Persoonsgegevens, onderbroken. Een nieuwe kijk op het begrip persoonsgegevens in de recente jurisprudentie van het Hof van Justitie van de Europese Unie en het voorstel voor een digitale omnibuswet

Sinds het arrest van het Hof van Justitie in september in de SRB-zaak (C-413/23 P, EDPS tegen Single Resolution Board) is de discussie over het begrip persoonsgegevens nauwelijks afgenomen en blijven praktijkbeoefenaars nieuwe stemmen toevoegen over de mogelijke gevolgen van het vonnis. De discussie is ook verrijkt door voorgestelde wijzigingen van de AVG en Verordening 2018/1725 als gevolg van het laatste voorstel voor een digitale omnibuswet. 

Het arrest heeft tot de vraag geleid of dezelfde gepseudonimiseerde dataset voor de ene actor als persoonsgegevens kunnen worden beschouwd, maar tegelijk voor een andere persoon als niet-persoonsgegevens, afhankelijk van de beschikbaarheid van "redelijke middelen" om de betrokkenen opnieuw te identificeren? Dat is het centrale punt van het arrest van het Hof van Justitie in de SRB-zaak en de nieuwe definitie van persoonsgegevens die in Digital Omnibus wordt voorgesteld. 

1. Persoonsgegevens en anonieme gegevens onder de AVG 

Hoewel de definitie van persoonsgegevens sinds Richtlijn 95/46/EG grotendeels consistent is gebleven, is de manier waarop het begrip wordt geïnterpreteerd en algemeen wordt begrepen in de loop der tijd aanzienlijk geëvolueerd.

Volgens artikel 4, lid 1, van de AVG worden onder persoonsgegevens verstaan alle gegevens betreffende een geïdentificeerde of identificeerbare natuurlijke persoon ("betrokkene") [...]. De vier bouwstenen van deze definitie zijn dan ook de volgende: 

• "alle informatie" - breed van opzet, van toepassing op objectieve en subjectieve informatie, vastgelegd op verschillende manieren (foto's, opnames enz.); 
• "betreffende" - informatie betreft (een persoon) als deze naar die persoon verwijst door middel van de inhoud (het gaat over iemand), het doel of het effect;
• 'geïdentificeerd of identificeerbaar' - een identificeerbare natuurlijke persoon is een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel en zoals uitgelegd in overweging 26 van de AVG, moet om te bepalen of een natuurlijke persoon identificeerbaar is, rekening worden gehouden met alle middelen die redelijkerwijs kunnen worden gebruikt, zoals het selecteren, door de verwerkingsverantwoordelijke of door een andere persoon, om de natuurlijke persoon direct of indirect te identificeren; 
• "natuurlijke persoon" - een levend individu. 

Naast de definitie van persoonsgegevens verduidelijkt de AVG in overweging 26 het begrip anonieme gegevens, waarop de AVG niet van toepassing is. Anonieme gegevens worden gedefinieerd als informatie die geen betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig geanonimiseerd zijn dat de betrokkene niet of niet langer identificeerbaar is. 

Pseudonimisering daarentegen betekent dat persoonsgegevens zodanig worden verwerkt dat ze niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder gebruik te maken van aanvullende informatie, op voorwaarde dat deze aanvullende informatie afzonderlijk wordt bewaard en onderworpen is aan technische en organisatorische maatregelen om te waarborgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld. Het doel van pseudonimisering is dus om gegevens zodanig te bewerken dat de verwerkingsverantwoordelijke ze nog steeds kan koppelen aan de geïdentificeerde of identificeerbare betrokkenen, maar de ontvanger van die gegevens dat niet kan. 

2. Zaak Breyer 

Het meest geciteerde arrest met betrekking tot de definitie van het begrip persoonsgegevens is Breyer tegen Bundesrepublik Deutschland (C-582/14, "zaak Breyer"). In die zaak wees het Hof van Justitie van de Europese Unie uitdrukkelijk op het belang van de context bij de beoordeling van de "middelen die redelijkerwijs kunnen worden gebruikt" om de betrokkene te identificeren. Het Hof stelde met name dat: 

• Er moest worden bepaald of de mogelijkheid om een dynamisch IP-adres te combineren met de aanvullende gegevens waarover de internetprovider beschikt, een middel vormt dat redelijkerwijs kan worden gebruikt om de betrokkene te identificeren (punt 45); 
• Identificatie niet redelijkerwijs waarschijnlijk kan worden geacht wanneer dit bij wet verboden is of praktisch onmogelijk is omdat dit onevenredig veel tijd, kosten en mankracht vergt, zodat het risico van identificatie in werkelijkheid onbeduidend lijkt (punt 46). 

Gezien het bovenstaande heeft het Hof van Justitie van de Europese Unie in de specifieke omstandigheden van de zaak Breyer besloten dat een dynamisch IP-adres moet worden beschouwd als persoonsgegevens in de verwerkingsactiviteiten van de websitebeheerders, omdat zij de IP-adressen in samenwerking met internetproviders aan een natuurlijke persoon kunnen koppelen. Deze samenwerking is onder bepaalde omstandigheden wettelijk toegestaan.

De zaak Breyer werd gevolgd door een reeks arresten van het Hof van Justitie van de Europese Unie, waarin het begrip persoonsgegevens verder werd uitgewerkt, waaronder Gesamtverband Autoteile-Handel eV tegen Scania CV AB (C‑319/22), OLAF - OC tegen Europese Commissie (C‑479/22 P), IAB EUROPE tegen Gegevensbeschermingsautoriteit (C-604/22). 

3. Zaak SRB 

De interpretatie van het begrip persoonsgegevens en de daaruit voortvloeiende verplichtingen van de bij de verwerking betrokken partijen stond ook centraal in de recente SRB-zaak. De zaak had betrekking op Verordening 2018/1725, die het equivalent is van de AVG voor EU-instellingen. Daarom moeten, zoals het Hof van Justitie van de Europese Unie heeft verklaard, wanneer Verordening 2018/1725 dezelfde beginselen hanteert als de AVG, beide op dezelfde wijze worden geïnterpreteerd. 

De zaak gaat terug tot 2017, toen de SRB, als centrale afwikkelingsautoriteit van de EU, de zaak “Banco Popular Español” afwikkelde, nadat zij had vastgesteld dat de bank failliet ging en dat de afwikkeling noodzakelijk was om de financiële stabiliteit te waarborgen. De SRB startte ook een procedure waarbij de aandeelhouders en crediteuren van de bank het recht kregen om te worden gehoord. Na het verzamelen van de opmerkingen heeft de SRB deze gepseudonimiseerd door de naam van de bijdragers te vervangen door een alfanumerieke code en de gepseudonimiseerde opmerkingen voor beoordeling door een onafhankelijke evaluator aan Deloitte doorgegeven. Deloitte had geen toegang tot de codes. In de privacyverklaring die de SRB aan de bijdragers van de opmerkingen had verstrekt, werd niet vermeld dat Deloitte de ontvanger van hun persoonsgegevens zou zijn. 

a. De procedure voor de EDPS 

In 2019 heeft een groep aandeelhouders en crediteuren die het “recht om te worden gehoord” had uitgeoefend, vijf klachten ingediend bij de EDPS op grond van Verordening 2018/1725. In die klachten voerden zij een schending van artikel 15, lid 1, onder d), van die verordening aan, op grond van het feit dat de SRB hen in haar privacyverklaring niet had meegedeeld dat de via de antwoorden op de formulieren verzamelde gegevens aan derden, waaronder Deloitte, zouden worden doorgegeven. De EDPS was het eens met de klagers en oordeelde dat de SRB artikel 15 van Verordening 2018/1725 had geschonden door in haar privacyverklaring niet te vermelden dat de persoonsgegevens van de klagers met Deloitte konden worden gedeeld. 

b. De procedure voor het Gerecht 

De SRB ging in beroep tegen het besluit van de EDPS bij het Gerecht en voerde aan dat de met Deloitte gedeelde gegevens geen persoonsgegevens waren en dat er daarom geen verplichting bestond om Deloitte als ontvanger te vermelden in de privacyverklaring. De EDPS verdedigde zijn standpunt en voerde aan dat: 

“Volgens de EDPS waren de gegevens die de GAR met Deloitte had gedeeld „gepseudonimiseerde” gegevens, zowel omdat de tijdens de raadplegingsfase ontvangen opmerkingen persoonsgegevens waren als omdat de GAR de alfanumerieke code deelde op basis waarvan de in de inschrijvingsfase gegeven antwoorden konden worden gekoppeld aan de antwoorden die in de raadplegingsfase waren gegeven, hoewel de gegevens die de deelnemers hadden verstrekt om zich in de inschrijvingsfase te identificeren niet aan Deloitte waren bekendgemaakt. Hij heeft daaruit afgeleid dat de gegevens die aan Deloitte waren doorgezonden „gepseudonimiseerde” gegevens waren en dus persoonsgegevens in de zin van artikel 3, punt 1, van verordening 2018/1725.” 

Het Gerecht was het echter niet eens met deze argumenten. Het Hof concludeerde dat: 

“Uit het arrest van 19 oktober 2016, Breyer (C-582/14, EU:C:2016:779), blijkt echter ook dat, om te bepalen of de gegevens die waren doorgezonden aan Deloitte persoonsgegevens vormden, het noodzakelijk is om zich in de positie van Deloitte te verplaatsen teneinde te bepalen of de aan haar doorgezonden informatie betrekking heeft op „identificeerbare personen”.” 

Daarom heeft het Gerecht de beslissing van de EDPS nietig verklaard. De EDPS heeft tegen deze uitspraak beroep ingesteld bij het Hof van Justitie van de Europese Unie (HvJ-EU). 

c. Het arrest van het HvJ-EU 

In het beroep voerde de EDPS aan dat het niet betwist wordt dat de opmerkingen voor de SRB persoonsgegevens vormen, ook al zijn ze gepseudonimiseerd. Als diezelfde opmerkingen aan Deloitte worden doorgegeven (ook al wordt er geen code gedeeld), hoeft dus niet te worden onderzocht of ze voor deze ontvanger persoonsgegevens zijn. Met andere woorden, " gepseudonimiseerde gegevens zoals de aan Deloitte toegezonden opmerkingen in alle gevallen persoonsgegevens vormen louter omdat er informatie bestaat aan de hand waarvan de betrokkene kan worden geïdentificeerd, zonder dat concreet hoeft te worden onderzocht of de persoon op wie die gegevens betrekking hebben ondanks de pseudonimisering identificeerbaar is." Het Hof van Justitie van de Europese Unie verwierp deze redenering en verduidelijkte dat pseudonimisering, afhankelijk van de omstandigheden van het geval, effectief kan verhinderen dat andere personen dan de verwerkingsverantwoordelijke de betrokkene op zodanige wijze identificeren dat de betrokkene voor hen niet of niet langer identificeerbaar is. 

Tegelijkertijd heeft het Hof van Justitie, in navolging van het advies van de advocaat-generaal, verklaard dat de informatieverplichting uit hoofde van artikel 15, lid 1, onder d), van Verordening 2018/1725 deel uitmaakt van de rechtsbetrekking tussen de betrokkene en de (eerste) verwerkingsverantwoordelijke. Hieruit volgt dat, voor de toepassing van de informatieverplichting uit hoofde van artikel 15, lid 1, onder d), moet worden beoordeeld of de betrokkene identificeerbaar is op het moment dat de gegevens worden verzameld en vanuit het perspectief van de verwerkingsverantwoordelijke. Bijgevolg was de SRB verplicht om de betrokkenen vóór de doorgifte van hun gegevens informatie te verstrekken over de ontvangers van die gegevens. Deze verplichting geldt ongeacht of die gegevens – na een eventuele pseudonimisering - vanuit het perspectief van de ontvanger (Deloitte) nog steeds als persoonsgegevens zouden worden aangemerkt. 

Het Hof van Justitie van de Europese Unie heeft dan ook het arrest van het Gerecht vernietigd, waarin het besluit van de EDPS nietig was verklaard. 

d. Conclusies uit het arrest van het Hof van Justitie 

In de SRB-zaak bevestigde het Hof van Justitie van de Europese Unie het relatieve begrip van het concept persoonsgegevens en benadrukte het dat dit afhankelijk is van de specifieke context en, in het bijzonder, van de middelen waarover de ontvanger beschikt om de betrokkenen opnieuw te identificeren. Als kan worden aangetoond dat de ontvanger niet over dergelijke middelen beschikt, zijn de gegevens voor die ontvanger dus geen persoonsgegevens. 

In tegenstelling tot wat de SRB en delen van de markt hadden verwacht, heeft het Hof van Justitie echter een zeer formele en letterlijke interpretatie gegeven aan de transparantieverplichtingen van verwerkingsverantwoordelijken bij het openbaar maken van gegevens die vanuit het perspectief van de ontvanger geen persoonsgegevens vormen. Een dergelijke benadering kan misleidend zijn voor betrokkenen, die te horen kunnen krijgen dat een andere entiteit toegang heeft gehad tot hun persoonsgegevens, zelfs als die entiteit geen redelijke middelen heeft om de betrokken personen te identificeren. 

De vraag hoe deze relatieve interpretatie van het begrip persoonsgegevens zich verhoudt tot de toepassing van andere AVG-verplichtingen blijft open. In de praktijk lijkt het erop dat de oorspronkelijke AVG-verplichtingen van de verwerkingsverantwoordelijke volledig van toepassing blijven bij het openbaar maken van gepseudonimiseerde gegevens aan derden, ongeacht of de ontvangers daadwerkelijk in staat zijn om de betrokkenen opnieuw te identificeren. 

4. Digitaal omnibusvoorstel 

De kwestie van het begrip persoonsgegevens is onlangs ook aan de orde gekomen in het voorstel voor een digitale omnibus. Dit is een wetgevingsinitiatief dat tot doel heeft het digitale regelgevingskader van de EU te vereenvoudigen en dat, indien aangenomen, onder meer de AVG en Verordening 2018/1725 zal wijzigen. Meer details over deze voorstellen zijn te vinden in een gerelateerde blogpost. 

Het Digital Omnibus-voorstel beoogt de huidige definitie van persoonsgegevens in artikel 4, lid 1, van de AVG aan te vullen met de volgende verduidelijkende zin:

"Informatie over een natuurlijke persoon is niet noodzakelijkerwijs persoonsgegevens voor elke andere persoon of entiteit, louter omdat een andere entiteit die natuurlijke persoon kan identificeren. Informatie is voor een bepaalde entiteit niet persoonlijk indien die entiteit de natuurlijke persoon op wie de informatie betrekking heeft, niet kan identificeren, rekening houdend met de middelen die redelijkerwijs door die entiteit kunnen worden gebruikt. Dergelijke informatie wordt voor die entiteit niet persoonlijk louter omdat een potentiële latere ontvanger over middelen beschikt die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon op wie de informatie betrekking heeft, te identificeren." 

Hoewel het ongebruikelijk is dat een wettelijke definitie een dergelijke uitgebreide interpretatieve toelichting in de bewoordingen zelf bevat, en deze techniek vanuit het oogpunt van wetgevingstechniek vragen kan oproepen, is de bedoeling van de Europese Commissie niettemin duidelijk: formeel een relatieve benadering van het begrip persoonsgegevens bevestigen. In dit opzicht sluit de voorgestelde wijziging aan bij de conclusies van het arrest van het Hof van Justitie van de Europese Unie in de zaak SRB. 

De EDPB en de EDPS hebben onlangs gezamenlijk advies 2/2026 uitgebracht over het voorstel voor een verordening betreffende de vereenvoudiging van het digitale wetgevingskader (Digital Omnibus). In dit advies, dat op 10 februari 2026 is aangenomen, wordt kritiek geuit op de voorgestelde wijziging van de definitie van persoonsgegevens, omdat deze de reikwijdte ervan aanzienlijk zou beperken en de rechtsonzekerheid voor organisaties zou vergroten. 

Zij voeren verder aan dat, hoewel het voorstel beweert de benadering in de SRB-zaak te codificeren, de laatste zin van de gewijzigde definitie "Dergelijke informatie wordt voor die entiteit niet persoonlijk louter omdat een potentiële latere ontvanger over middelen beschikt die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon te identificeren op wie de informatie betrekking heeft" – in strijd is met het eerdere arrest van het Hof van Justitie van de Europese Unie in de zaak Gesamtverband Autoteile-Handel eV tegen Scania CV AB (C-319/22), dat later in de SRB-zaak werd bevestigd. 

Het digitale omnibusvoorstel introduceert verder een overeenkomstige bevoegdheid voor de Europese Commissie om uitvoeringshandelingen vast te stellen waarin de middelen en criteria worden gespecificeerd om te bepalen of gegevens die het resultaat zijn van pseudonimisering, voor bepaalde entiteiten niet langer persoonsgegevens vormen. De toepassing van de in een uitvoeringshandeling beschreven middelen en criteria kan worden gebruikt als een element om aan te tonen dat gegevens niet kunnen leiden tot heridentificatie van de betrokkenen.

Het voorstel om uitvoeringshandelingen in te voeren heeft tot doel de rechtszekerheid voor verwerkingsverantwoordelijken en gegevensontvangers te vergroten en hen te helpen bij het uitvoeren van een goed onderbouwde beoordeling van het risico van heridentificatie van betrokkenen in hun datasets. Het blijft echter onzeker of dergelijke uitvoeringshandelingen technologisch neutraal en toekomstbestendig kunnen blijven, gezien de snelle ontwikkeling van heridentificatietechnieken. 

In hun gezamenlijk advies benadrukken het EDPB en de EDPS ook dat de interpretatie en toepassing van de definities van de AVG onder de bevoegdheid van de toezichthoudende autoriteiten moeten blijven vallen, onder voorbehoud van toetsing door de bevoegde rechtbanken. Ten slotte merken zij op dat het voorstel onduidelijk is over de vraag of de toepassing van de in de beoogde uitvoeringshandelingen gespecificeerde "middelen en criteria" een weerlegbaar vermoeden van niet-identificeerbaarheid zou creëren of slechts één factor onder andere in de beoordeling zou vormen. Naar hun mening dreigt deze onduidelijkheid eerder tot meer rechtsonzekerheid te leiden dan tot meer duidelijkheid. 

5. Conclusies 

In de SRB-zaak bevestigt het Hof van Justitie van de Europese Unie ondubbelzinnig dat persoonsgegevens een contextgebonden begrip zijn, waarmee het de subjectieve benadering die in de Breyer-zaak is geïntroduceerd, versterkt. Gepseudonimiseerde gegevens kunnen voor de verzender als persoonsgegevens worden aangemerkt, terwijl ze voor een ontvanger die niet over redelijkerwijs waarschijnlijke middelen voor heridentificatie beschikt, geen persoonsgegevens vormen. Tegelijkertijd maakt het arrest duidelijk dat deze contextuele beoordeling niet automatisch leidt tot een vermindering van de verplichtingen van de oorspronkelijke verwerkingsverantwoordelijke uit hoofde van de AVG. Het voorstel voor een digitale omnibuswet bouwt voort op deze logica en beoogt een interpretatie van het begrip persoonsgegevens rechtstreeks in de definitie ervan in de AVG op te nemen. 

Het beoogt ook de Commissie de bevoegdheid te geven om de middelen en criteria te specificeren aan de hand waarvan kan worden bepaald of gegevens die het resultaat zijn van pseudonimisering voor bepaalde entiteiten niet langer persoonsgegevens vormen. Indien dit wordt aangenomen, zou dit de rechtszekerheid kunnen vergroten en verwerkingsverantwoordelijken, verwerkers en andere ontvangers kunnen helpen bij het documenteren van hun beoordelingen en het rechtvaardigen van de keuzes voor het delen van gegevens en de toegepaste wettelijke en veiligheidsmaatregelen. De werkelijke impact van deze ontwikkelingen zal uiteindelijk afhangen van de vraag of het relatieve concept van persoonsgegevens kan worden omgezet in werkbare criteria die in de loop van de tijd betrouwbaar blijven, zelfs als data-analyse en heridentificatiemethoden zich snel blijven ontwikkelen. Zo niet, dan zullen de komende jaren wellicht alleen maar leiden tot meer onzekerheid over de naleving, zwaardere documentatie-eisen en verdere onenigheid over wat als "redelijke middelen" geldt.