Wat is PII? Soorten, voorbeelden en het verschil met persoonsgegevens

Gepubliceerd 3 juli 2026 · Bijgewerkt 17 juli 2026 · het Occlira-team

PII (personally identifiable information) is alle informatie waarmee een specifieke persoon kan worden geïdentificeerd — op zichzelf, zoals een paspoortnummer, of in combinatie met andere gegevens, zoals een postcode plus een geboortedatum. De Amerikaanse standaard NIST SP 800-122 splitst dit op in twee delen: informatie die een identiteit onderscheidt of traceert, plus alle andere informatie die met die persoon verbonden of te verbinden is.

Wat geldt als PII? De officiële definitie

Eén sluitende lijst bestaat er niet — wat meetelt, hangt af van het rechtsgebied. De meest geciteerde Amerikaanse definitie komt uit NIST Special Publication 800-122, die PII opsplitst in (1) informatie waarmee de identiteit van een individu te onderscheiden of te traceren is — een naam, burgerservicenummer, geboortedatum en -plaats, meisjesnaam van de moeder of biometrische gegevens — en (2) alle andere informatie die met een individu verbonden of te verbinden is, zoals medische, onderwijs-, financiële of arbeidsgegevens. (Bron: NIST SP 800-122.) Die toets van „verbonden of te verbinden” vormt de kern: gegevens hoeven niemand bij naam te noemen om PII te zijn — ze hoeven alleen bij te dragen aan het identificeren van die persoon.

Soorten PII, met voorbeelden

NIST groepeert PII in deze voorbeeldcategorieën (het is illustratief, niet uitputtend):

Categorieën uit NIST SP 800-122 §2.2. Occlira detecteert 40+ soorten zoals deze in documenten, spreadsheets, e-mail, audio en afbeeldingen.

Directe identificatoren, indirecte identificatoren en quasi-identificatoren

Privacyteams delen PII in naar de manier waarop die iemand identificeert — de tweedeling achter de meeste classificatieschema’s:

• Directe identificatoren maken iemand op zichzelf herkenbaar — een paspoort of BSN, een e-mailadres, een telefoonnummer.
• Indirecte (quasi-)identificatoren identificeren op zichzelf niemand, maar wel in combinatie. NIST geeft als voorbeeld: een lijst met kredietscores identificeert niemand, maar zodra u leeftijd, adres en geslacht toevoegt, worden de personen identificeerbaar. (Bron: NISTIR 8053.)

De klassieke demonstratie is die van Latanya Sweeney, die het „geanonimiseerde” medische dossier van een Amerikaanse gouverneur wist te heridentificeren met alleen geboortedatum, postcode en geslacht — en schatte dat diezelfde drie velden ongeveer 87% van de Amerikaanse bevolking uniek identificeren (een latere replicatie kwam uit op bijna 63%). (Bron: Golle 2006, met verwijzing naar Sweeney.) Daarom volstaat het schrappen van de voor de hand liggende namen niet: de overgebleven quasi-identificatoren kunnen mensen opnieuw identificeren, en goede anonimisering moet beide onder handen nemen.

PII vs. persoonsgegevens vs. PHI

De drie overlappen sterk, en de praktische taak is dezelfde — vind de identificatoren en verwijder ze. Het grootste verschil zit in de reikwijdte: AVG art. 4(1) geldt voor iedereen die „direct of indirect” identificeerbaar is, en overweging 30 maakt duidelijk dat online-identificatoren — IP-adressen, cookie-ID’s, RFID-tags — persoonsgegevens zijn. Daarmee is de AVG aanzienlijk breder dan het klassieke Amerikaanse begrip van PII.

Gevoelige vs. niet-gevoelige PII (en AVG-bijzondere categorieën)

Niet alle PII brengt hetzelfde risico met zich mee, dus het is nuttig om die in tweeën te splitsen:

• Gevoelige PII kan bij uitlekken werkelijke schade veroorzaken en verdient de sterkste bescherming — nationale ID’s, financiële en betaalgegevens, medische dossiers, biometrie en precieze locatie.
• Niet-gevoelige PII is op zichzelf vaak openbaar of laag risico — een naam, functietitel of zakelijk e-mailadres — en wordt vooral riskant zodra die gecombineerd wordt met andere velden.

De AVG kent een strengere, apart benoemde categorie — de bijzondere categorieën van persoonsgegevens — waarvan de verwerking in beginsel verboden is (art. 9): gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens die een persoon uniek identificeren, gezondheidsgegevens, en gegevens over iemands seksleven of seksuele geaardheid. „Bijzondere categorie” is de AVG-term; „gevoelige PII” is de lossere Amerikaanse tegenhanger.

De 18 HIPAA-identificatoren (Safe Harbor)

Voor Amerikaanse gezondheidsgegevens bestaat de meest concrete inventaris van wat als een identificator geldt. Om een dossier te de-identificeren volgens de Safe Harbor-methode van HIPAA moet een verantwoordelijke entiteit alle 18 identificatoren verwijderen en er niet daadwerkelijk mee bekend zijn dat wat overblijft de persoon nog kan identificeren: (Bron: 45 CFR 164.514(b)(2).)

1. Namen
2. Geografische gegevens kleiner dan een deelstaat (alleen de eerste 3 postcodecijfers, en alleen als het gebied meer dan 20.000 inwoners heeft)
3. Alle datums behalve het jaar (geboorte, opname, ontslag, overlijden); leeftijden boven de 89 gegroepeerd als „90 jaar of ouder”
4. Telefoonnummers
5. Faxnummers
6. E-mailadressen
7. Burgerservicenummers (SSN)
8. Medische dossiernummers
9. Nummers van begunstigden van een zorgverzekering
10. Rekeningnummers
11. Certificaat-/vergunningnummers
12. Voertuigidentificatoren en kentekens
13. Apparaatidentificatoren en serienummers
14. Web-URL’s
15. IP-adressen
16. Biometrische identificatoren, waaronder vinger- en stemafdrukken
17. Volledige gezichtsfoto’s en vergelijkbare afbeeldingen
18. Elk ander uniek identificerend nummer, kenmerk of code

De tweede route van HIPAA, Expert Determination, laat in plaats daarvan een gekwalificeerde deskundige bevestigen dat het risico op heridentificatie „zeer klein” is — een norm van restrisico, geen belofte van nul risico. (Bron: HHS.)

Anonimiseren vs. pseudonimiseren vs. onleesbaar maken

Deze drie worden vaak door elkaar gehaald, maar de wet behandelt ze heel verschillend:

Dit onderscheid is juridisch bepalend. Onder AVG art. 4(5) zijn gepseudonimiseerde gegevens — omkeerbaar met apart bewaarde informatie — nog steeds persoonsgegevens; alleen werkelijk anonieme gegevens (overweging 26) vallen buiten de AVG. De pseudonimiseringsrichtsnoeren van de EDPB uit 2025 bevestigen dit: omkeerbare tokenisatie verlaagt het risico, maar houdt de gegevens binnen het toepassingsgebied.

Waarom het weglaten van namen niet genoeg is

Zelfs een zorgvuldige de-identificatie laat enig restrisico achter. Een test van HIPAA Safe Harbor toonde aan dat minder dan 1% van de dossiers opnieuw te identificeren was toen alleen geboortejaar, geslacht en de 3-cijferige postcode overbleven — klein, maar niet nul. (Bron: NISTIR 8053.) Samen met het cijfer van 87% van Sweeney wijst dit steeds op dezelfde les: namen weghalen is het makkelijke deel; het echte werk is het opsporen van de indirecte identificatoren die mensen stilletjes herkenbaar maken — en dat is nu precies wat goede anonimiseringssoftware moet doen, niet alleen namen matchen.

Hoe verwijdert u PII uit uw bestanden — lokaal

Zodra u weet waarnaar u moet zoeken, verwijdert u die het veiligst door de hele klus op uw eigen machine te houden. Occlira is een desktopapp voor Windows en macOS die 40+ soorten PII detecteert en verwijdert — namen, nationale ID’s, e-mailadressen, financiële identificatoren, gezondheidsgegevens en meer — in documenten, spreadsheets, e-mail, audio en afbeeldingen, 100% op het apparaat, zonder cloud en zonder account. Doordat het niet alleen namen, maar ook indirecte identificatoren markeert, dicht het het hierboven beschreven heridentificatiehiaat.

De anonimisering is omkeerbaar: elke identificator wordt vervangen door een neutrale plaatsaanduiding en de toewijzing blijft op uw apparaat bewaard, zodat u de originelen kunt herstellen. In AVG-termen is dat pseudonimiseren — een krachtige stap om het risico te verlagen, maar zoals gezegd blijft het resultaat een persoonsgegeven; beschouw het dus als gegevensminimalisatie en niet als een manier om onder de regels uit te komen. Bekijk anonimiseren vóór ChatGPT of hoe u Word, PDF en Excel afschermt voor de stapsgewijze uitleg.

Veelgestelde vragen

Vind en verwijder PII lokaal

Spoor persoonsgegevens op en verwijder ze uit al uw bestanden, op uw eigen computer. 14 dagen gratis op Windows en macOS.

Meer: AI gebruiken zonder de AVG te schenden · persoonsgegevens uit audio verwijderen · hoe uw gegevens worden verwerkt