Dat laatste feit viel met de uitreiking op 29 oktober 2025 samen met de verkiezingen voor de Tweede Kamer op deze dag, waarvoor immigratie opnieuw een belangrijk thema was. Dat ging voornamelijk over asiel, niet over de kosten en baten van buitenlandse studenten in Nederland. Dat is wel interessant, ook in het licht van deze prijs.

De winnende partij D66 hield haar bijeenkomst woensdag in Poppodium Nobel in Leiden. In het pand daartegenover, Scheltema’s, werden ’s middags de scriptieprijzen uitgereikt na de presentaties van de drie genomineerden.

De VPR en de VPR-A loven voor de beste masterscriptie een bedrag van 2.500 euro uit voor de winnaar, en 500 euro voor elk van de twee andere genomineerden. De jury vond alle drie de nominaties van een uitzonderlijk hoog academisch niveau. De jury bestond uit Aline Klingenberg, Anna Berlee, Nynke Wisman en Gerrit-Jan Zwenne (voorzitter).

Wat zijn precies persoonsgegevens?

Winnaar Venisha Nair (eerste foto rechts) uit Singapore heeft inmiddels al een topfunctie als Hoofd voor Data en Privacy op het hoofdkantoor van de Securitas Group in Stockholm. Het bedrijf is ook in Nederland actief. 

Voor haar master Privacy, Cybersecurity and Data Management in Maastricht schreef ze haar scriptie onder supervisie van Herke Kranenborg. Ze analyseerde de interpretatie van de aard van persoonsgegevens door het Hof van Justitie. Dat leverde volgens de jury “verrassende resultaten” op. Zodanig, aldus juryvoorzitter Zwenne, dat hij anders is gaan aankijken tegen het begrip.

Venisha pakte de “aanhoudende onzekerheid” aan over de reikwijdte van het begrip 'persoonsgegevens' onder de AVG. Die is speelbal van een tweespalt tussen twee kampen, die we in Nederlandse religieuze geschiedenis betitelen als preciezen en rekkelijken. Het gaat om de absolute' en 'relatieve' benadering’ soms ook wel respectievelijk de 'objectieve' en 'subjectieve' benadering genoemd:

• aan de ene kant de opvatting dat er al sprake is van persoonsgegevens als wie dan ook, waar ook ter wereld in staat is om de identiteit te achterhalen van het datasubject, d.w.z. degene op wie die gegevens betrekking hebben. Het maakt dan dus niet uit wie dat kan. Zelfs als iemand zelf op geen enkele wijze in staat is die identiteit te achterhalen, dan nog zou er in deze absolute benadering sprake zijn van persoonsgegevens als iemand anders dat mogelijk zou kunnen.
• Daartegenover staat de meer relatieve benadering. Daarin wordt er pas van uitgegaan dat er sprake is van persoonsgegevens als degene die de gegevens heeft , kan beschikken over de middelen heeft waarmee redelijkerwijs de identiteit van het datasubject kan worden achterhaald.

Dus heb je wetenschappers en andere juristen die waarschuwen dat de relatieve benadering ertoe zou leiden dat belangrijke gegevensverwerking buiten de effectieve regelgeving valt. Aan de andere kant degenen die vrezen dat bij de absolute benadering de AVG een duizenddingendoekje wordt, een “law of everything”.

Twee vragen, twee antwoorden

Venisha Nair stelde twee onderzoeksvragen:

1. Hoe heeft het Hof van Justitie van de Europese Unie (HvJ-EU) expliciet en impliciet rekening gehouden met het perspectief bij de beoordeling of informatie betrekking heeft op een 'indirect identificeerbare' natuurlijke persoon? (In de zin van artikel 4, lid 1, en overweging 26 van de AVG)
2. Of informatie die voor één actor 'indirect identificeerbaar' is, voor alle andere actoren die deze informatie verwerken, persoonsgegevens wordt, of dat de status van 'persoonsgegevens' per actor moet worden bepaald?

Antwoord op de eerste vraag: de bestaande jurisprudentie ondersteunt een contextuele benadering. Het Hof kiest het relevante perspectief op basis van de vraag waar binnen een concrete verwerking het realistische risico van identificatie zich in de praktijk voordoet. In sommige situaties is het relevante standpunt dat van de gegevenshouder, in andere dat van het publiek of de ontvanger, en in weer andere dat van een andere deelnemer aan dezelfde gegevensstroom wiens middelen identificatie voorzienbaar maken.

Antwoord op de tweede vraag is het volgende criterium voor het Hof: in hoeverre kan de status van persoonsgegevens worden uitgebreid tot andere actoren die aan dezelfde verwerking deelnemen, wanneer her-identificatie realistisch en voorzienbaar is via praktische toegangswegen of via samenwerking?

De hoofdconclusie luidt dat de AVG vereist dat voor indirecte identificeerbaarheid alle middelen in aanmerking worden genomen die redelijkerwijs door de partijen die gegevens verwerken kunnen worden gebruikt. Dat is afhankelijk van tijd, kosten, technologie en de stand van de techniek.

Het absolute model beschouwt informatie als persoonsgegevens wanneer iemand in principe de persoon zou kunnen identificeren, wat het risico van overmatige betiteling van data als persoonsgegevens met zich meebrengt. Het relatieve model richt zich op de realistische middelen die de betreffende actor ter beschikking staan, wat het risico van te weinig bescherming (van privacy) met zich meebrengt.

Vanisha Nair betoogt in haar scriptie dat een binaire keuze tussen absolute en relatieve modellen de logica van overweging 26 AVG versluiert en dat de jurisprudentie wijst op een contextueel onderzoek door het Hof. Oordelen op grond van de context van de verwerking van persoonsgegevens vindt ze juist.

Doden met AI levend houden

Het proefschrift van Sevval Gulçe Goksu (Universiteit Leiden), die Turkse wortels heeft, was heel origineel: het levend houden van herinneringen aan overleden personen met hulp van een AI-versie. Dit is het thema van de aflevering Be right back van de Netflix-serie Black Mirror (video), uit 2013. We zien hoe een rouwende persoon omgaat met een AI-versie van een dierbare die omgekomen is bij een verkeersongeluk

Sevval benadert dit juridisch: wat betekent deze ‘digitale wederopstanding’ voor privacy- en databescherming en menselijke waardigheid? Zijn er maatregelen voorhanden en/of nodig om eventuele schadelijke sociale en ethische gevolgen te voorkomen? Hiervoor keek ze naar de AVG, de AI-wet en de richtlijn oneerlijke handelspraktijken, en naar literatuur over rouw en technologie.

Ze concludeert dat deze wetgeving niet volstaat. Privacy van overledenen is in de AVG noch in de AI-Act geregeld. Er is aanvullende wetgeving nodig. Of bijvoorbeeld "do-not-bot-me"-clausules in het testament en mechanismen voor het verkrijgen van toestemming van de familie en nabestaanden.

Data-overdracht van internationale organisaties

Sofia Santos Ferreira Machado kwam woensdag uit Portugal voor haar presentatie bij de thesis-uitreiking. Haar onderwerp betrof de Adequacy Decision van het European Patents Office van 2025. De jury prijst alleen al de geweldige opmerkzaamheid om dit onderwerp op te pakken, want het was velen ontgaan. Maar bij het genoemde EPCP van de Universiteit Maastricht van onder anderen Herke Kranenborg en Karolina Podstawa is er een sterk accent op internationale kwesties

Het gaat om overdracht van gegevens van EU-burgers naar internationale organisaties. Kun je die goed beschermen? Ze concludeert dat binnen het EU-recht er pragmatische oplossingen bestaan voor internationale gegevensoverdracht naar bijvoorbeeld het Octrooibureau, dat immuniteit van jurisdictie geniet. Dat kan met een deels op het EVRM gebaseerd mechanisme.

De succesvolle goedkeuring van genoemd besluit van het Europees Octrooibureau bevestigt de haalbaarheid van deze benadering. Daar kunnen gelijksoortige internationale organisaties hun voordeel mee doen.

*) Photo by Mimi Thian on Unsplash