Bij het meervoudig pseudonimiseren van persoonsgegevens kan het voor een verwerkingsverantwoordelijke moeilijk zijn om correct te voldoen aan de vragen van de personen wiens persoonsgegevens hij verwerkt.

Het pseudonimiseren van persoonsgegevens laat een zekere beveiliging toe van de persoonsgegevens die een verwerkingsverantwoordelijke verwerkt voor welbepaalde en expliciet omschreven doeleinden, waardoor het delen van deze gegevens wordt vergemakkelijkt.

Maar het toepassen van pseudonimisatietechnieken kan ook zorgen voor problemen, meer bepaald wanneer data subjecten de rechten die zij krachtens de GDPR hebben willen uitoefenen.

Dit zal des te meer het geval zijn wanneer men te maken heeft met een keten van gepseudonimiseerde persoonsgegevens, waarbij de pseudonimisatietechniek gebaseerd is op een of meerdere cryptografische technieken.

Pseudonimisatie door encryptie

Persoonsgegevens kunnen op verschillende manieren worden versleuteld; bijvoorbeeld door symmetrische of asymmetrische encryptie.

Complexere situaties van versleuteling, zoals bijvoorbeeld bij Mutli Party Computing (MPC) en het gebruik van meerdere Trusted Third Parties (TTP’s), zullen we hier buiten beschouwing laten.

Symetrische encryptie

Bij symmetrische encryptie kan of zal de sleutel en het algorithme voor een bepaald type persoonsgegeven of voor alle persoonsgegevens hetzelfde zijn, en normaal bekend zijn bij de verantwoordelijke voor de pseudonimisering.

Echter, in sommige gevallen kan de verantwoordelijke voor de pseudonimisering van de persoonsgegevens een andere entiteit zijn dan de entiteit binnen de organisatie van de verwerkingsverantwoordelijke die zich bezig houdt met de verwerking van de opgevraagde gegevens.

Verwerkingsverantwoordelijken dienen daarom exact te weten hoe en wie de versleuteling van de persoonsgegevens doet, zodat zij achteraf op vraag van een natuurlijk persoon / data subject kan voldoen aan haar verplichtingen; zoals bijvoorbeeld de vraag van het data subject voor het corrigeren van fouten.

Asymmetrische encryptie

In het geval van asymmetrische encryptie heeft het pseudonimiseringsproces meerdere partijen.

Asymmetrische encryptie is immers gelinkt aan Public Key Infrastructure (PKI), en heeft daarom, indien correct geïmplementeerd, op zijn minst 3 onderscheiden partijen; te weten de Certification Authority (CA), de Registration Authority (RA), de partij of partijen die vraagt of vragen naar de sleutels en de partij of partijen die gebruik zullen maken van de versleutelde gegevens.

Ook in dit geval bestaat het gevaar dat een verwerkingsverantwoordelijke niet in staat zal zijn om te voldoen aan zijn verplichtingen jegens de betrokkene, wanneer hij niet exact weet met welke sleutel de persoonsgegevens werden versleuteld en op welke manier dit gebeurde; bijvoorbeeld in het geval waarbij er een reeks van pseudonimiseringen werden toegepast op een opeenvolgende reeks van persoonsgegevens.

Uitoefening rechten data subject

Krachtens hoofdstuk III van de GDPR hebben natuurlijke personen een heleboel rechten waaraan een verwerkingsverantwoordelijke dient te voldoen op vraag van de betreffende persoon, het data subject.

Tot deze rechten die het data subject heeft vallen o.a. het recht:

• op het corrigeren van foute en/of onvolledige informatie;
• om zich volledig of gedeeltelijk te verzetten tegen een of meerdere verwerkingen van zijn of haar persoonsgegevens;
• om niet onderworpen te worden aan een geautomatiseerde besluitvorming dat rechtsgevolgen heeft;
• …

Op vraag van de betrokkene dient men als verwerkingsverantwoordelijke hieraan te voldoen.

Wanneer persoonsgegevens gepseudonimiseerd en verspreid zijn over verschillende partijen kan het voldoen aan deze GDPR-eis voor problemen zorgen.

Het probleem kan nog verzwaard worden wanneer het gepseudonimiseerde persoonsgegeven zelf reeds het resultaat is van een opeenvolgende reeks van gepseudonimiseerde persoonsgegevens.

Technische en organisatorische maatregelen

Zoals hierboven reeds werd aangehaald kan het pseudonimiseren van persoonsgegevens problemen geven voor de verwerkingsverantwoordelijke om te voldoen aan zijn verplichtingen jegens de betrokkene wiens persoonsgegevens hij verwerkt.

Verwerkingsverantwoordelijken moeten daarom de nodige technische en organisatorische maatregelen nemen zodat zij aan deze GDPR-verplichtingen kunnen voldoen.

Dit betekent dat zij vòòr dat zij beginnen met het pseudonimiseren van persoonsgegevens een heel duidelijk beeld moeten hebben inzake:

• de betrokken partijen en hun respectievelijke rol die zij in het proces vervullen;
• de gegevens die gepseudonimiseerd moeten worden;
• de te gebruiken pseudonimisatietechniek of -technieken;
• de locatie van de verschillende datasets;
• de nodige verantwoordelijkheden die iedere betrokken partij heeft, evenals de garanties en verbintenissen die iedere betrokken partij op zich neemt;
• …

Kortom, zonder een grondige analyse, planning, documentatie en mangement van het ganse pseudonimisatieproces zal de verwerkingsverantwoordelijke vroeg of laat met problemen worden geconfronteerd.

Opgelet

Deze blog is geen advies noch een aanbeveling. Iedere organisatie heeft unieke kenmerken en heeft daarom ook haar eigen problemen.

Heeft u een specifiek probleem bij de pseudonimisatie van persoonsgegevens, neem dan gerust contact op.

Bloep, 24 Mei 2026.