Zeven miljoen voor gegevens die men anoniem waande

Het verweer van het bedrijf was het meest voorkomende op dit terrein: de gegevens zijn anoniem, dus de AVG geldt niet. De redenering klopt formeel — overweging 26 zegt inderdaad dat de verordening geen betrekking heeft op anonieme informatie — en is feitelijk bijna altijd onjuist. Het gaat er niet om of de naam erbij staat: het gaat erom of de persoon terug te vinden is.

De lijn tussen anoniem en gepseudonimiseerd

In het bestand had elke patiënt een code. Niet de naam, een code. Maar die code was vast: hij diende om dezelfde persoon in de tijd te volgen, want dat is precies wat een longitudinaal onderzoek moet doen. Een identificator waarmee de gegevens van dezelfde persoon aan elkaar gekoppeld kunnen worden is geen anonimiseringsmaatregel: het is de definitie van pseudonimisering in artikel 4, punt 5. En gepseudonimiseerde gegevens blijven persoonsgegevens.

• Overweging 26 vraagt de middelen te beoordelen waarvan redelijkerwijs te verwachten valt dat ze gebruikt worden om te identificeren: kosten, tijd, beschikbare technologie — niet absolute onmogelijkheid.
• Een vaste code per persoon maakt het mogelijk gebeurtenissen in de tijd te koppelen, en dat is juist wat de gegevens toerekenbaar maakt.
• Geboortejaar, geslacht, diagnoses, voorschriften en een territoriale verwijzing beperken samen de groep tot heel weinig mensen.
• Wie stelt dat gegevens anoniem zijn, moet dat kunnen aantonen, en het bewijs is technisch: een heridentificatieanalyse, geen zin in een privacyverklaring.
• Zijn de gegevens niet anoniem, dan is een grondslag en een verklaring nodig, en bij gezondheidsgegevens ook een voorwaarde uit artikel 9, lid 2.

Dan is er de bovenstroomse kant. De gegevens kwamen van huisartsen. Voor een FG die een praktijk, een laboratorium of een zorginstelling bijstaat, is de vraag van vandaag of eigen gegevens in onderzoeks- of handelsinformatiebestanden terechtkomen, op welke grondslag, en of de patiënten dat weten. Dat een derde ze verwerkt verschuift de verantwoordelijkheid van wie ze verzamelde niet.

Wat concreet mee te nemen. Het woord «anoniem» in een contract of in een verwerkingsregister is geen juridische kwalificatie: het is een bewering die bewezen moet worden. Waar het opduikt, loont het drie vragen te stellen — wie heeft het geverifieerd, met welke methode, en wanneer. Ontbreken die drie antwoorden, dan beschrijft die regel van het register een verwerking die men buiten de AVG waant en die er in werkelijkheid binnen valt, met alles van dien.