In het dagelijks verkeer lijkt het antwoord op de vraag \u201cis dit een persoonsgegeven?<\/em>\u201d vaak eenvoudig: een naam, e-mailadres of IP-adres wordt meestal zonder moeite als zodanig herkend. Maar deze vanzelfsprekendheid verhult een complexer juridisch fundament. In de praktijk blijken gegevens \u2014 zoals \u201cJan de Vries\u201d \u2014 namelijk niet altijd onder de definitie van een persoonsgegeven te vallen. <\/p>\n\n De Algemene Verordening Gegevensbescherming (AVG) biedt hiervoor geen absoluut criterium, maar hanteert een relatieve,<\/strong> doch objectief getoetste <\/strong>norm. Deze paradox werd treffend ge\u00efllustreerd in de zaak Breyer <\/em>(HvJ EU, C-582\/14), waarin de Duitse overheid een dynamisch IP-adres van een websitebezoeker opsloeg ter detectie van cyberaanvallen. Alleen de internetprovider kon de gebruiker daadwerkelijk identificeren. <\/p>\n\n Het Hof van Justitie oordeelde dat het IP-adres t\u00f3ch een persoonsgegeven kon <\/strong>zijn \u2014 maar alleen ten opzichte van een verwerkingsverantwoordelijke<\/strong> die, met redelijke en rechtmatige middelen, toegang had (of kon krijgen) tot die aanvullende informatie. Het persoonsgegeven blijkt dus als het ware tegelijk w\u00e9l \u00e9n niet<\/strong> te bestaan, afhankelijk van wie het bekijkt en welke middelen deze kan inzetten. <\/p>\n\n Een gegeven is alleen een persoonsgegeven als een verwerkingsverantwoordelijke \u2014 al dan niet via derden \u2014 een natuurlijke persoon redelijkerwijs kan identificeren. Deze identificatiebevoegdheid is relatief <\/strong>(wie ben jij als verantwoordelijke?), maar de beoordeling daarvan is objectief<\/strong>: wat mag juridisch en praktisch<\/strong> van jou worden verwacht? <\/p>\n\n Zo kan een gegeven voor partij A w\u00e9l een persoonsgegeven zijn, terwijl dat voor partij B niet het geval is. Denk aan een instantie die via gerechtelijke weg gegevens mag opvragen (zoals in Breyer) versus een particulier bedrijf dat geen toegang heeft tot die middelen.<\/p>\n\n Artikel 4 lid 1 AVG definieert een persoonsgegeven als informatie waarmee een natuurlijke persoon direct of indirect identificeerbaar is. Recital 26 verduidelijkt: men moet kijken naar \u201calle middelen die redelijkerwijs kunnen worden gebruikt\u201d<\/strong>, ook door derden. Denk aan publieke bronnen, wettelijke bevoegdheden of praktische samenwerkingen. Deze beoordeling is objectief<\/strong>: niet wat jij <\/em>als organisatie daadwerkelijk kunt, maar wat je redelijkerwijs zou kunnen. <\/p>\n\n De naam \u201cJan de Vries\u201d is een mooi voorbeeld. In een klein dorp is deze naam eenvoudig herleidbaar; in Amsterdam met duizenden naamgenoten juist niet. De status van het gegeven zweeft dus \u2014 net als Schr\u00f6dingers kat \u2014 tussen wel en niet identificeerbaar. Pas als we de context en middelen beoordelen, \u201copenen we de doos\u201d <\/strong>en weten we of het gegeven levend (identificeerbaar) of dood (anoniem) is. <\/p>\n\n In de Breyer-<\/em>zaak concretiseerde het Hof dit principe. De Duitse websitebeheerder kon via een juridisch toegestane weg het IP-adres koppelen aan een persoon via de internetprovider. Die mogelijkheid maakte het IP-adres een persoonsgegeven in zijn context<\/strong>. <\/p>\n\n Dit onderstreept: het gaat niet om het gegeven zelf, maar om de positionering van de verantwoordelijke <\/strong>en de middelen die deze geacht wordt te kunnen aanwenden. <\/p>\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" De gegevens van de kat van Schr\u00f6dinger In het dagelijks verkeer lijkt het antwoord op de vraag \u201cis dit een persoonsgegeven?\u201d vaak eenvoudig: een naam, e-mailadres of IP-adres wordt meestal zonder moeite als zodanig herkend. Maar deze vanzelfsprekendheid verhult een complexer juridisch fundament. In de praktijk blijken gegevens \u2014 zoals \u201cJan de Vries\u201d \u2014 namelijk […]<\/p>\n","protected":false},"author":2,"featured_media":1398,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[55],"tags":[42,44,32,41,43],"class_list":["post-1908","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-gegevensbeheerder","tag-avg","tag-gegevensbeheerder","tag-gegevensbescherming","tag-persoonlijke-gegevens","tag-privacywetgeving"],"_links":{"self":[{"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/posts\/1908","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/comments?post=1908"}],"version-history":[{"count":0,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/posts\/1908\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/media\/1398"}],"wp:attachment":[{"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/media?parent=1908"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/categories?post=1908"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/realcob.com\/nl\/wp-json\/wp\/v2\/tags?post=1908"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Conclusie<\/h3>\n\n
\n\nBelangrijke overwegingen<\/h3>\n\n
1. De relatieve maar objectieve test<\/h4>\n\n
2. De Schr\u00f6dinger Paradox in de praktijk<\/h4>\n\n
3. De Breyer-doctrine<\/h4>\n\n