Anoniem medewerkersonderzoek en de AVG

Anoniem, vertrouwelijk of gepseudonimiseerd?

De woorden worden door elkaar gebruikt, maar ze betekenen iets heel anders:

Het onderscheid komt uit de AVG zelf. Overweging 26 zegt dat de regels niet gelden voor anonieme informatie, en dat gepseudonimiseerde gegevens die met aanvullende informatie weer aan een persoon te koppelen zijn, wél persoonsgegevens zijn. De toets is of iemand de persoon kan identificeren met middelen waarvan redelijkerwijs te verwachten is dat ze worden gebruikt, rekening houdend met kosten, tijd en de beschikbare techniek.

Veel onderzoeken die "anoniem" heten, zijn in werkelijkheid vertrouwelijk. Dat is geen schande, maar zeg het dan ook zo. Medewerkers die merken dat "anoniem" anders bleek te zijn, vullen de volgende keer niets meer eerlijk in.

Wanneer is een onderzoek echt anoniem?

De Europese privacytoezichthouders, verenigd in de EDPB, werken aan nieuwe richtlijnen over anonimiseren. De versie voor publieke consultatie is op 7 juli 2026 vastgesteld en volgt een advies uit 2014 op. De kern zijn drie criteria: No Record Isolation, No Linkage en No Inference. Zijn ze alle drie vervuld, dan kunnen gegevens als anoniem worden beschouwd. Vertaald naar drie vragen, die je met "nee" wilt kunnen beantwoorden:

1. Kun je één persoon eruit lichten? Bijvoorbeeld de enige vrouw boven de vijftig op de afdeling Inkoop.
2. Kun je gegevens koppelen? Bijvoorbeeld het tijdstip waarop een antwoord binnenkwam aan het moment waarop Jan op "verzenden" drukte.
3. Kun je iets over iemand afleiden? Bijvoorbeeld: als alle drie de mensen in een team een 3 gaven, weet je wat elk van hen vond.

Bij medewerkersonderzoek gaat het in de praktijk op deze plekken mis:

• Kleine groepen. Een resultaat van een team van drie is een resultaat van drie bekende mensen. Toon geen uitsplitsing onder een vaste ondergrens, bijvoorbeeld vijf.
• Combinaties van kenmerken. Afdeling, leeftijdsgroep en dienstjaren zijn los misschien onschuldig, samen vaak een naam.
• Persoonlijke links. Een uitnodiging met een unieke link per persoon is handig voor herinneringen, maar zolang die link aan de antwoorden hangt, is het onderzoek niet anoniem.
• Timing. Ziet een beheerder direct wie heeft deelgenomen en direct welk antwoord binnenkwam, dan valt het één naast het ander te leggen.
• Open antwoorden. Wie schrijft "sinds mijn terugkeer na het ongeluk", heeft zichzelf al genoemd. Open tekst is nooit vanzelf anoniem.
• Technische sporen. IP-adressen, apparaatgegevens en logbestanden kunnen herleidbaar zijn, ook als de vragenlijst dat niet is.

Wat de AVG vraagt zolang gegevens herleidbaar zijn

Ook een onderzoek dat uiteindelijk anoniem is, begint meestal met persoonsgegevens: een lijst met e-mailadressen, uitnodigingen, herinneringen. En een vertrouwelijk onderzoek blijft van begin tot eind persoonsgegevens verwerken. Voor die stappen gelden onder meer:

Een grondslag (artikel 6). Toestemming lijkt voor de hand te liggen, maar werkt in de arbeidsrelatie zelden. De EDPB schrijft dat het onwaarschijnlijk is dat een medewerker zijn werkgever vrij kan weigeren, zonder angst voor nadelige gevolgen. Toestemming is daarmee voor de meeste verwerkingen op het werk geen geschikte grondslag. Een werkgever zal daarom meestal een andere grondslag nodig hebben, zoals het gerechtvaardigd belang, met een vastgelegde afweging tussen dat belang en de privacy van medewerkers.

Informeren (artikel 13). Vertel vooraf wat je verzamelt, waarom, wie het ziet, hoe lang je het bewaart en welke partijen meekijken. Dat is ook precies wat medewerkers nodig hebben om het onderzoek te vertrouwen.

Zo weinig mogelijk verzamelen. Vraag alleen naar kenmerken die je echt nodig hebt voor de analyse.

Geen bijzondere persoonsgegevens (artikel 9). Gezondheid, etnische afkomst, religie en seksuele geaardheid zijn bijzondere persoonsgegevens, die alleen onder strikte voorwaarden verwerkt mogen worden. Vraag er in een medewerkersonderzoek niet naar.

Een verwerkersovereenkomst (artikel 28). Gebruik je een extern platform, dan is dat een verwerker en leg je afspraken vast over wat die met de gegevens mag doen.

Bewaartermijnen. Spreek af hoe lang je de gegevens bewaart, en verwijder of anonimiseer daarna.

Een DPIA (artikel 35). Ga na of een gegevensbeschermingseffectbeoordeling nodig is. Bij een grootschalig onderzoek met gevoelige onderwerpen ligt dat eerder voor de hand.

De rol van de ondernemingsraad

De Wet op de ondernemingsraden geeft de OR instemmingsrecht bij een voorgenomen regeling over de verwerking en bescherming van persoonsgegevens van medewerkers (artikel 27, lid 1, onderdeel k), en bij voorzieningen die geschikt zijn om de aanwezigheid, het gedrag of de prestaties van medewerkers te volgen (onderdeel l). Of jouw onderzoek onder een van beide valt, hangt af van de opzet. Maar los van de juridische vraag: een OR die vroeg betrokken is en meedenkt over anonimiteit, is de beste ambassadeur die je onderzoek kan hebben.

Checklist voor een onderzoek dat mensen vertrouwen

Meer over het opzetten van de vragenlijst zelf lees je in onze MTO-vragenlijst, en over de eNPS als kernvraag in Wat is eNPS?.

Hoe ScoreStory met anonimiteit omgaat

We bouwen ScoreStory voor dit soort onderzoek, dus het is redelijk om te vragen wat wij precies doen. Zet je een onderzoek op anoniem, dan gebeurt dit:

• Geen namen of e-mailadressen bij de gesprekken. Ook niet als een deelnemer zichzelf noemt, en ze zijn achteraf niet toe te voegen.
• De koppeling wordt verwijderd, niet afgeschermd. Na afloop van een gesprek wordt de verwijzing naar de uitnodiging, en dus naar het e-mailadres, in de eerstvolgende ronde uit de database gehaald.
• Deelname loopt 72 uur achter. Je ziet wél dát iemand heeft meegedaan, maar dat wordt eens per 72 uur in één ronde bijgewerkt, met hetzelfde tijdstip voor iedereen in die ronde. Zo kun je een binnenkomend gesprek niet koppelen aan wie net klaar was.
• Kleine groepen blijven verborgen. Filter je op een kenmerk waar minder dan vijf deelnemers onder vallen, dan krijg je geen resultaten te zien.
• De deelnemer houdt de regie. Aan het eind krijgt iedere deelnemer een verwijdercode om het eigen gesprek later te laten wissen. Wij bewaren die code zelf niet, dus alleen de deelnemer kan dat.
• De instelling gaat op slot zodra de eerste deelnemer heeft meegedaan, zodat anonimiteit niet halverwege kan veranderen.

En de grenzen, omdat die er zijn: wordt er in een ronde van 72 uur maar één persoon losgekoppeld, dan is die met die ronde alsnog herleidbaar. Een heel kort periodefilter kan één gesprek isoleren. En wat iemand zelf typt, staat er zoals het getypt is. Anoniem betekent bij ons dus: niet herleidbaar via het systeem.

De gegevens staan op servers in Nederland. Voor het gesprek zelf gebruiken we op dit moment een taalmodel van Anthropic, een Amerikaans bedrijf; die doorgifte is gedekt door de EU Standard Contractual Clauses. Alle partijen, en wat zij te zien krijgen, staan in onze privacyverklaring.