Metrieken

Wil je zeker weten wat precies onder persoonsgegevens valt en hoe je daar slim en veilig mee omgaat? Je ontdekt wat de AVG van je vraagt, welke rechten jij (of je klanten) hebben en wanneer je gegevens wél of niet mag verwerken-met duidelijke voorbeelden rond cookies, apps, camera’s en internationale doorgifte. Plus direct toepasbare stappen zoals dataminimalisatie, bewaartermijnen, encryptie, toegangsbeheer, DPIA’s en strakke verwerkersafspraken, zodat je risico’s verkleint, datalekken voorkomt en vertrouwen opbouwt zonder in te leveren op gemak.

Wat zijn persoonsgegevens

Persoonsgegevens zijn alle gegevens die iets zeggen over jou en waarmee je direct of indirect te identificeren bent. Denk aan duidelijke identifiers zoals je naam, adres, e-mailadres of telefoonnummer, maar ook aan minder zichtbare kenmerken zoals een IP-adres, cookie-ID, klantnummer, kenteken of exacte locatiegegevens. Soms gaat het om combinaties: één gegeven op zichzelf lijkt onschuldig, maar samen met andere gegevens kan het alsnog naar jou herleidbaar zijn. De wet maakt onderscheid tussen gewone persoonsgegevens en bijzondere persoonsgegevens. Die laatste categorie is extra gevoelig en omvat onder meer gegevens over gezondheid, biometrie met het doel iemand uniek te identificeren, genetische gegevens, ras of etnische afkomst, religie of levensovertuiging, politieke opvattingen, seksuele gerichtheid en lidmaatschap van een vakbond.

Ook strafrechtelijke gegevens kennen strikte regels. Alles wat je met deze gegevens doet, heet verwerken: verzamelen, vastleggen, ordenen, bewaren, delen, bekijken of verwijderen. Geanonimiseerde data vallen hier niet onder, omdat ze niet meer naar jou zijn te herleiden; gepseudonimiseerde data wel, omdat je met een sleutel de link kunt herstellen. Gegevens van een bedrijf als rechtspersoon zijn geen persoonsgegevens, maar die van een contactpersoon bij dat bedrijf wél. Het uitgangspunt is simpel: zodra informatie iets over jou zegt en herleidbaar is tot jou als natuurlijke persoon, heb je te maken met persoonsgegevens.

Direct, indirect en bijzondere persoonsgegevens

Directe persoonsgegevens identificeren je meteen, zoals je naam, adres, e-mailadres of je burgerservicenummer. Indirecte persoonsgegevens wijzen niet in één keer naar jou, maar worden herleidbaar zodra je ze combineert of koppelt, bijvoorbeeld een IP-adres, cookie-ID, locatiegegevens of een klantnummer. Ook een pseudoniem valt hieronder, omdat iemand met de sleutel de link naar jou kan herstellen. Bijzondere persoonsgegevens zijn extra gevoelig en krijgen daarom zwaardere bescherming.

Het gaat om gegevens over je gezondheid, ras of etnische afkomst, religie of levensovertuiging, politieke opvattingen, genetische en biometrische gegevens (als die bedoeld zijn om je uniek te identificeren), seksuele gerichtheid en lidmaatschap van een vakbond. Strafrechtelijke gegevens vallen niet onder deze lijst, maar kennen vergelijkbare strenge regels vanwege het risico op misbruik en stigmatisering.

Praktijkvoorbeelden

Als je online iets bestelt, verwerk je naam, afleveradres, e-mail, betaalreferentie en het IP-adres waarmee je bestelde; combineer je dat met bestelgeschiedenis, dan krijg je een profiel van je voorkeuren. Meld je je aan voor een nieuwsbrief, dan kan een trackingpixel meten of je een mail opent en op links klikt. In een fitnessapp koppel je hartslag en slaap aan je account, wat meteen bijzondere persoonsgegevens oplevert.

Een camera bij de ingang legt gezichten en kentekens vast, inclusief datum en tijd. Bij een sollicitatie deel je cv, foto en referenties, terwijl de werkgever notities maakt over het gesprek. Zelfs een winkel met gratis wifi verwerkt MAC-adressen om bezoekersstromen te analyseren, wat indirect naar jou herleidbaar kan zijn.

[TIP] Tip: Alles dat iemand identificeerbaar maakt is een persoonsgegeven; verzamel en deel minimaal.

Regels en verantwoordelijkheden (AVG in Nederland en België)

De AVG bepaalt hoe je persoonsgegevens mag verwerken en wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens en in België door de Gegevensbeschermingsautoriteit. Je mag gegevens alleen verwerken met een geldige grondslag, zoals toestemming, uitvoering van een overeenkomst, een wettelijke plicht, vitale belangen, een taak van algemeen belang of een gerechtvaardigd belang na belangenafweging. Ben je verwerkingsverantwoordelijke, dan bepaal je doelen en middelen en zorg je voor transparantie via een duidelijke privacyverklaring. Werk je als verwerker, dan handel je in opdracht en sluit je een verwerkersovereenkomst. Je past dataminimalisatie, doelbinding, bewaartermijnen en passende beveiliging toe, én je werkt volgens privacy by design en by default.

Voor risicovolle verwerkingen voer je een DPIA uit en stel je waar nodig een privacy officer (DPO) aan. Je houdt een verwerkingsregister bij, behandelt verzoeken van betrokkenen over inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar binnen de wettelijke termijnen, en meldt datalekken binnen 72 uur waar nodig aan AP of GBA en soms aan betrokkenen. Internationale doorgifte buiten de EU/EER mag alleen met passende waarborgen, zoals een adequaatheidsbesluit of modelcontracten. Boetes en sancties volgen bij niet-naleving.

Verwerkingsgrondslagen en rechten van betrokkenen

Onder de AVG (in Nederland en België) mag je persoonsgegevens alleen verwerken met een geldige basis, terwijl betrokkenen hun rechten effectief moeten kunnen uitoefenen. Hieronder de kern in het kort.

• Geldige verwerkingsgrondslagen: toestemming (vrij, specifiek, geïnformeerd en intrekbaar), uitvoering van een overeenkomst, wettelijke verplichting, vitale belangen, taak van algemeen belang en gerechtvaardigd belang (na belangenafweging en met duidelijke opt-out waar passend). Kies per doel één passende grondslag, leg die vast en informeer betrokkenen transparant.
• Bijzondere persoonsgegevens zijn in principe verboden om te verwerken. Uitzonderingen gelden alleen onder strikte voorwaarden, zoals uitdrukkelijke toestemming, zorg/arbeidsgeneeskunde, substantiële publieke belangen, wettelijke claims of vitale belangen wanneer toestemming niet mogelijk is. Pas extra waarborgen toe (bijv. minimale toegang, DPIA) en wees extra terughoudend.
• Rechten van betrokkenen: inzage, rectificatie, wissen (recht op vergetelheid), beperking, dataportabiliteit, bezwaar (waaronder altijd tegen direct marketing) en bescherming tegen uitsluitend geautomatiseerde besluitvorming inclusief profilering, met recht op menselijke tussenkomst. Behandel verzoeken kosteloos en tijdig (in principe binnen één maand) via duidelijke contactkanalen.

Koppel ieder verwerkingsdoel aan een heldere grondslag en maak rechten eenvoudig uitoefenbaar. Zo voldoe je aan de AVG en bouw je vertrouwen op.

Rollen, verwerkersovereenkomsten, documentatie en toezicht (AP/GBA)

Als verwerkingsverantwoordelijke bepaal je doelen en middelen, als verwerker voer je uit in opdracht, en als gezamenlijke verantwoordelijken spreek je samen af wie wat doet. Heb je grootschalige monitoring of verwerk je veel bijzondere gegevens, dan stel je een functionaris gegevensbescherming aan die onafhankelijk adviseert en toezicht houdt. Met elke verwerker sluit je een verwerkersovereenkomst met heldere afspraken over doel en duur, beveiliging, subverwerkers, audits, geheimhouding, datalekmeldingen en het wissen of retourneren van gegevens na afloop.

Je documenteert je aanpak met een verwerkingsregister, DPIA’s waar nodig, een privacybeleid, bewaartermijnen en een datalekregister, zodat je aantoonbaar voldoet. De Autoriteit Persoonsgegevens en de Gegevensbeschermingsautoriteit houden toezicht, kunnen onderzoek doen, aanwijzingen geven en boetes opleggen. Je werkt mee aan verzoeken en toont op elk moment accountability.

[TIP] Tip: Verwerk alleen noodzakelijke persoonsgegevens; documenteer grondslag en bewaartermijn.

Zo ga je veilig om met persoonsgegevens

Begin met doelbinding en dataminimalisatie: bepaal duidelijk waarom je gegevens nodig hebt en verzamel alleen wat echt noodzakelijk is. Leg bewaartermijnen vast en verwijder of anonimiseer gegevens zodra je ze niet meer nodig hebt. Beveilig technisch én organisatorisch: versleutel data bij opslag en transport, gebruik sterke wachtwoorden met multifactorauthenticatie (een extra stap bij inloggen), geef medewerkers alleen de minimale rechten die ze nodig hebben, log toegang en wijzigingen, maak versleutelde back-ups en update systemen op tijd. Pseudonimiseer gegevens voor testen en analyses en kies waar mogelijk voor volledige anonimisering.

Werk volgens privacy by design en by default, zodat privacy standaard is ingebouwd in processen en tools. Informeer transparant via een begrijpelijke privacyverklaring en houd je verwerkingen bij in een actueel register. Voer een DPIA uit zodra een verwerking waarschijnlijk hoge risico’s oplevert; dat is een gestructureerde risicoanalyse met mitigerende maatregelen. Deel gegevens met derden alleen met duidelijke afspraken, controleer subverwerkers en zorg voor passende waarborgen bij internationale doorgifte. Train je team, oefen incidentscenario’s en zorg voor een strak datalekproces.

Dataminimalisatie, doelbinding en bewaartermijnen

Dataminimalisatie betekent dat je alleen de gegevens verzamelt die je echt nodig hebt voor je doel, niks “voor het geval dat”. Laat overbodige velden weg, versimpel formulieren en mask gegevens waar volledige detail niet nodig is. Doelbinding vraagt dat je vooraf duidelijk vastlegt waarom je gegevens verwerkt en ze later niet voor een ander, onverenigbaar doel gebruikt; wil je toch uitbreiden, dan heb je een nieuwe grondslag of expliciete toestemming nodig, of je gebruikt geanonimiseerde/geaggregeerde data.

Bewaartermijnen zorgen dat je niet langer bewaart dan noodzakelijk. Koppel elke dataset aan een concrete termijn, respecteer wettelijke plichten (zoals fiscale bewaarplicht, vaak zeven jaar) en automatiseer opschoning via archivering, pseudonimisering of definitief wissen. Zo verklein je risico’s, kosten en privacy-impact, terwijl je aantoonbaar aan de AVG voldoet.

Technieken en maatregelen: encryptie, pseudonimisering en toegangsbeheer

Onderstaande tabel vergelijkt drie kernmaatregelen om veilig met persoonsgegevens om te gaan, met focus op hun werking, praktische inzet en AVG-implicaties.

Kerninzicht: combineer encryptie, pseudonimisering en streng toegangsbeheer voor gelaagde beveiliging van persoonsgegevens; documenteer keuzes en beheer (sleutels, rollen, logs) aantoonbaar volgens de AVG.

Encryptie (versleuteling) beschermt gegevens door ze onleesbaar te maken voor onbevoegden; doe dit bij transport met TLS en bij opslag op schijven en in databases, en regel strak sleutelbeheer met rotatie en aparte opslag. Pseudonimisering vervangt directe identificatoren door codes, zodat de link naar jou alleen met een aparte sleutel te herstellen is; behandel die sleutel als hooggevoelig en scheid processen en omgevingen.

Toegangsbeheer draait om het principe van least privilege: je geeft alleen toegang die strikt nodig is, met rollen en rechten, sterke authenticatie met MFA, tijdige intrekking en periodieke reviews. Voeg logging, alertering en scheiding van functies toe. Zo verklein je de impact van incidenten en voldoe je aantoonbaar aan de beveiligingsplicht onder de AVG.

Delen met derden en internationale doorgifte

Delen met derden betekent dat je een andere partij toegang geeft tot persoonsgegevens voor een duidelijk doel, onder strikte afspraken. Werk je met een verwerker, dan sluit je een verwerkersovereenkomst met heldere afspraken over beveiliging, subverwerkers, audits, datalekken en wissen na afloop. Deel alleen wat nodig is, op need-to-know basis. Gaat data buiten de EU/EER, dan heb je passende waarborgen nodig: een adequaatheidsbesluit of standaardcontractbepalingen (SCC’s), en vaak ook een Transfer Impact Assessment met eventuele extra maatregelen, zoals sterke versleuteling waarbij jij de sleutels houdt.

Controleer waar je cloudprovider en supportteams zitten, leg doorgiftes vast in je register, informeer betrokkenen in je privacyverklaring en beoordeel periodiek of doorgiftes en waarborgen nog passend zijn.

[TIP] Tip: Gebruik sterke wachtwoorden, MFA en versleutel alle opgeslagen persoonsgegevens.

Veelgemaakte fouten en wat je beter doet

De meeste AVG-problemen ontstaan al bij de start. Dit zijn de veelgemaakte fouten én wat je in plaats daarvan doet.

• Basis op orde: je verzamelt te veel, doelen zijn vaag, er zijn geen bewaartermijnen en je test met productiedata; rechten zijn te breed, MFA ontbreekt en back-ups zijn onversleuteld; verwerkers due diligence schiet tekort, er is geen verwerkersovereenkomst, subverwerkers zijn onbegrensd en internationale doorgifte mist waarborgen/TIA; documentatie veroudert en verzoeken van betrokkenen blijven liggen. Beter: formuleer strikte doelbinding en dataminimalisatie, leg bewaartermijnen vast met automatische opschoning, gebruik synthetische/gestripte testdata, implementeer RBAC en MFA, versleutel data en back-ups, doe verwerkersdue diligence, sluit verwerkersovereenkomsten (incl. subverwerker-controle), regel SCC’s + Transfer Impact Assessment bij doorgifte, onderhoud je verwerkingsregister/DPIA’s en werk met duidelijke SLA’s en identity-checks voor AVG-verzoeken.
• Cookies en tracking: onduidelijke banners, vooraf aangevinkte vakjes, plaatsen van niet-essentiële cookies vóór toestemming, geen granulariteit of bewijs van toestemming en een verouderd cookiebeleid. Beter: bied transparante, gelaagde keuze per doel en per partner, plaats niet-essentiële cookies pas na opt-in, log en respecteer keuzes (inclusief intrekken), gebruik privacyvriendelijke instellingen (bijv. IP-anonimisering en beperkte retentie), update je cookiebeleid en overweeg een betrouwbare CMP en Consent Mode (correct geconfigureerd) voor compliant metingen.
• Datalekken: signalen worden gemist, containment duurt te lang en meldingen aan AP/GBA of betrokkenen komen te laat of incompleet. Beter: hanteer een getest incident response-plan, train medewerkers om direct te melden, isoleer en log snel, voer een risicobeoordeling uit, meld ernstige lekken binnen 72 uur bij AP (NL) of GBA (BE) en informeer betrokkenen bij hoog risico; documenteer elk incident, evalueer de oorzaken en verbeter structureel (encryptie en pseudonimisering kunnen meldplichten beperken).

Met deze aanpak verklein je risico’s, voldoe je aantoonbaar aan de AVG en behoud je vertrouwen van klanten en toezichthouders. Begin met de grootste risico’s, borg eigenaarschap en blijf monitoren.

Cookies en tracking: transparantie en toestemming

Cookies en trackingtechnieken zoals pixels, SDK’s en device fingerprinting verzamelen gegevens over hoe je een site of app gebruikt. Voor alles wat niet strikt noodzakelijk is voor de werking heb je voorafgaande, vrij gegeven en geïnformeerde toestemming nodig. Geen vooraf aangevinkte vakjes, geen drempels: je biedt een duidelijke keuze met even prominente knoppen om te accepteren of te weigeren, en je laat mensen per doel of categorie kiezen.

Je legt helder uit wat je inzet, door wie en hoe lang, in een actuele cookieverklaring. Toestemming moet net zo makkelijk in te trekken zijn als gegeven, via een blijvend zichtbare voorkeurenknop. Log je toestemmingen, beperk de geldigheidsduur en vraag periodiek opnieuw. Minimaliseer third-party trackers en stel privacyvriendelijke analytics correct in. Zo voorkom je onnodige risico’s en voldoe je aan de regels.

Datalekken: herkennen, beperken en 72-uurs meldplicht

Een datalek is elke beveiligingsincident waarbij persoonsgegevens verloren gaan, onbedoeld worden gewijzigd of toegankelijk zijn voor onbevoegden, bijvoorbeeld door phishing, ransomware, een kwijtgeraakte laptop of een mail naar de verkeerde ontvanger. Herken signalen als vreemde inlogpogingen, ongebruikelijke datastromen, foutmeldingen in logs of versleutelde bestanden. Beperk de schade meteen: isoleer systemen, trek toegangen in, reset wachtwoorden, roteer sleutels, herstel waar nodig vanuit schone back-ups en leg forensische sporen vast.

Beoordeel daarna het risico voor betrokkenen; is het waarschijnlijk dat hun rechten en vrijheden worden geraakt, dan meld je het lek binnen 72 uur na ontdekking bij de toezichthouder (AP in Nederland, GBA in België). Is er een hoog risico, informeer ook de betrokkenen zonder onnodige vertraging. Documenteer elk incident in je datalekregister, ook als je niet hoeft te melden.

Veelgestelde vragen over persoons gegevens

Wat is het belangrijkste om te weten over persoons gegevens?

Persoons gegevens zijn alle informatie die een persoon direct of indirect identificeert. Denk aan naam, kenteken of IP-adres. Bijzondere gegevens (zoals gezondheid) vereisen extra bescherming. AVG-regels bepalen doelen, grondslagen, rechten en beveiliging.

Hoe begin je het beste met persoons gegevens?

Begin met een datainventarisatie en verwerkingsregister. Bepaal doelen en grondslag per verwerking, pas dataminimalisatie en bewaartermijnen toe. Stel beleid, verwerkersovereenkomsten en toegangsbeheer in, train medewerkers, raadpleeg AP/GBA, voer zo nodig een DPIA uit.

Wat zijn veelgemaakte fouten bij persoons gegevens?

Veelgemaakte fouten: overmatige dataverzameling, vage doelen, vergeten bewaartermijnen, onbeveiligde e-mail, zwakke toegangsrechten, cookie-tracking zonder toestemming, geen meldproces voor datalekken, internationale doorgifte zonder waarborgen. Voorkom dit met beleid, documentatie, encryptie en 72-uurs meldplicht.