Een onderzoeksbureau levert een dataset aan een opdrachtgever met de mededeling dat hij is geanonimiseerd. De namen zijn eruit, vervangen door respondentnummers. De sleutel ligt in een apart bestand op een andere server, want zo hoort het.
Die dataset is niet geanonimiseerd. Hij is gepseudonimiseerd, en dat betekent dat alle AVG-verplichtingen gewoon blijven gelden.
Dit onderscheid wordt vaker verkeerd gebruikt dan welk ander privacybegrip ook, en het gevolg is telkens hetzelfde: iemand denkt klaar te zijn.
#De drie bewerkingen
Anonimiseren. De gegevens zijn zo bewerkt dat niemand de persoon nog kan achterhalen, ook niet met aanvullende informatie en ook niet door combinatie met andere bronnen. Lukt dat werkelijk, dan zijn het geen persoonsgegevens meer en valt de dataset buiten de AVG.
Pseudonimiseren. Herkenbare gegevens zijn vervangen door een code of sleutel. De persoon is niet direct zichtbaar en met de sleutel wel terug te vinden. Het blijven persoonsgegevens. De AVG noemt het expliciet als beveiligingsmaatregel, niet als ontsnappingsroute.
Maskeren. Een waarde wordt in de weergave verborgen, bijvoorbeeld door alleen de laatste vier cijfers van een rekeningnummer te tonen. De onderliggende gegevens blijven meestal onveranderd in het systeem staan. Dit is een toegangsmaatregel: bepaalt wie wat ziet, niet wat er is opgeslagen.
#Waarom alleen de eerste je verplichtingen laat vervallen
De AVG gaat over persoonsgegevens. Zijn gegevens niet meer tot een persoon te herleiden, dan is de verordening niet van toepassing en vervalt de hele set verplichtingen: grondslag, doelbinding, bewaartermijn, rechten van betrokkenen, meldplicht.
Bij pseudonimisering vervalt daar niets van. De gegevens zijn beter beveiligd, wat meetelt bij de beoordeling of je passende maatregelen hebt getroffen. Maar je hebt nog steeds een grondslag nodig, en een betrokkene kan nog steeds inzage of verwijdering vragen.
Bij maskeren vervalt er al helemaal niets, want er is niets veranderd aan de opgeslagen gegevens.
#De lat voor anonimiteit ligt hoog
Hier gaat het in de praktijk mis, ook bij mensen die het onderscheid wel kennen.
De vraag is niet of jij de persoon kunt herleiden. De vraag is of herleiding redelijkerwijs mogelijk is, door wie dan ook, met de middelen en de gegevens die beschikbaar zijn.
Dat is strenger dan het klinkt, omdat combinatie zoveel oplevert. Een dataset zonder namen maar met postcode, geboortedatum en geslacht identificeert de meeste mensen al. Voeg functietitel en organisatie toe en je hebt in een klein team maar één kandidaat. Zie waarom "haal de namen eruit" niet genoeg is.
Anonimiteit is daarom geen eigenschap van een bewerking maar een uitkomst die je per dataset en per context beoordeelt. Dezelfde bewerking kan bij een landelijke steekproef anoniem opleveren en bij een afdeling van twaalf mensen niet.
Bij AI-modellen speelt dezelfde vraag. De Europese privacytoezichthouders concludeerden in hun opinie over AI-modellen dat een model dat op persoonsgegevens is getraind niet zonder meer als anoniem kan worden beschouwd, en dat je dat per geval moet beoordelen.
#Wat je in de praktijk kiest
Het doel bepaalt de bewerking.
Wil je gegevens publiceren of buiten de AVG brengen? Dan moet het anonimisering zijn, en dan hoort daar een onderbouwing bij waarom herleiding redelijkerwijs niet kan. Aggregeren, generaliseren en drempelwaarden zijn daar de gebruikelijke technieken voor.
Wil je onderzoek doen waarbij je later terug moet kunnen koppelen? Dan is pseudonimisering de juiste keuze, met de sleutel apart beheerd en een beperkte kring die erbij kan. Noem het dan ook zo.
Wil je voorkomen dat medewerkers meer zien dan nodig? Dan is maskeren precies het goede gereedschap, en het is geen verwerkingsmaatregel.
Wil je iets in een AI-tool zetten? Dan is de juridische indeling minder relevant dan de praktische vraag: welke gegevens heeft de taak nodig. Meestal is dat een combinatie: verwijderen wat overbodig is, vervangen wat als context nodig is, maskeren wat een structuur moet houden. Zie de promptredactiegids.
#Het woord dat je gebruikt is niet onschuldig
"Wij anonimiseren de gegevens" is een toezegging. Staat hij in een verwerkersovereenkomst, in een privacyverklaring of in een DPIA, dan is hij toetsbaar. Blijkt achteraf dat het pseudonimisering was, dan klopt niet alleen het woord niet, maar ook de conclusie die eraan hing: dat de AVG niet meer van toepassing was.
Het loont dus om het precieze woord te gebruiken, ook als het zwakker klinkt. Een correct beschreven pseudonimisering is een sterkere positie dan een anonimisering die het niet blijkt te zijn.
