Wat mag de curator nog doen met persoonsgegevens in geval van faillissement?

De Autoriteit Persoonsgegevensbescherming (AP) heeft in een brief van 6 januari 2020 aan de vereniging voor insolventierecht advocaten INSOLAD gevraagd om de daarin gegeven richtlijnen aan haar leden, die als curator werkzaam zijn, kenbaar te maken.

Brief Autoriteit Persoonsgegevens

In verband met de verwerking van persoonsgegevens die zich in de boedel bevinden, kunnen de nodige vragen rijzen. Wie is bijvoorbeeld de verwerkingsverantwoordelijke, kan de curator klantenbestanden verkopen? Hoe moet worden omgegaan met de inhoud van computers wanneer die worden verkocht?

In de brief wordt antwoord gegeven op deze en andere vragen.

Samenvatting richtlijnen

Hieronder treft u puntsgewijs de belangrijkste onderdelen van deze brief aan.

• De curator is in de hoedanigheid van verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de AVG;
• Op de curator rust in dat kader een verantwoordingsplicht (artikel 5, tweede lid, AVG);
• De curator dient persoonsgegevens op basis van een rechtsgeldige grondslag in de zin van artikel 6 AVG te verwerken, beperkt tot hetgeen noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
• Voor de verwerking van bijzondere categorieën van persoonsgegevens of persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten en het burgerservicenummer gelden bijzondere voorwaarden.
• Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld, en mogen door de verwerkingsverantwoordelijke vervolgens niet op een met het verzameldoel onverenigbare wijze verder worden verwerkt (‘doelbindingsbeginsel’). Voor een (voorgenomen) verdere verwerking van persoonsgegevens voor andere doeleinden gelden specifieke regels.
• Een andere verwerkingsverantwoordelijke kan persoonsgegevens niet (verder) verwerken op basis van de grondslag van de verwerkingsverantwoordelijke die de persoonsgegevens heeft verzameld.
• De verstrekking van persoonsgegevens door de curator aan een andere verwerkingsverantwoordelijke, bijvoorbeeld in het kader van de tegeldemaking van de boedel, kan niet op basis van verenigbaarheid met de verzameldoeleinden plaatsvinden.
• In het kader van de voortzetting van (de activiteiten van) dezelfde gefailleerde rechtspersoon door de curator kan de verwerking van de reeds rechtmatig verwerkte persoonsgegevens in beginsel op basis van de oorspronkelijke rechtsgrond(en) blijven plaatsvinden.
• Indien contractoverneming rechtsgeldig plaatsvindt, met inachtneming van alle daarvoor geldende regels, dan kunnen de voor de contractoverneming noodzakelijke persoonsgegevens naar de nieuwe contractspartij overgaan. De curator kan de voor de uitvoering van de overeenkomst noodzakelijke persoonsgegevens in beginsel op basis van artikel 6, eerste lid sub b, AVG aan de nieuwe contractspartij verstrekken.
• De verkoop van persoonsgegevens kan uitsluitend plaatsvinden op basis van de voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.
• Indien een curator een inventaris te gelde wil maken, waaronder digitale gegevensdragers (e.g. in computers of laptops), dan dient de curator te waarborgen dat de inventaris geen gegevensdragers (meer) bevat of dat de persoonsgegevens op de desbetreffende gegevensdragers onomkeerbaar zijn vernietigd, voordat tot de vervreemding van de inventaris wordt overgegaan.
• Nadat een rechtspersoon door ontbinding is opgehouden te bestaan, zal moeten worden nagegaan welke persoonsgegevens in de boedel zijn achtergebleven, wat met die persoonsgegevens moet worden gedaan en wie in dat kader voor die persoonsgegevens verantwoordelijk is.

Het bovenstaande brengt met zich mee dat een curator die persoonsgegevens wil gaan verwerken, met name bij een doorstart of het te gelde maken van klantenbestanden of informatiesystemen waarop nog persoonsgegevens staan opgeslagen, de nodige horden hebben te nemen. Ook bij het voorbereiden van een doorstart of pre-pack, dient daarmee rekening te worden gehouden.

Curator en verwerkingsverantwoordelijke

De AP is van mening dat de verstrekking van persoonsgegevens door de curator aan een andere verwerkingsverantwoordelijke, bijvoorbeeld in het kader van de tegeldemaking van de boedel, niet kan plaatsvinden op basis van verenigbaarheid met de verzameldoeleinden. Indien een curator, als verwerkingsverantwoordelijke, voornemens is om in dit kader persoonsgegevens aan een andere verwerkingsverantwoordelijke te verstrekken, moet doorgaans sprake zijn van voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.20 Deze andere verwerkingsverantwoordelijke dient de verwerking van de persoonsgegevens op een eigen rechtsgeldige grondslag in de zin van artikel 6, eerste lid, AVG te kunnen baseren, zoals toestemming van of een overeenkomst met de betrokkene in de zin van artikel 6, eerste lid sub a of b, AVG.

Omstandigheden van belang in verschillende situaties

Overigens maakt het wel uit in welke situatie de curator de persoonsgegevens verwerkt.

Als we kijken naar de veel voorkomende situatie dat er sprake is van een doorstart, dan is er vaak sprake van contractoverneming met de daaraan verbonden klantenbestanden. Hierbij speelt een rol of de betrokkene bij contractoverneming in het kader van het medewerkingsvereiste daadwerkelijk is geïnformeerd en de gelegenheid heeft gekregen akkoord te gaan dan wel bezwaar te maken tegen (onderdelen van) de contract overneming en derhalve tegen de daarvoor benodigde verstrekking van zijn persoonsgegevens. Het betreft in dit kader de persoonsgegevens die voor de uitvoering van de overeenkomst noodzakelijk zijn. De curator kan de desbetreffende persoonsgegevens in die gevallen op basis van artikel 6, eerste lid sub b, AVG aan de nieuwe contractspartij verstrekken. Vanzelfsprekend dient de nieuwe contractspartij de persoonsgegevens, als verwerkingsverantwoordelijke, conform de AVG te verwerken.

Een andere veelvoorkomende situatie betreft het op zich zelfde staande verkopen van klantenbestanden. Bij de verkoop van persoonsgegevens is sprake van een verstrekking aan een andere verwerkingsverantwoordelijke. Bij een dergelijke verstrekking is geen sprake van een verenigbare verwerking in de zin van artikel 6, vierde lid, AVG. Een dergelijke verstrekking van persoonsgegevens dient te worden gebaseerd op de voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.

Bij de verkoop van inventaris, waaronder digitale gegevensdragers (bijvoorbeeld in computers of laptops), dan dient de curator te waarborgen dat de inventaris geen gegevensdragers (meer) bevat of dat de persoonsgegevens op de desbetreffende gegevensdragers onomkeerbaar zijn vernietigd, voordat tot de vervreemding van de inventaris wordt overgegaan.

Meer weten over wat er mag en wat er kan in geval van faillissement neem contact op met een van onze specialisten. Meer weten over privacyrecht neem dan contact op met onze privacyrecht specialist