Persoonsgegevens anonimiseren en pseudonimiseren is noodzakelijk om aan de regels van de AVG te voldoen. In deze blog wordt behandeld wat anonimiseren en pseudonimiseren van persoonsgegevens inhoudt, wat het verschil tussen anonimiseren en pseudonimiseren is, en waar je geanonimiseerde persoonsgegevens voor kunt gebruiken.
Wat is anonimiseren?
Anonimiseren wordt niet in de AVG gedefinieerd. Dit komt doordat persoonsgegevens die volledig geanonimiseerd zijn, geen persoonsgegevens meer zijn: de AVG is dus niet meer op de gegevens van toepassing. Anonimiseren is het bewerken van persoonsgegevens zodat ze niet meer naar de betrokkene traceerbaar zijn. Dit kan gedaan worden door een persoonsgegeven, zoals een adres, weg te lakken met een zwarte balk.
Wat is pseudonimiseren?
Pseudonimiseren (ook wel data masking genoemd) wordt in de AVG gedefinieerd als het bewerken van persoonsgegevens zodat de gegevens niet meer aan de betrokkene gekoppeld kunnen worden, maar wat houdt dat precies in? Pseudonimiseren is het ‘versleutelen’ van persoonsgegevens door ze te vervangen met een pseudoniem. Dit pseudoniem kan van alles zijn: als je bijvoorbeeld een naam en achternaam wilt versleutelen, kan dit gedaan worden door de naam en achternaam met ‘Persoon x’ of met een heel andere naam te vervangen. Pseudonimiseren van persoonsgegevens kan de risico’s voor betrokkenen tijdens een datalek verminderen. De gegevens zijn dan namelijk versleuteld en zijn pas toegankelijk nadat ‘het algoritme’ van de versleuteling bekend is. Het algoritme is in dit geval de manier om erachter te komen wat achter een versleuteling schuilt. Dit kan door bijvoorbeeld alle echte persoonsgegevens naast de vervangende termen zoals ‘persoon #23’ opnemen in een spreadsheet. De bevoegde personen kunnen vervolgens de spreadsheet en de gepseudonimiseerde document naast elkaar leggen en zo erachter komen wat achter de versleuteling zit. Pseudonimiseren kan toegepast worden wanneer de gegevens later nog toegankelijk moeten zijn, bijvoorbeeld bij medische dossiers.
Wat is het verschil tussen anonimiseren en pseudonimiseren?
Het verschil tussen anonimiseren en pseudonimiseren ligt in de omkeerbaarheid. Nadat je gegevens hebt geanonimiseerd, is er geen weg terug. Dit betekent dat de gegevens niet meer naar de betrokken persoon te herleiden zijn. Bij pseudonimiseren is het nog steeds mogelijk om de gegevens na de versleuteling naar de betrokken persoon de herleiden door de versleuteling te ontcijferen. Bij het kiezen of je de gegevens wilt anonimiseren of pseudonimiseren is het dus van belang om te kijken wat je doel is. Heb je een grondslag voor verwerking en wil je dat de gegevens beter beschermd zijn? Dan is pseudonimiseren een optie. Heb je geen grondslag meer voor verwerking en wil je de gegevens alleen voor analytische of statistische doeleinden te gebruiken? Dan is anonimiseren van de gegevens geschikt. Indien je geen grondslag hebt om de persoonsgegevens te mogen verwerken en deze niet wilt bewaren, dan moeten de gegevens verwijderd worden.
Voor pseudonimiseren van gegevens is nog steeds een grondslag nodig, omdat het nog steeds onder verwerken van persoonsgegevens valt. Dit komt doordat achter de versleuteling de gegevens nog steeds naar de betrokken persoon te herleiden zijn. Voor het anonimiseren van persoonsgegevens is geen grondslag nodig: de persoonsgegevens kunnen nadat ze volledig geanonimiseerd zijn niet meer als persoonsgegevens gecategoriseerd worden, dus is de AVG niet meer van toepassing.
Waarvoor en wanneer kan je geanonimiseerde persoonsgegevens gebruiken?
De AVG is niet meer op persoonsgegevens van toepassing indien ze zo geanonimiseerd zijn dat de gegevens volledig onherleidbaar zijn. Wanneer de gegevens volledig onherleidbaar zijn kunnen de gegevens gebruikt worden voor analytische, statistische of testdoeleinden waarbij het niet nodig is om bijvoorbeeld de naam van de betrokkene te weten.
In deze blog werd besproken wat anonimiseren en pseudonimiseren van persoonsgegevens inhoudt, wat de verschillen tussen de twee zijn en wat je met geanonimiseerde data kunt doen. Wilt u meer weten over de AVG-data compliance? In de volgende blog worden de rechten van betrokkenen besproken.
