Veel organisaties denken dat ze veilig bezig zijn zodra ze namen uit een bestand halen of gegevens hashen, echter klopt dat niet altijd in de praktijk. Er bestaat namelijk een groot verschil tussen pseudonimiseren en anonimiseren van persoonsgegevens en dat verschil bepaalt of de Algemene verordening gegevensbescherming (AVG) wel of niet van toepassing.
In dit artikel leggen we uit wat pseudonimiseren precies inhoudt, waarom hashing geen garantie is voor veiligheid en welke veelgemaakte fouten organisaties maken bij het anonimiseren van data.
Wat is pseudonimiseren?
Pseudonimiseren is een beveiligingsmaatregel waarmee je persoonsgegevens moeilijker herleidbaar maakt tot een specifiek individu. Het idee is dat bij een datalek de gevolgen beperkt blijven, omdat de gegevens niet direct naar een persoon te herleiden zijn.
Een veelgebruikte techniek hiervoor is hashing. Hashing is het omzetten van gegevens naar een vaste, versleutelde waarde met behulp van een cryptografische berekening.
Het is goed om te weten dat pseudonimiseren niet hetzelfde is als anonimiseren. Bij gepseudonimiseerde gegevens is niet meteen duidelijk over wie het gaat, maar met aanvullende informatie kunnen de gegevens alsnog worden herleid tot een specifiek persoon.
Een bekend voorbeeld: een geboortedatum gecombineerd met de vier cijfers van een postcode is vaak al voldoende om iemand te identificeren via de Basisregistratie Personen (BRP).
Pseudonimiseren valt gewoon onder de AVG
Omdat pseudonimiseren nog altijd een vorm van verwerking van persoonsgegevens is, gelden alle AVG-verplichtingen. Pseudonimiseren moet daarom onderdeel zijn van een bredere aanpak van privacy en informatiebeveiliging.
Let op: het simpelweg weghalen van namen of andere direct identificerende gegevens is geen pseudonimisering, zeker niet als de resterende gegevens nog genoeg aanknopingspunten bevatten om iemand te kunnen herleiden.
Waarom is hashen niet hetzelfde als anonimiseren?
Hashing wordt vaak gezien als een sterke beveiligingsmethode, maar het maakt data niet automatisch anoniem. Er zijn drie hoofdredenen waarom gehashte persoonsgegevens in de praktijk toch vaak herleidbaar blijven:
- De originele data bestaan vaak nog. Zolang iemand de oorspronkelijke gegevens opnieuw kan hashen en naast de gepseudonimiseerde set kan leggen, ontstaat er een koppeltabel. Daarmee is de link tussen pseudoniem en origineel alsnog te leggen.
- Hashwaarden zijn reproduceerbaar. Elke unieke invoer levert altijd dezelfde hashwaarde op. Bij een zogeheten brute force attack wordt simpelweg elke mogelijke waarde gehasht en vergeleken met de bestaande lijst. Met de rekenkracht van moderne computers is dit ook een reëel risico bij gevoelige data zoals BSN’s en IP-adressen.
- Aanvullende informatie kan de puzzel compleet maken. Interne of externe bronnen leveren vaak net genoeg extra context om iemand alsnog te identificeren.
Kies je ervoor om hashwaarden af te knippen om gegevens te anonimiseren, doe dit dan grondig. Knip je te weinig af, dan blijven er unieke kenmerken over en is er dus nog steeds geen sprake van echte anonimisering.
De 6 grootste misverstanden over anonimiseren
Vooral in de zorg en wetenschap wordt er veel gewerkt met patiëntgegevens voor onderzoek. Dat maakt correcte anonimisering erg belangrijk. Desondanks bestaan er hardnekkige misverstanden in de praktijk.
- Losse opslag van gezondheids- en adresgegevens is anoniem
Dit klopt niet. Zodra beide datasets samengevoegd kunnen worden, is herleiding naar een persoon mogelijk. Dat betekent dat je werkt met gepseudonimiseerde gegevens waarop de AVG van toepassing blijft, ook als je maar één van de twee datasets deelt.
- Encryptie maakt gegevens anoniem
Ook fout. Versleutelde (geëncrypteerde) data is gepseudonimiseerd, niet geanonimiseerd. Iemand met de juiste sleutel kan de data namelijk alsnog ontsleutelen (decryptie) en herleiden. De AVG blijft dus van toepassing.
- Anonimiseren maakt data onbruikbaar
Niet per se waar. Bij goede anonimisering blijven de gegevens bruikbaar voor het oorspronkelijke doel, al kunnen sommige details verloren gaan. Denk aan het clusteren van leeftijden per tien jaar in plaats van exacte geboortedata: minder herleidbaar, maar nog steeds bruikbaar voor analyse.
- Anonimiseren is een blijvende status
Ook dit klopt niet. Data is volgens de AVG pas écht anoniem als identificatie ‘redelijkerwijs’ onmogelijk is, dus inclusief toekomstige technologische ontwikkelingen. Nieuwe technieken om datasets te combineren kunnen ervoor zorgen dat eerder anonieme data alsnog herleidbaar wordt. Periodieke controle blijft dus nodig.
- Het anonimiseringsproces van een andere organisatie werkt ook bij ons
Nee. Elke organisatie verzamelt data op een eigen manier, met een eigen doel en eigen risico’s op heridentificatie. Een pasklaar, volledig geautomatiseerd anonimiseringsproces bestaat dus niet, want de context is altijd bepalend.
- Niemand is geïnteresseerd in wie achter de data zit
Dit is een gevaarlijke aanname. Persoonsgegevens hebben waarde, voor de betrokkene én voor derden. Zowel gerichte hacks als onbedoelde datalekken kunnen leiden tot heridentificatie. En schijnbaar onschuldige data, zoals filmvoorkeuren, kan indirect gevoelige informatie onthullen, zoals politieke voorkeur of seksuele geaardheid. Dat maakt zorgvuldige omgang met data des te belangrijker.
Gegevensminimalisatie
Voordat je nadenkt over pseudonimiseren of anonimiseren, is er een principiëlere vraag die erg belangrijk is: Heb je de persoonsgegevens überhaupt nodig om je doel te bereiken? Dit heet gegevensminimalisatie.
Soms is anonimisering geen optie, omdat kenmerken zoals leeftijd of geslacht essentieel zijn voor het doel van de verwerking. In dat geval kies je tussen:
- verwerken met inachtneming van de AVG (bijvoorbeeld via pseudonimisering) of
- de gegevens helemaal niet verwerken.
De rol van de Privacy Officer en de Functionaris gegevensbescherming
Het correct toepassen van pseudonimiseren en anonimiseren is geen eenmalige technische ingreep, maar een doorlopend proces dat vraagt om kennis, toezicht en verantwoordelijkheid binnen de organisatie. Twee functies spelen daarbij een sleutelrol.
De Privacy Officer
De Privacy Officer is binnen de organisatie de spil als het gaat om de dagelijkse naleving van privacywetgeving. Deze persoon vertaalt de AVG naar concreet beleid: welke data mag verzameld worden, hoe wordt deze beveiligd en wanneer is pseudonimiseren of anonimiseren nodig? De Privacy Officer beoordeelt risico’s op heridentificatie, stelt procedures op voor het omgaan met datalekken en zorgt dat medewerkers weten hoe ze veilig met persoonsgegevens omgaan. Deze functie is vooral belangrijk bij vragen zoals: is deze hashmethode veilig genoeg en mogen we deze twee datasets combineren?
De Functionaris gegevensbescherming (FG)
De Functionaris gegevensbescherming heeft een formele, wettelijk verankerde rol en hij/zij houdt onafhankelijk toezicht op de naleving van de AVG binnen de organisatie. Voor bepaalde organisaties is het aanstellen van een FG zelfs verplicht. De FG adviseert over gegevensbeschermingseffectbeoordelingen (DPIA’s), fungeert als aanspreekpunt voor de Autoriteit Persoonsgegevens en betrokkenen en bewaakt dat keuzes rond pseudonimiseren en anonimiseren aantoonbaar in lijn zijn met de wet. Anders dan de Privacy Officer werkt de FG onafhankelijk van het management en mag hij of zij niet worden ontslagen vanwege het uitvoeren van zijn of haar taken.
Beide rollen vullen elkaar aan: de Privacy Officer regelt de praktische, operationele kant van gegevensbescherming, terwijl de FG toezicht houdt en de onafhankelijke waarborg vormt. Organisaties die serieus werk maken van correcte pseudonimisering en anonimisering, doen er goed aan om beide rollen goed belegd te hebben.
Investeer in de juiste kennis
Wil je deze rol zelf goed kunnen vervullen of iemand in je organisatie hiervoor klaarstomen? Bij AVG-trainingen kun je hiervoor terecht:
- Klassikale Opleiding Privacy, AI & Security Officer: een brede, praktijkgerichte opleiding voor wie de rol van Privacy Officer op zich neemt of verder wil professionaliseren. Je leert hoe je privacyrisico’s herkent en beheerst, hoe je omgaat met de groeiende impact van AI op gegevensbescherming en hoe privacy en security in de praktijk samenkomen.
- Klassikale Opleiding Functionaris gegevensbescherming: speciaal gericht op (aankomende) FG’s. Deze opleiding behandelt de wettelijke taken en onafhankelijke positie van de FG, het uitvoeren van DPIA’s en hoe je als FG toezicht houdt op processen binnen een organisatie.
Beide opleidingen worden klassikaal gegeven, zodat je direct kunt sparren met vakgenoten over praktijksituaties.
