2.2 Verwerkingsverantwoordelijkheid

Vóór het faillissement was de gefailleerde rechtspersoon of natuurlijke persoon waarschijnlijk zelf de verwerkingsverantwoordelijke. Hij bepaalde het doel en de middelen van de verwerkingen die werden uitgevoerd. Als de schuldenaar bijvoorbeeld een bestand bijhield met daarin de namen, email-adressen en telefoonnummers van klanten en daaraan hun bestelgeschiedenis en zoekgedrag koppelde, heeft hij persoonsgegevens verzameld, opgeslagen en gecombineerd. Dit zijn allemaal verwerkingshandelingen in de zin van de AVG. Door de faillietverklaring verliest de schuldenaar de beschikking en het beheer over zijn vermogen.1 De schuldenaar is niet handelingsonbevoegd, maar zijn handelingen kunnen de failliete boedel in beginsel niet binden.2

In plaats van de schuldenaar, voert de curator vanaf de dag van de faillietverklaring het beheer over de boedel. In de boedel valt het gehele vermogen van de gefailleerde schuldenaar ten tijde van de faillietverklaring en hetgeen hij gedurende het faillissement verwerft.3 Zoals volgt uit §2.1.2 is onder de AVG eigendom geen bepalend kenmerk voor het al dan niet aannemen van verwerkingsverantwoordelijkheid. De feitelijke beschikkingsmacht is leidend.4

Degene die tijdens het faillissement het doel en de middelen van de verwerking bepaalt, is verwerkingsverantwoordelijke voor de verwerkingen die plaatsvinden.5 Zowel de formeel-juridische bevoegdheid6 als de feitelijke situatie zijn daarbij van belang.7 Beide dienen ruim te worden opgevat.8 Uiteindelijk is het doel om de “verantwoordelijkheden te leggen op de plaats waar de feitelijke invloed ligt”.9 De curator is degene die feitelijk de beschikking heeft over de gegevens die hij aantreft bij de schuldenaar. Hij heeft de vrijheid om te bepalen wat er gaat gebeuren met deze gegevens.10 Zo kan de curator de gegevens opslaan, inzien, doorzoeken en gebruiken. Zelfs als de curator persoonsgegevens verwijdert, is dat een verwerking. De curator kan ten slotte niet als verwerker worden gekwalificeerd bij de verwerkingen die hij uitvoert in het kader van het beheer en de vereffening van de boedel, aangezien hij geen gegevens verwerkt ten behoeve van een andere verwerkingsverantwoordelijke (zowel niet ten behoeve van de schuldeisers als van de schuldenaar).11

De curator is hierdoor vanaf de dag van het intreden van het faillissement de verwerkingsverantwoordelijke voor alle verwerkingen die hij zelf ten aanzien van de door de schuldenaar verzamelde persoonsgegevens verricht.12 Op grond hiervan is hij verantwoordelijk voor de nakoming van de verplichtingen uit de AVG.13 Wanneer twee of meer curatoren zijn benoemd in hetzelfde faillissement,14 zijn zij gezamenlijk verwerkingsverantwoordelijk. Dit is ook het geval als slechts één van de curatoren daadwerkelijk bij de administratie kan.15