Introductie en achtergrond

Op 8 juli 2026 publiceerde de Europese privacytoezichthouder, de European Data Protection Board (“EDPB”), de Guidelines 02/2026 on Anonymisation. Deze richtsnoeren pogen te verduidelijken wanneer gegevens als anoniem kunnen worden beschouwd onder de Algemene verordening gegevensbescherming (“AVG”) en bieden een praktisch (doch soms complex) raamwerk om te beoordelen of anonimisering geslaagd is. De richtsnoeren zijn op dit moment nog ter consultatie voorgelegd; belanghebbenden kunnen tot 30 oktober 2026 hun opmerkingen indienen.

Deze richtsnoeren actualiseren de eerdere Opinion 05/2014 van de Article 29 Working Party, de voorganger van de EDPB, over anonimiseringstechnieken. Sinds 2014 is er immers veel veranderd: het Hof van Justitie van de EU (“HvJ EU”) heeft zich over dit onderwerp uitgelaten, er zijn Europese gegevensruimten (data spaces) opgezet en de ontwikkelingen op het gebied van AI en technologie zijn in een stroomversnelling geraakt. Met deze richtsnoeren speelt de EDPB in op de juridische en technologische ontwikkelingen van de afgelopen jaren.

In dit blog bespreken wij een aantal juridische aandachtspunten uit de richtsnoeren.

De Richtsnoeren in het kort

Anonimiteit is geen absoluut begrip

Volgens de AVG zijn gegevens anoniem wanneer zij geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Anonieme gegevens vallen niet binnen het toepassingsgebied van de AVG. Dit volgt uit artikel 2 lid 1 AVG en overweging 26. Anonimisering kan dan ook een aantrekkelijk instrument zijn voor organisaties die gegevens willen hergebruiken zonder volledig aan de verplichtingen van de AVG onderworpen te zijn. Maar wanneer zijn gegevens anoniem?

Een van de belangrijkste boodschappen uit de richtsnoeren is dat anonimiteit niet absoluut is. Of gegevens als anoniem kunnen worden beschouwd, hangt namelijk af van het perspectief van degene die over de gegevens beschikt. Dezelfde set gegevens kan voor de ene partij persoonsgegevens bevatten, terwijl die voor een andere partij als anoniem kwalificeert. Dit uitgangspunt sluit aan bij de SRB-uitspraak van het HvJ EU en de Digitale Omnibus-verordening (COM(2025)837), die beoogt te codificeren dat informatie niet automatisch persoonsgegevens zijn voor iedere entiteit. De vraag is volgens de EDPB steeds: voor wie moeten de gegevens anoniem zijn?

Beoordelingskader

De richtsnoeren beschrijven een tweeledig toetsingskader om te bepalen of gegevens anoniem zijn:

(i)            Heeft de informatie betrekking op (relates to) een natuurlijk persoon?

(ii)           Is die natuurlijke persoon geïdentificeerd of identificeerbaar?

Wordt één van beide vragen ontkennend beantwoord, dan zijn de betreffende gegevens anoniem. Belangrijk is dus dat het antwoord op deze vragen kan variëren per entiteit: informatie kan anoniem zijn voor de ene partij, maar persoonsgegevens vormen voor een andere partij.

Verwerker en verwerkingsverantwoordelijke

Of gegevens voor een bepaalde partij als persoonsgegevens moeten worden aangemerkt, hangt doorgaans af van de identificatiemogelijkheden waarover die partij zelf beschikt. De richtsnoeren merken daarbij wel op dat er uitzonderingen bestaan waarbij niet het perspectief van de betrokken entiteit zelf, maar dat van een andere partij doorslaggevend is.

Een belangrijke uitzondering doet zich voor wanneer een entiteit de gegevens verwerkt als verwerker. In dat geval moet de beoordeling of gegevens anoniem zijn niet plaatsvinden vanuit het perspectief van de verwerker, maar vanuit dat van de verwerkingsverantwoordelijke namens wie de verwerking plaatsvindt. Zijn de gegevens voor die verwerkingsverantwoordelijke persoonsgegevens, dan moeten zij ook door de verwerker als persoonsgegevens worden behandeld, ongeacht of de verwerker zelfstandig over middelen beschikt om betrokkenen te identificeren. In de praktijk maakt het daarom een wezenlijk verschil welke rol de ontvanger van gegevens onder de AVG vervult. Ter illustratie: een analysebureau dat gegevens uitsluitend namens en ten behoeve van een webshop verwerkt, moet die gegevens als persoonsgegevens behandelen wanneer de webshop de betrokkenen kan identificeren.

Handelt de ontvanger van gegevens daarentegen als zelfstandig verwerkingsverantwoordelijke, dan is zijn eigen perspectief bepalend. In dat laatste geval is het mogelijk dat dezelfde gegevens voor de verstrekkende partij persoonsgegevens blijven, terwijl zij voor de ontvangende partij als anoniem kwalificeren, mits heridentificatie voor die partij niet redelijkerwijs waarschijnlijk is.

Wanneer heeft informatie betrekking op een persoon?

Volgens de EDPB heeft informatie betrekking op een natuurlijk persoon wanneer er – vanwege de inhoud, het doel of het effect – een verband bestaat met die persoon:

• Inhoud (content): de informatie gaat over de persoon zelf, bijvoorbeeld een werknemersdossier of een medisch dossier.
• Doel (purpose): de informatie wordt gebruikt om de status of het gedrag van een persoon te evalueren of te beïnvloeden, ook als de informatie primair over een object of andere entiteit gaat. Denk aan de waarde van een woning die wordt gebruikt voor de belastingaangifte van de eigenaar.
• Effect (effect): de informatie gaat primair over iets anders, maar de verwerking ervan kan gevolgen hebben voor de rechten en belangen van een betrokkene. Voorbeeld: locatiegegevens van taxi’s die worden verzameld voor routeoptimalisatie, maar waarmee ook de prestaties van taxichauffeurs kunnen worden gemonitord.

De EDPB benadrukt dat het verband niet onmiddellijk zichtbaar hoeft te zijn. Ook geaggregeerde gegevens kunnen betrekking hebben op individuele personen als er technieken bestaan die redelijkerwijs individuele informatie uit die gegevens kunnen afleiden.

Wanneer is iemand geïdentificeerd of identificeerbaar?

Zelfs als informatie betrekking heeft op een natuurlijk persoon, zijn de gegevens pas een persoonsgegeven wanneer die persoon ook geïdentificeerd of identificeerbaar is met middelen die redelijkerwijs waarschijnlijk zullen worden ingezet. Identificatie houdt in dat een persoon kan worden onderscheiden van anderen in een bepaalde context.

Identificatie kan direct plaatsvinden, waarbij de entiteit de persoon zelf kan identificeren op basis van de beschikbare informatie, of indirect, bijvoorbeeld door (i) het verkrijgen van aanvullende informatie, (ii) het toepassen van methoden die door andere partijen worden beheerst (zoals ontsleuteling); of (iii) het ter beschikking stellen van de gegevens aan entiteiten die zelf de middelen hebben om de persoon te identificeren. Hierbij benadrukt de EDPB dat als het redelijkerwijs waarschijnlijk is dat een entiteit gegevens kan overdragen aan een derde die over identificatiemiddelen beschikt, de gegevens ook voor de overdragende entiteit als persoonsgegevens moet worden beschouwd; ook als die entiteit zelf niet over identificatiemiddelen beschikt.

Belangrijk is dat de kans op identificatie niet nul hoeft te zijn. Het gaat erom dat de kans in de praktijk verwaarloosbaar (insignificant) is.

Middelen die redelijkerwijs kunnen worden ingezet

Bij de beoordeling moet worden gekeken of een persoon kan worden geïdentificeerd met middelen die redelijkerwijs waarschijnlijk zullen worden gebruikt. Middelen zijn niet redelijkerwijs inzetbaar als identificatie (a) onmogelijk is, (b) onevenredige inspanning vergt, of (c) wettelijk verboden is. Het begrip “middelen” moet ruim worden uitgelegd: van simpelweg een document lezen tot complexe analyses. Ook informatie of hulpmiddelen die via derden beschikbaar zijn (chain of means), kunnen relevant zijn. Alle objectieve omstandigheden moeten worden meegewogen.

Toetsingskader om te beoordelen of gegevens daadwerkelijk anoniem zijn:

Naast de juridische analyse bieden de richtsnoeren een technisch toetsingskader met drie criteria om te beoordelen of gegevens daadwerkelijk anoniem zijn:

• No Record Isolation: de gegevens bevatten geen unieke combinatie van waarden die betrekking hebben op één individu. Hoe groter en gedetailleerder een record, hoe waarschijnlijker het is dat dit criterium wordt geschonden.
• No Linkage: het is niet mogelijk om een record in de gegevensset te koppelen aan een record in een andere gegevensset die (met zekerheid of hoge waarschijnlijkheid) betrekking heeft op hetzelfde individu.
• No Inference: er kan geen specifieke en zinvolle gevolgtrekking worden gemaakt uit de gegevens. Een gevolgtrekking is ‘specifiek’ als deze betrekking heeft op één geïdentificeerd of identificeerbaar individu, en ‘zinvol’ als de verwerking ervan gevolgen kan hebben voor de rechten en belangen van de betrokkene.

Als alle drie de criteria worden gehaald, kunnen de gegevens in beginsel als anoniem worden beschouwd. Wordt één van de criteria niet gehaald, dan betekent dit niet automatisch dat sprake is van persoonsgegevens. Volgens de EDPB is in dat geval een nadere analyse vereist om te beoordelen of de gegevens, ondanks het niet voldoen aan één van de criteria, alsnog als anoniem kunnen worden aangemerkt. Daarbij moet onder meer worden onderzocht of afzonderlijke records, al dan niet in combinatie met andere gegevens, kunnen leiden tot het identificeren of onderscheiden (singling out) van individuen.

AVG-compliance bij het anonimiseringsproces

Het anonimiseringsproces zelf is een verwerking van persoonsgegevens, waardoor onder de AVG (niet-limitatief):

1. de anonimisering een rechtmatige grondslag moet hebben onder artikel 6 AVG;
2. als de gegevens bijzondere categorieën persoonsgegevens bevatten, een uitzondering onder artikel 9 lid 2 AVG van toepassing moet zijn;
3. verwerkingsverantwoordelijken moeten voldoen aan hun transparantieverplichtingen en duidelijk moeten communiceren dat persoonsgegevens worden verwerkt om anonieme gegevens te produceren; en
4. adequate documentatie van het anonimiseringsproces noodzakelijk is om zowel AVG-compliance als de effectiviteit van de anonimisering te kunnen aantonen.

Tot slot

Anonimiteit is geen absoluut begrip: of gegevens als anoniem kwalificeren hangt af van het perspectief van de betrokken entiteit en de middelen die redelijkerwijs waarschijnlijk zullen worden ingezet. Bij het delen van gegevens met derden is het daarom essentieel om vooraf vast te stellen welke rol de ontvanger vervult – verwerker of zelfstandig verwerkingsverantwoordelijke – en vanuit wiens perspectief de anonimiteit moet worden beoordeeld. Daarnaast moeten organisaties het anonimiseringsproces zelf als verwerking van persoonsgegevens behandelen, met alles wat daarbij hoort: een rechtmatige grondslag, transparantie en adequate documentatie.

De richtsnoeren liggen momenteel ter openbare consultatie voor. AKD houdt de ontwikkelingen nauwlettend in de gaten en staat klaar om u te adviseren over de gevolgen voor uw organisatie.