Geodata en de AVG: wanneer is een locatie een persoonsgegeven?

De AVG rekent locatiegegevens uitdrukkelijk tot de gegevens waarmee iemand identificeerbaar kan zijn. Artikel 4, punt 1, luidt:

"„persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator [...]"

Bron: Verordening (EU) 2016/679 (AVG), artikel 4, punt 1, Nederlandse tekst in het Publicatieblad, gelezen op 11 oktober 2026. Het woord "identificeerbaar" is de sleutel: een kaartlaag zonder personen is geen persoonsgegeven, maar een kaartlaag waaruit iemand te herleiden is, wel.

Overweging 26 geeft de toets voor wat herleidbaar is:

"Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken."

Bron: overweging 26 AVG, Nederlandse tekst, gelezen op 11 oktober 2026. De overweging noemt ook de kosten en de benodigde tijd als objectieve factoren, rekening houdend met de beschikbare technologie. Voor geodata betekent dit dat u niet alleen kijkt naar wat er in de laag staat, maar ook naar wat een gebruiker er met andere bestanden bij kan koppelen. Een adrespunt en een woonplaats lijken onschuldig; met het kenteken of de naam erbij niet meer.

Het hangt af van de koppeling met een persoon en niet van het type bestand. De tabel geeft een eerste indeling. Het is een afweging die u per toepassing zelf moet onderbouwen, geen vaststelling van de Autoriteit Persoonsgegevens.

Het gaat zelden om één bestand. Het risico ontstaat bij het samenvoegen, bijvoorbeeld van een BAG-adres met een uitkeringsbestand in een dashboard. Zo'n koppeling ligt dicht bij het soort verwerking waarvoor de volgende sectie een DPIA noemt.

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico voor betrokkenen meebrengt. Artikel 35 lid 3 onder c noemt onder meer "stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten". De Autoriteit Persoonsgegevens (AP) heeft daarnaast een lijst opgesteld, die in het Besluit lijst verwerkingen persoonsgegevens waarvoor een DPIA verplicht is staat. Punt 12 luidt:

Grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto's, navigatiesystemen, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer).

Bron: Besluit lijst verwerkingen persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, versie van 27 november 2019, gelezen op 11 oktober 2026. De AP wijst erop dat de lijst niet uitputtend is: staat uw verwerking er niet op, dan beoordeelt u zelf of het risico hoog is. De woorden "grootschalig", "systematisch" en "stelselmatig" betekenen volgens de AP dat incidentele of ad hoc verwerkingen er niet onder vallen.

Voor een gemeente betekent dit het volgende. Een kaart met gemaaide bermen valt er niet onder. Een voertuigvolgsysteem voor de afvalinzameling met bestuurders als vaste gebruikers kan er wel onder vallen, evenals een app die bewonersposities verzamelt. Vraag in zo'n geval de functionaris gegevensbescherming (FG) om advies; de AP schrijft op haar DPIA-pagina dat dat verplicht is als de organisatie een FG heeft aangesteld.

Openbaar betekent volgens de AP niet dat iedereen de gegevens voor elk doel mag gebruiken. Op haar pagina over persoonsgegevens in openbare bronnen schrijft de AP:

"Informatie over een persoon kan rechtmatig in een open bron staan. En dus voor iedereen toegankelijk en te bekijken zijn. Maar dat betekent niet dat u die gegevens dan ook overal voor mag gebruiken. U mag de gegevens niet zomaar opnieuw verwerken."

Bron: Autoriteit Persoonsgegevens, Persoonsgegevens in openbare bronnen, gelezen op 11 oktober 2026. De AP voegt toe dat persoonsgegevens die rechtmatig in een open bron staan, niet zomaar opnieuw verwerkt mogen worden en dat het per nieuwe verwerking moet worden gecontroleerd of een DPIA nodig is. Voor geodata die door uw organisatie wordt gepubliceerd, geldt hetzelfde omgekeerd: wat u openbaar maakt, kan door anderen worden samengevoegd tot een profiel.

Voor het publiceren van open data geldt bovendien het uitgangspunt uit de Europese regels voor hoogwaardige datasets. Overweging 8 van de uitvoeringsverordening zegt daarover:

"De lidstaten moeten passende methoden en technieken (zoals generalisatie, aggregatie, onderdrukking, anonimisering, differentiële privacy of randomisering) toepassen teneinde zoveel mogelijk gegevens beschikbaar te stellen voor hergebruik."

Bron: overweging 8 van Uitvoeringsverordening (EU) 2023/138, Nederlandse tekst in het Publicatieblad, gelezen op 11 oktober 2026. Zie voor die verordening high value datasets. Wilt u weten welke licentie bij uw publicatie past, lees dan open data-licenties.

Ja, maar niet als open data en niet vrij te gebruiken. Het Kadaster schrijft op haar pagina over openbaarheid en privacy:

De gegevens in onze registraties zijn volgens de wet voor iedereen toegankelijk en openbaar.

Bron: Kadaster, Openbaarheid en privacy, gelezen op 11 oktober 2026. Dezelfde pagina noemt als beperking dat gegevens "alleen verkrijgbaar op aanvraag en tegen betaling" zijn en dat het Kadaster geen persoonsinformatie verstrekt voor commerciële activiteiten zoals direct marketing. In documenten als koop- en hypotheekakten zijn naam, adres en geboortedatum van de gerechtigde openbaar.

Bepaalde personen kunnen hun gegevens laten afschermen. Het Kadaster noemt personen in het stelsel Bewaken en Beveiligen en mensen met een hoog risico door hun werk, zoals journalisten en rechters. Notarissen, deurwaarders en overheidsorganen krijgen de afgeschermde gegevens nog wel, voor hun wettelijke taken.

Wat betekent dit voor een gemeentelijke viewer? De kadastrale kaart die PDOK als open data aanbiedt, bevat geen eigenaarsnaam. Een gemeente die op die kaart de eigenaar wil tonen, haalt de gegevens uit een andere bron en moet voor die verwerking zelf een grondslag en doel hebben. Doel en grondslag zijn in de AVG de eerste vragen, niet de laatste. Dat een gegeven openbaar is, is geen grondslag voor elke nieuwe toepassing, zoals de AP hierboven stelt. De technische kant van de kadastrale kaart staat bij BRK en kadastrale kaart.

Een werkbare volgorde bestaat uit zes stappen. Ze volgen de AVG-vragen en leveren documentatie op die bij een controle of aanbesteding goed van pas komt.

1. Inventariseer de lagen. Maak per kaartlaag een lijst met bron, detailniveau en velden. Zet erbij of er een naam, adres, kenteken, telefoonnummer of tijdstempel in staat.
2. Toets op herleidbaarheid. Pas de toets van overweging 26 toe: kan iemand met redelijke middelen een persoon herleiden, ook via koppeling met andere bestanden?
3. Leg doel en grondslag vast. Noteer waarom u de gegevens verwerkt en op welke grondslag. Neem de verwerking op in uw register van verwerkingsactiviteiten.
4. Beperk de gegevens. Toon alleen wat nodig is. Aggregeer per buurt, rond tijdstempels af of laat het veld weg. Dit is dataminimalisatie, een beginsel van de AVG.
5. Toets op een DPIA. Loop de lijst van de AP en artikel 35 door. Bij locatie van personen, grootschalig of stelselmatig, is dat de eerste vraag.
6. Regel de hosting. Sluit een verwerkersovereenkomst met elke partij die de gegevens host of beheert, en controleer waar de gegevens staan. Meer over EU-hosting en rijksbeleid staat bij EU-cloud voor overheidsdata.

Een tegenvoorbeeld: een open dataportaal met een stembureaukaart zonder persoonsvelden vraagt waarschijnlijk niets van dit alles behalve een controle van de velden. Het verschil zit in de toepassing en niet in de technologie. Voor de inrichting van het portaal zelf zijn er de gids over open data publiceren en de dienst open-dataplatform.

Drie punten maken in de praktijk het verschil. Het eerste is de rol die de gemeente heeft: een gemeente die zelf besluit welke gegevens worden verzameld is verwerkingsverantwoordelijke, een leverancier die de viewer host is verwerker. De afspraken daartussen staan in de verwerkersovereenkomst en zijn onderdeel van de aanbesteding van een GIS-viewer.

Het tweede is de schaal. Eén locatie is anders dan een bestand met alle woningen van de gemeente, en een eenmalige export anders dan een doorlopende koppeling. Het derde is de combinatie met bijzondere persoonsgegevens, zoals gezondheid, waarvoor aanvullende regels gelden. Een kaart van zorgvragers is een heel andere verwerking dan een kaart van speeltuinen. Een voorbeeld waarin een openbaar register en persoonsgegevens samenkomen, is het begraafplaatsregister: het register is openbaar, maar gegevens van rechthebbenden vallen onder de AVG. Bij een kaart van meldingen in de openbare ruimte speelt het omgekeerde: gemeenten die meldingen als open data publiceren, laten de gegevens van melders weg.

Deze pagina is geen juridisch advies. De AP, de FG van uw organisatie en een jurist kunnen uw specifieke casus beoordelen. Een overzicht van wat TechinFlow doet rond kaarten en data staat bij GIS- en kaartoplossingen.