2.5 Conclusie

De AVG is in beginsel van toepassing op gegevensverwerkingen in alle faillissementen in Nederland en roept daarmee plichten en verantwoordelijkheden in het leven voor de curator. De curator bepaalt het doel en de middelen van de verwerkingen tijdens faillissement en hij is als gevolg daarvan een verwerkingsverantwoordelijke. Hij is daardoor verantwoordelijk voor de naleving van de AVG gedurende het faillissement. De curator is niet verantwoordelijk voor verwerkingen van persoonsgegevens waarvoor hij niet het doel en de middelen bepaalt.

De uitwerking van de verwerkingsverantwoordelijkheid van de curator verschilt naar gelang de wijze waarop hij het faillissement afwikkelt. Realiseert de curator een doorstart of verkoopt hij losse vermogensbestanddelen, dan voert hij betrekkelijk weinig verwerkingshandelingen uit. Zijn verantwoordelijkheid ziet dan alleen op deze door hemzelf uitgevoerde verwerkingen zoals het inzien en doorgeven van persoonsgegevens. Als de curator de onderneming voortzet, neemt hij een rol aan als ware hij de ondernemer. De curator moet dan meer verwerkingen uitvoeren. De curator is voor al deze verschillende verwerkingen verwerkingsverantwoordelijke. Als hij de onderneming voortzet, gaat de curator dan ook aanzienlijk meer verwerkingen verrichten dan bij een doorstart of liquidatie. Daarmee vergroot hij ook zijn verantwoordelijkheid onder de AVG.

De curator mag niet altijd alle aangetroffen gegevens verwerken. Hij heeft steeds een grondslag nodig om gegevens te verwerken. In sommige gevallen heeft de curator een eigen grondslag voor de verwerking van persoonsgegevens, namelijk een wettelijke verplichting of de uitvoering van een taak van algemeen belang. Dit geldt waarschijnlijk voor verwerkingen die noodzakelijk zijn voor de afwikkeling van het faillissement, zoals het inzien van gegevens en het verwijderen van gegevens na afloop van het faillissement. In andere gevallen kan de curator zich mogelijk baseren op een grondslag die toekomt aan de schuldenaar, vooral bij de voortzetting van de onderneming. In gevallen waarin beide niet mogelijk zijn, dient de curator een nieuwe grondslag te creëren, bijvoorbeeld door toestemming van betrokken te vragen.

Daarnaast moeten de gegevens die de curator verder verwerkt rechtmatig verkregen zijn. Deze eis omvat geen plicht om altijd onderzoek te doen naar de rechtmatigheid van de aangetroffen persoonsgegevens. De AVG bevat een aantal verplichtingen die waarborgen dat onrechtmatig verzamelde persoonsgegevens niet zomaar worden verwerkt door de curator. Wanneer blijkt dat de AVG (eventueel) niet is nageleefd door de schuldenaar, mag de curator persoonsgegevens in beginsel uitsluitend verwerken voor zover noodzakelijk voor de afwikkeling van het faillissement.

Al met al brengt de AVG plichten en verantwoordelijkheden voor de curator mee. Enerzijds kan de curator niet onbekommerd omgaan met de persoonsgegevens die hij bij de schuldenaar aantreft. Anderzijds stelt de AVG niet zulke strikte regels dat de taakvervulling van de curator praktisch onmogelijk wordt.