Inleiding
Anonimiseren en pseudonimiseren worden regelmatig door elkaar gehaald. De Spaanse en de Europese privacytoezichthouder zetten de aanname dat beide hetzelfde zijn bovenaan hun lijst van tien misverstanden over anonimiseren.[1] Maar de AVG behandelt ze heel verschillend, en dat verschil bepaalt of de verordening op een gegevensbestand van toepassing is. Bij pseudonimiseren scherm je de koppeling met een persoon af; bij anonieme gegevens is die persoon redelijkerwijs niet meer te herkennen. Welke organisatie de gegevens in handen heeft, kan daarbij verschil maken.
In dit artikel leg ik uit wat de AVG onder beide begrippen verstaat, waarom het verschil ertoe doet en wat pseudonimisering oplevert. Daarna bespreek ik wat een boeiend arrest van het Hof van Justitie en een voorstel om de AVG aan te passen betekenen als een organisatie gepseudonimiseerde gegevens deelt. Ik sluit af met twee vragen die elke organisatie over haar eigen gegevens moet kunnen beantwoorden.
Wat de AVG verstaat onder anoniem en pseudoniem
De AVG is alleen van toepassing op persoonsgegevens. Dat is alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.[2] Een naam is een persoonsgegeven. Een klantnummer, een IP-adres of de combinatie van postcode en geboortedatum kan dat óók zijn. Het gaat erom of iemand met die informatie de persoon kan aanwijzen.
Pseudonimiseren betekent dat je de gegevens zó bewerkt dat ze niet meer aan een persoon zijn te koppelen zonder aanvullende informatie. Die aanvullende informatie bewaar je apart en beveiligd.[3] Een voorbeeld: een ziekenhuis vervangt in een onderzoeksbestand de naam van elke patiënt door een willekeurige onderzoekscode. De tabel die code en naam koppelt, wordt apart bewaard. Op basis van het bestand zelf zijn de personen niet te herleiden, mits ook andere herkenbare kenmerken zijn afgeschermd.
Anonimiseren gaat een stap verder. Anonieme gegevens zijn gegevens die niet meer tot een persoon te herleiden zijn.[4] De maatstaf hiervoor is “redelijkerwijs”. Je kijkt naar alle middelen waarvan redelijkerwijs valt te verwachten dat iemand ze gebruikt, met factoren als kosten, tijd en beschikbare techniek. Daarbij tellen ook middelen mee die iemand via een ander kan krijgen. De AVG vereist niet dat de kans op herleiden nul is.[5]
Blijft herleiding met een redelijke inspanning mogelijk, dan zijn de gegevens niet anoniem. Een getal als het totale aantal opnames van een ziekenhuis in een jaar is in beginsel anoniem. Een bestand met per opname de geboortedatum, de postcode en de diagnose is dat niet, omdat die combinatie van gegevens naar één persoon kan wijzen.
Gepseudonimiseerde gegevens zijn persoonsgegevens voor de organisatie die ze kan herleiden. Dat is doorgaans het geval indien de organisatie een koppeltabel heeft of de sleutels bewaart.[6] Anonieme gegevens zijn geen persoonsgegevens.
Waarom het verschil ertoe doet
Al in 2014 schreven de Europese privacytoezichthouders dat organisaties vaak aannemen dat het weghalen of vervangen van één of enkele gegevens genoeg is om een bestand anoniem te maken.[7] De aanname is begrijpelijk: een bestand zonder namen lijkt al snel anoniem. Maar de vraag is niet wat er in dit ene bestand staat. De vraag is of de organisatie, met de informatie die zij heeft of redelijkerwijs via anderen kan verkrijgen, de personen alsnog kan aanwijzen. Daarbij telt mee welke andere bestanden en systemen zij beheert, welke afdelingen daar bij kunnen en of ergens nog een sleutel ligt.
Zolang gegevens persoonsgegevens zijn, geldt de AVG in beginsel onverkort.[8] De organisatie heeft een grondslag nodig. Zij moet de betrokkenen informeren over wat er met hun gegevens gebeurt. Zij moet verzoeken om inzage, correctie of verwijdering kunnen afhandelen. Zij moet de gegevens beveiligen tegen verlies en ongeoorloofde toegang. En bij een waarschijnlijk hoog risico moet zij vooraf een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren.[9]Pseudonimiseren haalt die plichten niet automatisch weg.
Bij anonieme gegevens vervalt dat alles. De AVG is daarop niet van toepassing. Dat maakt anonimiseren aantrekkelijk. Het anonimiseren zelf valt nog wel onder de AVG.[10] Het voordeel is echt, maar bestaat alleen als herleiding met redelijke middelen niet meer mogelijk is. Wees hier scherp op, anders verwerk je persoonsgegevens zonder het te weten.
Wat pseudonimiseren wél oplevert
Pseudonimiseren is dus geen uitweg uit de AVG. Toch is het een maatregel die de verordening nadrukkelijk waardeert. De AVG noemt pseudonimisering als manier om de risico’s voor betrokkenen te verkleinen en om de eigen plichten na te komen.[11] Pseudonimisering is een middel om zorgvuldig met gegevens om te gaan zonder ze weg te gooien. Op vier plekken komt dat bijvoorbeeld terug.
Als beveiliging
Wie een bestand goed pseudonimiseert, kan de schade van een datalek beperken: een gestolen bestand met nummers is zonder sleutel moeilijker tot personen te herleiden. De AVG noemt pseudonimisering daarom als eerste voorbeeld van een passende beveiligingsmaatregel.[12]
Privacy by design (gegevensbescherming door ontwerp) is het uitgangspunt dat je bescherming vanaf het begin inbouwt in systemen en processen. Ook hier is pseudonimisering het voorbeeld dat de verordening zelf geeft. Wie een nieuw systeem ontwerpt, kan bijvoorbeeld standaard met nummers werken en de namen alleen tonen aan wie ze echt nodig heeft.[13]
Bij verder gebruik
Wil een organisatie gegevens gebruiken voor een ander doel dan waarvoor ze zijn verzameld, dan moet zij in beginsel toetsen of dat nieuwe doel verenigbaar is met het oude. Bij die toets weegt mee of er waarborgen zijn, en de AVG noemt pseudonimisering daarbij als voorbeeld.[14]
Bij onderzoek
Wetenschappelijk, historisch of statistisch onderzoek vraagt om waarborgen voor de betrokkenen. Pseudonimisering is de waarborg die de AVG daarbij met naam noemt. Als het onderzoeksdoel ook zonder herleidbare gegevens kan worden bereikt, moeten de te herleiden gegevens achterwege blijven.[15]
Een verplichting om altijd te pseudonimiseren kent de AVG niet.[16] De organisatie kiest zelf haar maatregelen en moet die keuze kunnen verantwoorden. Soms is pseudonimiseren nodig om aan de AVG te voldoen, bijvoorbeeld omdat een verwerking zonder die maatregel te riskant is. Soms volstaat een andere maatregel. Pseudonimiseren verlaagt het risico en maakt een verwerking beter verdedigbaar.
Pseudoniem voor de een, anoniem voor de ander
Dat de organisatie met de sleutel persoonsgegevens verwerkt, staat vast. Maar wat als een andere partij de gegevens krijgt zonder deze sleutel? Daarover oordeelde het Hof van Justitie van de EU in september 2025 in de zaak SRB. De Single Resolution Board (SRB) verzamelde reacties van gedupeerde aandeelhouders en schuldeisers van de Spaanse bank Banco Popular. Elke reactie kreeg een willekeurige code. Een deel van de reacties ging naar adviesbureau Deloitte, zonder namen en zonder toegang tot de gegevens waarmee de code aan een persoon te koppelen was.[17]Hierdoor werden het gepseudonimiseerde persoonsgegevens.
Het Hof oordeelde dat gepseudonimiseerde gegevens niet in alle gevallen en voor iedereen persoonsgegevens zijn. Voor een ontvanger kunnen ze dat niet zijn, maar alleen als aan twee voorwaarden is voldaan. De ontvanger mag de pseudonimisering niet ongedaan kunnen maken en de ontvanger mag de personen ook niet op een andere manier kunnen herleiden, bijvoorbeeld door de gegevens te vergelijken met wat hij zelf al heeft.[18]
Voor SRB zelf bleven het persoonsgegevens, omdat SRB de sleutel had. SRB had de betrokkenen daarom al bij het verzamelen moeten vertellen dat hun reacties naar Deloitte konden gaan, ongeacht of het voor Deloitte persoonsgegevens waren.[19] Dit arrest maakt duidelijk dat het perspectief van de organisatie de uitkomst kan bepalen.
De Europese Commissie wil deze lijn in de AVG zelf vastleggen. In november 2025 stelde zij voor om aan de definitie van persoonsgegevens toe te voegen dat informatie geen persoonsgegevens vormt voor een organisatie die de persoon met redelijke middelen niet kan identificeren, ook als een latere ontvanger dat wel kan.[20] Volgens de Europese privacytoezichthouders gaat dat laatste verder dan het arrest. Zij raden de wijziging af.[21] De Raad stelde op 21 oktober 2026 zijn standpunt vast: de definitie blijft ongewijzigd, met daarnaast een aparte bepaling over pseudonimisering.[22]De AVG is daarmee nog niet gewijzigd: het Europees Parlement moet zijn standpunt nog bepalen.[23]
Wat betekent dit in de praktijk?
Op basis van het voorgaande kunnen de volgende twee vragen worden geformuleerd voor organisaties. De vragen zijn eenvoudig; het antwoord vraagt vaak wél werk. Wie ze niet kan beantwoorden, kan er maar beter van uitgaan dat de AVG van toepassing is.
Zijn de gegevens voor ons herleidbaar?
Ga na welke middelen de organisatie, of een ander, redelijkerwijs kan inzetten om personen te herleiden. Ligt er ergens een sleutel of koppeltabel, leg dan vast waar die ligt en welke afdelingen erbij kunnen. Zolang de organisatie kan herleiden, blijven het persoonsgegevens. Beoordeel dit opnieuw als beschikbare informatie of techniek verandert.[24]Hoe je pseudonimiseren technisch goed inricht, komt in het tweede artikel aan bod.
Wat kan de ontvanger herleiden?
Deelt de organisatie een gepseudonimiseerd bestand, dan blijft zij zelf persoonsgegevens verwerken, met de plichten die daarbij horen. Beoordeel daarnaast per ontvanger welke informatie die partij heeft of redelijkerwijs via anderen kan verkrijgen om de personen te herleiden. Kan de ontvanger dat redelijkerwijs niet, dan zijn het voor die ontvanger mogelijk geen persoonsgegevens. Houd ook rekening met verdere verstrekking. Bij een dienstverlener die de gegevens namens jouw organisatie verwerkt, blijven volgens de Europese privacytoezichthouders de regels voor verwerkers gelden.[25] Vertel betrokkenen bij het verzamelen wel naar welke ontvangers of categorieën ontvangers hun gegevens kunnen gaan.[26]
Conclusie
Persoonsgegevens en anonieme gegevens liggen aan weerszijden van een grens. Die grens bepaalt of de AVG van toepassing is. Voor de organisatie met de sleutel liggen gepseudonimiseerde gegevens aan de kant van de persoonsgegevens. Wie de sleutels en koppeltabellen bewaart, verwerkt dus doorgaans persoonsgegevens en draagt de plichten die daarbij horen.
Waar de grens precies ligt, hangt af van wie er naar de gegevens kijkt. Het arrest in de zaak SRB laat zien dat hetzelfde bestand voor de ene partij persoonsgegevens kan bevatten en voor de andere niet. Dat vraagt een beoordeling per organisatie en per ontvanger. Die beoordeling kan veranderen als er nieuwe informatie of techniek beschikbaar komt. In hoeverre de aankomende Omnibus deze beoordelen gaat veranderen, is nog niet zeker.
Pseudonimiseren blijft intussen een waardevolle maatregel. Het verkleint de risico’s voor betrokkenen en helpt een organisatie haar plichten na te komen, bijvoorbeeld bij beveiliging en onderzoek. Wie gegevens wil blijven gebruiken, heeft er veel aan. Alleen maakt het weghalen van namen een bestand nog niet anoniem.
In het volgende artikel van deze reeks staat centraal hoe je pseudonimiseren technisch goed inricht.
[1] AEPD en EDPS, 10 misunderstandings related to anonymisation, 27 april 2021, misverstand 1.
[2] Artikel 4, punt 1, AVG.
[3] Artikel 4, punt 5, AVG.
[4] Overweging 26 AVG, vijfde en zesde volzin.
[5] Overweging 26 AVG, derde en vierde volzin; HvJ EU 19 oktober 2016, C-582/14, Breyer, ECLI:EU:C:2016:779, punt 43-49.
[6] Overweging 26 AVG, tweede volzin; HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, ECLI:EU:C:2025:645, punt 76.
[7] Artikel 29-werkgroep, Opinion 05/2014 on Anonymisation Techniques, WP216, 10 april 2014, par. 4.2; overweging 26 AVG; HvJ EU 19 oktober 2016, C-582/14, Breyer, ECLI:EU:C:2016:779, punt 43-49.
[8] Artikel 2, lid 1 en 2, en artikel 3 AVG.
[9] Artikel 6, 11, 13 en 14, 15 tot en met 17, 32 en 35 AVG.
[10] Artikel 4, punt 2, en artikel 6 AVG; Artikel 29-werkgroep, Opinion 05/2014 on Anonymisation Techniques, WP216, 10 april 2014, par. 2.2.1.
[11] Overweging 28 AVG.
[12] Artikel 32, lid 1, sub a, AVG.
[13] Artikel 25, lid 1, AVG.
[14] Artikel 6, lid 4, sub e, AVG.
[15] Artikel 89, lid 1, AVG.
[16] Overweging 28 AVG, tweede volzin; EDPB, Guidelines 01/2025 on pseudonymisation (versie voor consultatie), 16 januari 2025, Executive summary.
[17] HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, ECLI:EU:C:2025:645, punt 13, 19-28 en 52.
[18] HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, punt 77 en 86.
[19] HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, punt 76, 111 en 112.
[20] Commissievoorstel Digital Omnibus van 19 november 2025, COM(2025) 837 final, art. 3, onderdeel 1, onder a, p. 54-55.
[21] EDPB-EDPS Joint Opinion 2/2026, punt 16 en 21.
[22] Raad EU, ‘Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules’, 21 oktober 2026, onderdeel ‘GDPR’.
[23] Europees Parlement, Legislative Observatory, procedure 2025/0360(COD), geraadpleegd 22 oktober 2026.
[24] Overweging 26 AVG, vierde volzin; AEPD en EDPS, 10 misunderstandings related to anonymisation, 27 april 2021, misverstand 4.
[25] EDPB, Guidelines 02/2026 on Anonymisation (consultatieversie), 7 juli 2026, punt 15 en voorbeelden 3-4; HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, punt 79 en 83-85.
[26] Artikel 13, lid 1, onder e, AVG; HvJ EU 4 september 2025, C-413/23 P, EDPS/SRB, punt 111 en 112.
Gerelateerde artikelen
