5.4.1 Informatieverstrekking aan de betrokkene

De verwerkingsverantwoordelijke curator moet betrokkenen uit eigen beweging op behoorlijke, begrijpelijke en transparante wijze informeren over de verwerking van hun persoonsgegevens.1 Hij moet hen onder andere informeren over de aan hen toekomende rechten.2

De AVG maakt daarbij onderscheid tussen gegevens die rechtstreeks worden verzameld bij de betrokkene en gegevens die via een derde worden verkregen. Wanneer de curator persoonsgegevens direct bij de betrokkene verzamelt, moet hij hen op het moment van verkrijging informeren over hun rechten.3 Verkrijgt de curator de persoonsgegevens niet rechtstreeks van de betrokkene, dan moet hij de betrokkene informeren, uiterlijk binnen een maand nadat hij zijn persoonsgegevens heeft verkregen én voorafgaand aan de eerste verwerking.4 Een voorbeeld van dit laatste geval is de verkrijging door de curator van persoonsgegevens die de failliet heeft verzameld en die onderdeel uitmaken van zijn bedrijfsadministratie.5

Op de verplichting tot informeren bestaat een aantal uitzonderingen. Wanneer gegevens worden verzameld bij de betrokkene, hoeft de curator geen informatie te verstrekken die de betrokkene al heeft.6 Als de persoonsgegevens van een derde komen, hoeft de curator de betrokkenen niet te informeren wanneer zij al over de informatie beschikken,7 het verkrijgen van de gegevens uitdrukkelijk is voorgeschreven in de wet en die wet ook voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen, of het verstrekken van de informatie onmogelijk blijkt8 of onevenredig veel inspanning zou vergen.9 Van de twee eerstgenoemde uitzonderingen zal in faillissement niet vaak sprake zijn. Wel kan het onmogelijk of onevenredig inspannend zijn om betrokkenen te informeren. Zo kan de curator persoonsgegevens verkrijgen van betrokkenen van wie hij geen contactgegevens heeft, bijvoorbeeld bij gebruik van tracking cookies door de failliet. Ook kunnen tijdens faillissement veel verschillende betrokkenen op hetzelfde moment moeten worden geïnformeerd – bijvoorbeeld alle (voormalig) klanten van een onderneming – wat een onevenredige inspanning kan zijn. De curator hoeft dan niet iedereen individueel te berichten. Hij kan volstaan met het publiceren van de informatie op een website.10

De curator moet dus bijna altijd betrokkenen informeren, al dan niet via een website. Aan deze verplichting is mijns inziens echter betrekkelijk eenvoudig te voldoen. Een gangbare vorm van informatieverstrekking is een privacyverklaring.11 De AP stelt zelfs dat een online privacyverklaring “de beste manier [is] om er zeker van te zijn dat uw informatie voor de meeste mensen goed vindbaar is”.12 De curator kan zich in een privacyverklaring richten tot verschillende groepen van betrokkenen. Daarnaast mag een privacyverklaring redelijk algemeen geformuleerd zijn. De curator kan één privacyverklaring gebruiken die geschikt is voor alle (bestaande en toekomstige) faillissementen die hij afwikkelt. Deze privacyverklaring moet wel beknopt, transparant en begrijpelijk zijn.13 Zij moet begrepen kunnen worden door “een gemiddeld lid van het beoogde publiek”14 en in duidelijke en eenvoudige taal opgesteld zijn.15