Wat zijn persoonsgegevens in enquêteonderzoek?

Introductie

Wanneer je een enquête uitvoert, verzamel je vaak informatie over mensen. In veel gevallen zal deze informatie persoonsgegevens zijn, die onder de GDPR vallen. Het is daarom belangrijk om te begrijpen wanneer gegevens uit een enquête binnen deze categorie vallen.

Definitie van persoonsgegevens

Volgens GDPR artikel 4(1) worden persoonsgegevens gedefinieerd als:

“Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.”

Een persoon wordt als identificeerbaar beschouwd wanneer deze direct of indirect kan worden geïdentificeerd, bijvoorbeeld via:

• Naam
• E-mailadres
• Telefoonnummer
• Personeelsnummer
• IP-adres
• Locatiegegevens
• Een combinatie van meerdere gegevens

Zelfs als een enquête geen namen of e-mailadressen bevat, kunnen antwoorden nog steeds persoonsgegevens zijn als ze aan een specifieke persoon kunnen worden gekoppeld.

Voorbeelden van persoonsgegevens in enquêtes

In de praktijk kunnen veel soorten enquêtegegevens als persoonsgegevens worden beschouwd.

Direct identificerende informatie

Informatie die een persoon direct identificeert, bijvoorbeeld:

• Naam
• E-mailadres
• Telefoonnummer
• Werknemers-ID
• Klant-ID

Als deze informatie in een enquête wordt verzameld, worden de gegevens altijd als persoonsgegevens beschouwd.

Indirect identificerende informatie

Informatie die een persoon niet op zichzelf identificeert, maar dat wel kan doen in combinatie met andere gegevens:

• Leeftijd
• Functie of jobtitel
• Afdeling
• Geografische locatie
• Antwoorden op open tekstvelden

Als een organisatie deze informatie kan combineren om een individu te identificeren, wordt dit ook als persoonsgegevens beschouwd.

Tekstantwoorden en opmerkingen

Open tekstvelden kunnen eveneens persoonsgegevens bevatten. Respondenten kunnen bijvoorbeeld schrijven:

• Namen van collega’s of leidinggevenden
• Persoonlijke ervaringen of incidenten
• Identificeerbare details over hun werkplek

Organisaties moeten daarom zorgvuldig omgaan met hoe open antwoorden worden verwerkt en opgeslagen.

Gevoelige persoonsgegevens in enquêtes

De GDPR maakt onderscheid tussen persoonsgegevens en bijzondere categorieën van persoonsgegevens (vaak aangeduid als gevoelige gegevens).

Deze omvatten informatie over:

• Gezondheid
• Vakbondslidmaatschap
• Politieke opvattingen
• Religieuze overtuigingen
• Seksuele geaardheid
• Etnische afkomst

Als een enquête dergelijke gegevens verzamelt, gelden strengere eisen voor de verwerking en bescherming van deze gegevens.

Wanneer zijn enquêtegegevens geen persoonsgegevens?

Gegevens uit een enquête worden niet als persoonsgegevens beschouwd als ze volledig geanonimiseerd zijn.

Dit betekent dat:

• Geen individuen kunnen worden geïdentificeerd
• Geen informatie kan worden gekoppeld aan specifieke personen
• Het niet mogelijk is om identiteiten te reconstrueren, zelfs niet indirect

Het is belangrijk om onderscheid te maken tussen anonimisering en pseudonimisering:

• Geanonimiseerde gegevens kunnen niet worden herleid tot een persoon
• Gepseudonimiseerde gegevens kunnen nog steeds worden gekoppeld aan een persoon via een sleutel of aanvullende informatie

Gepseudonimiseerde gegevens worden daarom nog steeds beschouwd als persoonsgegevens onder de GDPR.

Waarom is dit belangrijk in enquêtes?

Als enquêtegegevens persoonsgegevens bevatten, moet de organisatie voldoen aan de GDPR. Dit omvat onder andere:

• Het hebben van een rechtsgrond voor verwerking
• Het waarborgen van gegevensbeveiliging en toegangscontrole
• Het informeren van respondenten over hoe hun gegevens worden verwerkt
• Het afsluiten van een verwerkersovereenkomst (DPA) met aanbieders van enquêteplatforms
• Het beperken van gegevensopslag tot wat noodzakelijk is

In deze context treedt de organisatie op als verwerkingsverantwoordelijke, terwijl de aanbieder van het enquêteplatform doorgaans optreedt als verwerker.

Best practices voor het omgaan met persoonsgegevens

Bij het werken met enquêtes zijn de volgende praktijken belangrijk:

• Verzamel alleen de informatie die noodzakelijk is
• Overweeg of de enquête anoniem kan worden uitgevoerd
• Beperk de toegang tot enquêtegegevens
• Gebruik veilige enquêteplatforms met sterke gegevensbeveiliging
• Documenteer hoe persoonsgegevens worden verwerkt

Een doordachte aanpak van gegevensbeveiliging en GDPR-compliance versterkt vertrouwen, datakwaliteit en naleving. Met een sterke verwerkersovereenkomst (DPA) zoals die van Enalyzer, en met toegang tot deskundige ondersteuning en advies, kunt u dit veilig en met vertrouwen samen met ons beheren.

Bronnen

• Europees Parlement en Raad. Algemene Verordening Gegevensbescherming (GDPR), artikel 4(1) – definitie van persoonsgegevens.
• European Data Protection Board (EDPB). Richtsnoeren over persoonsgegevens en identificeerbaarheid.
• Deense Autoriteit Persoonsgegevens (Datatilsynet). Wat zijn persoonsgegevens?
• Enalyzer Trust Center. Gegevensbeveiliging en GDPR-compliance in enquêteplatforms.

Ontdek hoe je enquêtegegevens op een GDPR-conforme manier verzamelt →