dat contractueel uitgesloten?
- Waar worden de gegevens verwerkt, en worden ze na verwerking verwijderd?
- Voor bijzondere gegevens: heb je een uitzondering op het verbod, bijvoorbeeld uitdrukkelijke toestemming?
Wysor is verwerker en handelt alleen op jouw instructies (art. 28 AVG). We nemen geen licentie om je inhoud te hergebruiken, we trainen er nooit op en we verkopen haar nooit, geanonimiseerd of niet. Dat staat in het contract en bindt ook iedereen die Wysor ooit zou overnemen. Je gegevens zijn versleuteld tijdens transport en in opslag, gehost in de EU, en bij elke aangesloten AI-modelaanbieder geldt zero data retention: verwerkt, daarna verwijderd. Je werkt met GPT, Claude, Gemini en meer in één werkruimte.
Veelgestelde vragen
Wat zijn voorbeelden van persoonsgegevens? Naam, adres, e-mailadres, telefoonnummer, BSN, geboortedatum, IP-adres, foto's, locatiegegevens en salaris. Ook een combinatie van losse kenmerken kan een persoonsgegeven zijn als je iemand daarmee herkent.
Wat zijn bijzondere persoonsgegevens? Gegevens over gezondheid, genetica, biometrie, religie, etnische afkomst, politieke opvattingen, vakbondslidmaatschap en seksueel gedrag of geaardheid. Die mag je in principe niet verwerken, tenzij een uitzondering uit artikel 9 AVG geldt.
Is een e-mailadres een persoonsgegeven? Ja, als het naar een persoon te herleiden is, zoals [email protected]. Een algemeen adres als info@ van een bedrijf is dat meestal niet, tenzij het om een eenmanszaak gaat.
Is een IP-adres een persoonsgegeven? Meestal wel, omdat het met andere informatie aan een persoon te koppelen is.
Zijn bedrijfsgegevens persoonsgegevens? Gegevens over een rechtspersoon, zoals een bv, zijn dat niet. Gegevens over een eenmanszaak of over medewerkers en contactpersonen wel.
Verder lezen
- Wat is de AVG? Eenvoudig uitgelegd
- Beroepsgeheim eenvoudig uitgelegd
- Pseudonimisering en anonimisering: het verschil
- AVG-conforme AI
- Wat is een prompt? En wat je er nooit in zet
- Wat is AI? Eenvoudig uitgelegd
Vragen over persoonsgegevens in Wysor? Schrijf naar [email protected] of gebruik het contactformulier in de app.
