4.6.2 Beschermen van persoonsgegevens: anonimiseren of pseudonimiseren

In de AVG staat dat “passende technische en organisatorische maatregelen” moeten worden genomen om persoonsgegevens te beschermen.1 Een manier om dit te doen, is door in meer of mindere mate onduidelijk te maken op wie persoonsgegevens betrekking hebben. Dit kan door gegevens te pseudonimiseren of te anonimiseren.2

Anonimisering in de zin van de AVG zorgt ervoor dat de betrokkene niet langer identificeerbaar is.3 Als gegevens geanonimiseerd zijn, is geen sprake van persoonsgegevens en is de AVG ook niet van toepassing.4 Dit is niet snel het geval doordat het lastig is om gegevens werkelijk te anonimiseren.5 In overweging 26 van de considerans bij de AVG staat dat “rekening [moet] worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren”. Het moet dus redelijkerwijs onmogelijk worden om te herleiden over welke persoon bepaalde informatie gaat, voordat sprake is van geanonimiseerde gegevens.6

Het zal in veel gevallen nagenoeg onmogelijk zijn voor de curator om in het faillissementsverslag de gegevens van bestuurders of andere personen te anonimiseren.7 In een faillissementsverslag is namelijk bijna altijd sprake van (een combinatie van) gegevens die uniek zijn voor een bepaald persoon, waardoor ze niet anoniem in de zin van de AVG kunnen zijn.8 Het is dan mogelijk gegevens te herleiden naar een bestuurder, bijvoorbeeld omdat persoonsgegevens te verkrijgen zijn via het Handelsregister9 of omdat een schuldeiser aanvullende informatie tot zijn beschikking heeft.10

Een techniek waar de curator wel gebruik van kan maken, is pseudonimisering.11 Hierbij worden direct-identificerende gegevens, zoals de naam van een persoon, niet langer vermeld. De curator spreekt dan bijvoorbeeld slechts van bestuurders 1 en 2.12 Bij dergelijke pseudonimisering is het in de meeste gevallen nog steeds mogelijk om de bestuurders te identificeren. Er is daarom nog steeds sprake van persoonsgegevens en de AVG blijft van toepassing.13

Dit neemt niet weg dat pseudonimisering wenselijk kan zijn. Persoonsgegevens zijn minder eenvoudig te herleiden tot een betrokkene.14 De inbreuk op het gegevensbeschermingsrecht van de betrokkene is in dat geval kleiner. Dit past goed in het stelsel van de AVG.15 Daarnaast kan een curator beter voldoen aan zijn verplichting tot dataminimalisatie als hij gebruikmaakt van pseudonimisering.

In een zeer kleine groep (zoals een bestuur) is het echter wel de vraag of pseudonimisering effectief is.16 Wederom geldt immers dat het snel duidelijk kan zijn om welke bestuurder het gaat. Dit geldt echter vooral voor personen die kennis hebben van de onderneming. Omdat het faillissementsverslag bedoeld is voor eenieder, is het in beginsel toch aan te raden gegevens te pseudonimiseren. Daarnaast kan het voorkomen dat de curator het noodzakelijk vindt om wel de naam van een bestuurder of aandeelhouder op te nemen in het verslag. De curator kan deze persoonsgegevens opnemen, wanneer hij van mening is dat dat noodzakelijk is om het doel te bereiken. Dit zal afhangen van de specifieke omstandigheden van het geval.

Namen van andere personen, zoals de hypotheekverstrekker die tevens natuurlijk persoon is of de eigenaar van de voorraden die onder eigendomsvoorbehoud geleverd zijn, zijn niet snel noodzakelijk om globaal te informeren. Voldoende is vaak om een globale beschrijving van de activa te geven en aan te geven of er zekerheidsgerechtigden zijn.17 Hetzelfde geldt voor direct identificerende gegevens van crediteuren of debiteuren18 en direct identificerende informatie over medewerkers.