Volgens de in 2018 geldende Europese Privacyverordening wordt verstaan onder “pseudonimisering”: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.
Wanneer je door het gebruik van aanvullende gegevens, gepseudonimiseerde persoonsgegevens aan natuurlijke personen kunnen worden gekoppeld, moeten de gepseudonimiseerde persoonsgegevens worden beschouwd als gegevens over een identificeerbare natuurlijke persoon. Daarom is de Europese Privacyverordening van toepassing.
In geval er sprake is van volledig geanonimiseerde gegevens, geldt de verordening niet. De Artikel 29 Werkgroep (de werkgroep van de nationale privacy-toezichthouders) heeft echter in een opinie de facto geoordeeld dat het anonimiseren van persoonsgegevens en het tegelijkertijd bruikbaar houden van die gegevens voor verwerkingsdoeleinden een behoorlijke opgave is. Pseudonimisering is niet hetzelfde als anonimiseren: bij anonimiseren zijn de aanvullende gegevens waarmee gegevens kunnen worden herleid tot een natuurlijke persoon niet binnen bereik voor de verantwoordelijke of verwerker.
De Autoriteit Persoonsgegevens adviseert over pseudonimisering, bijvoorbeeld in het onderwijs: https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-adviseert-over-pseudonimisering-het-onderwijs.
Privacy by Design en pseudonimisering
Privacy by Design wordt verplicht onder de Europese Privacyverordening en deze verwijst hierbij ook naar pseudonimisering.
Artikel 25 bepaalt het volgende:
Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.
Beveiliging van persoonsgegevens en pseudonimisering
Pseudonimisering komt ook terug bij de beveiligingsplichten voor verantwoordelijken en verwerkers in de Europese Privacyverordening.
Artikel 32 bepaalt het volgende:
Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:
- de pseudonimisering en versleuteling van persoonsgegevens;
- het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen;
- het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen;
- een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.
Meer weten over dit onderwerp, neemt u dan gerust contact met ons op.