CJEU-uitspraak 2026: Pseudonimisering biedt geen vrijstelling meer van GDPR-naleving

Op 4 maart 2026 heeft de Franse Conseil d’État een boete van €40 miljoen van de CNIL tegen adtechbedrijf Criteo SA (NASDAQ: CRTO) bevestigd wegens diverse GDPR-overtredingen gerelateerd aan gedragsgerichte advertentiepraktijken. Gibson Dunn’s April 2026 Europe data protection update plaatst deze uitspraak in een bredere handhavingsgolf en benadrukt vooral de verduidelijking van het HvJEU dat gepseudonimiseerde cookie-identificatoren gekoppeld aan browsegegevens, IP-adressen en aankoopgeschiedenis persoonlijke gegevens blijven wanneer heridentificatie mogelijk is zonder onevenredige inspanning.

Belangrijkste inzichten

1. Het HvJEU heeft het pseudonimisatie-uitgangspunt voor online identificatoren gesloten. Het Hof van Justitie van de Europese Unie heeft verduidelijkt dat gepseudonimiseerde cookie-identificatoren die zijn gekoppeld aan browsegegevens, IP-adressen en aankoopgeschiedenis persoonlijke gegevens blijven onder de GDPR wanneer heridentificatie mogelijk is zonder onevenredige inspanning. Die classificatie bepaalt elke daaropvolgende nalevingsverplichting.
2. Frankrijk operationaliseert de uitspraak via handhaving, niet via richtsnoeren. De Franse Conseil d’État bevestigde op 4 maart 2026 een boete van €40 miljoen van de CNIL tegen adtechbedrijf Criteo SA, waarmee een juridische strijd werd afgesloten die begon met de sanctie van de CNIL in 2023. De Franse GDPR-handhavingsstatus op adtech is niet langer theoretisch.
3. De gevolgen voor AI-trainingsdata zijn aanzienlijk. Organisaties die cookie-ID’s, apparaatidentificatoren of gedragsfingerprints als “niet-persoonlijk” hebben geclassificeerd en die data hebben gebruikt voor modeltraining, lopen nu met terugwerkende kracht risico. De EDPB heeft al bepaald dat AI-modellen die zijn getraind op persoonlijke gegevens niet automatisch als anoniem kunnen worden beschouwd.
4. Verdedigbaarheid van inzageverzoeken is een nieuw regulatoir strijdtoneel. Het HvJEU heeft tegelijkertijd verduidelijkt dat verwerkingsverantwoordelijken “misbruikmakende” GDPR-inzageverzoeken mogen weigeren—maar alleen met gedocumenteerde, verdedigbare criteria. Algemene weigeringen bij massaal ingediende geautomatiseerde verzoeken zullen zelf aanleiding zijn voor handhaving.
5. Dataclassificatie, niet data-anonimisering, is de afdwingbare controle. De reactie op de uitspraak is niet het uitvinden van nieuwe pseudonimisatie-schema’s. Het is online identificatoren als persoonlijke gegevens behandelen binnen data-inventarissen, op attributen gebaseerde toegangscontroles toepassen, dataresidentie binnen de EU handhaven en manipulatieresistente audittrails produceren die verwerkingsbeslissingen kunnen onderbouwen.

Gezamenlijk trekken deze twee ontwikkelingen nieuwe grenzen voor GDPR-naleving voor elke organisatie die online identificatoren op grote schaal verwerkt. En voor elke organisatie die adtech, gedragsanalyse, AI-training op klantgegevens of grensoverschrijdende datastromen met EU-ingezetenen uitvoert, zijn de gevolgen nu gekwantificeerd in boetes van acht cijfers.

De pseudonimisatie-uitweg—de nalevingstheorie “we hebben geen namen, alleen gehashte identificatoren, dus GDPR is niet van toepassing”—is zojuist gesloten.

Wat het HvJEU daadwerkelijk heeft beslist en waarom classificatie ertoe doet

Het HvJEU bevestigde dat de toets voor “persoonlijke gegevens” onder GDPR Artikel 4(1) niet is of de verwerkingsverantwoordelijke direct identificerende informatie bezit, maar of heridentificatie mogelijk is met middelen die redelijkerwijs kunnen worden gebruikt. Cookie-identificatoren gekoppeld aan browsegedrag, IP-adressen en aankoopdata voldoen aan die toets omdat de combinatie een uniek identificeerbaar profiel creëert, zelfs zonder namen of e-mailadressen. Deze positie is consistent met eerdere EDPB-richtsnoeren en de uitspraak van het HvJEU in de SRB-zaak van september 2025 CJEU SRB case, waarin een relatieve benadering van de-identificatie werd gehanteerd.

De operationele impact is direct. Elke dataset met cookie-ID’s, apparaatfingerprints of andere gepseudonimiseerde online identificatoren gecombineerd met gedragsdata valt nu ondubbelzinnig onder de GDPR. Elke bepaling die van toepassing is op persoonlijke gegevens is hierop van toepassing: vereisten voor rechtmatigheid onder Artikel 6, dataminimalisatie onder Artikel 5(1)(c), rechten van betrokkenen onder Artikelen 15 t/m 22, beveiligingsmaatregelen onder Artikel 32 en meldingsplicht bij datalekken onder Artikelen 33 en 34. Een organisatie die deze datasets eerder buiten haar GDPR-governanceprogramma hield, is nu met terugwerkende kracht niet-nalevend op al deze punten tegelijk.

De uitspraak verduidelijkt ook hoe “redelijkerwijs waarschijnlijk” wordt geïnterpreteerd. Het is geen theoretische oefening of heridentificatie in principe mogelijk is. Er wordt gekeken of de combinatie van data-elementen, beschikbare matchingtechnieken en economische prikkels heridentificatie tot een praktisch risico maken. Voor adtech-ecosystemen die juist bestaan om gebruikers over sessies en sites te identificeren en volgen, is het antwoord vrijwel altijd ja. De architectuur van gedragsgerichte advertenties vereist heridentificeerbaarheid. Die vereiste classificeert nu de hele datapijplijn als verwerking van persoonlijke gegevens.

Frankrijk zet de uitspraak om in handhaving op grote schaal

De €40 miljoen boete van de CNIL tegen Criteo, bevestigd door de Conseil d’État, was geen uitzondering. Het totale bedrag aan Europese GDPR-boetes in 2025 bedroeg meer dan €1,2 miljard volgens de DLA Piper GDPR Fines and Data Breach Survey, met cumulatieve boetes sinds 2018 boven de €5,88 miljard en de editie van 2026 die een stijging van 22% in meldingen van datalekken op jaarbasis documenteert.

Het handhavingspatroon richt zich sterk op Artikelen 5(1)(a)—rechtmatigheid, eerlijkheid en transparantie—en 5(1)(f)—integriteit en vertrouwelijkheid. Beide artikelen zijn afhankelijk van de classificatie van gegevens als persoonlijk. Zodra gepseudonimiseerde identificatoren binnen die classificatie vallen, wordt elke gedragsgerichte advertentiepijplijn tegelijk een probleem van rechtmatigheid, transparantie en toegangsrechten.

De handhavingssnelheid van Frankrijk is wereldwijd relevant omdat andere Europese gegevensbeschermingsautoriteiten historisch het Franse leiderschap op adtech en tracking volgen. De Ierse Data Protection Commission, de Italiaanse Garante en de Duitse Landesdatenschutzbeauftragte hebben allemaal aangegeven zich te scharen achter de positie van de CNIL. Organisaties die €40 miljoen als een Franse eigenaardigheid zagen in plaats van een Europese norm, zien nu vergelijkbare handhavingsacties opduiken in Dublin, Rome en Berlijn.

De gevolgen voor AI-trainingsdata zijn met terugwerkende kracht

Het meest ingrijpende neveneffect van de HvJEU-uitspraak kan liggen bij AI-training. In de afgelopen drie jaar hebben veel bedrijven grote trainingsdatasets opgebouwd uit wat hun juridische teams als “niet-persoonlijk” bestempelden: cookie-identificatoren, apparaatfingerprints, gedragsgegevens, clickstream logs en aankoopgeschiedenis zonder namen. Deze datasets werden gebruikt voor fine-tuning, ontwikkeling van aanbevelingsengines en maatwerk modeltraining voor marketing, fraudedetectie en personalisatie.

De EDPB Opinion 28/2024 heeft al bepaald dat AI-modellen die zijn getraind op persoonlijke gegevens niet automatisch als anoniem kunnen worden beschouwd, en dat elke situatie moet worden beoordeeld op weerstand tegen extractie- en queryaanvallen. In combinatie met de bevestiging van het HvJEU dat gepseudonimiseerde online identificatoren persoonlijke gegevens blijven, leidt dit tot een nalevingsherclassificatie: als de trainingsdata persoonlijk was, moet het getrainde model zelf worden beoordeeld op memorisatie- en extractierisico, en ontbrak bij de oorspronkelijke training waarschijnlijk een rechtmatige grondslag onder Artikel 6.

Dit is een risico met terugwerkende kracht. De aan de ANPD gelieerde Italiaanse Garante-boete tegen OpenAI eind 2024 (later vernietigd door een Italiaanse rechter in maart 2026, volgens Reuters) vormde het regulatoire sjabloon: enorme boetes voor onrechtmatige verwerking van trainingsdata, zonder praktisch hersteltraject anders dan modelretraining. Organisaties die AI in productie hebben gebracht op “pseudonieme” trainingssets dragen nu een nalevingsschuld die lastig af te lossen is zonder architecturale aanpassingen. Retraining op een juridisch verdedigbare databasis is kostbaar. Modellen blijven inzetten die getraind zijn op nu als persoonlijk geclassificeerde data is risicovol.

De Duitse rechterlijke uitspraak in november 2025 versterkt het probleem. Zoals beschreven in de Future of Privacy Forum’s 2026 assessment, oordeelde een Duitse rechter dat songteksten “reproduceerbaar aanwezig en vastgelegd waren in modelgewichten”, waardoor modellen als kopieën voor intellectuele eigendomsdoeleinden werden beschouwd. Die benadering heeft duidelijke gevolgen voor persoonlijke gegevens. Als een model trainingsinhoud kan reproduceren, en die inhoud bevatte persoonlijke gegevens, dan bevat het model zelf persoonlijke gegevens—met alle verplichtingen die die classificatie met zich meebrengt.

Waarom bedrijven pseudonimisatie verkeerd begrepen

De wijdverbreide aanname bij bedrijven dat pseudonimisatie data automatisch buiten de GDPR plaatst, weerspiegelt een nalevingsshortcut die langer is blijven bestaan dan nuttig was. Pseudonimisatie onder GDPR Artikel 4(5) is gedefinieerd als verwerking waardoor persoonlijke gegevens niet langer aan een specifieke betrokkene kunnen worden toegeschreven zonder gebruik van aanvullende informatie. De sleutelzin is de laatste. Gepseudonimiseerde data blijft persoonlijke data—het is simpelweg persoonlijke data met extra waarborgen. Het is geen geanonimiseerde data en is dat ook nooit geweest.

De verwarring ontstond door de retoriek van adtech. Ecosystemen voor gedragsgerichte advertenties beschreven hun datapijplijnen als werkend op “geanonimiseerde” of “gepseudonimiseerde” data alsof die termen uitwisselbaar waren. Juridische teams van bedrijven, op zoek naar een reden om gedragsdatasets buiten de GDPR-nalevingslast te houden, namen deze framing over. Het HvJEU heeft die nu definitief verworpen voor de specifieke combinatie van identificatoren en gedragsdata die de meeste enterprise adtech gebruikt.

Uit het Kiteworks Data Security and Compliance Risk: 2026 Data Sovereignty Report blijkt dat ongeveer 15% van de Europese respondenten zichzelf omschrijft als “uiterst bezorgd” over blootstelling aan GDPR-boetes, een percentage dat het gewicht weerspiegelt van de inmiddels meer dan €5,88 miljard aan handhavingsmaatregelen. Die bezorgdheid heeft zich nog niet vertaald naar architectuur. Veel organisaties draaien nog steeds parallelle data governance-programma’s waarbij “persoonlijke gegevens”-datasets door strenge controles gaan en “pseudonieme” datasets door losse controles. Die architectuur is nu een risico.

Het strijdtoneel rond inzageverzoeken is het volgende handhavingsfront

De uitspraak van het HvJEU heeft niet alleen de pseudonimisatieverdediging beperkt. Ze verduidelijkt ook wanneer verwerkingsverantwoordelijken GDPR-inzageverzoeken als misbruik mogen weigeren—en het antwoord is beperkter dan veel organisaties aannamen. Verwerkingsverantwoordelijken mogen bepaalde verzoeken als misbruik bestempelen wanneer sprake is van een onevenredige last, kennelijk ongegronde intentie of gecoördineerde automatisering die individuele verwerking echt onredelijk maakt. Maar het Hof benadrukte dat de bewijslast voor misbruik bij de verwerkingsverantwoordelijke ligt, en algemene weigeringen voldoen niet aan Artikel 12(5).

Dit is relevant omdat geautomatiseerde en massaal ingediende inzageverzoeken een legitiem handhavingsmiddel zijn geworden. Privacygroepen, journalisten en steeds vaker consumenten die AI-assistenten gebruiken om nalevingsverzoeken te genereren, maken gebruik van hun rechten onder Artikel 15 in hoeveelheden die handmatige afhandeling onder druk zetten. Sommige organisaties hebben gereageerd door dergelijke verzoeken categorisch te weigeren. Het HvJEU heeft nu aangegeven dat deze aanpak zelf tot handhavingsrisico leidt.

De operationele consequentie is dat infrastructuur voor inzageverzoeken van betrokkenen geen luxe operationele functie meer is. Het is een gereguleerd proces waarbij elke weigering moet worden gedocumenteerd, elke rechtvaardiging onderbouwd moet zijn en elke termijn aan Artikel 12(3) moet voldoen. Organisaties die vertrouwen op handmatige, ad-hoc processen voor inzageverzoeken, zullen ofwel geconfronteerd worden met hoeveelheden die ze niet aankunnen, of weigeringen genereren die aanleiding zijn voor klachten bij toezichthouders.

Hoe governance op datalaag het classificatieprobleem adresseert

De architecturale reactie op de HvJEU-uitspraak is niet achteraf data herclassificeren. Het is governance-infrastructuur bouwen die combinaties van identificatoren en gedrag vanaf het moment van verzameling als persoonlijke gegevens behandelt en de bijbehorende verplichtingen afdwingt op de datalaag. Dat betekent data-inventarissen die cookie-ID’s, apparaatfingerprints en gedragsfingerprints als persoonlijke gegevens herkennen; op attributen gebaseerde toegangscontroles die rechtmatigheidsbeperkingen afdwingen op wie deze datasets mag raadplegen of exporteren; handhaving van dataresidentie die EU-persoonsgegevens binnen EU-rechtsbevoegdheid houdt; en audittrails die elke verwerkingsbeslissing op verzoek kunnen onderbouwen bij een toezichthouder.

Kiteworks voert deze governance uit op de datalaag in plaats van de applicatielaag. Vier mogelijkheden zijn hierbij bijzonder relevant voor de HvJEU-uitspraak. Ten eerste handhaaft de Kiteworks Data Policy Engine op attributen gebaseerde toegangscontroles bij elke data-interactie—data kan worden getagd als persoonlijke gegevens, residentiebeperkt of doellimiet, met controles toegepast op toegangsmoment in plaats van te vertrouwen op applicatielogica. Ten tweede zorgt DSPM-integratie met Microsoft Information Protection gevoeligheidslabels ervoor dat classificatie vanuit externe data governance-tools doorstroomt naar operationeel beleid, zodat cookie-ID-plus-gedrag-datasets hun persoonlijke-gegevensclassificatie behouden over systemen heen. Ten derde configureren geofencing- en datasoevereiniteitscontroles gedistribueerde systemen om EU-persoonsgegevens alleen binnen aangewezen rechtsbevoegdheden op te slaan en toegang alleen via die rechtsbevoegdheden te routeren, waarmee wordt voldaan aan Artikel 44-verplichtingen voor grensoverschrijdende overdracht zonder afhankelijk te zijn van contractbeoordeling per geval. Ten vierde genereert het GDPR-nalevingsrapport een gestructureerd bewijspakket dat operationele controles koppelt aan GDPR-artikelen—dit vormt de bewijsbasis voor het verdedigen van verwerkingsbeslissingen en afhandeling van inzageverzoeken tijdens toezichthoudende audits.

Het architecturale argument is dat classificatiegeschillen zullen toenemen naarmate GDPR-handhaving versnelt, en de verdedigbare positie is niet de classificatie te betwisten, maar controles te bouwen die uniform gelden voor alles wat als persoonlijke gegevens kan worden geclassificeerd. Dat verschuift de nalevingslast van juridische interpretatie naar operationele handhaving, en overleeft de volgende HvJEU-uitspraak, de volgende EDPB-opinie en de volgende update van een nationale toezichthouder.

Wat de uitspraak betekent voor uw nalevingsprogramma dit jaar

Ten eerste, audit uw dataclassificatie en inventarisatie op basis van de verduidelijkte reikwijdte van het HvJEU. Elke dataset die online identificatoren (cookie-ID’s, apparaatfingerprints, advertentie-ID’s, IP-adressen, gehashte e-mails) combineert met gedragsdata (browsen, aankopen, contentinteracties) moet als persoonlijke gegevens worden getagd. De EDPB Guidelines 04/2022 voor het berekenen van GDPR-boetes beschouwen de aanwezigheid van gedocumenteerde technische en organisatorische maatregelen als een verzachtende factor—maar alleen als de onderliggende classificatie correct is.

Ten tweede, evalueer uw AI-trainingsdataherkomst. Voor elk model dat is getraind of fijn-afgesteld op data die uw nalevingsprogramma als “pseudoniem” of “niet-persoonlijk” classificeerde, herzie de classificatie volgens de redenering van het HvJEU en de EDPB-opinie van december 2024 over AI-modelanonimiteit. Modellen die zijn getraind op met terugwerkende kracht geherclassificeerde persoonlijke gegevens hebben zowel een rechtmatigheidsprobleem als een model-als-persoonlijke-gegevensprobleem.

Ten derde, bouw uw infrastructuur voor inzageverzoeken opnieuw op zodat deze zowel de hoeveelheid als de verdedigbaarheid bij misbruik aankan. Handmatige workflows die algemene weigeringen genereren, leiden tot klachten bij toezichthouders. Documenteer elke weigering met inhoudelijke rechtvaardiging. Automatiseer de afhandeling van legitieme verzoeken. Houd statistieken bij over responstijd, voltooiingspercentage en weigeringspercentage, want toezichthouders zullen deze cijfers opvragen tijdens handhavingsonderzoeken.

Ten vierde, consolideer gevoelige gegevensuitwisseling onder één governance. Uit het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report blijkt dat organisaties met gefragmenteerde toolstacks voor beveiligde gegevensuitwisseling systematisch meer nalevingsrisico en tragere respons op toezichthouders hebben. Een geconsolideerd controlevlak levert uniforme beleidsafdwinging, uniforme auditbewijzen en uniforme handhaving van dataresidentie op—wat operationeel overeenkomt met de architecturale consistentie die het HvJEU impliciet vereist.

Ten vijfde, behandel discipline rond grensoverschrijdende gegevensoverdracht als een primaire controle. De HvJEU-uitspraak maakt deel uit van een langere ontwikkeling die ook de Data Act (afdwingbaar sinds september 2025) en de gefaseerde inwerkingtreding van de EU AI-wet tot 2027 omvat. Mechanismen voor grensoverschrijdende overdracht—adequaatheidsbesluiten, SCC’s, BCR’s—vereisen operationele handhaving op de datalaag, niet alleen juridische documentatie in een DPA. Datasoevereiniteit en geofencingcontroles die daadwerkelijk EU-persoonsgegevens binnen EU-rechtsbevoegdheid routeren en opslaan, zijn de controles die audittoetsing doorstaan.

Ten zesde, bereid het bewijspakket voor voordat u het nodig heeft. Het verschil tussen een boete van €40 miljoen en een waarschuwingsbrief komt vaak neer op de technische en organisatorische maatregelen die een organisatie kan aantonen op het moment dat handhaving begint. Een organisatie die een GDPR-nalevingsrapport, op attributen gebaseerde toegangslogs, bewijs van dataresidentie en audittrails van afhandeling van inzageverzoeken binnen 24 uur kan overleggen, staat er handhavingsmatig heel anders voor dan een organisatie die datzelfde bewijs pas na zes weken kan leveren.

De uitspraak van het HvJEU is niet het einde van het pseudonimisatie-debat. Het is het begin van een nieuwe regulatoire cyclus waarin handhaving voorafgaat aan richtsnoeren, boetes voorafgaan aan beleidsduidelijkheid, en de organisaties die operationele governance hebben gebouwd deze cyclus met aanzienlijk minder frictie doorlopen dan degenen die nog steeds classificatie in juridische memo’s bespreken.