Persoonsgegevens

Een persoonsgegeven is volgens artikel 4, lid 1 van de GDPR elk gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon. Iemand is identificeerbaar zodra je hem rechtstreeks of onrechtstreeks kunt herleiden, bijvoorbeeld via een naam, een rijksregisternummer, een locatie of een online kenmerk zoals een cookie-ID. Het begrip is bewust ruim: of een gegeven onder de GDPR valt, hangt niet af van hoe gevoelig het lijkt, maar van de vraag of het naar een persoon te koppelen is.

Concrete voorbeelden

• Naam, woonadres, e-mailadres en gsm-nummer.
• Rijksregisternummer en identiteitskaartgegevens.
• IP-adres, toestel-ID en surfgedrag.
• Foto's en stemopnames waarop iemand herkenbaar is.
• Een klantnummer of bestelreferentie die je intern aan een persoon koppelt.

Direct en indirect identificeerbaar

Direct identificeerbaar betekent dat het gegeven op zich al een persoon aanwijst, zoals een naam met geboortedatum. Indirect identificeerbaar betekent dat je meerdere gegevens moet combineren, bijvoorbeeld een postcode samen met een leeftijd en een beroep. Ook die combinatie is een persoonsgegeven, want samen wijzen ze één persoon aan.

Bedrijfsgegevens

Gegevens van een onderneming, zoals een algemeen info-adres of een KBO-nummer, zijn op zich geen persoonsgegevens. Zodra ze naar een herkenbaar persoon verwijzen, bijvoorbeeld het rechtstreekse e-mailadres van een zaakvoerder, vallen ze wél onder de GDPR en de Belgische wet van 30 juli 2018. Bij een eenmanszaak lopen ondernemings- en persoonsgegevens vaak samen, dus ga er in de praktijk van uit dat de GDPR van toepassing is.

Praktijktip: breng in kaart welke persoonsgegevens je verzamelt voordat je een privacybeleid opstelt. Die inventaris vormt meteen de basis voor je verwerkingsregister.