Regels
Welke gegevens de wet bijzonder noemt, waarom verwerken verboden is tenzij een uitzondering geldt, en wat dat betekent voor dossiers in een AI-chatbot.
Bijzondere persoonsgegevens zijn persoonsgegevens die zo gevoelig zijn dat de AVG het verwerken ervan verbiedt, tenzij een wettelijke uitzondering geldt. Het gaat om gegevens waaruit iemands afkomst, politieke opvattingen, geloof of vakbondslidmaatschap blijkt, en om gegevens over gezondheid, seksueel gedrag of seksuele gerichtheid, genetische gegevens en biometrische gegevens voor identificatie.
De wet zelf spreekt van "bijzondere categorieën van persoonsgegevens". De lijst staat in artikel 9 lid 1 van de AVG en is gesloten: wat er niet op staat, is geen bijzonder persoonsgegeven, hoe gevoelig het ook voelt. De Autoriteit Persoonsgegevens (AP) legt op haar pagina wat zijn persoonsgegevens uit waarom de categorie bestaat: de gegevens zijn zo privacygevoelig dat verwerking grote gevolgen voor iemand kan hebben. Dit artikel is uitleg en geen juridisch advies. Of een uitzondering in jouw situatie opgaat, beoordeel je met je functionaris gegevensbescherming of een jurist.
Artikel 9 lid 1 noemt acht soorten.
Bij de eerste vier soorten gaat het volgens de wettekst om gegevens "waaruit" iets "blijkt". Het gegeven hoeft dus niet in een veld met een etiket te staan. Een zin in een gespreksverslag waaruit je iemands geloof of vakbondslidmaatschap kunt opmaken, valt eronder.
De definitie in artikel 4 omvat gegevens over de fysieke en de mentale gezondheid, en ook gegevens over verleende gezondheidsdiensten waarmee informatie over iemands gezondheidstoestand wordt gegeven. Een ziekmelding of een verwijzing kan dus een gezondheidsgegeven zijn.
Vaker dan je denkt, en zelden op de plek waar je ze verwacht. De tabel geeft per categorie een fictief voorbeeld en de documenten waarin kantoren ze tegenkomen. De laatste twee regels zijn geen bijzondere persoonsgegevens, maar worden er vaak mee verward.
| Categorie | Voorbeeld | Waar het in dossiers opduikt |
|---|---|---|
| Gezondheid | "Is sinds maart thuis met een burn-out" | Verzuimdossier, e-mail aan de leidinggevende, letselschadedossier, aanvraag voor een verzekering |
| Ras of etnische afkomst | Geboorteland van de ouders in een intakeformulier | Personeelsdossier, cliëntdossier, aanvraagformulier |
| Politieke opvattingen | "Zit namens een partij in de gemeenteraad" | Cv, sollicitatiebrief, notitie over nevenfuncties |
| Geloof of levensovertuiging | Verzoek om vrij voor een religieuze feestdag | Verlofaanvraag, gespreksverslag, ledenlijst |
| Vakbondslidmaatschap | Inhouding van contributie op de loonstrook | Loonadministratie, verslag van een overleg over een reorganisatie |
| Genetische gegevens | Uitslag van een erfelijkheidsonderzoek | Medisch dossier, dossier van een verzekeraar |
| Biometrische gegevens voor identificatie | Vingerafdruk voor toegang tot een gebouw | Toegangssysteem, tijdregistratie, inlog met gezichtsherkenning |
| Seksueel gedrag of seksuele gerichtheid | Opmerking over iemands geaardheid in een klacht over bejegening | Klachtdossier, verslag van een vertrouwenspersoon, familierechtelijk dossier |
| Strafrechtelijke gegevens (geen bijzonder persoonsgegeven) | Aangifte van diefstal door een medewerker | Ontslagdossier, schadedossier, screening |
| BSN (geen bijzonder persoonsgegeven) | Nummer op een loonstrook | Loonadministratie, kopie van een identiteitsbewijs, polisblad |
Een verzuimdossier bevat een naam, een BSN en gezondheidsgegevens. De zwaarste soort in het document bepaalt wat je moet regelen voor het hele document.
Bij gewone persoonsgegevens is de vraag of je een grondslag hebt. Bij bijzondere persoonsgegevens draait de wet het om: artikel 9 lid 1 verbiedt de verwerking, en lid 2 somt op wanneer het verbod niet geldt.
Je hebt dus twee dingen nodig. De AP zegt het op haar pagina grondslagen AVG uitgelegd zo: de verwerking is verboden tenzij je je op een uitzondering kunt beroepen, en daarnaast heb je een van de grondslagen voor gewone persoonsgegevens nodig.
De reden is het risico. De AP noemt bij datalekken discriminatie als mogelijke schade van gelekte gegevens over afkomst, geloof of seksuele geaardheid. De wet weegt hier ook elders zwaarder: bij grootschalige verwerking is een DPIA vereist (artikel 35), en bij een datalek houd je volgens de AP in elk geval rekening met een hoog risico. Zie Wat is een datalek?.
Artikel 9 lid 2 bevat tien uitzonderingen. Volgens de AP gelden er vijf alleen als een nationale wet er een basis voor geeft. Samengevat:
Toestemming moet uitdrukkelijk zijn, voor een welbepaald doel, en ze kan worden ingetrokken. Daarna heb je geen uitzondering meer. Bouw een werkproces daarom niet op toestemming als een van de andere uitzonderingen past.
Een arts mag gezondheidsgegevens verwerken voor de behandeling, een advocaat voor een rechtszaak. Dat zegt nog niets over wat er daarna met die gegevens mag. Dezelfde gegevens voor een ander doel of met een ander hulpmiddel verwerken, vraagt opnieuw de toets: is dit nodig voor dat doel?
Nederland heeft de uitzonderingen uitgewerkt in de artikelen 22 tot en met 30 van de Uitvoeringswet AVG (tekst geldend vanaf 1 september 2026). Artikel 22 herhaalt het verbod. Daarna volgt een regeling per soort gegeven.
De wet bevat ook een artikel 23a over verplichte accountantsopdrachten; volgens de tekst op wetten.overheid.nl was dat onderdeel op 13 oktober 2026 nog niet in werking getreden.
Artikel 30 noemt per soort organisatie wanneer het verbod niet geldt.
Daar hoort een voorwaarde bij die vaak wordt vergeten. Volgens het vierde lid worden de gegevens alleen verwerkt door personen die tot geheimhouding verplicht zijn, uit hoofde van ambt, beroep, wettelijk voorschrift of een overeenkomst.
De AP wijst er op haar pagina over biometrie op dat het bevestigen van iemands identiteit met biometrische gegevens onder dezelfde regels valt als identificatie.
Volgens de AP zijn strafrechtelijke gegevens en het BSN geen bijzondere persoonsgegevens in de zin van de AVG. Voor beide gelden wel speciale regels.
Artikel 10 van de AVG bepaalt dat persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten alleen mogen worden verwerkt onder toezicht van de overheid of als een wet dat toestaat. Volgens de AP vallen daar ook mogelijk gegronde verdenkingen onder: concrete aanwijzingen dat iemand een strafbaar feit heeft gepleegd.
De Uitvoeringswet AVG werkt dat uit in de artikelen 31 tot en met 33. Artikel 32 bevat algemene gronden, zoals uitdrukkelijke toestemming en de rechtsvordering. Artikel 33 bevat specifieke gronden: een organisatie mag bijvoorbeeld strafrechtelijke gegevens verwerken ter bescherming van haar eigen belangen, bij strafbare feiten die tegen haar of haar personeel zijn of naar verwachting worden gepleegd.
Sinds 1 september 2026 bevat artikel 33 een vijfde lid: strafrechtelijke gegevens mogen worden verwerkt als dat noodzakelijk is voor een opdracht die een accountant op grond van een wettelijk voorschrift verricht. De AP noemt die uitzondering op haar pagina over de grondslagen.
Artikel 87 van de AVG laat de regels voor een nationaal identificatienummer aan de lidstaten. Artikel 46 van de Uitvoeringswet AVG is kort: een nummer dat bij wet is voorgeschreven om iemand te identificeren, wordt alleen gebruikt ter uitvoering van die wet of voor doelen die de wet noemt. De AP vat het op haar pagina over het BSN samen: organisaties buiten de overheid mogen het BSN alleen gebruiken als dat wettelijk is bepaald, zoals in de zorg en het onderwijs.
Een dieetwens, een afwezigheid op vrijdagmiddag, een lidmaatschap van een patiëntenvereniging: je kunt er iets uit opmaken. Hoe ver dat bij indirecte aanwijzingen reikt, is een juridische vraag die de wettekst niet tot in detail beantwoordt. Ga er in de praktijk van uit dat een gegeven waaruit je een bijzonder kenmerk redelijkerwijs kunt afleiden, de zwaardere behandeling verdient, en vraag bij twijfel een jurist.
Een foto is niet vanzelf een bijzonder persoonsgegeven. Overweging 51 bij de AVG zegt dat de verwerking van foto's niet systematisch als verwerking van bijzondere categorieën mag worden beschouwd: foto's vallen alleen onder de definitie van biometrische gegevens als ze met technische middelen worden verwerkt die unieke identificatie of authenticatie mogelijk maken. Een pasfoto in een personeelsdossier geldt daarmee in de regel als een gewoon persoonsgegeven. Dezelfde foto in een systeem voor gezichtsherkenning niet.
Financiële gegevens, locatiegegevens en gegevens over communicatie zijn volgens de AP gevoelig, maar geen bijzondere persoonsgegevens. Het verbod van artikel 9 geldt er niet voor; bij de beveiliging en bij een datalek tellen ze wel zwaar mee.
"We hebben een overeenkomst met de klant" is een grondslag uit artikel 6. Het is geen uitzondering uit artikel 9. Wie gezondheidsgegevens van een klant verwerkt, heeft beide nodig.
De uitzondering dekt een doel. Een nieuw systeem of een nieuwe ontvanger vraagt een nieuwe toets, een regel in het verwerkingsregister en vaak een DPIA.
De vraag is of jouw organisatie de gegevens met dat systeem mag verwerken. Daarvoor heb je hetzelfde nodig: een grondslag en een uitzondering, voor dit doel en met deze ontvanger.
Wie een verzuimdossier in een chatvenster plakt om een samenvatting te krijgen, verstrekt gezondheidsgegevens aan de aanbieder van die chatbot. De uitzondering voor re-integratie is geschreven voor de begeleiding van de werknemer. Of ze ook dekt dat het dossier naar een algemene AI-dienst gaat, is een vraag over noodzaak.
De AP waarschuwde in 2024 na meldingen van datalekken, waaronder een huisartsenpraktijk waar een medewerker tegen de afspraken in medische gegevens van patiënten in een AI-chatbot had ingevoerd.
Wat je per soort gegeven moet regelen voordat het in een chatbot mag, staat in klantgegevens in een AI-chatbot: de regels per soort gegeven. Voor beroepsgroepen met een geheimhoudingsplicht komt daar het beroepsgeheim bij; zie beroepsgeheim en AI.
Artikel 22 lid 4 van de AVG is streng voor volledig geautomatiseerde besluiten: die mogen niet op bijzondere categorieën worden gebaseerd, tenzij er uitdrukkelijke toestemming is of een zwaarwegend algemeen belang op grond van een wet, met passende maatregelen. Wie AI inzet om mensen te selecteren of te beoordelen, krijgt hiermee te maken.
PrivaSearch is gemaakt voor stap 3. Persoonsgegevens zoals namen, adressen, BSN's, IBAN's, kentekens en geboortedata worden binnen PrivaSearch herkend en vervangen door pseudoniemen. Daarna ziet een collega het origineel naast de gepseudonimiseerde tekst, vult aan wat het model miste en keurt goed. Pas dan is een document doorzoekbaar. De stappen staan op hoe PrivaSearch werkt.
Voor bijzondere persoonsgegevens is één ding belangrijk om te begrijpen. Pseudonimiseren haalt weg over wie een zin gaat, niet wat er in de zin staat. "Is thuis met een burn-out" blijft staan, gekoppeld aan een pseudoniem in plaats van een naam. Voor jouw organisatie blijft dat een gezondheidsgegeven: de uitzondering op het verbod, de grondslag en de DPIA blijven van jou. Een indirect herleidbaar detail vraagt om een oplettende reviewer; de review is daarom verplicht.
Een gekoppelde assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages en geen originele bestanden, bestandsnamen of links. Koppelen kan met Claude, ChatGPT Business en Mistral Vibe (voorheen Le Chat). Wat je zelf in de assistent typt, gaat rechtstreeks naar de aanbieder: typ daar geen namen. Meer staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Je omgeving maakt startdocumenten, waaronder een DPIA-startdocument en de uitgeschreven grondslag met, bij bijzondere categorieën, de uitzonderingsgrond. Het is geen juridisch advies; zie AVG en EU AI Act. Wil je het zien met een eigen soort dossier, vraag dan een demo aan.
Bijzondere persoonsgegevens zijn gegevens waaruit iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of vakbondslidmaatschap blijkt, en daarnaast genetische gegevens, biometrische gegevens voor unieke identificatie, gegevens over gezondheid en gegevens over seksueel gedrag of seksuele gerichtheid. Verwerken is verboden, tenzij een wettelijke uitzondering geldt.
Nee. Het BSN staat niet in de lijst van de AVG. Er gelden wel eigen regels: een nummer dat bij wet is voorgeschreven om iemand te identificeren, mag in Nederland alleen worden gebruikt ter uitvoering van die wet of voor doelen die de wet noemt. Organisaties buiten de overheid mogen het BSN dus alleen gebruiken als een wet dat bepaalt.
Nee, maar ze worden vergelijkbaar streng behandeld. Gegevens over veroordelingen en strafbare feiten, en volgens de toezichthouder ook gegronde verdenkingen, mogen alleen worden verwerkt onder toezicht van de overheid of als een wet het toestaat. In Nederland staat in de Uitvoeringswet AVG in welke gevallen dat mag. Daarnaast heb je een gewone grondslag nodig.
Niet vanzelf. Een foto is een persoonsgegeven als iemand erop te herkennen is. Een bijzonder persoonsgegeven wordt het pas als de foto met technische middelen wordt verwerkt om iemand uniek te identificeren of zijn identiteit te bevestigen, zoals bij gezichtsherkenning. Dan gaat het om biometrische gegevens. Een pasfoto in een personeelsdossier valt daar niet onder.
Alleen voor zover de wet het toestaat. De Uitvoeringswet AVG noemt regelingen met aanspraken die afhangen van de gezondheidstoestand, en de re-integratie of begeleiding bij ziekte of arbeidsongeschiktheid. De verwerking moet daarvoor noodzakelijk zijn en gebeurt door mensen met een geheimhoudingsplicht. Wat precies mag worden vastgelegd, vraagt een oordeel per situatie.
In de regel niet. Je hebt een grondslag nodig en een wettelijke uitzondering die ook dekt dat de gegevens naar de aanbieder van de chatbot gaan, en die is er voor "even samenvatten" zelden. Op een gratis of persoonlijk account ontbreekt bovendien een verwerkersovereenkomst. Laat een jurist of je functionaris gegevensbescherming beoordelen of er in jouw geval een uitzondering is.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →