Privacywetgeving is van toepassing in faillissementen. Hierdoor dient de faillissementscurator bedacht te zijn op de privacywetgeving die bij de vervulling van zijn taak om de hoek komt kijken, zoals de Algemene Verordening Gegevensbescherming (”AVG”). In een eerdere blog werd het belang van de bescherming van persoonsgegevens door de curator al besproken.
De privacywetgeving voorziet echter niet altijd in een eenduidig antwoord op de vraag hoe een curator met persoonsgegevens (van derden) dient om te gaan. Om enkele onduidelijkheden te verhelderen, heeft de INSOLAD Toetsingscommissie (”Toetsingscommissie”) recent in uitspraak 2021/5 een aantal best practices op het gebied van persoonsgegevensverwerking in faillissement voor curatoren ontwikkeld. In deze blog worden de best practices toegelicht.
Persoonsgegevens derden bij onderzoekstaak naar onregelmatigheden
Een eerste knelpunt voor curatoren kan ontstaan bij de vraag in hoeverre een curator persoonsgegevens van (mogelijk aansprakelijke) derden mag verifiëren of opvragen in het kader van zijn onderzoekstaak naar onregelmatigheden.
Mag een curator bijvoorbeeld financiële (persoons)gegevens van bestuurders van een gefailleerde vennootschap opvragen of verifiëren bij de bank voor verhaalsonderzoek? Volgens de onderstaande best practice-regel niet.
Een curator mag persoonsgegevens verwerken als dat noodzakelijk is voor de vervulling van zijn onderzoekstaak naar onregelmatigheden. Tot deze taak behoort ook het onderzoek naar verhaalsmogelijkheden van (mogelijk aansprakelijke) derden. Bij dit verhaalsonderzoek dient een curator zich – voor zover het derden betreft – wel te beperken tot informatie uit openbare bronnen. Een curator moet zich dus beperken tot raadpleging van bijvoorbeeld het handelsregister van de Kamer van Koophandel of het Kadaster.
Verwerking van strafrechtelijke persoonsgegevens
Ook het verwerken van strafrechtrechtelijke persoonsgegevens (van derden) kan problematisch zijn. Het verwerken van strafrechtelijke persoonsgegevens is namelijk op grond van artikel 10 AVG aan verregaande beperkingen onderworpen. Dit werpt bijvoorbeeld de vraag op of een curator kennis mag nemen van ontvangen strafrechtelijke persoonsgegevens (van derden).
Op grond van artikel 10 AVG mogen strafrechtrechtelijke persoonsgegevens (van derden) enkel worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan op grond van het Unierecht of nationaal recht en voorts passende waarborgen worden geboden voor de rechten en vrijheden van betrokkenen.[1] Het Unierecht en nationaal recht vullen dit nader in door te bepalen dat strafrechtrechtelijke persoonsgegevens (van derden) verwerkt kunnen worden als dit noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering.[2] Hieraan zou een curator mogelijk zijn bevoegdheid kunnen ontlenen om strafrechtelijke persoonsgegevens (van derden) te verwerken.
Als een curator echter strafrechtelijke informatie van het Openbaar Ministerie ontvangt ter doorgeleiding, is het best practice dat de curator zich tot het Openbaar Ministerie wendt voor zover hij deze gegevens wenst in te zien of ze wilt gebruiken.
Het gebruik van persoonsgegevens in openbare faillissementsverslagen
Een ander belangrijk aspect waarover onduidelijkheid bij curatoren kan bestaan, is het gebruik van namen in openbare faillissementsverslagen.
Het volgens de RECOFA-richtlijnen voorgeschreven model voor openbare faillissementsverslagen schrijft (met betrekking tot rechtspersonen) voor dat informatie over de directie en de organisatie, rechtmatigheidsaspecten en namen van betrokken wederpartijen in procedures worden verstrekt. Van het gebruik van namen in openbare faillissementsverslagen kan men zich afvragen of dit conform de AVG is.
Volgens de best practice-bepaling is het mogelijk noodzakelijk voor curatoren om persoonsgegevens in openbare faillissementsverslagen te gebruiken, om als verwerkingsverantwoordelijke te voldoen aan de wettelijke verplichting van artikel 73a faillissementswet.[3] Daardoor zou het gebruik van namen in openbare faillissementsverslagen gerechtvaardigd kunnen worden.
Kanttekening
Wel wordt daarbij de kanttekening gemaakt dat een curator bij het gebruik van persoonsgegevens in openbare faillissementsverslagen steeds een afweging dient te maken met inachtneming van de beginselen die de AVG voorschrijft, aangezien de RECOFA-richtlijnen onvoldoende invulling geven aan een dergelijke afweging.
Best practice is dat de curator terughoudend is bij het opnemen van persoonsgegevens in zijn openbare faillissementsverslagen en gebruik maakt van anoniemen dan wel pseudoniemen.
Verkoop gegevensdragers en persoonsgegevens
Ten slotte is er best practice ontwikkeld omtrent de verkoop van gegevensdragers en persoonsgegevens.
Een curator zal vaak de in een boedel aanwezige laptops, telefoons, kassasystemen etc. proberen te verkopen in een activa-verkoop. Hoe dient een curator in zon geval om te gaan met de mogelijkheid dat er zich persoonsgegevens op deze gegevensdragers kunnen bevinden?
De best practice luidt dat de curator de gegevensdragers van persoonsgegevens dient te ontdoen voordat hij deze verkoopt. Zo dient de curator vast te (laten) stellen dat de gegevensdragers geen persoonsgegevens (meer) bevatten, doordat hij alle aanwezige data op de gegevensdragers op professionele wijze (laat) verwijder(d)(en).
Als de kosten daarvan niet opwegen tegen de baten, moet de curator afzien van de verkoop en de gegevensdragers op professionele wijze (laten) vernietigen.
Conclusie
Curatoren kunnen op veel verschillende manieren worden geconfronteerd met persoonsgegevensverwerking (van derden) in een faillissement, waarbij niet altijd duidelijk is wat de te volgen lijn moet zijn. Met de formulering van best pracices heeft de Toetsingscommissie geprobeerd enkele onduidelijkheden voor curatoren te verduidelijken.
Het is best practice dat een curator zich bij verhaalsonderzoek naar derden beperkt tot openbare informatie en strafrechtelijke persoonsgegevens (van derden) enkel verwerkt indien dat noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering.
Verder doet een curator er verstandig aan om het gebruik van namen in openbare faillissementsverslagen zoveel mogelijk te beperken en gebruik te maken van anoniemen dan wel pseudoniemen. Ten slotte dient een curator vast te (laten) stellen dat te verkopen gegevensdragers geen persoonsgegevens (meer) bevatten, doordat hij alle aanwezige data op de gegevensdragers op professionele wijze (laat) verwijder(d)(en). Als de kosten hiervan de baten overstijgen, dient hij af te zien van de verkoop.
Meer informatie
Heeft u vragen of wilt u meer informatie? Neem dan contact op met Michiel Peeters, Robbert van Roij of een van de andere leden van het team Insolventie en Herstructurering van Boels Zanders Advocaten.
December 2021
[1] Verder uitgewerkt in artikelen 32 en 33 Uitvoeringswet AVG.
[2] artikel 9 lid 1 sub f AVG jo. Artikel 32 sub d Uitvoeringswet Algemene verordening gegevensbescherming (UAVG).
[3] Artikel 6 lid 1 sub c AVG en M.D. Reijneveld, ‘Persoonsgegevens in openbare faillissementsverslagen’, Tvl 2019/38, par, 4.1.
