Wat zijn quasi-persoonsgegevens?
GDPR Artikel 4 omvat alle gegevens die een persoon kunnen identificeren. De gegevens hoeven iemand niet direct te benoemen. Het is voldoende dat identificatie mogelijk is via extra stappen.
Interne medewerkers-ID's zijn een duidelijk voorbeeld. Neem de waarde "EMP-EU-123456." Die string noemt niemand. Maar het HR-systeem heeft een eenvoudige opzoektabel. EMP-EU-123456 wijst naar Maria Schmidt, Senior Engineer, München. Iedereen met toegang tot die tabel kan haar vinden. Onder GDPR zijn de ID persoonsgegevens.
Dezelfde regel geldt voor andere interne codes:
- Klantrekeningnummers die koppelen aan CRM-records
- Ticket-ID's die koppelen aan supportdossiers
- Projectcodes die koppelen aan factureringsadressen
- Apparaat-ID's die koppelen aan gebruikersprofielen
Het 34%-probleem
Een analyse van GDPR-boetes toont aan dat 34% betrekking heeft op inadequate technische bescherming. Dat omvat gevallen waarbij intern gecreëerde identifiers niet werden behandeld als persoonsgegevens.
Het patroon is consistent. Een organisatie geanonimiseerde klantrecords voor analyse. Ze vervingen namen, e-mails en telefoonnummers. Ze lieten klant-ID's ongemoeid. De analisten konden de dataset terugkoppelen aan het CRM-systeem via die ID's. De anonimisering was onvolledig.
Aangepaste entiteiten aanmaken
anonym.legal biedt een aangepast entiteitsframework voor interne identificatoren.
Patroondefinitie: Beschrijf het formaat van uw organisatie. EMP-EU-{6 cijfers}. CUST-{8 alfanumerieke tekens}. TKT-{JAAR}-{5 cijfers}. De definitie kan regex of gewone taalbeschrijving gebruiken.
Contextvalidatie: Voeg contextuele patronen toe. Het systeem zoekt naar de entiteit wanneer ze verschijnt naast woorden zoals "medewerker", "medewerkersnummer" of "ID".
Negatieve voorbeelden: Voeg tegenvoorbeelden toe die op het patroon lijken maar geen PII zijn. Dit vermindert valse positieven.
Integratie in bestaande pipelines
Nadat aangepaste entiteiten zijn gedefinieerd, verschijnen ze in de entiteitslijst naast standaard PII-types. Activeer ze selectief:
- HR-documenten: activeer EMP-ID, afdeling-ID
- Supporttickets: activeer CUST-ID, TKT-ID
- Factuurexports: activeer CUST-ID, projectcode
Elke pipeline kan een andere entiteitsset hebben. Dit voorkomt overdetectie in documenten waar die ID's zinvol zijn en activeren van detectie voor export.
DPIA-documentatie
GDPR Artikel 35 vereist een DPIA voor hoogrisicoверwerking. Grootschalige verwerking van medewerkers- of klantgegevens is hoogrisicoверwerking.
De DPIA moet documenteren welke technische maatregelen zijn genomen. "We hebben de interne ID's niet opgenomen in onze anonimisering" is geen aanvaardbare maatregel. "We hebben de anonimiseringstool geconfigureerd om alle interne identifiers die opnieuw kunnen worden gekoppeld te detecteren en te verwijderen" is dat wel.
anonym.legal's auditlogs ondersteunen deze documentatie. Elke run registreert welke entiteiten zijn gevonden, welke zijn vervangen en de betrouwbaarheidsscore per detectie.