“Anonimiseren betekent verwisseling van persoonsgegevens in gegevens die niet langer gebruikt kunnen worden om een natuurlijk persoon te identificeren, daarbij in ogenschouw nemende 'alle middelen die hiervoor redelijkerwijs gebruikt kunnen worden' door zowel een verantwoordelijke als een derde partij.
Anonimiseren kan zo makkelijk zijn als identificeerbare gegevens onleesbaar maken, bijvoorbeeld door met een zwarte stift de geboortedatum van een persoon in een document door te strepen. Hierdoor is de geboortedatum van de betreffende persoon niet meer te gebruiken als informatie om de persoon te identificeren.
Het doel van data anonimiseren is ervoor te zorgen dat data niet herleidbaar is naar een natuurlijke persoon. De belangrijkste drijfveer voor de meeste bedrijven is compliance. Er zijn verschillende termen die worden gebruikt voor de definitie van maskering van gegevens, zoals data anonimiseren of data pseudonimiseren.
Anonimiseren, ook wel datamasking genoemd, is een methode waarbij persoonsgegevens zodanig worden bewerkt dat deze niet meer gebruikt kunnen worden om een persoon te identificeren. Deze bewerking is onomkeerbaar. Anonimisering kan op een aantal verschillende manieren worden gerealiseerd.
De definities die in dit document zijn opgenomen, zijn in de AVG niet wezenlijk veranderd en dus nog steeds relevant: het essentiële verschil tussen anonimiseren en pseudonimiseren is dat anonimiseren een onomkeerbaar proces is en pseudonimiseren een omkeerbaar proces.
Anonieme gegevens zijn gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Hierbij zijn de persoonsgegevens zodanig anoniem gemaakt dat een betrokkene niet of niet meer identificeerbaar is.
Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare levende natuurlijke persoon. Losse gegevens die samengevoegd kunnen leiden tot de identificatie van een bepaalde persoon vormen ook persoonsgegevens.
Schematisch weergegeven: Partij 1 versleutelt de originele waarde in een versleutelde waarde. Vervolgens wordt deze versleutelde waarde naar een andere partij gestuurd. Deze tweede partij versleutelt de gegevens nogmaals (met een andere sleutel) om het uiteindelijke pseudoniem te produceren.
Het recht om de persoonsgegevens die u verwerkt te laten wijzigen. Het recht op dataportabiliteit. Het recht om persoonsgegevens over te laten dragen aan een andere partij. Het recht op beperking van de verwerking: Het recht om minder gegevens te laten verwerken.
Uw onderneming/organisatie heeft een gerechtvaardigd belang wanneer de verwerking binnen een klantrelatie plaatsvindt, wanneer zij persoonsgegevens verwerkt voor direct-marketingdoeleinden, om fraude te voorkomen of om de netwerk- en informatiebeveiliging van haar IT-systemen te waarborgen.
Gemiddeld zit iemand met zijn gegevens in honderden tot duizenden bestanden, zowel van het bedrijfsleven als van de overheid. Iedereen moet erop kunnen vertrouwen dat zijn persoonsgegevens voldoende worden beveiligd. Slechte beveiliging kan leiden tot een datalek en vervolgens tot misbruik van deze gegevens.
Je gegevens beveiligen
Een goede vorm van beveiliging is bijvoorbeeld een VPN, een verbinding voor veilig gebruik van openbare wifi. De gegevens die je verzendt, versleutelt VPN. De hackers kunnen je gegevens dan (helaas) nog wel onderscheppen, maar ze kunnen ze niet lezen.
Met een verwerkersovereenkomst kunt u verantwoorden dat u persoonsgegevens mag verwerken en op welke manier. U kunt zich dan beroepen op de grondslag van de verwerkingsverantwoordelijke. U moet de persoonsgegevens passend beveiligen.
Het gaat hierbij om persoonsgegevens die je zelf verwerkt en om persoonsgegevens die in jouw opdracht worden verwerkt door bijvoorbeeld de leverancier van een leerlingadministratiesysteem. In het register hou je bij wat voor soort persoonsgegevens je verwerkt, van wie je dat doet en waarom.
Denk aan voornaam, achternaam, geslacht, geboortedatum, geboorteplaats, straatnaam, postcode, woonplaats, telefoonnummer (mobiel en vast), en e-mailadres. Een BSN mag alleen door overheidsinstanties gebruikt worden en door organisaties buiten de organisatie als dat in een wet staat.
Bescherming privacy bij gebruik persoonsgegevens
Iedereen mag organisaties op de naleving van de AVG aanspreken. De maximale boete is € 20 miljoen of 4% van de jaarlijkse wereldwijde omzet als het om een grote onderneming gaat.
Naast 'gewone' persoonsgegevens zijn er ook bijzondere persoonsgegevens. Deze gaan bijvoorbeeld over iemands gezondheid, strafrechtelijke verleden of politieke voorkeur. Het is verboden om bijzondere persoonsgegevens te gebruiken, tenzij je een wettelijke uitzondering hebt.
De meldplicht datalekken houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens (AP) zodra zij een ernstig datalek hebben. En soms moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).
Direct herleidbare gegevens, zijn gegevens die de identiteit van een persoon zonder veel omwegen kan vaststellen. Deze gegevens zijn in bepaalde mate uniek waardoor ze een individu met bepaalde zekerheid kunnen identificeren. Hieronder vallen gegevens zoals naam, adres, geboortedatum en de combinatie van deze gegevens.
Het inzagerecht staat in artikel 15 van de Algemene verordening gegevensbescherming (AVG). Het houdt in dat betrokkenen het recht hebben om inzage te vragen en krijgen in alle gegevens die een organisatie over hen verwerkt.
Gegevens over organisaties, zoals rechtspersonen, verenigingen en stichtingen, zijn geen persoonsgegevens. Ook gegevens van overleden mensen vallen buiten de reikwijdte van de AVG. De AVG regelt wat er allemaal wel en niet mag met de persoonsgegevens van mensen.
Dit zijn gegevens over iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gezondheidsgegevens en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.
Gevoelige gegevens als iemands ras, godsdienst of gezondheid worden bijzondere persoonsgegevens genoemd. Deze zijn door de wetgever extra beschermd. Het is verboden om bijzondere persoonsgegevens te verwerken, tenzij er een wettelijke uitzondering is.
Zo kan bijvoorbeeld een telefoonnummer worden aangemerkt als een direct identificeerbaar gegeven. Indirect identificeerbare gegevens kunnen zijn ontdaan van de naam, doch onder omstandigheden door combinatie met andere gegevens weer worden teruggebracht tot een bepaalde persoon.