Op welke wijze heeft de curator bij een faillissement te maken met de AVG?
Minke Reijneveld: “Een curator heeft in een faillissement per definitie met persoonsgegevens te maken, want zodra de curator is benoemd, krijgt hij de administratie van de failliet onder zich. Daar zitten altijd persoonsgegevens bij, denk aan personeelsgegevens en klantgegevens. De curator is tijdens faillissement de verwerkingsverantwoordelijke. Dat betekent dat hij zich moet houden aan de AVG. In het kader van het faillissement zullen verschillende partijen informatie bij hem opvragen, denk aan het UWV, de bank of schuldeisers. Die informatie heeft vaak betrekking op persoonsgegevens. En uiteraard heeft de curator met de AVG te maken als hij delen van de onderneming wil verkopen. Steeds zal hij zich moeten afvragen of daarbij persoonsgegevens zijn betrokken.”
Friederike van der Jagt: “Een curator moet zich goed realiseren dat hij direct als verwerkingsverantwoordelijke van de persoonsgegevens kwalificeert zodra hij is benoemd. Dat geldt ook wanneer de failliete ondernemer niet conform de AVG met de persoonsgegevens is omgegaan. Er zou wat dat betreft in de AVG een faillissementsexceptie voor de curator moeten komen, want vaak is er geen tijd en geld om uit te zoeken of de AVG is nageleefd. Curatoren worstelen in de praktijk met de naleving van de AVG. De huidige toepassing is onwerkbaar in de praktijk.”
Wat zijn de gevolgen voor de curator als een privacyschending wordt vastgesteld?
Reijneveld: “Bij een schending van de AVG kan de Autoriteit Persoonsgegevens (AP) onder meer een boete en/of een last onder dwangsom opleggen. De AP heeft over het naleven van de AVG bij faillissement in 2020 een brief gestuurd aan INSOLAD (de Vereniging voor Insolventierecht Advocaten) en daarin verschillende scenario’s beschreven met de privacyrechtelijke aspecten waar curatoren op moeten letten. De toekomst zal leren hoe de AP hierop gaat handhaven. De brief maakt in ieder geval wel duidelijk dat de AP hiervoor aandacht heeft, je kan het zien als een soort waarschuwing. Als een boete wordt opgelegd, dan is het denkbaar dat die ten koste gaat van de boedel. Maar dat kan anders zijn als de curator fouten heeft gemaakt bij de verkoop van de persoonsgegevens. Er is nog niet veel bekend over eventuele persoonlijke aansprakelijkheid van de curator in zo’n geval.”
“Overigens heeft de koper van een databestand niets aan de persoonsgegevens als die niet op de juiste wijze zijn verkregen”, vult Van der Jagt aan. “Ook wat dat betreft is het dus beter om de AVG goed na te leven. Verder zie je de laatste tijd dat de handhaving door de AP op het naleven van de AVG in een stroomversnelling is gekomen. Bij een overtreding worden vaker en ook hogere boetes opgelegd, ook in andere Europese lidstaten. Wat dat betreft is de brief van de AP aan de curatoren een signaal. Zij kunnen niet meer zeggen dat ze niet op hoogte zijn van de regels van de AVG in faillissement.”
Zijn er actuele ontwikkelingen over de toepassing van de AVG in faillissement?
Van der Jagt: “Bij de Raad van State ligt het voorstel voor de Verzamelwet gegevensbescherming, met ook wijzigingen voor de Faillissementswet. Het gaat bijvoorbeeld om bepalingen over het verwerken van bijzondere persoonsgegevens zoals medische gegevens, daarvoor wordt voor de curator een uitzondering gemaakt. Het wetsvoorstel stelt de curator in staat om voor de afwikkeling van de boedel eventueel ook medische gegevens te verwerken als dat noodzakelijk is. Het betekent overigens nadrukkelijk niet dat de curator die gegevens mag verhandelen.”
Reijneveld: “In augustus 2021 heeft de toetsingscommissie van INSOLAD een uitspraak gedaan en een aantal best practices geformuleerd. De commissie roept op om een gedragscode op te stellen die curatoren houvast biedt in de omgang met persoonsgegevens.”
Wat zijn veelgemaakte fouten rond faillissement en de AVG?
Van der Jagt: “Het komt regelmatig voor dat een klantenbestand wordt verkocht waarvoor niet op een adequate manier aan de klanten toestemming is gevraagd voor het verwerken van de persoonsgegevens. Ook worden persoonsgegevens vaak voor verschillende doeleinden gebruikt. De failliete ondernemer werkte dan bijvoorbeeld met een bestand met persoonsgegevens voor een loyaliteitsprogramma. Diezelfde persoonsgegevens werden gebruikt als klantgegevens en nog voor andere doeleinden. Je mag deze bestanden alleen verkopen als de betreffende personen voor al deze onderdelen expliciet toestemming hebben gegeven. Vaak wordt dat vergeten en wordt alleen in algemene zin toestemming gevraagd. Dat is onvoldoende.”
“Overigens is ook de waarde van zo’n klantenbestand vaak moeilijk te bepalen”, geeft Reijneveld aan. “Die hangt namelijk af van de toestemming die gegeven wordt. Als er weinig toestemming wordt verleend, is het bestand ook minder waard. Andere fouten die we in de praktijk vaak tegenkomen, zien op het faillissementsverslag. De curator mag dat verslag in het Centraal Insolventieregister plaatsen, waar het tot zes maanden na publicatie van de beëindiging van de insolventie beschikbaar is. Regelmatig wordt een verslag ook nog op de eigen website geplaatst, maar dat is in strijd met de AVG. Zeker als het verslag niet ook weer wordt verwijderd. Een ander punt ziet bijvoorbeeld op het bewaren van persoonsgegevens na beëindiging van het faillissement. Er moet goed worden nagedacht welke persoonsgegevens direct moeten worden vernietigd en welke nog moeten worden bewaard. Er zijn voor curatoren veel zaken om op te letten. In de cursus vertellen wij hier meer over en kunnen deelnemers ook de probleempunten waar zij in de praktijk mee worstelen, met ons en de andere deelnemers bespreken.”
Friederike van der Jagt en Minke Reijneveld verzorgen op 12 april 2022 de cursus ‘AVG en faillissement’. Meer info & inschrijven
Friederike van der Jagt is advocaat bij Hunter Legal B.V. en fellow bij het Onderzoekcentrum Onderneming & Recht van de Radboud Universiteit. Minke Reijneveld is promovenda bij het Onderzoekcentrum Onderneming & Recht en de interdisciplinary research hub on digitalization and society van de Radboud Universiteit. Dit artikel verscheen oorspronkelijk op verderdenken.nl.
