Wat zijn persoonsgegevens? Uitleg met voorbeelden

Persoonsgegevens zijn alle gegevens die iets zeggen over een levende, identificeerbare persoon. Denk aan je naam, je e-mailadres of je telefoonnummer, maar ook aan je IP-adres, je locatiegegevens of wat je online koopt. Kort gezegd: als een gegeven direct of indirect te herleiden is tot een specifieke persoon, dan is het een persoonsgegeven.

De definitie komt uit de Algemene verordening gegevensbescherming (AVG), de Europese privacywet die in Nederland wordt gehandhaafd door de Autoriteit Persoonsgegevens. Die wet geldt voor iedereen die persoonsgegevens verwerkt, van grote bedrijven tot kleine webshops en verenigingen.

Wat zijn persoonsgegevens precies: de drie kenmerken

Een gegeven is een persoonsgegeven als het aan drie voorwaarden voldoet. Het gaat om informatie, het gaat over een persoon, en die persoon moet identificeerbaar zijn. Ontbreekt één van die drie? Dan spreken we strikt genomen niet van een persoonsgegeven.

  • Informatie: het kan gaan om een naam, een getal, een afbeelding, een geluidsfragment of een combinatie van gegevens.
  • Over een persoon: het gaat om een levend mens, niet om een organisatie of een overledene.
  • Identificeerbaar: de persoon kan direct of indirect worden achterhaald op basis van het gegeven.

Dat laatste punt is belangrijk. Je hoeft iemand niet bij naam te noemen om toch een persoonsgegeven te hebben. Een combinatie van postcode, geboortedatum en geslacht kan al genoeg zijn om iemand uniek te identificeren.

Voorbeelden van persoonsgegevens

De categorie persoonsgegevens is breder dan veel mensen denken. Dit zijn veelvoorkomende voorbeelden:

  • Naam en adres
  • E-mailadres en telefoonnummer
  • Geboortedatum en leeftijd
  • Burgerservicenummer (BSN)
  • IP-adres en cookiegegevens
  • Locatiegegevens (zoals gps-data op je telefoon)
  • Foto’s en video-opnamen waarop iemand herkenbaar is
  • Browsegedrag en aankoopgeschiedenis online
  • Kenteken van een auto (als die te koppelen is aan een persoon)

Zelfs een gebruikersnaam of een klantnummer kan een persoonsgegeven zijn, als je op basis daarvan kunt achterhalen wie de persoon is.

Bijzondere persoonsgegevens: extra beschermd

Niet alle persoonsgegevens wegen even zwaar. De AVG onderscheidt een aparte categorie: bijzondere persoonsgegevens. Die zijn extra gevoelig en mogen in de meeste gevallen alleen worden verwerkt als daar een specifieke wettelijke grondslag voor is.

Bijzondere persoonsgegevens zijn onder meer:

  • Gezondheidsgegevens (zoals een diagnose of medicijngebruik)
  • Ras of etnische afkomst
  • Politieke opvattingen
  • Religieuze of levensbeschouwelijke overtuigingen
  • Genetische en biometrische gegevens (zoals vingerafdrukken of gezichtsherkenning)
  • Seksuele geaardheid
  • Strafrechtelijke gegevens

Een ziekenhuis mag jouw medische dossier bijhouden, maar een willekeurige webshop mag dat niet zomaar opslaan. Die extra bescherming bestaat omdat misbruik van dit soort gegevens snel kan leiden tot discriminatie of andere ernstige gevolgen.

Wat zijn géén persoonsgegevens?

Gegevens over organisaties, zoals de naam van een bedrijf of een zakelijk telefoonnummer, vallen niet onder de AVG. Dat zijn geen persoonsgegevens, omdat ze niet over een natuurlijk persoon gaan. Een eenmanszaak op naam van een persoon ligt genuanceerder: dan kan de bedrijfsnaam indirect toch een persoonsgegeven zijn.

Ook gegevens van overledenen vallen buiten de AVG, al kunnen er andere wetten van toepassing zijn. En volledig geanonimiseerde gegevens waarbij het echt onmogelijk is om de persoon terug te vinden, zijn geen persoonsgegevens meer. Gepseudonimiseerde gegevens (waarbij de naam vervangen is door een code, maar de koppeling nog bestaat) zijn dat wél nog steeds.

Waarom het onderscheid belangrijk is

Of iets een persoonsgegeven is, bepaalt of de AVG van toepassing is. Verwerk je persoonsgegevens, dan gelden er verplichtingen: je hebt een geldige reden nodig (een wettelijke grondslag), je moet mensen informeren over wat je doet met hun gegevens, en je moet de gegevens goed beveiligen. Doe je dat niet, dan riskeer je een boete van de Autoriteit Persoonsgegevens.

In de praktijk betekent dit: zodra je een e-mailadres, een naam of een IP-adres opslaat, ben je bezig met persoonsgegevens. Voor een webshop, een nieuwsbrief, een contactformulier of een personeelsadministratie geldt de AVG dus vrijwel altijd. Het is dan ook slim om bij elk nieuw systeem of elk nieuw formulier te checken welke persoonsgegevens je verzamelt en of je daar een goede reden voor hebt.