Anonimiseren en pseudonimiseren: het verschil en de waarde

Twee begrippen die in privacygesprekken vaak door elkaar lopen, zijn anonimiseren en pseudonimiseren. Ze klinken verwant en worden achteloos uitgewisseld, maar juridisch zijn ze totaal verschillend. Bij het ene zijn gegevens geen persoonsgegevens meer en valt de AVG weg; bij het andere blijven het persoonsgegevens en blijft de AVG gewoon gelden. Dat verschil bepaalt of je risico verdwijnt of alleen kleiner wordt.

Dit artikel legt het onderscheid helder uit, met voorbeelden, en laat zien hoe je beide technieken inzet om je AVG-risico te verlagen in het MKB. Het sluit aan op privacy by design en het principe van dataminimalisatie.

Het kernverschil

Het verschil zit in de herleidbaarheid. Geanonimiseerde gegevens zijn niet meer tot een persoon te herleiden, ook niet door jou. Gepseudonimiseerde gegevens zijn dat wel, alleen niet zonder aanvullende informatie die jij apart bewaart.

Dit is het beslissende punt. Echt anonimiseren betekent dat de koppeling naar de persoon onomkeerbaar weg is. Pseudonimiseren vervangt herkenbare gegevens door een code, maar je houdt ergens een sleutel om de koppeling te herstellen. Zolang die sleutel bestaat, blijft het een persoonsgegeven.

Anonimiseren in de praktijk

Echt anonimiseren is moeilijker dan het lijkt. Het is niet genoeg om alleen de naam weg te halen; de gegevens mogen op geen enkele manier meer tot een persoon herleidbaar zijn, ook niet door combinatie met andere gegevens.

De valkuil zit in de indirecte kenmerken. Een dataset zonder naam, maar met postcode, geboortedatum en geslacht, kan alsnog tot een persoon herleiden. Pas als ook die combinaties zijn aangepakt, is sprake van echte anonimisering. Lukt dat, dan valt de dataset buiten de AVG en mag je hem vrij gebruiken, bijvoorbeeld voor statistiek.

Pseudonimiseren in de praktijk

Pseudonimiseren is makkelijker en in veel gevallen praktischer. Je vervangt herkenbare gegevens door een code en bewaart de koppeling apart. De gegevens blijven bruikbaar, maar zijn minder direct herleidbaar.

Pseudonimiseren valt nog onder de AVG, maar de AVG noemt het wel uitdrukkelijk als een passende beveiligingsmaatregel. Bij een datalek met gepseudonimiseerde gegevens is de schade kleiner, omdat een aanvaller zonder de sleutel geen directe persoonsgegevens heeft. Bewaar die sleutel daarom streng gescheiden.

Wanneer gebruik je wat?

De keuze tussen anonimiseren en pseudonimiseren hangt af van wat je met de gegevens wilt. Wil je ze niet meer aan personen koppelen, dan anonimiseer je. Moet je de koppeling kunnen herstellen, dan pseudonimiseer je.

Voor het MKB geldt vaak: pseudonimiseren waar je de gegevens nog nodig hebt, anonimiseren waar je ze alleen geaggregeerd gebruikt. Zo verlaag je je risico zonder bruikbaarheid te verliezen waar dat telt.

In cijfers

De cijfers laten zien dat vooral pseudonimiseren een praktische en betaalbare maatregel is: voor een MKB-bedrijf met 20 medewerkers is een eerste opzet in circa 8 uur te realiseren. Het verlaagt je risico bij een datalek, dat een MKB-bedrijf al snel tienduizenden euro's kost, en telt mee als passende beveiligingsmaatregel tegen boetes tot 10 miljoen euro of 2 procent van de omzet. Echt anonimiseren is krachtiger, maar lastiger goed te doen.

Veelgemaakte fouten

Bij beide technieken gaan dingen mis, vaak doordat men denkt geanonimiseerd te hebben terwijl de gegevens nog herleidbaar zijn. Die misvatting is gevaarlijk, omdat je dan onbewust toch onder de AVG valt.

De belangrijkste les: noem iets pas anoniem als het echt onomkeerbaar is. Twijfel je, ga er dan van uit dat het gepseudonimiseerd is en dus onder de AVG valt. Dat is de veilige aanname.

Conclusie

Anonimiseren en pseudonimiseren lijken op elkaar, maar het verschil is juridisch beslissend: geanonimiseerde gegevens vallen buiten de AVG, gepseudonimiseerde niet. Echt anonimiseren is krachtig maar lastig, omdat ook indirecte kenmerken herleidbaar kunnen zijn. Pseudonimiseren is praktischer, verlaagt je risico en telt als erkende beveiligingsmaatregel. Voor het MKB is de vuistregel: pseudonimiseer waar je gegevens nog nodig hebt, anonimiseer waar je ze alleen geaggregeerd gebruikt. Met circa 8 uur zet je pseudonimisering op. Lees verder in privacy by design en beveiliging van persoonsgegevens.

De keuze in de praktijk

In de praktijk kiest het MKB vaker voor pseudonimiseren dan voor anonimiseren, en dat is meestal verstandig. Echt anonimiseren is lastig goed te doen, omdat indirecte kenmerken kunnen blijven herleiden, terwijl pseudonimiseren met circa 8 uur opzet al een aanzienlijke risicoverlaging oplevert. Bovendien blijven gepseudonimiseerde gegevens bruikbaar, wat bij anonimiseren niet altijd zo is.

Een goed voorbeeld is een analyse van klantgedrag. Wil je trends zien zonder individuele klanten te volgen, dan kun je de dataset anonimiseren en valt die buiten de AVG. Wil je later toch kunnen terugkoppelen naar een klant, bijvoorbeeld voor service, dan pseudonimiseer je: je vervangt de namen door codes en bewaart de koppeling streng gescheiden. Zo houd je de gegevens bruikbaar terwijl je het risico bij een datalek verlaagt.

Het belangrijkste is dat je weet welke van de twee je hebt toegepast. Noem nooit iets anoniem als de koppeling nog ergens bestaat, want dan val je onbewust toch onder de AVG en denk je ten onrechte dat je geen verplichtingen meer hebt. Bij twijfel ga je uit van pseudonimisering, met alle bijbehorende plichten. Herzie je aanpak elke 12 maanden, zeker als je datasets combineert, want combinaties kunnen herleidbaarheid terugbrengen.

Tot slot een praktische volgorde: reserveer circa 8 uur om pseudonimisering op te zetten voor de gegevens die je actief gebruikt, plan een herziening na 12 maanden en houd er rekening mee dat een datalek binnen 72 uur gemeld moet worden. Pseudonimiseren verlaagt de schade van zo'n datalek aanzienlijk, dat een MKB-bedrijf al snel tienduizenden euro's kost, en telt mee tegen boetes tot 10 miljoen euro of 2 procent van de omzet voor onvoldoende beveiliging. Met die vaste punten maak je van een lastig juridisch onderscheid een werkbare praktijk.

Wie pseudonimiseren als vaste gewoonte invoert, met circa 8 uur opzet en circa 4 uur per maand onderhoud, verlaagt structureel het risico bij elk datalek, dat een MKB-bedrijf al snel tienduizenden euro's kost. Het is daarmee een van de meest praktische privacymaatregelen die er zijn.

Reken er daarbij op dat je pseudonimisering elke 12 maanden herziet, dat de opzet circa 8 uur kost en dat een datalek binnen 72 uur gemeld moet worden; met die drie vaste punten blijft de maatregel actueel en effectief.

Veelgestelde vragen

Wat is het verschil tussen anonimiseren en pseudonimiseren?

Bij anonimiseren zijn gegevens definitief niet meer tot een persoon te herleiden en valt de AVG weg. Bij pseudonimiseren blijven gegevens herleidbaar met een apart bewaarde sleutel, en blijft de AVG gelden.

Valt geanonimiseerde data onder de AVG?

Nee. Als gegevens echt en onomkeerbaar niet meer tot een persoon herleidbaar zijn, zijn het geen persoonsgegevens meer en geldt de AVG niet. De kunst is om dat ook echt te bereiken.

Waarom is anonimiseren lastig?

Omdat ook indirecte kenmerken kunnen herleiden. Een dataset zonder naam, maar met postcode, geboortedatum en geslacht, kan alsnog tot een persoon leiden. Pas als ook die combinaties zijn aangepakt, is het echt anoniem.

Wat levert pseudonimiseren op?

Het verlaagt je risico: bij een datalek heeft een aanvaller zonder de sleutel geen directe persoonsgegevens. De AVG erkent pseudonimisering uitdrukkelijk als passende beveiligingsmaatregel.

Wanneer gebruik ik wat?

Anonimiseer voor statistiek en analyse zonder personen, of om gegevens te delen. Pseudonimiseer waar je de gegevens nog actief nodig hebt maar het risico wilt verlagen.

Dit artikel is informatief en geen juridisch advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur of de Autoriteit Persoonsgegevens.