Regels
Wat persoonsgegevens zijn, met voorbeelden van een naam tot een IP-adres, wat er niet onder valt en wat dat betekent voor een dossier in een AI-chatbot.
Persoonsgegevens zijn alle gegevens die over een levend mens gaan of naar die persoon te herleiden zijn. Een naam en een adres vallen eronder, maar ook een klantnummer, een foto, een IP-adres of een notitie over iemands gedrag. Het maakt niet uit of de informatie openbaar of zakelijk is. Bepalend is of je kunt achterhalen over wie het gaat.
De definitie staat in artikel 4 lid 1 van de AVG: "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon". De wet noemt die persoon de betrokkene. De Autoriteit Persoonsgegevens (AP) vat het op haar pagina wat zijn persoonsgegevens zo samen: de informatie gaat ofwel direct over iemand, ofwel is ze naar die persoon te herleiden.
Dit artikel legt uit wat het begrip inhoudt. Het is geen juridisch advies. Bij een grensgeval heb je het oordeel van een jurist of van je functionaris gegevensbescherming (FG) nodig.
De Europese toezichthouders hebben de definitie in hun advies over het begrip persoonsgegeven uit 2007 in vier elementen opgedeeld. Het advies hoort bij de richtlijn die aan de AVG voorafging, maar de AP verwijst er nog steeds naar.
Het begrip is ruim bedoeld. Het gaat om feiten, zoals een geboortedatum, en om oordelen, zoals een beoordeling in een functioneringsverslag. De vorm doet er niet toe: tekst, beeld, geluid of een getal in een spreadsheet.
Informatie gaat over iemand als ze iets over die persoon zegt, als ze wordt gebruikt om die persoon te beoordelen of te behandelen, of als ze gevolgen voor hem kan hebben. Het advies geeft het voorbeeld van een onderhoudsregister van een garage. De gegevens gaan over een auto. Zodra de garage ze koppelt aan de eigenaar om een factuur te sturen, gaan ze ook over die eigenaar.
Iemand is geïdentificeerd als je weet wie het is. Iemand is identificeerbaar als je dat kunt achterhalen. De wet noemt als hulpmiddelen een naam, een identificatienummer, locatiegegevens, een online identificator en kenmerken van iemands fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit.
De AVG beschermt mensen. Een bv, een stichting of een gemeente is geen natuurlijke persoon. Voor overledenen geldt de wet evenmin. Beide komen hieronder terug, want er zijn uitzonderingen.
De AP onderscheidt directe en indirecte persoonsgegevens. Directe persoonsgegevens gaan rechtstreeks over iemand: een naam, een pasfoto. Indirecte persoonsgegevens gaan niet direct over iemand, maar zeggen in combinatie met andere gegevens toch iets over een persoon.
Overweging 26 van de AVG geeft de maatstaf. Je houdt rekening met alle middelen waarvan redelijkerwijs te verwachten is dat de organisatie zelf of iemand anders ze gebruikt om de persoon te identificeren. Daarbij tellen objectieve factoren mee: de kosten, de tijd die het vraagt, de beschikbare technologie en de ontwikkeling daarvan.
Dat betekent twee dingen. Een theoretische mogelijkheid die niemand redelijkerwijs zal gebruiken, maakt gegevens nog niet tot persoonsgegevens. En wat vandaag niet te herleiden is, kan dat over een paar jaar wel zijn.
Eén gegeven zegt soms weinig. Twee of drie samen wijzen één persoon aan. De AP geeft een voorbeeld op haar pagina over pseudonimiseren: een geboortedatum met de vier cijfers van een postcode is vaak uniek genoeg om iemand te vinden.
In dossiers werkt het net zo. Een fictief voorbeeld: in een verslag van administratiekantoor De Meerkoet staat dat "de eigenaar van de bakkerij aan het plein" een betalingsachterstand heeft. Wie het dorp kent, heeft geen naam nodig.
De AP noemt als voor de hand liggende voorbeelden een naam, een adres, een telefoonnummer en een pasfoto. Daarnaast noemt ze informatie over wat iemand op internet doet of koopt, of iemand allergieën heeft, klant- en personeelsnummers en camerabeelden of geluidsopnames waarop iemand te herkennen is.
De tabel loopt de gegevens langs waar organisaties het vaakst over twijfelen. "Hangt af" betekent: kijk naar wie het gegeven in handen heeft en wat die ermee kan.
| Gegeven | Persoonsgegeven? | Waarom |
|---|---|---|
| Naam, adres, telefoonnummer | Ja | Wijst iemand rechtstreeks aan. |
| Persoonlijk e-mailadres, ook een zakelijk adres op naam | Ja | Hoort bij één persoon; de AP rekent een bedrijfsadres dat één werknemer gebruikt tot de persoonsgegevens. |
| Algemeen adres van een organisatie, zoals info@ | Hangt af | Geen persoonsgegeven zolang het over de organisatie gaat; wel als maar één persoon het gebruikt. |
| Klantnummer of personeelsnummer | Ja | Een identificatienummer waarmee de organisatie zelf de persoon terugvindt. |
| BSN | Ja | Een uniek persoonsnummer, met eigen wettelijke regels voor het gebruik. |
| IP-adres | Hangt af, meestal ja | De wet noemt online identificatoren; volgens de AP kan een IP-adres een persoonsgegeven zijn. |
| Kenteken | Hangt af, meestal ja | Is terug te voeren op de eigenaar van het voertuig. |
| Foto of camerabeeld | Ja, als iemand herkenbaar is | Beeld waarop een persoon te herkennen is. |
| Stemopname | Ja, als iemand herkenbaar is | De AP noemt geluidsopnames waarop iemand te herkennen is. |
| Locatiegegevens van een telefoon of auto | Ja | De wet noemt locatiegegevens als identificator; de AP rekent ze tot de gevoelige gegevens. |
| Naam, adres en KvK-nummer van een bv | Nee, tenzij | Gegevens over een rechtspersoon; wel als de naam is afgeleid van een persoon of als het iets over de eigenaar zegt. |
| Gegevens over een overledene | Nee, tenzij | Vallen buiten de AVG, behalve als ze ook iets zeggen over een levende persoon. |
| Dossier waarin namen zijn vervangen door codes | Ja, voor wie de sleutel heeft | Gepseudonimiseerd is niet anoniem. |
Overweging 30 van de AVG noemt IP-adressen, identificatiecookies en vergelijkbare kenmerken van apparaten. Ze laten sporen achter die, zeker in combinatie met andere informatie, kunnen worden gebruikt om profielen van mensen op te stellen en hen te herkennen.
Een foto, een opname van een vergadering of beelden van een beveiligingscamera zijn persoonsgegevens als iemand erop te herkennen is. Een transcript van een gesprek ook: er staan namen in, en wat iemand zegt, gaat over hem. Wat dat betekent voor automatische verslagen lees je in AI-notulen en de AVG.
De AP noemt twee soorten gegevens die volgens de AVG geen persoonsgegevens zijn: gegevens over organisaties en gegevens van overleden personen. Daar komen anonieme gegevens bij. Bij alle drie hoort een voorbehoud.
Overweging 14 zegt dat de AVG niet gaat over gegevens van rechtspersonen, zoals de naam, de rechtsvorm en de contactgegevens van een onderneming. Volgens de AP wordt het anders als de informatie ook iets zegt over een mens. Ze noemt drie gevallen:
In die gevallen zijn het wel persoonsgegevens.
Overweging 27 zegt dat de AVG niet van toepassing is op de persoonsgegevens van overleden personen, en dat lidstaten daar eigen regels over mogen vaststellen. De AP wijst op de keerzijde: informatie over een overledene kan iets zeggen over een levende persoon, bijvoorbeeld bij een erfelijke ziekte. Dan zijn het persoonsgegevens van die levende persoon.
Gegevens zijn anoniem als ze geen betrekking hebben op een identificeerbare persoon, of zo zijn bewerkt dat niemand meer te herleiden is. Overweging 26 zegt dat de AVG daar niet voor geldt. De lat ligt hoog. Een naam weghalen is niet genoeg als de rest van het document nog naar iemand wijst.
Niet alle persoonsgegevens worden gelijk behandeld. Hoe gevoeliger het gegeven, hoe strenger de regels.
De AP gebruikt daarnaast het begrip gevoelige persoonsgegevens voor gegevens die niet in de wet zijn uitgezonderd, maar wel meer impact hebben: gegevens over elektronische communicatie, locatiegegevens, financiële gegevens en het BSN. Een volledige lijst bestaat niet.
De acht bijzondere categorieën, de uitzonderingen en de fouten die daarbij worden gemaakt, staan in bijzondere persoonsgegevens.
Ja, voor de organisatie die de sleutel heeft. Pseudonimiseren is volgens artikel 4 lid 5 het zo verwerken van persoonsgegevens dat ze niet meer aan een persoon kunnen worden gekoppeld zonder aanvullende gegevens, die apart worden bewaard. Overweging 26 voegt toe dat gepseudonimiseerde gegevens die met aanvullende gegevens aan iemand te koppelen zijn, gelden als gegevens over een identificeerbare persoon.
De AP noemt pseudonimiseren een beveiligingsmaatregel en zegt uitdrukkelijk dat het geen anonimiseren is. Ze waarschuwt ook voor de halve variant: wie alleen de direct identificerende informatie weghaalt, zoals namen, heeft niet gepseudonimiseerd als de rest genoeg informatie bevat om mensen te herleiden.
Of dezelfde gegevens voor een ontvanger zonder sleutel ook persoonsgegevens zijn, is een vraag waarover het Hof van Justitie zich in 2025 heeft uitgesproken. Wat dat arrest wel en niet betekent, staat in pseudonimiseren of anonimiseren. Er ligt daarnaast een Europees voorstel om de definitie van persoonsgegevens aan te passen. Zolang dat geen wet is, geldt de tekst van artikel 4 zoals hij hierboven staat. Loop de stand na voordat je erop bouwt.
Voor de AVG is een chatbot geen bijzonder geval. De vraag is wat je met de gegevens doet, en dat heet verwerken.
Verwerken is volgens artikel 4 lid 2 vrijwel alles wat je met persoonsgegevens kunt doen, van verzamelen en opslaan tot raadplegen, verstrekken en wissen. Een tekst in een chatvenster plakken of een bestand uploaden valt daaronder: je verstrekt de gegevens aan de aanbieder van de chatbot. De AP waarschuwde in augustus 2024 dat ze meerdere meldingen van datalekken had gekregen doordat medewerkers persoonsgegevens van patiënten of klanten met een AI-chatbot deelden.
Niet alleen de naam op het voorblad telt. Ook de handtekening, het dossiernummer, het kenteken in een schadeformulier, de naam van de behandelaar in de voettekst en de opmerking over "de buurman van nummer 12" zijn persoonsgegevens. Wie alleen de naam van de klant weghaalt, heeft dus nog steeds persoonsgegevens ingevoerd.
Wat je per soort gegeven moet regelen, van een naam tot een BSN, staat in klantgegevens in een AI-chatbot: de regels per soort gegeven. De hoofdlijn over chatbots en de AVG staat op ChatGPT, Claude, Mistral Vibe en de AVG.
PrivaSearch zit tussen je documenten en het AI-model. Persoonsgegevens zoals namen, adressen, BSN's, IBAN's, kentekens en geboortedata worden binnen PrivaSearch herkend en vervangen door pseudoniemen. De stappen staan op hoe PrivaSearch werkt.
Automatische herkenning is nooit volledig. Een zeldzame functie in een klein dorp is geen naam, maar wijst wel iemand aan. Daarom ziet een collega het origineel naast de gepseudonimiseerde tekst, vult aan wat het model miste en keurt goed. Pas daarna is een document doorzoekbaar. Die review is verplicht.
Een gekoppelde AI-assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages met een bronverwijzing, en geen originele bestanden, bestandsnamen of links. Koppelen kan met Claude, ChatGPT Business en Mistral Vibe (voorheen Le Chat). Wat je zelf in de assistent typt, gaat rechtstreeks naar de aanbieder: typ daar geen namen.
Voor jouw organisatie blijven de gepseudonimiseerde passages persoonsgegevens, want jij kunt ze terugvertalen. De grondslag, het verwerkingsregister en waar nodig de DPIA blijven dus van jou. Je omgeving maakt daarvoor startdocumenten; dat is geen juridisch advies. Meer daarover staat op AVG en EU AI Act. Wil je het zien met een eigen soort dossier, vraag dan een demo aan.
Persoonsgegevens zijn alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat is de definitie uit artikel 4 van de AVG. Het gaat om gegevens die rechtstreeks over iemand gaan, zoals een naam, en om gegevens waarmee iemand te herleiden is, zoals een klantnummer of een combinatie van kenmerken. Gegevens over bedrijven en echt anonieme gegevens vallen er niet onder.
Vaak wel. De AVG noemt online identificatoren in de definitie, en de toelichting bij de wet noemt IP-adressen als kenmerken waarmee mensen kunnen worden herkend, zeker in combinatie met andere informatie. De Autoriteit Persoonsgegevens schrijft dat een IP-adres een persoonsgegeven kan zijn. Of dat zo is, hangt af van wie het adres heeft en wat die ermee kan.
Een adres op naam van een medewerker is een persoonsgegeven, ook als het voor het werk wordt gebruikt. Een algemeen adres van een organisatie gaat over de organisatie en is dat in beginsel niet. Volgens de Autoriteit Persoonsgegevens wordt het wel een persoonsgegeven als alleen één specifieke werknemer het adres gebruikt. Bij een eenmanszaak of een klein kantoor is dat vaak het geval.
Nee, de AVG is niet van toepassing op gegevens van overleden personen. Er is een belangrijke uitzondering: zegt de informatie ook iets over iemand die nog leeft, dan zijn het persoonsgegevens van die levende persoon. De toezichthouder noemt een erfelijke ziekte als voorbeeld. Andere regels dan de AVG kunnen bovendien nog steeds gelden; vraag bij twijfel een jurist.
Ja, in elk geval voor de organisatie die de pseudoniemen kan terugvertalen. Bij pseudonimiseren wordt de koppeling met de persoon apart bewaard, maar ze bestaat nog. De AVG zegt dat gegevens die met aanvullende informatie aan iemand te koppelen zijn, gelden als gegevens over een identificeerbare persoon. Alleen gegevens die zo zijn bewerkt dat niemand meer te herleiden is, zijn anoniem.
Alleen als je het hebt geregeld. Invoeren is verwerken: je verstrekt de gegevens aan de aanbieder. Je hebt een grondslag nodig, een doel dat past bij waarvoor je de gegevens kreeg, een zakelijke dienst met een verwerkersovereenkomst en een basis voor doorgifte buiten de EU. Voor bijzondere persoonsgegevens gelden strengere regels. Op een gratis of persoonlijk account is dat niet geregeld.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →