Print:

Privacy bij faillissement

mr. Friederike van der Jagt , Privacyadvocaat

LinkedIn profiel

Het coronavirus houdt Nederland in zijn greep en heeft enorme economische gevolgen. Van de restauranteigenaar die noodgedwongen zijn zaak moet sluiten tot de bloemenkweker die zijn bloemen niet kwijt kan: bijna alle sectoren worden geraakt. De overheid heeft tal van maatregelen aangekondigd om ondernemers te ondersteunen, maar voor sommige bedrijven lijkt een faillissement onafwendbaar. Wanneer een bedrijf failliet gaat, moet de curator zorgen dat er voor de schuldeisers een zo hoog mogelijke boedelopbrengst wordt gegeneerd. Het kan voor de curator dan ook interessant zijn om klantenbestanden of mailingslijsten te verkopen. Maar kan dat eigenlijk zomaar of stuit dit op privacyrechtelijke bezwaren?

Standpunt Autoriteit Persoonsgegevens

Recentelijk heeft de Autoriteit Persoonsgegevens (AP) via een brief aan INSOLAD , de vereniging voor insolventierechtadvocaten, het juridisch kader voor de verwerking van persoonsgegevens bij faillissement verduidelijkt. Ook is er een O&A gepubliceerd. Deze verduidelijking was hard nodig nu de AP over de jaren heen verschillende tegenstrijdige standpunten heeft ingenomen.

Rol van de curator

Allereerst maakt de AP duidelijk dat bij een faillissement de curator kwalificeert als verwerkingsverantwoordelijke (in de zin van art. 4 aanhef en onder 7 AVG) voor de persoonsgegevens die in het kader van het beheer en de vereffening van de boedel worden verwerkt. De schuldenaar is immers door het faillissement van rechtswege de beschikking en het beheer over zijn vermogen kwijt. De curator verkrijgt de feitelijke macht en zeggenschap over de boedel en kan beslissingen nemen over de verkoop van activa, zoals klantenbestanden. De curator zal zich daarom moeten houden aan de AVG en de Uitvoeringswet AVG.

Beginselen en grondslag

De AP wijst daarbij expliciet op de algemene beginselen van art. 5 AVG. Zo moet de curator er onder meer voor zorgen dat de persoonsgegevens rechtmatig, behoorlijk en op transparante wijze worden verwerkt. Een risico ligt met name in het doelbindingsbeginsel: persoonsgegevens die door de failliete onderneming zijn verzameld, kunnen niet zomaar door de curator voor een ander doel worden gebruikt. Dit mag alleen wanneer indien en voor zover:

  • betrokkenen daarvoor rechtsgeldige toestemming hebben gegeven; of
  • als er sprake is van een specifieke wettelijke verplichting of bevoegdheid die een noodzakelijke en evenredige maatregel vormt ter waarborging van de in art. 23 lid 1 AVG bedoelde doelstellingen; of
  • wanneer sprake is van een ‘verenigbare verwerking’. Zie art. 6 lid 4 onder a) tot en met e) AVG voor de factoren die een rol spelen bij de vraag of sprake is van een verenigbare verwerking.

 

De AP geeft nadrukkelijk aan dat de verstrekking van persoonsgegevens door een curator aan een andere verwerkingsverantwoordelijke, bijvoorbeeld een partij die een klantenbestand wil kopen, niet kan plaatsvinden op grond van art. 6 lid 4 AVG (verenigbaarheid met de verzameldoeleinden).

De persoonsgegevens moeten door de curator adequaat worden beveiligd. In het licht van het transparantiebeginsel zal de curator de betrokkenen goed moeten informeren over de voorgenomen verdere verwerking van hun persoonsgegevens en de mogelijkheid om hun rechten uit te oefenen. De curator moet kunnen aantonen dat hij de beginselen van art. 5 AVG naleeft (verantwoordingsbeginsel).

Van belang is dat de curator over een eigen rechtsgeldige grondslag (zie art. 6 AVG) voor de verwerking van de persoonsgegevens dient te beschikken, bijvoorbeeld de toestemming van de betrokkene. Ook wijst de AP op de specifieke regels die gelden voor het verwerken van bijzondere persoonsgegevens en de verplichting om onder bepaalde omstandigheden een Data Protection Impact Assessment uit te voeren en, afhankelijk van de uitkomst daarvan, over te gaan tot een voorafgaande raadpleging bij de AP.

Wat betekent dit in de praktijk?

Aan de hand van een aantal veelvoorkomende scenario’s geeft de AP in haar brief en in de Q&A handvatten om de AVG in de praktijk toe te passen.

Voortzetting failliete onderneming

De AP gaat allereerst in op de situatie waarin de curator de activiteiten van een gefailleerde rechtspersoon ten behoeve van een ‘going concern’-verkoop voortzet. De curator mag dan persoonsgegevens (laten) verwerken, omdat de persoonsgegevens voor de voortgezette activiteiten feitelijk door dezelfde verwerkingsverantwoordelijke (de failliete onderneming die wordt voortgezet) worden verwerkt. Let wel op: dit mag alleen wanneer de persoonsgegevens dan voor dezelfde doeleinden als vóór het faillissement worden verwerkt. Er verandert dan eigenlijk niets voor de betrokkene. Wanneer de voortgezette onderneming voor andere doeleinden persoonsgegevens gaat verwerken, gelden de eerder besproken voorwaarden.

Contractsoverneming

Indien een andere partij de lopende contracten overneemt, dan mag de curator de persoonsgegevens die nodig zijn om de desbetreffende overeenkomsten uit te kunnen voeren, verstrekken aan de nieuwe contractspartij (op grond van art. 6 lid 1 onder b AVG). De nieuwe contractspartij wordt vervolgens de verwerkingsverantwoordelijke. Van belang is uiteraard dat de contractsoverneming rechtsgeldig plaatsvindt.

Verkoop van klantenbestand

Wanneer een curator een klantenbestand wil verkopen terwijl er geen sprake is van contractsoverneming, dan dient de curator hiervoor van de betrokkenen toestemming te verkrijgen. Er is dan geen sprake van een verenigbare verwerking, omdat er gegevens worden verstrekt aan een andere verwerkingsverantwoordelijke die de gegevens voor zijn eigen doeleinden gaat verwerken. Deze verduidelijking is voor de praktijk en voor betrokkenen van groot belang. In het verleden meenden verschillende curatoren dat het hen vrijstond klantenbestanden te verkopen gelet op hun wettelijke verplichting om een zo hoog mogelijke boedelopbrengst te behalen. Ook de AP was in 2017 nog van mening dat een klantenbestand onderdeel uitmaakte van de faillissementsboedel en daarom mocht worden verkocht. Vasthouden aan dit standpunt zou voor betrokkenen echter leiden tot een totaal verlies aan controle over hun persoonsgegevens (zie daaromtrent onder meer overweging 7 bij de AVG). Eerder werd ook geopperd dat wanneer de curator de betrokkene zou informeren en deze geen bezwaar zou maken tegen de verstrekking van zijn/haar persoonsgegevens, dit afdoende zou zijn (zwijgen = toestemming). Een dergelijke werkwijze levert echter geen rechtsgeldige toestemming op voor het verwerken van persoonsgegevens, omdat het bij toestemming moet gaan om een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting: iemand moet door middel van een verklaring of ondubbelzinnige actieve handeling toestemming geven (zie art. 4 aanhef en onder 11 AVG). Zwijgen is volgens de AVG dus geen toestemming.

Recentelijk zagen we een mooi voorbeeld van hoe het wel moet bij het faillissement van Thomas Cook. TUI was geïnteresseerd in de klantenbestanden en de curator vroeg toestemming aan de klanten om hun gegevens aan TUI te mogen overdragen.

Verkoop van computers, laptops e.d.

Wanneer de curator besluit om de inventaris van een onderneming te gaan verkopen, zoals computers en laptops, dan is het belangrijk dat er niet per ongeluk persoonsgegevens worden overgedragen. De AP raadt aan specialistische hulp in te schakelen om dit te voorkomen. Simpelweg bestanden naar de prullenmand van een computer verplaatsen helpt immers niet; de persoonsgegevens moeten onomkeerbaar worden vernietigd.

De onderneming houdt op te bestaan

Wanneer de onderneming ophoudt te bestaan, kunnen zich nog persoonsgegevens in de boedel bevinden, bijvoorbeeld als onderdeel van een klantenbestand. De curator moet inventariseren om welke persoonsgegevens het gaat en wat daarmee moet gebeuren. Veelal moeten persoonsgegevens worden vernietigd. Het kan echter ook zo zijn dat er nog bepaalde wettelijke bewaartermijnen van toepassing zijn. Het is dan de vraag wie de gegevens gaat bewaren. Als er een bewaarder is aangewezen of door de rechtbank is benoemd, dat wordt deze bewaarder de verwerkingsverantwoordelijke. Zo niet, dan blijft de curator de verwerkingsverantwoordelijke. De curator moet dan zorgen dat de persoonsgegevens op een veilige manier worden bewaard en dat ze na het verstrijken van de geldende bewaartermijn(en) worden vernietigd.

Tot slot

De verduidelijking van de toepassing van de privacyregels bij faillissementen komt helaas precies op het juiste moment. Uiteraard hoop ik dat een groot aantal faillissementen door de steunmaatregelen van de overheid kunnen worden afgewend. Als een faillissement dan toch onafwendbaar is, is het belangrijk dat curatoren, die als verwerkingsverantwoordelijken zelf beboet kunnen worden wanneer zij zich niet aan de AVG houden, weten wat wel en niet is toegestaan. Juist in deze moeilijke tijden moet hierover geen onduidelijkheid bestaan.