De beginselen van gegevensbescherming moeten voor elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon gelden. Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. De gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Deze verordening heeft derhalve geen betrekking op de verwerking van dergelijke anonieme gegevens, onder meer voor statistische of onderzoeksdoeleinden.
* Dit is geen officiële beschrijving/titel van de overweging hier.
Waarom overweging 26 belangrijk is voor GDPR-naleving?
Overweging 26 verduidelijkt dat de GDPR alleen van toepassing is op persoonsgegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Zij legt uit dat anonieme gegevens, waarbij personen niet kunnen worden geïdentificeerd met middelen waarvan redelijkerwijs kan worden verwacht dat zij worden gebruikt, buiten het toepassingsgebied van de GDPR vallen. Gepseudonimiseerde gegevens worden echter nog steeds als persoonsgegevens beschouwd als zij met aanvullende informatie opnieuw kunnen worden geïdentificeerd. Deze overweging is belangrijk omdat zij de grens bepaalt tussen persoonsgegevens en anonieme gegevens en organisaties helpt te begrijpen wanneer GDPR-verplichtingen van toepassing zijn.