Recent

Pseudonimisering en statistisch onderzoek: lessen uit de SRB-uitspraak

1. Introductie: waarom dit belangrijk is
Onderzoeksorganisaties in zowel het bedrijfsleven als de publieke sector werken dagelijks met persoonsgegevens: van enquêteresultaten tot grote databestanden van klanten of burgers. Vaak wordt er gewerkt met pseudoniemen (bijvoorbeeld klantnummers in plaats van namen), zodat onderzoekers zelf de personen niet kennen.

Maar de vraag blijft: valt dit soort data onder de AVG? En wat betekent dit voor de manier waarop wij statistisch onderzoek uitvoeren?

Het Hof van Justitie van de EU heeft hierover duidelijkheid gegeven in de SRB-uitspraak van 4 september 2025 (zaak C-413/23 P, EDPS/SRB). Deze uitspraak laat zien hoe we pseudonimisering moeten begrijpen, en welke verplichtingen blijven gelden.

2. Wat zegt de AVG over onderzoek?
De Algemene Verordening Gegevensbescherming (AVG) heeft een apart regime voor statistische en onderzoeksdoeleinden.

• Artikel 89 AVG bepaalt dat onderzoek mag met persoonsgegevens, mits er passende waarborgen zijn, zoals pseudonimisering of andere technieken die het risico voor betrokkenen verkleinen.
• Overweging 162 AVG benadrukt dat persoonsgegevens die zó geanonimiseerd zijn dat ze niet meer naar een individu te herleiden zijn, niet langer onder de AVG vallen.

Kortom: pseudonimisering helpt, maar haalt de gegevens meestal niet uit de AVG.

3. De SRB-zaak in gewone taal
De Single Resolution Board (SRB) moest beoordelen of beleggers en schuldeisers van een bank recht hadden op compensatie.

• SRB verzamelde reacties (meningen, standpunten) van duizenden mensen.
• Die reacties werden gepseudonimiseerd: gekoppeld aan codes, maar zonder naam/adres.
• Deze reacties stuurde SRB door naar Deloitte, die ze moest analyseren.

Enkele betrokkenen klaagden bij de Europese toezichthouder (EDPS) omdat zij vonden dat hun persoonsgegevens waren gedeeld zonder dat dit goed was meegedeeld.

Het Hof zei: Voor SRB (de verantwoordelijke) bleven dit persoonsgegevens, omdat die altijd de sleutel had. Voor Deloitte (de verwerker) konden de gegevens door technische maatregelen praktisch niet worden herleid. Toch bleef de informatieplicht gelden op het moment van verzamelen.

4. Wat betekent dit voor statistisch onderzoek?
De uitspraak bevestigt en verduidelijkt de regels uit de AVG:

• Pseudonimisering is niet hetzelfde als anonimiseren. Ook al ziet een onderzoeksorganisatie alleen klantnummers, de opdrachtgever kan de data herleiden. Het blijft dus persoonsgegevensverwerking.
• Statistisch onderzoek (artikel 89 + overweging 162 AVG) veronderstelt dat de resultaten niet tot individuen terug te leiden zijn. Zodra dat wel kan, is het geen uitsluitend statistisch doel meer.
• Informatieplicht: deelnemers aan onderzoek moeten al bij het verzamelen weten wie de ontvangers zijn en wat er met hun data gebeurt.

5. Voorbeelden uit de praktijk
Case A: Onderzoeksbureau krijgt pseudonieme data
Een organisatie levert een bestand met klantnummers en antwoorden aan een onderzoeksbureau. Het bureau kan de personen niet identificeren, omdat de sleutel bij de opdrachtgever blijft.

• AVG-status: nog steeds persoonsgegevens (want de opdrachtgever kan koppelen).
• Onderzoekskader (artikel 89 AVG): toegestaan, mits goede afspraken over sleutelbeheer.
Case B: Onderzoeksbureau levert antwoorden mét klantnummer terug
Een onderzoeksorganisatie stuurt een bestand met antwoorden terug aan de opdrachtgever, mét de klantnummers die de opdrachtgever kan herleiden.

• AVG-status: direct herleidbare persoonsgegevens voor de opdrachtgever.
• Niet ‘uitsluitend statistisch’: het gaat om herleidbare klantinzichten, niet om geaggregeerde statistiek.
• Gevolg: valt niet meer onder artikel 89/overweging 162 AVG → gewone AVG-regels gelden (grondslag, rechten betrokkenen).
Case C: Rapportage op groepsniveau
Het onderzoeksbureau levert alleen tabellen en gemiddelden terug. Niemand kan individuen herkennen.

• AVG-status: anonieme data.
• Gevolg: valt buiten de AVG.
• Zuiver statistisch onderzoek conform artikel 89 + overweging 162 AVG.

6. Conclusie en aanbevelingen
De SRB-uitspraak maakt duidelijk dat pseudonimisering geen vrijbrief is. Voor statistisch onderzoek onder artikel 89 jo. overweging 162 geldt:

• Opdrachtgevers (verwerkingsverantwoordelijken): blijven altijd verantwoordelijk. Ook gepseudonimiseerde data zijn persoonsgegevens zolang u de sleutel hebt.
• Onderzoeksorganisaties (verwerkers): werken vaak met niet-herleidbare data, maar juridisch is het nog steeds persoonsgegevensverwerking.
• Praktijkregel: alleen resultaten op groepsniveau zonder herleidbaarheid zijn echt ‘statistisch’ in de zin van de AVG.

Aanbevelingen voor de sector
1. Maak afspraken over sleutelbeheer: onderzoeksbureaus mogen geen toegang hebben tot identificatiesleutels.
2. Wees duidelijk naar respondenten: vermeld al bij de start wie de ontvangers zijn en wat er met hun data gebeurt.
3. Rapporteer geaggregeerd: lever geen individuele resultaten terug tenzij het doel méér is dan statistiek (en dus een andere grondslag vereist).
4. Gebruik pseudonimisering als waarborg, niet als excuus: het verlaagt risico’s, maar haalt data meestal niet uit de AVG.

Voetnoten
1. Artikel 89 AVG: verwerking ten behoeve van archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, mits passende waarborgen.
2. Overweging 162 AVG: anonieme gegevens vallen buiten de AVG; gepseudonimiseerde gegevens blijven persoonsgegevens zolang herleiding mogelijk is.
3. Hof van Justitie, arrest 4 september 2025, EDPS tegen SRB, zaak C-413/23 P.

Actueel

Reclamefolders in Rotterdam: wat marketeers moeten weten na het arrest van juli 2025

Op 8 juli 2025 deed het Gerechtshof Den Haag uitspraak in een zaak die grote gevolgen heeft voor verspreiders van ongeadresseerd reclamedrukwerk in Rotterdam. Waar gaat dit over, en wat betekent dit voor marketeers die folders, flyers of direct mail willen inzetten?

Van opt-out naar opt-in

Tot 2020 konden Rotterdammers ongeadresseerde reclamefolders weigeren met een NEE/NEE- of NEE/JA-sticker. Wie geen sticker had, kreeg standaard alles in de bus (het bekende opt-out systeem).

Sinds 2020 geldt in Rotterdam het omgekeerde: alleen huishoudens met een JA/JA-sticker mogen ongeadresseerde reclame ontvangen. Dit wordt een opt-in systeem genoemd. Doel: papierafval en verspilling verminderen.

Volgens de gemeente levert dit een forse milieuwinst op: jaarlijks ruim 5,5 miljoen kilo minder papier (?).

De twist: ‘Aan de bewoners van…’

Organisatie zoals bedrijven en Goede Doelen sturen reclame met de aanhef

‘Aan de bewoners van [adres]’. Er stond dus wél een adres op, maar geen naam.

De vraag was: valt dit onder geadresseerde post (en dus toegestaan), of toch onder ongeadresseerde reclame (en dus verboden zonder JA/JA-sticker)?

De rechter in eerste aanleg oordeelde dat de gemeente dit mocht zien als ongeadresseerd. Postfilter, Kiesjefolders en PostNL gingen in hoger beroep.

Het arrest van juli 2025

Het Gerechtshof Den Haag bevestigde de eerdere lijn: ook poststukken met alleen een adres, maar zonder naam, gelden als ongeadresseerde reclame.

Dat betekent concreet:
– Reclamedrukwerk met ‘aan de bewoners van’ wordt in Rotterdam behandeld als folderreclame.
– Bezorging mag dus alleen bij brievenbussen met een JA/JA-sticker.
– Het maakt niet uit dat er wel een straat en huisnummer op staan: zonder naam is het ‘ongeadresseerd’.

Wat mag nog wel?

– Gepersonaliseerde direct mail (met naam én adres) mag altijd worden bezorgd, tenzij iemand zich heeft afgemeld via Postfilter.nl.
– Folders via selectieve systemen mogen ook, mits er sprake is van een persoonlijke aanmelding.
– Huis-aan-huisbladen en informatie van buurtorganisaties vallen niet onder dit verbod.

Waarom is dit belangrijk voor marketeers?

De uitspraak dwingt tot scherpere keuzes in folderstrategieën:
– Klassieke ongeadresseerde folders bereiken alleen nog huishoudens met een JA/JA-sticker.
– Folders met het gebruik van ‘aan de bewoners van’ in Rotterdam vallen ook onder de regel van JA/JA sticker.

Maar dit is een Rotterdams verhaal. De verdere gevolgen voor de reclame praktijk zullen moeten blijken. Bovendien is dit niet alleen een Rotterdams verhaal..

Checklist voor marketeers in Rotterdam

• ✅ JA/JA-sticker verplicht: Ongeadresseerde folders mogen alleen daar worden bezorgd.
• ✅ ‘aan de bewoners van’: Dit telt juridisch als ongeadresseerd, dus verboden zonder sticker.
• ✅ Direct mail met naam en adres: Mag altijd, tenzij iemand zich heeft afgemeld via Postfilter.nl.
• ✅ Controleer Postfilter.nl: Voorkom overtredingen en irritatie door afmeldingen te respecteren.

Link naar de gehele uitspraak:

ECLI:NL:GHDHA:2025:1273, Gerechtshof Den Haag, 200.337.686/01

Actueel

Herziene Code Reclame via E-mail: vanaf 15 augustus 2025 van kracht

Op 15 augustus 2025 treedt de vernieuwde Code Reclame via E-mail in werking. Deze code is onderdeel van de Nederlandse Reclame Code en geldt voor het versturen van ongevraagde commerciële e-mails. De regels uit 2012 zijn gemoderniseerd, zodat ze beter passen bij de huidige techniek, privacyverwachtingen en zelfregulering in de marketingsector.

De aanpassingen sluiten ook beter aan op andere marketingcodes, zoals de Code Telemarketing.

Belangrijkste veranderingen

1. Duidelijk onderscheid tussen reclame en serviceberichten
   Serviceberichten (zoals leveringsupdates of factuurbevestigingen) vallen buiten de code. Reclame gaat om het aanprijzen van producten, diensten of ideeën.
2. Bewijs van toestemming of klantrelatie verplicht
   Je moet kunnen aantonen hoe je het e-mailadres hebt verkregen en dat je toestemming hebt of een bestaande klantrelatie.
3. Strakkere regels voor verzamelen van e-mailadressen
   De ontvanger moet vooraf duidelijk weten wie zijn gegevens gebruikt, voor welk doel en of gegevens worden gedeeld met derden.
4. Afmeldmogelijkheid in iedere e-mail
   De afmeldlink moet zichtbaar, eenvoudig en kosteloos zijn. Verzoeken moeten binnen 7 dagen verwerkt worden.
5. Technische eisen en herkenbaarheid
   E-mails moeten duidelijk herkenbaar zijn als reclame, de afzender moet goed vindbaar zijn, en er gelden maxima voor bijlagegrootte.

Waarom deze herziening?

De update speelt in op:

• Nieuwe technische mogelijkheden en beveiligingseisen in e-mailmarketing
• Kritischer wordende consumenten die meer controle willen over hun inbox
• Uniformiteit met andere marketingcodes, zodat regels duidelijker en makkelijker toepasbaar zijn

Checklist: voldoet de e-mailcampagne aan de nieuwe code?

✅ Type bericht checken — Is het reclame of een servicebericht?
✅ Toestemming of klantrelatie aantoonbaar — Kun je bewijzen hoe je het e-mailadres hebt verkregen?
✅ Duidelijke informatie bij inschrijving — Weet de ontvanger wie je bent en waarvoor je de e-mail gebruikt?
✅ Afmeldlink zichtbaar en werkend — In elke mail, zonder onnodige stappen of inlog.
✅ Verwerking afmeldingen binnen 7 dagen — Communiceer als er vertraging optreedt.
✅ Herkenbare afzender — Naam/label in het Van-veld, werkend reply-adres.
✅ Technische limieten — Bijlagen max. 500 KB of via downloadlink met bestandsinfo.

🔎 Meer weten?
De volledige Code Reclame via E-mail 2025 staat op reclamecode.nl.

Recent

Gerechtvaardigd belang en direct marketing

Het Europese Hof van Justitie heeft recent een belangrijke uitspraak gedaan over de vraag of persoonsgegevens voor commerciële doeleinden (direct marketing) door verengingen, goede doelen en bedrijven kunnen worden verwerkt op basis van een ‘gerechtvaardigd belang’. Deze uitspraak is niet van toepassing op overheidsinstanties omdat in de Avg is bepaald dat overheidsinstanties voor de uitvoering van haar taken geen beroep kan doen op een gerechtvaardigd belang,

Waar ging het om?

In 2018 had de KNLTB (Tennisbond) de persoonsgegevens van haar leden verkocht aan commerciële partners (sponsors) voor direct marketingdoeleinden, zonder expliciete toestemming van de betrokken leden. De AP legde een boete op, omdat ze van mening was dat er geen gerechtvaardigd belang bestond om deze gegevens zonder toestemming te verstrekken aan derden (sponsors).

De KNLTB voerde aan dat direct marketing een gerechtvaardigd belang kan zijn, mits dit zorgvuldig gebeurt. Echter, de Nederlandse rechter stelde in 2021 de AP in het gelijk en oordeelde dat de privacy van de leden in dit geval zwaarder woog dan het commerciële belang van de KNLTB. Het gerechtvaardigd belang kon hier niet als rechtsgrondslag worden gebruikt voor het doorgeven van de gegevens. De KNLTN ging tegen deze uitspraak in beroep. In deze procedure is aan het Europese Hof van Justitie de vraag voorgelegd of het gerechtvaardigd belang bij direct marketing  van toepassing is.

Het Europese Hof heeft beslist dat de interpretatie van de Autoriteit Persoonsgegevens niet juist is.

Het verwerken van persoonsgegevens, zoals het verstrekken aan een derde, voor direct marketing doeleinden is niet verboden in de Avg/GDPR volgens het Europese Hof van Justitie. Maar het Europese Hof voegt wel toe dat wanneer een Verwerkingsverantwoordelijke (zoals een vereniging, maar ook goede doel of bedrijf) zich beroept op de grondslag ‘gerechtvaardigd belang’ om persoonsgegevens te verwerken voor direct marketing doeleinden dat:

1. het bestaan van een gerechtvaardigd belang wordt aangetoond, en
2. de verwerking strikt noodzakelijk moet zijn om dat gerechtvaardigd belang te bereiken, en
3. de rechten en vrijheden van personen mogen niet zwaarder wegen dan het belang van de Verwerkingsverantwoordelijke of de derde aan wie de persoonsgegevens worden verstrekt.

Onder deze voorwaarden is het mogelijk om persoonsgegevens te verwerken voor direct marketing op basis van ‘het gerechtvaardigd belang’.

Deze uitspraak heeft geen directe consequenties voor statistisch onderzoek, maar wel voor organisaties die persoonsgegevens verwerken voor direct marketing doeleinden.

Hieronder de link naar de uitspraak:

https://curia.europa.eu/juris/document/document.jsf?text=&docid=290688&pageIndex=0&doclang=en&mode=req&dir=&occ=first&part=1&cid=4049079

Website Privacy.nl van Singewald Consultants Group BV

Privacy.nl wordt onderhouden door Singewald Consultants Group. Op Privacy.nl wordt aandacht geschonken aan:

• De bedrijfsactiviteiten van Singewald Consultants Group;
• Toepasselijke wetgeving en zelfregulering op het werkveld van Singewald Consultants Group:
  • Avg en Uavg,  Telecommunicatiewet over het gebruik van telefoon en elektronische adresgegevens voor commerciële doeleinden en statistisch onderzoek en AI;
• Stappen/compliance handreiking Avg/Uavg.

Algemene beschrijving van de activiteiten Singewald Consultants Group  BV

Singewald Consultants Group adviseert op het gebied van (complexe) juridische en management-vraagstukken binnen:

• Data & Insights (statistisch onderzoek) / marktonderzoek sector;
• Direct/database marketing, ongeadresseerd reclamedrukwerk (NEE|NEE sticker, NEE|JA sticker en JA-sticker) direct mail, telemarketing, e-mailmarketing (gebruik van elektronische contactgegevens);
• E-commerce en verkoop op afstand;
• (oneerlijke) handelspraktijken;
• AI Governance en Compliance;
• De overgang en gebruik van persoonsgegevens bij gehele of gedeeltelijke bedrijfsovernames (Due Diligence);
• Sales Promotion, de toepassing van de Code promotionele kansspelen.

Voor een meer gedetailleerde beschrijving van de dienstverlening zie: Bedrijfsprofiel.