EDPB 2025: Richtsnoeren voor pseudonimisering uitgelegd
Bijgewerkt voor 2026
Wat er veranderde in januari 2025
Het European Data Protection Board publiceerde Richtsnoeren 01/2025 in januari 2025. Het onderwerp: pseudonimisering. Het hoofdpunt is kort. Gepseudonimiseerde bestanden zijn nog steeds persoonsdossiers. Ze vallen nog steeds binnen de wet. Veel teams hadden aangenomen dat ze er buiten vielen. De nieuwe richtsnoeren zeggen van niet.
Als uw organisatie de sleutel bezit om het proces ongedaan te maken, zijn de regels nog steeds op u van toepassing.
Het pseudonimiseringsdomein
De richtsnoeren introduceren één nieuw concept: het pseudonimiseringsdomein. Dit is de groep partijen die toegang heeft tot de sleutel of terugkoppelingstabel. Elke partij in dat domein behandelt de gepseudonimiseerde gegevens als persoonsgegeven.
Partijengroepen kunnen omvatten:
- De verwerkingsverantwoordelijke die de sleutel bezit
- Verwerkers met contractuele toegang tot de sleutel
- Sub-processors als ze de sleutel kunnen ontvangen
Buiten het domein — dat wil zeggen voor personen die de sleutel niet kunnen bereiken — kunnen de gepseudonimiseerde gegevens als niet-persoonsgegeven worden behandeld. Maar alleen als re-identificatie echt onmogelijk is voor die partijen.
Verschil met anonimisering
Waar de richtsnoeren de lijn trekken:
Pseudonimisering: Sleutel bestaat. Terugkoppeling is mogelijk. Gegevens zijn persoonsgegeven voor iedereen die de sleutel kan bereiken.
Anonimisering: Geen sleutel. Terugkoppeling is technisch onmogelijk. Gegevens vallen buiten GDPR-bereik voor alle partijen.
De test voor anonimisering is streng. Recital 26 vereist dat re-identificatie "redelijkerwijs niet waarschijnlijk" is. Dit omvat de verwerkingsverantwoordelijke zelf, processors en derde partijen. De maatstaf wordt beoordeeld bij de publicatie van de gegevens, rekening houdend met alle dan beschikbare middelen.
Praktische implicaties
Organisaties die "gepseudonimiseerde" datasets aan onderzoekers of partners verstrekken:
- Als u de sleutel bezit, zijn de gegevens persoonsgegevens bij u. Alle GDPR-verplichtingen gelden.
- Als u de sleutel overdraagt aan de ontvanger, zijn de gegevens persoonsgegevens bij hen. Zij moeten voldoen aan GDPR.
- Als de ontvanger de sleutel niet kan bereiken — en de gegevens zijn zodanig geanonimiseerd dat re-identificatie onmogelijk is voor de ontvanger — vallen de gegevens buiten het pseudonimiseringsdomein voor die ontvanger.
Wat DPO's moeten documenteren
Voor gepseudonimiseerde datasets in de DPIA:
- Definieer het pseudonimiseringsdomein: wie heeft toegang tot de sleutel?
- Documenteer sleutelopslaglocatie en toegangscontroles
- Beoordeel of re-identificatierisico buiten het domein echt is of theoretisch
- Als u van plan bent de dataset buiten het domein te delen, voer dan een volledige anonimisering uit voor die overdracht
anonym.legal ondersteunt ware anonimisering — niet-reversibele vervanging zonder sleutels. Dit brengt datasets buiten GDPR-bereik voor alle partijen, inclusief uzelf.