Hoe je persoonsgegevens over al je databronnen heen labelt voor de GDPR

In het kort

• De GDPR schrijft geen labelsysteem voor. Labels helpen je wel om persoonsgegevens en de bijbehorende verwerkingen in kaart te brengen.
• Label op kolomniveau met een kleine, vaste set labels, zodat iedereen ze op dezelfde manier toepast.
• Een label zonder eigenaar veroudert snel. Duid daarom iemand aan die het actueel houdt.

Wat vraagt de GDPR eigenlijk van je?

De GDPR (Verordening (EU) 2016/679) schrijft geen classificatie met labels voor. Ze bevat wel verplichtingen waarbij een betrouwbare inventaris en duidelijke labels kunnen helpen. Hieronder staan de relevante bepalingen op hoofdlijnen. Welke verplichtingen precies gelden, hangt onder meer af van je rol en de verwerking.

• Weten wat een persoonsgegeven is. Artikel 4, punt 1 definieert dit breed: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Een klantnummer kan daar ook onder vallen als het naar een persoon te herleiden is.
• Een register van verwerkingsactiviteiten bijhouden waar dat verplicht is. Artikel 30 beschrijft registerverplichtingen voor verwerkingsverantwoordelijken en verwerkers, met verschillende vereisten naargelang hun rol. Voor verwerkingsverantwoordelijken gaat het onder meer om doeleinden, categorieën van betrokkenen en persoonsgegevens en, waar mogelijk, beoogde wissingstermijnen. Artikel 30 bevat een beperkte uitzondering voor organisaties met minder dan 250 medewerkers, maar die geldt niet zonder meer: onder meer het risico, het niet-incidentele karakter van de verwerking en bepaalde gegevenscategorieën spelen mee.
• Extra zorg voor bijzondere categorieën. Artikel 9 verbiedt in beginsel de verwerking van onder meer gezondheidsgegevens, gegevens over etnische afkomst en biometrische gegevens met het oog op de unieke identificatie van een persoon, tenzij een toepasselijke uitzondering geldt.
• Niet meer en niet langer dan nodig. Artikel 5 bevat onder meer de beginselen van minimale gegevensverwerking en opslagbeperking. Persoonsgegevens moeten beperkt blijven tot wat nodig is voor de doeleinden en mogen niet langer identificeerbaar bewaard worden dan nodig, behoudens toepasselijke uitzonderingen en waarborgen. De verwerkingsverantwoordelijke moet de naleving kunnen aantonen.
• Rechten van betrokkenen kunnen behandelen. Om verzoeken tot inzage (artikel 15) of wissing (artikel 17) correct te beoordelen en uit te voeren, moet je de relevante gegevens kunnen terugvinden. Voor die rechten gelden voorwaarden en uitzonderingen.

In de praktijk betekent dit dat je inzicht nodig hebt in waar persoonsgegevens zitten en hoe je ze verwerkt. Labels kunnen je register verbinden met de echte tabellen en kolommen. Ze zijn een hulpmiddel, geen bewijs van volledige naleving. Laat de juridische toepassing op je organisatie beoordelen door je privacy- of juridisch adviseur.

Waarom labelen geen eenmalig project is

Veel teams zien labelen als een project met een einddatum. Je scant alle bronnen, vult een spreadsheet in en beschouwt de GDPR als afgehandeld. Maar je databronnen staan niet stil.

Bijvoorbeeld: het marketingteam voegt een kolom ‘geboortedatum’ toe aan het CRM voor een verjaardagsactie. Twee weken later zit die kolom ook in het datawarehouse en in een Power BI-model voor de campagnerapportering. Niemand heeft het label aangepast, omdat niemand zich verantwoordelijk voelde.

Labelen is makkelijk om mee te starten en moeilijk om actueel te houden. Daarom gaat deze gids evenveel over eigenaarschap als over labels.

Hoe breng je persoonsgegevens over al je databronnen in kaart?

Begin bij je bronnen, niet bij de wettekst. Een inventaris die je per bron opbouwt, kun je later koppelen aan je register van verwerkingsactiviteiten.

1. Lijst al je databronnen op. Denk aan operationele systemen zoals CRM, HR en ERP, maar ook aan je datawarehouse of lakehouse, je Power BI-modellen en gedeelde Excel-bestanden.
2. Kijk eerst naar de metadata. Tabel- en kolomnamen en hun beschrijvingen geven vaak al aanwijzingen: naam, e-mailadres, adres, rijksregisternummer, IBAN. Zo beperk je de noodzaak om de gegevens zelf te bekijken. Als inhoudelijke controle nodig is, beperk dan ook de toegang en de hoeveelheid gegevens die je daarvoor gebruikt.
3. Vraag het aan wie de bron kent. Een kolom ‘veld_07’ zegt niets. De applicatiebeheerder of het team dat de bron dagelijks gebruikt, weet meestal wat erin zit.
4. Volg de data stroomafwaarts. Een persoonsgegeven uit een bronsysteem duikt vaak ook op in kopieën, exports en rapporten. Elke kopie die nog persoonsgegevens bevat, heeft een passend label nodig. Controleer bij transformaties of de classificatie nog klopt.
5. Vergeet test- en ontwikkelomgevingen niet. Daar staan soms kopieën van productiedata, met minder toezicht. Ga ook na of echte persoonsgegevens daar wel nodig zijn.

Welke labels heb je nodig?

Houd de set klein. Hoe meer labels, hoe meer twijfel bij wie ze toekent. De volgende vier labels vormen een praktisch vertrekpunt dat je aanpast aan je gegevens en risico’s.

Deze labels zijn niet volledig wederzijds uitsluitend: gepseudonimiseerde gegevens kunnen bijvoorbeeld ook gezondheidsgegevens zijn. Leg daarom vast hoe je combinaties registreert, zodat pseudonimisering een bijzondere categorie niet verbergt. Voor gegevens waarvoor aparte regels gelden, zoals strafrechtelijke gegevens onder artikel 10, kan een aanvullende classificatie nodig zijn.

Op welk niveau label je: bron, tabel of kolom?

Label op kolomniveau waar het kan. Een tabel ‘klanten’ bevat zowel persoonsgegevens als gewone kenmerken. Een label op tabelniveau geeft dan te weinig detail.

Een label per bron is een goede eerste stap: het vertelt je welke systemen persoonsgegevens bevatten. Daarna werk je per tabel en per kolom verder, te beginnen bij de bronnen met de meeste gebruikers.

Ook rapporten en semantische modellen verdienen een label. Wie een Power BI-rapport deelt, moet weten of er persoonsgegevens in zitten. Beoordeel daarbij wat het model of rapport daadwerkelijk bevat of toegankelijk maakt.

Wie is eigenaar van een label?

Een label is een uitspraak over data. Iemand moet die uitspraak kunnen onderbouwen. Een praktische rolverdeling is:

• De data-eigenaar van een bron beslist binnen de afgesproken classificatieregels welk label een kolom krijgt. Meestal is dat iemand uit de business, niet uit IT.
• De functionaris voor gegevensbescherming (DPO), als die is aangesteld, adviseert over de labels en de regels erachter en houdt onafhankelijk toezicht, bijvoorbeeld via steekproeven. De organisatie blijft verantwoordelijk voor de beslissingen. Is er geen DPO, betrek dan de verantwoordelijke voor privacy of een juridisch adviseur.
• Het data- of BI-team past de labels technisch toe en signaleert nieuwe kolommen.

Duid één aanspreekbare persoon per bron aan, met een vervanger waar nodig, in plaats van alleen een teamnaam te vermelden. Zo is duidelijk wie vragen over de labels opvolgt.

Hoe houd je persoonsgegevenslabels actueel?

• Label bij de wijziging, niet erna. Neem de vraag ‘bevat dit persoonsgegevens?’ op in elke aanvraag voor een nieuwe kolom, bron of rapport.
• Herzie op een vast ritme. Laat elke eigenaar de labels bijvoorbeeld elk kwartaal bevestigen. De GDPR schrijft geen specifieke herzieningstermijn voor zulke labels voor. Kies een ritme dat past bij je risico’s en de snelheid waarmee bronnen veranderen.
• Houd bij wie wat veranderde. Een label dat zonder spoor verandert, is achteraf moeilijk te onderbouwen. Een wijzigingshistoriek kan bijdragen aan de verantwoordingsplicht van artikel 5, lid 2, maar volstaat op zichzelf niet om naleving aan te tonen. Beperk ook de persoonsgegevens in die historiek tot wat nodig is en bepaal passende toegang en bewaartermijnen.
• Koppel labels aan je register. Laat elke verwerking in je register verwijzen naar de bronnen en kolommen die ze gebruikt. Dat helpt om na te gaan welke verwerkingen geraakt worden als een label verandert.

Een praktisch kader: Inventariseren, Labelen, Toewijzen, Koppelen, Herzien

• Inventariseren: één lijst van alle databronnen, inclusief kopieën, exports en testomgevingen.
• Labelen: vier vaste basislabels, toegekend op kolomniveau waar het kan, met afspraken voor combinaties en aanvullingen.
• Toewijzen: één eigenaar per bron die de labels onderbouwt en opvolgt.
• Koppelen: elke verwerking in het register verwijst naar de gelabelde bronnen die ze gebruikt.
• Herzien: labels controleren bij elke wijziging en op een vast ritme.

Tot slot

Een label is pas bruikbaar als het klopt op de dag dat iemand het nodig heeft: bij een inzageverzoek, een audit of een datalek. Begin klein, met vier basislabels en de bronnen met de meeste gebruikers. Geef elk label een verantwoordelijke en laat elke wijziging een spoor achter. Zo kan je register beter aansluiten bij je echte data, zonder labels te verwarren met een garantie op GDPR-naleving.