Drie vragen over de toepassing van de AVG in faillissementen

Auteur(s): Bron:

Samenvatting

De AVG is uiteraard ook van toepassing in faillissementen. Maar wat dat betekent voor de curator is niet altijd duidelijk. In het ontwerpwetsvoorstel voor de Verzamelwet gegevensbescherming wil de wetgever daaraan wat doen, nadat eerder al de toezichthouder zijn opvattingen daarover had gegeven. Aan de hand van een en ander gaat deze bijdrage in op de verwerkingsverantwoordelijkheid van de curator en de verwerkingsgrondslag waarvan hij gebruik kan maken, alsmede op de vraag in hoeverre het doelverenigbaarheidsvereiste toelaat dat de curator een klantenbestand verkoopt.

1 Inleiding

Op de eerste werkdag na de kerstvakantie vorig jaar stuurde de Autoriteit persoonsgegevens (AP)[1] een brief aan INSOLAD, de Vereniging voor Insolventierecht Advocaten, met daarin het verzoek de inhoud daarvan onder de aandacht te brengen van haar leden.[2] In de brief zette de privacytoezichthouder uiteen hoe, volgens haar, in een faillissement de regels voor de verwerking van persoonsgegevens door curatoren moeten worden uitgelegd en toegepast. Vanaf de datum van het faillissement moet de curator, zo zegt de AP in haar brief, meestal worden aangemerkt als verwerkingsverantwoordelijke, met alle daaraan verbonden consequenties. In het kader van de zgn. tegeldemaking van de boedel kan de curator, volgens de brief, een klantenbestand met persoonsgegevens, behoudens de gevallen waarin sprake is van contractsoverneming, alleen verkopen met toestemming van de betrokkenen. Dit vanwege het doelverenigbaarheidsvereiste.

De brief, die met een begeleidend nieuwsbericht ook op de website van de toezichthouder werd bekendgemaakt, riep gemengde reacties op bij de beroepsgroep. Er werd op gewezen dat de in de brief gegeven uitleg van de wettelijke kaders afweek van de eerder ingenomen standpunten van de toezichthouder. Ook werd aangetekend dat de brief voorbijgaat aan verschillende voor een faillissement relevante omstandigheden, zoals bewaartermijnen en verhaalsmogelijkheden. Verder werd de zorg uitgesproken dat de nieuwe uitleg in de praktijk zou leiden tot onwerkbare situaties.[3]

Uiteraard reageerde ook INSOLAD op de brief van de toezichthouder. De beroepsvereniging deed dat in haar inbreng voor de consultatie van het ontwerpwetsvoorstel voor de Verzamelwet gegevensbescherming.[4] In haar reactie stelde de beroepsvereniging enigszins onderkoeld vast dat de toezichthouder in zijn brief onvoldoende rekening houdt met de werkzaamheden van de curator en zijn taak onvoldoende erkent.[5] Over het ontwerpwetsvoorstel en het daarin voorgestelde nieuwe artikel 68a Faillissementswet (Fw) is de beroepsvereniging evenwel positief. Het nieuwe wetsartikel verduidelijkt dat curatoren bij de uitoefening van hun wettelijke taken persoonsgegevens mogen verwerken en in een aantal gevallen ook bijzondere gegevens. Er blijven echter vragen over wat de Algemene Verordening Gegevensbescherming (AVG) betekent in faillissement.

In deze bijdrage bespreken wij drie van deze vragen. We beginnen met een overzicht van de resultaten van een kort, niet representatief maar illustratief onderzoekje dat wij deden onder curatoren (par. 2). Vervolgens bespreken we, aan de hand van onder andere de brief van AP en het ontwerpwetsvoorstel, drie vragen over de toepassing van de verordening in faillissementen, zijnde: de vraag in hoeverre de curator kwalificeert als verwerkingsverantwoordelijke (par. 3), van welke verwerkingsgrondslag of -grondslagen er in een faillissement gebruik kan worden gemaakt (par. 4) en ten slotte wat het doelbindingsvereiste verlangt in faillissement (par. 5). We sluiten zoals gebruikelijk af met een conclusie en doen in dat verband ook enkele suggesties (par. 6).

2 De AVG en UAVG voor de faillissementspraktijk: een verkennend onderzoek(je)

Wat betekenen de AVG en de UAVG voor de faillissementspraktijk? Een snelle zoekactie in een juridische zoekmachine levert enkele tientallen uitspraken op en iets meer dan een handvol publicaties over faillissementen en de privacywet.[6] Op een enkele uitzondering na dateren die van na de inwerkingtreding van de AVG en de UAVG.[7] Onze indruk is dan ook dat de privacywetgeving in de faillissementspraktijk pas echt serieus werd genomen, toen het begon door te dringen dat de niet-naleving van de nieuwe privacyregels kon leiden tot miljoenenboetes.[8]

Om daarin meer inzicht te verkrijgen deden we begin 2020 een beperkt, niet-representatief onderzoekje onder zo’n vijfenzeventig curatoren. De uitkomsten daarvan suggereren dat curatoren inmiddels weliswaar bekend zijn met de privacywetweging,[9] maar er nog niet heel erg druk mee bezig zijn. Zo gaf slechts 13 procent aan de AVG volledig na te leven, terwijl zo’n twee-derde opportunistischer (of misschien gewoon eerlijker) was en erkende dat men dit vooral doet voor zover dit de uitvoering van de taken niet belemmert – een beeld dat we ook in de literatuur daarover wel terugzien.[10]

3 Wie is verwerkingsverantwoordelijke (art. 4 onder 7 AVG)?

De beperkte belangstelling van curatoren voor privacywetgeving kan wellicht worden verklaard doordat het niet voor iedereen zonder meer duidelijk was in hoeverre deze wetgeving überhaupt verplichtingen oplegt aan de curator. Uit de parlementaire geschiedenis bij de voorganger van de AVG, de Wet bescherming persoonsgegevens (Wbp), werd wel afgeleid dat in een faillissement níet de curator verwerkingsverantwoordelijke is, maar de failliet:[11]

‘Wanneer om redenen van vermogensrecht deze voorwerpen niet (meer) onder de beheers­macht van de verantwoordelijke vallen, bijvoorbeeld omdat zij worden vervreemd wegens faillissement, rust toch op de verantwoordelijke de plicht te zorgen voor de juiste omgang met de daarop vastgelegde gegevens. Een eventueel civielrechtelijk of strafrechtelijk beslag waarbij de beheersmacht over de materiële voorwerpen wordt opgeschort, ontslaat de verantwoordelijke niet van de verplichtingen die op hem rusten ten aanzien van de op deze voorwerpen vastgelegde persoonsgegevens’

Er is ook enige buitenlandse rechtspraak waaruit lijkt te kunnen worden opgemaakt dat de curator eerder als vertegenwoordiger van de failliete onderneming wordt opgevat, dan als zelfstandig verwerkingsverantwoordelijke. In de nasleep van het Cambridge-Analyticaschandaal en de daaropvolgende faillissementen kwam de English and Wales High Court tot het oordeel dat de liquidator ‘as a general rule’ niet kwalificeerde als data controller:[12]

‘As a general rule, a liquidator acts as a company’s agent and, unless the liquidator takes decisions about the processing of the data as a principal rather than an agent, the liquidator cannot be considered a controller.’

We weten te weinig af van de bijzonderheden van het faillissementsrecht in het Verenigd Koninkrijk om iets te zeggen over de relevantie van deze uitspraak in Nederland. Bij ons is er echter inmiddels in de literatuur, rechtspraak en parlementaire geschiedenis wel overeenstemming over dat de curator, nadat hij of zij[13] is benoemd en het beheer van de boedel op zich heeft genomen, moet worden aangemerkt als verwerkingsverantwoordelijke. In verband met de verkoop van een klantenbestand wijst Martens erop dat de curator weliswaar vrijwel altijd de toestemming van de rechter-commissaris nodig heeft, maar niettemin daarbij wel het initiatief heeft en aldus doel en middelen van de verwerking bepaalt:[14]

‘De curator verkrijgt op het moment van faillietverklaring het beheer en de beschikking over het vermogen van de failliet. Een klantenbestand is waardevol en wordt geregeld “verkocht” door curatoren. Het klantenbestand maakt daarom deel uit van het vermogen van de failliet. De curator beslist derhalve wat er met het klantenbestand gebeurt. Wanneer de curator het klantenbestand wil verkopen, zal hij vrijwel steeds de toestemming van de rechter-commissaris nodig hebben. Het initiatief ligt echter bij de curator. Met andere woorden, de curator bepaalt het doel van en de middelen voor de verwerking.’

Reijneveld en Buitelaar zijn het daarmee eens. Ook zij gaan ervan uit dat de curator heeft te gelden als verwerkingsverantwoordelijke.[15] Reijneveld maakt daarbij wel de kanttekening dat de curator alleen als verwerkingsverantwoordelijke kan worden aangemerkt, voor zover hij feitelijke en beschikkingsmacht heeft over de desbetreffende persoonsgegevens.

‘De curator is [..] vanaf de dag van het intreden van het faillissement de verwerkingsverantwoordelijke voor alle verwerkingen die hij zelf ten aanzien van de door de schuldenaar verzamelde persoonsgegevens verricht.’

In haar brief aan INSOLAD, en al eerder meer impliciet in enkele op haar website terug te vinden brieven en oordelen,[16] stelt de AP zich thans ook op het standpunt dat de curator verwerkingsverantwoordelijke wordt zodra hij is benoemd:

‘Door de faillietverklaring verliest de schuldenaar van rechtswege de beschikking en het beheer over zijn tot het faillissement behorend vermogen. Het faillissement omvat het gehele vermogen van de gefailleerde ten tijde van de faillietverklaring en hetgeen hij gedurende het faillissement verwerft. Op grond van de Faillissementswet (Fw) is de curator belast met het beheer en de vereffening van de failliete boedel. De last van beheer en vereffening impliceren feitelijke macht en zeggenschap over de boedel van de gefailleerde, mede gelet op het feit dat alleen de curator de boedel van de gefailleerde in faillissement rechtens kan binden.9 De positie van de curator(en) in faillissement gaat aldus gepaard met een (al dan niet gezamenlijke) verantwoordelijkheid ten aanzien van de persoonsgegevens in de boedel van de gefailleerde.’

Even verderop in diezelfde brief beschrijft de AP evenwel een aantal scenario’s en bij het scenario dat betrekking heeft op de ‘voortzetting van de activiteiten van dezelfde gefailleerde rechtspersoon door de curator’ maakt de toezichthouder de volgende opmerking:

‘Bij de voortzetting van de gefailleerde rechtspersoon wordt uitgegaan van de situatie waarbij persoonsgegevens in het kader van de voortgezette activiteiten feitelijk door dezelfde verwerkingsverantwoordelijke zullen worden verwerkt voor dezelfde doeleinden als de oorspronkelijke verwerkingsdoeleinden voorafgaand aan het faillissement. Er vindt feitelijk dus geen wijziging plaats in verwerkingsverantwoordelijke en de verwerkingsdoeleinden.’

Daaruit lijkt te kunnen worden opgemaakt dat de curator in deze situatie volgens de toezichthouder (nog) niet als verwerkingsverantwoordelijke wordt aangemerkt. Het is ons niet helemaal duidelijk hoe dit zich verhoudt met het eerder in de brief ingenomen standpunt, dat erop neerkomt dat de curator wél kwalificeert als verwerkingsverantwoordelijke.

Ook de wetgever gaat inmiddels ervan uit dat de curator wordt aangemerkt als verwerkingsverantwoordelijke. Dit blijkt luid en duidelijk uit de memorie van toelichting bij het ontwerpwetsvoorstel:

‘Op grond van artikel 68 Faillissementswet (Fw) is de curator belast met het beheer en de vereffening van de failliete boedel. De curator verwerkt bij de uitoefening van deze wettelijke taak vaak persoonsgegevens. […] De curator is gedurende het faillissement verwerkingsverantwoordelijke.’

Duidelijk is daarmee dat de curator, en niet de failliet, heeft te gelden als verwerkingsverantwoordelijke, zodra hij is benoemd. Daarbij moet wel worden aangetekend dat hij dat alleen kan zijn, voor zover hij ook inderdaad feitelijk heeft kunnen beschikken over de persoonsgegevens die zich in de boedel bevinden. We haalden zo even al Reijneveld aan, die daarop wijst en dit zo toelicht:

‘Zolang de curator de gegevens niet kan inzien, is de curator geen verwerkingsverantwoordelijke. Hij kan namelijk niet het doel en de middelen van een eventuele verwerking bepalen en ook niet op een of andere manier de gegevens inzien. Zo is het denkbaar dat een bestuurder van de failliete rechtspersoon gegevens achterhoudt. In dat geval is het onmogelijk voor de curator om gegevens in te zien en te verwerken. Aangezien hij in dat geval niet het doel en de middelen van een – eventueel door de schuldenaar verrichte – verwerking bepaalt, is de curator niet aan te merken als een verwerkingsverantwoordelijke.’

Onbelangrijk is dit niet. De praktijk wijst uit dat de curator in veel gevallen pas na enige tijd een goed beeld kan hebben van de persoonsgegevens in de organisatie van de failliet. Uiteraard doet de curator er goed aan om, onder andere ter uitvoering van de bewaringsplicht van artikel 92 Fw,[17] na zijn benoeming zo snel mogelijk over te gaan tot een inventarisatie van de gegevensdragers die zich in de boedel bevinden. Maar daarbij is hij afhankelijk van de voortvarendheid waarmee het bestuur van de gefailleerde daaraan medewerking verleent. De praktijk wijst uit dat de curator in voorkomende gevallen ervoor kan kiezen – sterker nog: ervoor moet kiezen – ook rekening te houden met andere, niet minder gewichtige belangen. In een zorginstelling bijvoorbeeld wordt uiteraard van de curator verwacht dat hij prioriteit geeft aan de voortzetting van de zorgverlening, de behandeling van patiënten en het mogelijk maken dat spoedeisende hulp wordt verleend.

Zelfs in het scenario waarin de curator als allereerste actiepunt zou overgaan tot het, met behulp van extern in te huren gespecialiseerde deskundigheid inventariseren van de gegevensdragers, dan nog is daarmee niet gezegd dat hij daarmee meteen een volledig en feitelijk juist beeld kan verkrijgen van de gegevensverwerkingen in de organisatie van de failliet. Zeker waar het gaat om gegevensdragers die betrekkelijk eenvoudig kunnen worden verwijderd, kan niet worden uitgesloten dat de curator daarvan geen weet heeft. En, voor zover er persoonsgegevens staan op deze gegevensdragers, kan hij daarvoor niet zonder meer worden aangemerkt als verwerkingsverantwoordelijke. Daarbij moet, we zeiden het zo-even al, worden bedacht dat de curator niet vanzelfsprekend kan rekenen op de medewerking van de failliet of medewerkers in diens organisatie. Op grond van artikel 105a, tweede lid, Fw is de failliet weliswaar verplicht terstond ‘de administratie en al wat daartoe behoort’ over te dragen aan de curator. Echter, in de praktijk blijkt dat dat dit bepaald niet altijd gebeurt, onder andere omdat het de failliet niet duidelijk is wat tot die administratie behoort en toch ook omdat de failliet in voorkomende gevallen er belang bij kan hebben om delen van de administratie niet over te dragen. In de rechtspraak vinden we verschillende voorbeelden daarvan.[18]

Wie er in het faillissement heeft te gelden als verwerkingsverantwoordelijke zal om deze redenen van geval tot geval, aan de hand van de feitelijke situatie, moeten worden bepaald. De curator kan alleen verwerkingsverantwoordelijk zijn voor zover hij feitelijk kan beschikken over de gegevens. Voor zover hij dat niet kan, moet ervan worden uitgegaan dat de verwerkingsverantwoordelijkheid ligt bij de failliet, althans bij degene die wél over deze gegevens kan beschikken. Het is misschien een open deur, maar we trappen die hier toch maar in. Al was het maar omdat de brief van AP en het ontwerpwetsvoorstel wat dat betreft aanleiding kunnen geven tot misverstanden.

4 Welke verwerkingsgrondslag (art. 6 lid 1 AVG)?

Een van de vragen die we in ons onderzoekje aan curatoren hadden voorgelegd was de vraag van welke verwerkingsgrondslag er door hen gebruikt werd gemaakt. In antwoord daarop noemde ongeveer een vijfde van de curatoren ‘het boedelbelang’, een grondslag die we in de AVG niet terugvinden, al zou die wellicht kunnen worden gebracht onder de verwerkingsgrondslag van gerechtvaardigd belang (art. 6 lid 1 onder f AVG).

In de literatuur lopen de meningen uiteen over de door de curator te gebruiken verwerkingsgrondslagen. Martens komt na een bespreking van de verschillende grondslagen uit op het gerechtvaardigd belang.[19] Verstijlen houdt het erop dat de curator voor verschillende van de hem opgedragen taken gebruik zal maken van de grondslag van de wettelijke plicht (art. 6 lid 1 onder c AVG), waarbij hij er wel op wijst dat die grondslag niet voor alle verwerkingen in een faillissement toereikend is, zoals waar het gaat om de verkoop van een klantenbestand.[20] Reijneveld gaat ervan uit dat de curator voor verschillende verwerkingen gebruik kan maken van ofwel de grondslag van de wettelijke plicht ofwel die van de taak van algemeen belang (art. 6 lid 1 onder c en e AVG).[21] Buitelaar lijkt dat te onderschrijven, maar wijst wel op de beperkingen van de beide grondslagen.[22]

Uit haar brief wordt niet goed duidelijk waar AP staat in deze discussie. AP volstaat met de opmerking dat persoonsgegevens alleen door de curator mogen worden verwerkt indien en voor zover de verwerking is gebaseerd op een rechtsgeldige grondslag. Alleen voor twee specifieke gevallen geeft zij aan welke grondslag dat dan volgens haar moet zijn.[23] In geval van contractsoverneming, meent de toezichthouder dat de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is (art. 6 lid 1 lid onder b AVG). En waar het gaat om de verkoop van een klantenbestand vindt AP dat de verwerkingsgrondslag alleen maar de toestemming van de betrokkene kan zijn (art. 6 lid 1 onder a AVG). Interessant is dat de toezichthouder eerder, in elk geval tot december 2017, op zijn website de mededeling deed dat de gegevensverwerking in het kader van de verkoop van klantengegevens kon worden gebaseerd op de grondslag van de wettelijke plicht:[24]

‘Is een bedrijf failliet, dan stelt de rechter een curator aan om de overgebleven bezittingen van het bedrijf te verkopen. En vervolgens uit de boedelopbrengst zoveel mogelijk schulden af te lossen. Dit is een wettelijke verplichting. Het klantenbestand van een bedrijf maakt deel uit van de faillissementsboedel. Klantgegevens mogen dus worden verkocht.’

De toezichthouder nam daarmee ook afstand van een veel eerder, in 2001, door hem ingenomen standpunt dat erop neerkwam dat de verkoop van een klantenbestand niet ingevolge een wettelijk voorschrift was vereist en dus niet daarop kon worden gebaseerd.[25] Zo’n zes jaar daarna, in april 2007, had de toezichthouder wel al eens gezegd dat de openbaarmaking van zgn. crediteurlijsten op internet kan worden gebaseerd op de verwerkingsgrondslag van het gerechtvaardigd belang, wellicht omdat de wettelijke plicht van artikel 114 Fw alleen betrekking had op de terinzagelegging voor een ieder van dergelijke lijsten bij de griffie van de rechtbank.[26]

Het is, gelet op dit wat onduidelijke beeld van de in faillissement te gebruiken verwerkingsgrondslagen, nuttig om de onderscheiden grondslagen langs te lopen. We beginnen met die van de wettelijke plicht.

Wettelijke plicht (art. 6 lid 1 onder c AVG)
Een groot deel van de door ons bevraagde curatoren wees erop dat de door hen in het kader van een faillissement verrichte gegevensverwerkingen nodig zijn om te voldoen aan een wettelijke verplichting, zijnde artikel 68 Faillissementswet (Fw). Deze verwerkingen konden derhalve, was hun standpunt, worden gebaseerd op de grondslag van de wettelijke verplichting (art. 6 lid 1 onder c AVG). Onbegrijpelijk is dat niet. We wezen er al op dat AP dat tot voor kort zelf stelde waar het ging om de verkoop van de persoonsgegevens in een klantenbestand.[27]

Er zijn echter wel – terechte – twijfels daarover. In zijn Advies 06/2014 over het gerechtvaardigd belang geeft de Artikel 29-werkgroep een toelichting op de verwerkingsgrondslag van de wettelijke verplichting. Om een gegevensverwerking daarop te kunnen baseren mag de verwerkingsverantwoordelijke volgens de werkgroep ‘geen keuze hebben om wel of niet te voldoen aan de verplichting’. Ook merkt de werkgroep op dat de desbetreffende wettelijke verplichting verder ‘voldoende duidelijk [moet] zijn wat de vereiste verwerking van persoonsgegevens betreft’.[28] We zien dit terug in de preambule bij de AVG. Over de wettelijke verplichting als verwerkingsgrondslag (art. 6 lid 1 onder c AVG) zegt de uniewetgever in overweging 41 dat:

‘[d]eze rechtsgrond of wetgevingsmaatregel […] evenwel duidelijk en nauwkeurig [moet] zijn, en [dat] de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie (“Hof van Justitie”) en het Europees Hof voor de Rechten van de Mens.’

Het is echter ook weer niet zo dat in de wettelijke verplichting uitdrukkelijk moet zijn bepaald dat er persoonsgegevens worden verwerkt. Er kan ook van deze verwerkingsgrondslag gebruik worden gemaakt als er sprake is van een wettelijke zorgplicht die in een bepaald geval vereist dat de gegevens worden verwerkt. Dit blijkt uit onder andere uit de parlementaire geschiedenis van de UAVG:[29]

‘Deze wettelijke verplichting behoeft niet noodzakelijkerwijs te bestaan uit een expliciete verplichting om (bepaalde) persoonsgegevens te verwerken. Het komt namelijk ook voor dat de verwerking van persoonsgegevens een basis vindt in een ruimer geformuleerde zorgplicht of wettelijke verplichting. In dat geval heeft de verwerkingsverantwoordelijke een grotere eigen verantwoordelijkheid inzake het beoordelen van de noodzakelijkheid van de verwerking in het licht van het voldoen aan de wettelijke verplichting. Zonder verwerking van de gegevens moet het uitvoeren van een wettelijke verplichting redelijkerwijs niet goed mogelijk zijn.’

Een interessante toepassing daarvan zien we in een uitvoerig gemotiveerd en alleen al daarom lezenswaardig arrest van het gerechtshof ’s-Hertogenbosch van 6 augustus 2020. Het hof oordeelde daarin, in afwijking van wat AP daarover eerder had gesteld,[30] dat banken die persoonsgegevens verwerken in het kader van een kredietregistratiesysteem dat doen ter naleving van de wettelijke verplichtingen die voortvloeien uit artikel 4:32, eerste lid, en 4:34 van de Wet financieel toezicht.[31]

Wat betekent dit in een faillissement? In artikel 68, eerste lid, Fw staat dat de curator belast is met het beheer en de vereffening van de failliete boedel. In artikel 175, eerste lid, Fw staat dat de curator de baten van de boedel te gelde moet maken, met in artikel 137c, eerste lid, Fw een vergelijkbare bepaling voor de zogeheten vereenvoudigde afwikkeling. De verschillende bepalingen maken mogelijk dat de curator overgaat tot de verkoop van activa. Doorgaans is dat ook wat hij in het kader van het beheer en de vereffening van de boedel doet, maar in hoeverre en op welke wijze hij dat vormgeeft hangt, zoals altijd, af van de omstandigheden van het geval. Uiteindelijk zal de curator proberen om een zo hoog mogelijke opbrengst te realiseren ter verdeling onder de gezamenlijke crediteuren. En in dat verband kan hij ook ervoor kiezen om het klantenbestand niet te verkopen.[32] En hoewel het zo even genoemde arrest van het gerechtshof ’s-Hertogenbosch wel enige ruimte lijkt te laten om uit betrekkelijk algemeen geformuleerde bepalingen toch een wettelijke verplichting in de zin van artikel 6, eerste lid, onderdeel c, AVG af te leiden, blijft het de vraag of dat ook kan worden gezegd over de verschillende verplichtingen uit de Faillisementswet. De vraag is of deze wettelijke verplichtingen voldoende duidelijk, nauwkeurig en voorspelbaar zijn wat betreft de verwerking van persoonsgegevens. En ook of de verschillende in deze bepalingen genoemde taken, zoals de werkgroep het zei, de curator inderdaad geen keuze laten om wel of niet daaraan te voldoen.[33]

De vraag stellen is hem beantwoorden. Ook als we in aanmerking nemen dat de wetgever niet verlangt dat in de desbetreffende wettelijke verplichting met zoveel woorden staat dat er persoonsgegevens moeten worden verwerkt, dan nog is het niet heel aannemelijk dat de verschillende bepalingen uit de Faillissementswet, zoals artikel 68 en 175 of 137c Fw, voldoen aan de vereisten die worden gesteld aan de verwerkingsgrondslag van de wettelijke verplichting. In elk geval doet dat geen recht aan de rol die de curator speelt bij het beheer en de vereffening van de boedel. De curator moet daarin allerlei keuzes maken en kan, afhankelijk van de omstandigheden, in voorkomend geval ervoor kiezen om bijvoorbeeld een klantenbestand niet over te dragen, of niet volledig of alleen onder door hem te stellen voorwaarden. En dat maakt dat de in deze bepalingen vastgelegde verplichtingen, wat betreft de verwerking van persoonsgegevens, wat ons betreft toch onvoldoende duidelijk, nauwkeurig en voorspelbaar zijn.

Wél lijken de bepalingen van de artikelen 92 respectievelijk 14 in samenhang met 99 Fw, waarin een regeling is getroffen voor bewaring van bescheiden en andere gegevensdragers respectievelijk de last tot het openen van aan de gefailleerde gerichte brieven en telegrammen, voldoende duidelijk te zijn om te kunnen worden aangemerkt als wettelijke verplichting in de zin van artikel 6, eerste lid, onderdeel c, AVG. Voor zover de curator gegevens verwerkt ter voldoening aan deze wettelijke verplichtingen, kan hij zich baseren op deze verwerkingsgrondslag.

Het gerechtvaardigd belang (art. 6 lid 1 onder f AVG)
De verwerkingsgrondslag die in ons onderzoekje door de meeste curatoren wordt genoemd, hoewel soms enigszins impliciet, die van het gerechtvaardigd belang (art. 6 lid 1 onder f AVG). We bespraken al dat Martens en AP ook deze grondslag noemden.[34]

Deze verwerkingsgrondslag verlangt een driestappentoets: de curator moet kunnen duidelijk maken (i) dat er sprake is van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of anderen, (ii) dat de verwerking noodzakelijk is voor de behartiging van dat gerechtvaardigd belang, en ten slotte (iii) dat de belangen van de betrokkenen niet onevenredig worden geraakt door de gegevensverwerking.

Over het eerste element, of een belang kwalificeert als gerechtvaardigd belang is enige discussie ontstaan, nadat AP in november vorig jaar kwam met een nieuwe normuitleg daarover.[35] Inmiddels heeft de rechter zich daarover uitgesproken.[36] Onduidelijk is echter of deze discussie daarmee is beslist.[37] Niettemin komt het ons voor dat het boedelbelang of het belang van schuldeisers, en in voorkomend geval de belangen van werknemers bij een doorstart of van klanten bij de voortzetting van de dienstverlening, in veel gevallen kunnen worden aangemerkt als zo’n gerechtvaardigd belang. Vervolgens komt het er dan op aan of desbetreffende gegevensverwerkingen die de verkoop van de onderneming of overdracht van een klantenbestand nodig zijn voor de behartiging van die gerechtvaardigde belangen. Ten slotte moet worden afgewogen of de privacybelangen van betrokkenen (klanten, werknemers) worden afgewogen tegen andere belangen (schuldeisers, maar mogelijk ook werknemers, etc.). In het kader van die afweging kan het helpen dat de betrokkenen, zoals de klanten op wie de in het klantenbestand opgenomen persoonsgegevens betrekking hebben, actief een opt-out wordt aangeboden.

Al met al lijkt de verwerkingsgrondslag van het gerechtvaardigd belang bruikbaar voor de curator voor verschillende verwerkingen waarvoor geen gebruik kan worden gemaakt van andere grondslagen, zoals die van de zo-even besproken wettelijke plicht (art. 6 lid 1 onder c AVG) en die van de hieronder te bespreken taak van algemeen belang (art. 6 lid 1 onder e AVG).

Taak van algemeen belang (art. 6 lid 1 onder e AVG)
Een andere verwerkingsgrondslag waarvan de curator gebruik kan maken is die van de taak van algemeen belang, ook wel aangeduid als de publiekrechtelijke of publieke taak (art. 6 lid 1 onder e AVG). Van deze grondslag wordt vooral gebruikgemaakt door overheden en publiekrechtelijke organisaties en dat is misschien de reden waarom deze bij faillissementen niet werd genoemd. Althans, tot voor kort. Want in het ontwerpwetsvoorstel voor de Verzamelwet gegevensbescherming maakt de wetgever, eigenlijk zonder daar echt op in te gaan, duidelijk dat veel van de door de curator te verrichten verwerkingen nodig zijn om te voldoen aan de in artikel 68 Fw genoemde taak van de curator – d.w.z. het beheer en de vereffening van de failliete boedel. Daarvan is ook sprake, zo blijkt uit de memorie van toelichting bij het ontwerpwetsvoorstel, waar het gaat om de overdracht van medische dossiers, in de situatie waarin een ziekenhuis failliet is gegaan.[38] Een en ander impliceert dan dat de verwerkingsgrondslag voor deze verwerkingen kan worden gevonden in de taak van algemeen belang, als bedoeld in artikel 6, eerste lid, onderdeel e, AVG.

Het is de vraag is of deze verwerkingsgrondslag op dit moment toereikend is. Weliswaar vereist artikel 6, derde lid, AVG alleen dat het doel van de verwerking blijkt uit de desbetreffende wettelijke bepaling waarop de taak van algemeen belang is gebaseerd. En dus niet dat in deze bepaling specifiek wordt ingegaan op de daarvoor vereiste gegevensverwerkingen. Echter, zoals ook de parlementaire geschiedenis met zoveel woorden aangeeft, met de wettelijke grondslag voor de taak van algemeen is nog niet de wettelijke grondslag voor de gegevensverwerking gegeven. Het gaat erom, zo blijkt uit de rechtspraak over artikel 8 EVRM, dat het voor de betrokkene duidelijk is dat zijn persoonsgegevens voor de desbetreffende taak van algemeen belang kunnen worden verwerkt. Er moet derhalve sprake zijn van een, wat dat betreft voldoende precieze wettelijke grondslag.[39] En wat dat betreft is het maar de vraag of artikel 68, eerste lid Fw op dit moment als zodanig kan worden opgevat.

Om deze reden ligt het voor de hand de regeling in Faillissementswet nader in te vullen, zoals gesuggereerd door artikel 6, derde lid, AVG en overweging 45 van de preambule bij de verordening. Dit beoogt het door het ontwerpwetsvoorstel geïntroduceerde nieuwe artikel 68a Fw te doen. In het eerste lid daarvan staat dat de curator persoonsgegevens (incl. BSN) kan verwerken voor zover dat noodzakelijk is voor het beheer en de vereffening van de boedel, bedoeld in artikel 68. En in het tweede lid van het voorgestelde nieuwe artikel wordt vervolgens een niet uitputtende opsomming gegeven van de gegevensverwerkingen die noodzakelijk zijn om uitvoering te geven aan deze taak van de curator. Het gaat dan onder andere om het onderzoek naar eventuele onregelmatigheden, het opstellen van faillissementsverslagen, informatieverstrekking aan de schuldeiserscommissie, de bewaring van bescheiden en gegevensdragers en zo nodig het gebruik daarvan, etc.

5 Hoe zit het met de doelverenigbaarheid (art. 5 lid 1 onder b, resp. art. 6, lid 4 AVG)?

Een onderneming verzamelt en verwerkt persoonsgegevens voor allerlei doeleinden die verbandhouden met haar bedrijfsvoering. Op grond van artikel 5, eerste lid, onderdeel b, AVG, moeten deze doeleinden welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn. Vervolgens mogen deze gegevens niet verder worden verwerkt op een met die doeleinden onverenigbare wijze. Of er sprake is van een niet onverenigbare verwerking kan worden bepaald aan de hand van de criteria die worden gegeven door artikel 6, vierde lid, onderdelen a t/m d, AVG.

Het gaat er dan om dat wordt beoordeeld wat het verband is tussen enerzijds het verzameldoel en anderzijds het verdere verwerkingsdoel. Als een en ander in elkaars verlengde ligt, duidt dat erop dat de verdere verwerking wél verenigbaar is (art. 6 lid 4 onder a AVG).

Een ander criterium betreft het kader waarin de persoonsgegevens zijn verzameld, meer in het bijzonder wat de verhouding is tussen de betrokkenen en de verwerkingsverantwoordelijke. Er komt daarbij vooral betekenis toe aan de redelijke verwachtingen van deze betrokkenen met betrekking tot de verwerking van hun persoonsgegevens (art. 6 lid 4 onder b AVG).[40]

Weer een ander criterium heeft betrekking op de aard van de persoonsgegevens, en dan vooral of het gaat om bijzondere of strafrechtelijke persoonsgegevens of persoonsgegevens (resp. art. 9 en 10 AVG): als er geen sprake is van dergelijke gegevens ligt doelverenigbaarheid meer voor de hand dan als daarvan wel sprake is (art. 6 lid 4 onder c AVG).

Enigszins verwant daaraan is het criterium dat ziet op de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen: als die gevolgen gering zijn, duidt dat op doelverenigbaarheid; als de gevolgen ingrijpend zijn niet (art. 6 lid 4 onder d AVG).

Het laatste criterium betreft de waarborgen waarin is voorzien om de rechten en vrijheden van de betrokkenen te beschermen: naarmate er is voorzien in meer waarborgen ligt doelverenigbaarheid meer voor de hand (art. 6 lid 4 onder e, AVG).

In de literatuur wordt het doelverenigbaarheidsvereiste vooral besproken waar het gaat om een doorstart en de verkoop van een klantenbestand door de curator. Reijneveld en Martens wijzen erop dat het gemakkelijker is om te voldoen aan het vereiste in de situatie waarin sprake is van een doorstart van de failliete onderneming.[41] Onder verwijzing naar rechtspraak bespreekt Buitelaar verschillende situaties waarin er wel of niet van kan worden uitgegaan van doelverenigbaarheid.[42]

In haar brief besteedt AP enige aandacht aan de doelverenigbaarheid. De toezichthouder doet dat aan de hand van enkele voor de faillissementspraktijk typische scenario’s en noemt de in artikel 6, vierde lid, AVG opgenomen criteria voor de beoordeling van de doelverenigbaarheid. Helaas geeft de toezichthouder geen inzicht in de wijze waarop ze criteria vervolgens toepast. Voor het scenario waarin de curator een klantenbestand verkoopt, volstaat de toezichthouder met het standpunt dat er geen sprake is van een verenigbare verwerking. En dat betekent vervolgens dat deze verstrekking alleen kan voor zover de betrokkenen daarvoor toestemming hebben gegeven, tenzij er sprake is van contractsoverneming. In veel gevallen impliceert dit dat het klantenbestand niet kan worden verkocht. Dit omdat een succesvolle doorstart vereist dat er voortvarend wordt gehandeld, wat zich niet goed verhoudt met het vragen en verkrijgen van vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming (art. 7 r.o. 32, 42-43 AVG). Anders dan AP in haar brief lijkt te veronderstellen wordt in een faillissement weinig gebruikgemaakt van de mogelijkheid van contractsoverneming. Dit omdat de koper zich gewoonlijk niet kan veroorloven om te worden geconfronteerd met voor hem onbekende en veelal onverzekerbare aansprakelijkheidsrisico’s.[43]

Het is jammer dat AP in haar brief niet uitlegt op grond van welke overwegingen ze is gekomen tot haar standpunten. Het is immers niet ongebruikelijk – we kunnen wel zeggen een standaardpraktijk – dat de curator in een faillissement het klantenbestand verkoopt op basis van een opt-out, dat wil zeggen nadat hij de betrokkenen de gelegenheid heeft geboden om hun gegevens uit het te verkopen klantenbestand te verwijderen.[44] Omdat het standpunt van AP nogal wat betekent voor de faillissementspraktijk is het wenselijk dat wordt opgehelderd wat de overwegingen zijn om af te wijken van wat op dit moment gebruikelijk is. Dit temeer omdat de memorie van toelichting bij het ontwerpwetsvoorstel de desbetreffende passage uit de brief van de toezichthouder parafraseert, zonder aan te geven waarop deze is gebaseerd en zonder in te gaan op de vergaande gevolgen daarvan voor de praktijk.[45]

Wij denken, en wij voelen ons daarin gesteund door verschillende auteurs[46] en de rechtspraak, [47] dat een toets aan de hand van de criteria van artikel 6, vierde lid, AVG, in voorkomende gevallen wel degelijk ruimte laat voor de verkoop van een klantenbestand in het kader van de afwikkeling van een faillissement. Als wij deze criteria aflopen, levert dat het volgende meer genuanceerde en daardoor beter bij de praktijk aansluitend beeld op:

De verkoop van een klantenbestand aan een branchegenoot die de klantgegevens gaat gebruiken voor dezelfde dienstverlening, zal eerder kunnen worden aangemerkt als doelverenigbaar dan de verkoop aan een branchevreemde organisatie. Op basis hiervan zal de curator het klantenbestand van een reisbureau eerder kunnen verkopen aan een ander reisbureau dan aan een marktonderzoekbureau.[48]

Voor de verhouding tussen verwerkingsverantwoordelijke en de betrokkenen, en hun verwachtingen, zal veel kunnen afhangen van de mededelingen die de verwerkingsverantwoordelijke heeft gedaan aan de betrokkenen. Zo komt het wel voor dat beginnende, innovatieve ondernemingen (zgn. ‘start-ups’ of ‘scale-ups’) de klanten erop wijzen dat hun gegevens kunnen worden overgedragen als dat nodig is voor de verdere ontwikkeling van de onderneming of in het kader van een fusie of herstructurering. In dat geval zal doelverenigbaarheid meer voor de hand liggen.[49]

Als het gaat om persoonsgegevens met een gevoelig karakter, zoals gegevens over de schuldenpositie of betalingsachterstanden, zal de doorverkoop niet of minder snel de toets doorstaan. En ook de doorverkoop van bijzondere gegevens of strafrechtelijke gegevens of gegevens van strafrechtelijke aard (resp. art. 9 lid 1, art. 10 AVG en art. 1 UAVG) zal niet snel doelverenigbaar zijn – als die doorverkoop al niet in strijd zou zijn met het verwerkingsverbod dat voor dergelijke gegevens geldt. Als het gaat om minder gevoelige gegevens zoals adresbestanden zal doelverenigbaarheid in voorkomend geval wel kunnen worden aangenomen.

In het verlengde van de gevoeligheid van de gegevens liggen de gevolgen of risico’s van de verkoop van de gegevens. De verkoop van adresgegevens kan ertoe leiden dat de betrokkenen een brochure krijgt toegestuurd met aanbiedingen voor een vakantiereis. En dat zal eerder kunnen worden gekwalificeerd als doelverenigbaar dan de verkoop van financiële gegevens, op grond waarvan de betrokkene mogelijk niet in aanmerking komt voor een hypotheek of persoonlijk krediet.

In alle gevallen zal veel betekenis toekomen aan de waarborgen waarin de curator kan voorzien als hij ertoe overgaat de klantgegevens te verkopen. Voor de hand ligt dat in de verkoopovereenkomst wordt vastgelegd dat de koper, behoudens later door hem nog te verkrijgen toestemming van de betrokkenen, de gegevens alleen mag gebruiken voor verenigbare doeleinden, en mogelijk dat dan alleen gedurende een bepaalde periode (zeg: twee jaar na de verkoopdatum). Een andere voor de hand liggende waarborg betreft het aanbieden van een opt-out. Voorafgaand aan de verkoop worden de betrokkenen erop gewezen dat zij hun gegevens uit het bestand kunnen laten verwijderen, en dat dan op gemakkelijke wijze bijvoorbeeld via een afmeld-link.[50]

Veel zal afhangen van de omstandigheden van het geval. Echter, alles overziend komt het ons voor dat het niet op voorhand is uitgesloten dat de curator het klantenbestand van de failliet verkoopt en daarbij voldoet aan wat de AVG van hem verlangt. We zien dat onder andere bevestigd in het beleid dat in Duitsland, meer in het bijzonder in Beieren, door de privacytoezichthouder is ontwikkeld.[51]

6 Conclusies en enkele suggesties

Inmiddels is wel duidelijk dat de curator, nadat hij als zodanig is benoemd, kwalificeert als verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens die zich in de boedel bevinden. Van belang is wel dat deze verwerkingsverantwoordelijkheid alleen betrekking kan hebben op de gegevensverwerkingen waarover hij feitelijk kan beschikken. Wij zijn ons ervan bewust dat we daarmee misschien een open deur intrappen. Echter, zowel uit de brief van AP als uit het ontwerpwetsvoorstel zou iets anders kunnen worden opgemaakt. En daarom komt het ons toch goed voor om daarop te wijzen.

In haar brief gaat AP maar in beperkte mate in op de verwerkingsgrondslag waarvan de curator gebruik kan maken voor de verwerking van persoonsgegevens in het kader van zijn werkzaamheden. De memorie van toelichting bij het ontwerpwetsvoorstel maakt duidelijk dat de curator gebruik kan maken van de grondslag van de taak van algemeen belang voor de werkzaamheden waarbij hij een eigen beslisruimte heeft, zoals bij het onderzoek naar onregelmatigheden en de verkoop van klantenbestanden. Voor enkele van zijn taken, zoals de bewaring van bescheiden en andere gegevensdragers en de uitvoering van de last tot het openen van aan de gefailleerde gerichte brieven en telegrammen, ligt de verwerkingsgrondslag van de wettelijke plicht meer in de rede. Het komt nuttig voor dat dit wordt opgehelderd in de parlementaire stukken bij het wetsvoorstel dat naar de Tweede Kamer wordt gestuurd.

Ten slotte, last but not least, over de doelverenigbaarheid wordt in de brief van AP en in de toelichting bij het ontwerpwetsvoorstel een standpunt ingenomen dat impliceert dat de curator het klantenbestand nagenoeg nooit meer kan verkopen. Omdat de verkoop van een klantenbestand in de faillissementspraktijk niet ongebruikelijk is en nogal eens het enige van waarde – zgn. onbelaste actief – in de boedel blijkt te zijn, ligt in de rede dat ten minste wordt opgehelderd op grond van welke overwegingen dat niet meer mogelijk zou zijn, alsmede wat de gevolgen daarvan zijn voor schuldeisers.

* Gerrit-Jan Zwenne is hoogleraar recht en de informatiemaatschappij te Leiden en advocaat te Den Haag, alsmede hoofddocent in de VPR-A Specialisatieopleiding Privacy en gegevensbeschermingsrecht. Joachim van Vlijmen is advocaat te Den Haag met meer dan 20 jaar ervaring als curator; hij adviseert curatoren over toepassing van de AVG.

7 Eindnoten

1. Voor de aanduiding van de toezichthouder sluiten wij aan bij de spellingswijze waarvan gebruik wordt gemaakt in de Uitvoeringswet AVG (Stb. 2018, 144). Dit impliceert dat we de toezichthouder aanduiden met een hoofdletter en een kleine letter: Autoriteit persoonsgegevens, afgekort AP.

2. AP brief d.d. 6 januari 2020, kenm. z2019-12871.

3. L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 43; J.B.A. Jansen & H. Hommes, ‘De administratie in het faillissement en de AVG’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 5, p. 27-30; I. Chu Chao, ‘Overdracht van persoonsgegevens in faillissement: staat de AVG in de weg’, privacy-web.nl, 22 april 2020.

4. Ontwerpwetsvoorstel Verzamelwet gegevensbescherming, internetconsultatie.nl, 20 mei 2020. 

5. Brief INSOLAD d.d. 10 juli 2020 inzake Consultatie Verzamelwet Gegevensbescherming, internetconsultatie.nl.

6. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, afl. 2, p. 43 e.v.; F.M.J. Verstijlen, ‘De curator en de AVG’, TvI 2018/50, afl. 7, p. 321 e.v.; M.D. Reijneveld, ‘De faillissementscurator en persoonsgegevens’, AA 20190614, p. 617 e.v.; M.D. Reijneveld, ‘De AVG is een prima wet, maar in een faillissement werkt het niet – Interview met MC Slotervaart-curator Marlous de Groot’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk, p. 31 e.v.; E.J. Oppedijk van Veen & V.G.M. Leferink, ‘Curator, vertel eens … Over de inhoud van het faillissementsverslag’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk, p. 35 e.v.; W. Weijland, ‘Uitbreiding van het Centraal Insolventieregister en de AVG’, FIP 2020, afl. 6, p. 49 e.v. alsmede de publicaties in voetnoot 3.

7. W. van den Bout, ‘Houdt de curator zich aan de privacyregels?’, Insolad Jaarboek 2013, p. 187 e.v.

8. Zie art. 83 lid 4-5 AVG: niet-naleving van bepalingen uit de AVG kan, afhankelijk van de overtreden bepalingen, leiden tot bestuurlijke boetes van 10 miljoen resp. 20 miljoen euro of, voor een onderneming, tot 2 resp. 4 procent van de wereldwijde jaaromzet in het voorafgaande boekjaar.

9. In deze bijdrage gebruiken we de term ‘privacywetgeving’ als algemene aanduiding van de AVG, de UAVG en de voorganger, de Wet bescherming persoonsgegevens (Wbp). We sluiten daarmee dus aan bij het dagelijks taalgebruik en gaan voorbij aan het naar ons idee soms nogal wijsneuzerige onderscheid tussen ‘privacy’ en ‘gegevensbescherming’.

10. Zie ook M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 43.

11. Kamerstukken II 1997/98, 25892, nr. 3, p. 60-61; daarover F.M.J. Verstijlen, ‘De curator en de AVG’, TvI 2018/50, p. 321-322.

12. [2019] EWHC 954 (Ch) (Green/Group Ltd & Others); zie ook: [2013] EWHC 2485 (Ch) (Southern Pacific Personal Loans Ltd); daarover M. Evans e.a., ‘Selling and utilising personal data in an insolvency situation’, Data Protection ReportJune 1, 2020.

13. In het vervolg van deze bijdrage gebruiken we, evenals de wetgever, het mannelijke persoonlijk voornaamwoord om de curator aan te duiden.

14. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 45.

15. M. Reijneveld, ‘De faillissementscurator en persoonsgegevens’, AA 20190614, p. 618; L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 44; zie ook J.B.A. Jansen & H. Hommes, ‘De administratie in het faillissement en de AVG’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk. 2020, afl. 5, p. 27-28.

16. Cbp brief 13 november 2001, kenm. z2001-1242; Cbp brief 15 juni 2007, kenm. z2006-01462

17. Art. 92 Fw beoogt te voorkomen dat de schuldenaar goederen aan de boedel onttrekt of de administratie verandert. Zie Kamerstukken II 2014/15, 34253, nr. 3, p. 92. Een nog onbeantwoorde vraag is of het artikel ook beoogt privacybelangen van betrokkenen te waarborgen.

18. Zie bijv. Rb. Oost-Brabant 13 februari 2015, ECLI:NL:RBOBR:2015:763; Hof Den Haag 11 maart 2014, ECLI:NL:GHDHA:2014:2206, JOR 2014/218; Hof ’s-Hertogenbosch 26 maart 2013, ECLI:NL:GHSHE:2013:BZ5770, JOR 2013/192; of ’s-Hertogenbosch 2 november 2010, ECLI:NL:GHSHE:2010:BO3226, JOR 2012/54; alsmede F.B. Bosvelt & A.R. van Oijen, ‘Cloud computing in faillissement en surseance: Beter één administratie in de hand dan tien in de lucht?’, TvI 2013/39 en B. Wessels, ‘De curator en de cloud’, NJB 2015/639, afl. 13; alsmede de inbreng van de Vereniging Jonge Insolventierecht Advocaten d.d. 14 juli 2020 in het kader van de consultatie van het ontwerpwetsvoorstel voor de Verzamelwet gegevensbescherming, internetconsultatie.nl.

19. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 48-50.

20. L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van de AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 43.

21. M. Reijneveld, 'De faillissementscurator en persoonsgegevens', AA 20190614, p. 621.

22. L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van de AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 44-46.

23. Ook Buitelaar wijst erop dat de AP hierover geen standpunt inneemt, P. Buitelaar, ‘AVG in de faillissementsprocedure: post van de AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 45.

24. Op de website van de toezichthouder is helaas niet voorzien in een archieffunctie waarmee zijn eerdere, afwijkende opvattingen over dit onderwerp gemakkelijk kunnen worden teruggevonden. We grijpen daarom terug op de literatuur, in dit geval: M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 48, alsmede INSOLAD brief d.d. 10 juli 2020 inzake consultatie ontwerpwetsvoorstel Verzamelwet gegevensbescherming.

25. Cbp brief d.d. 13 november 2001, kenm. z2001-1242; zie daarover M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 48.

26. Cbp brief d.d. 15 juni 2007, kenm. Z2006-01462; daarover: F.M.J. Verstijlen, ‘De curator en de AVG’, TvI 2018/50, p. 325.

27. Op de website van de toezichthouder is niet voorzien in een archieffunctie waarmee zijn eerdere, afwijkende opvattingen over dit onderwerp kunnen worden teruggevonden. We grijpen daarom terug op de literatuur, in dit geval: M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 48, alsmede: INSOLAD, brief d.d. 10 juli 2020 inzake consultatie ontwerpwetsvoorstel Verzamelwet gegevensbescherming.

28. WP29, Advies 06/2014 over het begrip ‘gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke’ in art. 7 van Richtlijn 95/46/EG; WP217, 9 april 2014.

29. Kamerstukken II 2017/18, 34851, nr. 3, p. 35-36; nr. 4, p. 34-35.

30. AP, Advies kredietregistratie, z2019-19579, d.d. 14 november 2019.

31. Hof ’s-Hertogenbosch 6 augustus 2020, ECLI:NL:GHSHE:2020:2536, r.o. 3.5.

32. Vgl. in het faillissement van SaaS-leverancier Meddex wilde de overnemende partij vooral een concurrent wegnemen en was niet geïnteresseerd in het klantenbestand.

33. Aldus ook M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 48.

34. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 52-53; AP Brief 15 juni 2007, kenm. Z2006-01462.

35. AP, Normuitleg grondslag ‘gerechtvaardigd belang’, november 2019.

36. Rb. Midden-Nederland 23 november 2020, ECLI:NL:RBMNE:2020:5111.

37. Zie J.M.A. Berkvens, ‘ Normuitleg AP inzake het gerechtvaardigd belang (november 2019)’, privacy-web.nl, 6 januari 2020; J. Piersma & M. Pols, ‘Toezichthouder gaat te ver met uitleg privacywet’, Financieele dagblad 24 december 2019, p. 1; R. Van Eijk & G-J. Zwenne, ‘Privacytoezichthouder neemt heel opmerkelijk afstand van marktwerking’, Financieele dagblad 24 december 2019, p. 5.

38. MvT ontwerpwetsvoorstel Verzamelwet gegevensbescherming, 20 mei 2020, p. 20.

39. Zie bijv. HR 24 februari 2017, ECLI:NL:HR:2017:288; ABRvS 3 februari 2016, ECLI:NL:RVS:2016:253; Kamerstukken II 2017/18, 34851, nr. 3, p. 35-36; nr. 4, p. 34-35.

40. Zie ook overw. 50 uit de Preambule bij de AVG.

41. M. Reijneveld, ‘De faillissementscurator en persoonsgegevens’, AA 20190614, p. 620; M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 49-52.

42. L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van de AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 47.

43. AP brief d.d. 6 januari 2020, kenm. z2019-12871, p. 10.

44. Zie bijv. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 51-52.

45. MvT ontwerpwetsvoorstel Verzamelwet gegevensbescherming, 20 mei 2020, p. 34.

46. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 50-51; L.P. Buitelaar, ‘AVG in de faillissementsprocedure: post van de AP’, Tijdschrift Financiering, Zekerheden en Insolventierechtpraktijk 2020, afl. 6, p. 46; M. Reijneveld, ‘De faillissementscurator en persoonsgegevens’, AA 20190614, p. 622.

47. Zie bijv. Rb. Amsterdam 12 februari 2004, ECLI:NL:RBAMS:2004:AO3649, WBP 2009/72, m.nt. M.B. Voulon; Rb. Amsterdam 22 oktober 2015, ECLI:NL:RBAMS:2015:7501, JBP 2015/129, m.nt. K. Konings.

48. Zie ook M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 51.

49. Martens noemt als voorbeeld de privacyverklaring van Netflix, zie: M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 49.

50. Deze werkwijze werd toegepast bij het faillissement van V&D, zie o.a. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 51.

51. M.A.R. Martens, ‘De verkoop van klantenbestanden door de curator’, TvI 2018/9, p. 51.

Titel, auteur en bron

Titel

Drie vragen over de toepassing van de AVG in faillissementen

Auteur(s)

Gerrit-Jan Zwenne
Joachim van Vlijmen

Permanente link

Huidige versie

https://www.openrecht.nl?jcdi=JCDI:ALT601:1