Onlangs werd bekend dat curatoren klantenbestanden van failliete ondernemingen verkopen zonder daarbij de toepasselijke privacywetgeving in acht te nemen. In de praktijk is de verhouding tussen de wettelijke taak van de curator om de boedel te vereffenen en de verplichtingen op grond van de AVG kennelijk onduidelijk. Bij sommige curatoren bestaat de mening dat het vereffenen van de boedel de (wettelijke verplichte) kerntaak is van de curator en daardoor niet kan worden gehinderd door de AVG. Maar wat mogen curatoren vanuit privacyrechtelijk perspectief nou eigenlijk met zo’n klantenbestand?
De taak van de curator
Wanneer een onderneming failliet is gegaan neemt de curator de positie van de failliete onderneming over. Dit betekent dat de curator in beginsel dezelfde vermogensrechtelijke rechten en verplichtingen heeft als de onderneming voor het faillissement. Curatoren hebben op grond van de faillissementswet de taak om de boedel te beheren en vereffenen. Dit betekent dat ze de volledige beschikking krijgen over het vermogen en zoveel mogelijk opbrengsten proberen te genereren om daarmee zichzelf en de schuldeisers te betalen. Zowel door overname van de vermogensrechtelijke positie van de failliete onderneming als in de uitvoering van zijn taak krijgt de curator te maken met privacy. De curator moet rekening houden met de privacyrechtelijke verplichtingen die de onderneming had voor het faillissement, maar heeft ook zelfstandig de verplichting zich aan privacywetgeving te houden bij het vereffenen van de boedel.
Klantenbestand in de failliete boedel en de AVG
Een klantenbestand bestaat in de regel uit: namen, adressen, telefoonnummers en e-mailadressen. Dit zijn persoonsgegevens in de zin van de AVG. Persoonsgegevens zijn alle gegevens aan de hand waarvan een natuurlijke persoon kan worden geïdentificeerd. Klantenbestanden kunnen een aanzienlijke waarde vertegenwoordigen en zijn aan te merken als vermogen van een onderneming. Ter uitvoering van de taak van de curator wordt een klantenbestand dus regelmatig verkocht ten behoeve van de boedel.
De AVG is van toepassing op de verwerking van persoonsgegevens. Alle handelingen met betrekking tot persoonsgegevens worden op grond van de AVG aangemerkt als een verwerking (denk aan ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken). De verkoop en overdracht van het klantenbestand aan de koper is dus aan te merken als een verwerking van persoonsgegevens waarop de AVG van toepassing is.
Omdat de curator in de vermogensrechtelijke positie van de failliet treedt en het beheer en de beschikking over het vermogen krijgt, kan hij beslissen wat er met het klantenbestand gebeurt. De curator bepaalt dus het doel en de middelen van de verwerking en is aan te merken als verwerkingsverantwoordelijke. De curator moet zich daarom aan de verplichtingen van de AVG houden.
Verplichtingen van de curator op grond van de AVG
De AVG is dus van toepassing op het handelen van de curator, daar waar het persoonsgegevens betreft. Dat betekent (onder meer) dat de curator de persoonsgegevens alleen mag verwerken als daarvoor een grondslag kan worden in de AVG, zoals toestemming, wettelijke verplichting of gerechtvaardigd belang.
Wettelijke verplichting
Verwerking op grond van een wettelijke verplichting vereist dat uit die wet voldoende duidelijk moet blijken wat de aard en het doel van de verwerking is en om welke gegevens het gaat. Deze wettelijke grondslag kan gevonden worden in artikel 68 Faillissementswet waarin de plicht van de curator tot vereffening van de boedel is opgenomen. Door een aantal curatoren wordt betoogd dat zij op grond hiervan verplicht zijn het klantenbestand, die waarde vertegenwoordigt, te verkopen.
Deze wet zegt echter niet uitdrukkelijk dat de verkoop van klantenbestanden onder het vereffenen van de boedel valt. Bovendien heeft de curator vrijheid bij het beheren van de boedel en kan naar eigen inzicht bepalen of hij het klantenbestand al dan niet verkoopt. Een plicht veronderstelt geen keuzeruimte. Het is dus de vraag of deze wettelijke grondslag kwalificeert als grondslag voor de rechtmatige verwerking van persoonsgegevens door de curator. De Autoriteit Persoonsgegevens (AP) publiceerde in 2017 op haar website dat wel sprake is van een wettelijke grondslag, waar zij overigens eerder nog oordeelde dat daarvan geen sprake was omdat de wet de verkoop van het klantenbestand niet vereist. De AP heeft het standpunt uit 2017 verwijderd van haar website, en stelt inmiddels dat niet zomaar door de curator over kan worden gegaan tot verkoop van het klantenbestand met persoonsgegevens.
Toestemming
Voor de grondslag toestemming is volgens de AVG vereist dat betrokkenen hun specifieke, vrije, geïnformeerde en ondubbelzinnig instemming geven aan de verwerking van hun persoonsgegevens. Het is de vraag of het voldoende is dat de betrokkenen op voorhand toestemming geven aan de (dan nog niet failliete) onderneming, door in te stemmen met verstrekking van de gegevens aan derden in geval van een faillissementssituatie. De omstandigheden die zich dan zullen voordoen zijn immers nog niet bekend (is het dan specifiek genoeg?). De curator zou ook alsnog toestemming kunnen vragen, maar je zal begrijpen dat dat om praktische redenen onmogelijk kan zijn bijvoorbeeld als het klantenbestand omvangrijk is.
Gerechtvaardigd belang
De laatste, voor dit geval, relevante grondslag is het gerechtvaardigd belang. Dit komt neer op een afweging van het belang van de curator bij de verkoop van het klantenbestand en de privacybelangen van de betrokkenen. De curator moet deze afweging voor ieder geval zorgvuldig maken en kunnen aantonen hoe hij deze heeft gemaakt. Er wordt wel aangenomen dat de belangenafweging sneller in het voordeel van de curator uit zal vallen in het geval van een doorstart. De gegevens zullen dan in de regel worden gebruikt voor vergelijkbare diensten. De curator zou daarbij kunnen bedingen dat de koper de gegevens voor dezelfde doelen en onder dezelfde voorwaarden zal gebruiken. Voorwaarde voor een doorstart zal ook regelmatig zijn dat het klantenbestand wordt overgedragen. Het is in dit kader voor curatoren aan te raden om waarborgen te treffen om de belangen van de betrokkenen zoveel mogelijk te beschermen.
In geval van losse verkoop van het klantenbestand, zal het sneller voor kunnen komen dat de koper de gegevens voor andere doeleinden wil gebruiken. Het is dan afhankelijk van het doel of de belangen van de curator bij verstrekking en die van de ontvanger bij verkrijging zwaarder wegen dan de privacybelangen van de klanten.
Geen gehoor is rechtdoor
Er wordt wel geopteerd, en het is in de praktijk ook al gebruikt maar nog niet getoetst, voor een bezwaartermijn. De curator die als verwerkingsverantwoordelijke toch al verplicht is de betrokkenen te informeren over de voorgenomen verkoop, geeft dan een termijn aan de betrokkene om bezwaar te maken. Wordt er geen bezwaar gemaakt, dan wordt instemming verondersteld. Dit geldt overigens niet als toestemmingsgrondslag, maar als waarborg in het kader van de belangenafweging voor het gerechtvaardigd belang. Ook hier vallen nog wel wat praktische bezwaren te bedenken, je moet dan even zo goed de betrokkenen benaderen.
AVG compliance
De AVG is niet bedoeld om de taakuitoefening van de curator onmogelijk te maken, al voelt dat wellicht wel zo. Zeker omdat over de verhouding tussen het boedelbelang en de AVG nog onduidelijkheid bestaat en het zich in de praktijk nog zal moeten uitkristalliseren. Belangrijk is in ieder geval dat curatoren zich bewust zijn van de verplichtingen op grond van de AVG en zich daaraan zullen houden om de privacy van de betrokken te waarborgen. De gevolgen van overtreding van de AVG door curatoren kunnen ingrijpend zijn, niet alleen voor de betrokken, maar ook voor curatoren en kopers die door de AP gesanctioneerd kunnen worden.
Wil je meer weten over dit onderwerp neem dan contact op met Lora of Yentl.
