4.5.1 Behoorlijkheid en transparantie

Elke verwerking van persoonsgegevens moet behoorlijk1 en transparant zijn.2 Er moet een evenwicht bestaan tussen de rechten van betrokkenen enerzijds en de belangen van de verwerkingsverantwoordelijke anderzijds. Het is niet eenduidig vast te stellen wanneer een verwerking behoorlijk is, maar betrokkenen dienen in ieder geval te weten dat hun gegevens worden verwerkt.3 De verwerkingsverantwoordelijke moet daarnaast rekening houden met de gevolgen van zijn verwerking voor de rechten van betrokkenen en de redelijke verwachtingen van betrokkene over de verwerking van hun persoonsgegevens. Om gegevens behoorlijk te verwerken, dient de curator te vermijden dat hij feiten en omstandigheden openbaar maakt die de hoogstpersoonlijke levenssfeer van de gefailleerde of derden raken.4 Of een specifieke openbaring van persoonsgegevens in het faillissementsverslag behoorlijk is, hangt af van de omstandigheden van het geval. Het is redelijk dat iemand met een publieke functie in het algemeen meer moet dulden dan iemand zonder publieke functie.5 Dit kan ook gelden voor bepaalde bestuurders. Zo zal een ziekenhuisbestuurder meer moeten dulden dan een bestuurder van een kleine BV, omdat in het geval van een faillissement met een grotere maatschappelijke impact meer gegevens nodig kunnen zijn voor een globale informatieverstrekking. Toch moet ook in dat geval elke verwerking van persoonsgegevens proportioneel zijn en niet verder gaan dan nodig is.6

Het beginsel van transparantie brengt mee dat persoonsgegevens moeten worden verwerkt op een zodanige manier dat de betrokkene in staat is zijn rechten uit te oefenen.7 De curator moet de betrokkenen bepaalde informatie verstrekken.8 Deze moet beknopt, transparant, begrijpelijk en toegankelijk zijn.9 Betrokkenen moeten worden gewezen op de mogelijkheid om bezwaar te maken tegen de verwerking van hun persoonsgegevens en ook op de andere rechten die zij kunnen uitoefenen op basis van de AVG.10 Het informeren kan gebeuren wanneer de curator gegevens bij de betrokkene verzamelt,11 of als hij gegevens van de betrokkene op een andere manier verkrijgt.12

De door een curator verwerkte persoonsgegevens zien op de betrokkenen, zoals klanten of personeel van de failliet. De curator krijgt deze gegevens echter van een ‘derde’ – dat wil zeggen niet de betrokkene zelf, namelijk de failliet. In zo’n geval dient de curator de betrokkenen op grond van artikel 14 AVG binnen een maand na verkrijging van de persoonsgegevens en voorafgaand aan verdere verwerking, te informeren. Die informatie ziet op de soorten persoonsgegevens die verwerkt worden en de typen verwerkingen die plaatsvinden, maar ook op de rechten van betrokkenen, zoals het recht op rectificatie van persoonsgegevens. De curator zal bijvoorbeeld vooraf moeten aangeven dat bepaalde persoonsgegevens zullen worden opgenomen in het openbaar verslag dat in het CIR wordt opgenomen.

Uitzonderingen hierop bestaan alleen als de betrokkene reeds over de informatie beschikt,13 het verstrekken van informatie onmogelijk blijkt of onevenredig veel inspanning vergt, de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim of het verkrijgen van de gegevens uitdrukkelijk is voorgeschreven bij nationaal recht dat tevens voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen.14 De curator kan personen betrokken bij de failliete onderneming eenvoudig informeren door hen, bijvoorbeeld op het moment dat hij hen spreekt na de faillietverklaring, ook de benodigde informatie over de verwerking van persoonsgegevens te verschaffen.15 Anderen, zoals klanten, zal hij actief moeten informeren door ze individueel op de hoogte te stellen. Eventueel kan dit gebeuren via een mededeling op een website, wanneer individuele informatievoorziening onmogelijk is doordat er te veel mensen zijn om individueel te bereiken.16