2.4.2 Onderzoek op basis van de AVG

Een onderzoeksplicht zou daarnaast kunnen bestaan op grond van de AVG. Ook de AVG bevat echter geen algemene plicht om onderzoek te doen naar de rechtmatigheid van het verkrijgen en bewaren van gegevens. Daarnaast is de curator niet verantwoordelijk voor verwerkingen die zijn verricht door de schuldenaar vóór het faillissement.1 De schuldenaar blijft de verwerkingsverantwoordelijke voor die verwerkingen. Dit betekent niet dat de curator altijd alle bij de schuldenaar aangetroffen gegevens mag verwerken.

In sommige gevallen heeft de curator een eigen grondslag voor de verwerking van de persoonsgegevens. Hij kan tijdens de afwikkeling van het faillissement bijvoorbeeld persoonsgegevens verwerken op grond van een wettelijke verplichting of de uitvoering van een taak van algemeen belang.2 Hij kan alleen niet alle verwerkingen op deze twee grondslagen baseren. De wet waarop de plicht of taak wordt gebaseerd, moet voldoende duidelijk en nauwkeurig zijn, zodat de toepassing ervan voorspelbaar is.3 De Faillissementswet belast de curator met de afwikkeling van het faillissement.4 Deze taak vereist soms ook dat persoonsgegevens worden verwerkt. De curator kan hierop waarschijnlijk in ieder geval alle verwerkingen baseren die noodzakelijk zijn voor de afwikkeling van het faillissement.5 Hierbij kan bijvoorbeeld worden gedacht aan het openen, opslaan en na afloop van het faillissement verwijderen van een bestand met persoonsgegevens. De Verzamelwet gegevensbescherming beoogt om wettelijk vast te leggen wat in ieder geval onder de taak van algemeen belang van de curator valt. In hoofdstuk III ga ik verder in op deze gegevensverwerkingen.

De curator kan daarnaast in bepaalde gevallen, namelijk bij voortzetting van de onderneming, verwerkingen baseren op een grondslag die toekwam aan de schuldenaar, getuige de eerder besproken brief van de AP.6 Deze grondslag kan zijn de toestemming die is verleend aan de schuldenaar of de noodzakelijkheid voor het uitvoeren van een overeenkomst die door de schuldenaar is aangegaan.7 Dergelijke contractuele grondslagen voor de verwerking blijven in beginsel ongewijzigd gelden tijdens het faillissement van een van de contractspartijen.8 De curator kan deze grondslag gebruiken, mits zijn verwerkingen nodig zijn voor het uitvoeren van de specifieke overeenkomst. Bij toestemming moet het doel van de verwerking door de curator verenigbaar zijn met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld.9 Dit hangt dus ook af van de specifieke verwerking door de curator.10

Wanneer de curator zich kan baseren op de grondslag van de schuldenaar, is het van belang om te weten of de schuldenaar een rechtmatige grondslag had voor de verwerking van persoonsgegevens. De curator moet dit weten om te zien of hij zelf een grondslag heeft voor verdere verwerkingen. Dit betekent echter niet dat hij onderzoek moet doen naar de rechtmatigheid van de persoonsgegevens. Voldoende is dat de curator passende maatregelen neemt. De AVG bevat waarborgen die de betrokkene beogen te beschermen tegen een verdere verwerking door de curator van onrechtmatig verkregen gegevens.

De curator moet de betrokkenen informatie verschaffen voordat hij verkregen gegevens gaat verwerken.11 Op grond van de AVG zal de curator uiterlijk één maand na verkrijging van de persoonsgegevens informatie aan betrokkenen moeten verstrekken.12 Deze informatie omvat onder andere zijn identiteit en contactgegevens, de verwerkingsdoeleinden en rechtsgrond voor de verwerking, de categorieën van persoonsgegevens, de periode gedurende welke persoonsgegevens worden opgeslagen of criteria om die termijn te bepalen, de rechten van betrokkenen, en de bron waar de persoonsgegevens vandaan komen.13 Indien de schuldenaar geen grondslag had voor de verwerking, kunnen betrokkenen dit kenbaar maken aan de curator. Zij kunnen dan ook bezwaar maken tegen de verwerking van hun persoonsgegevens.14 Daarnaast kunnen zij verzoeken dat de curator hun gegevens wist15 of de verwerking van die gegevens beperkt.16 Wanneer veel betrokkenen bezwaar maken, is dit een aanwijzing voor de curator dat de schuldenaar geen rechtmatige grondslag voor verwerking had.

Daarnaast heeft de schuldenaar voor de intreding van het faillissement de AVG moeten naleven. Wanneer hij dat heeft gedaan, vindt de curator bij de schuldenaar een register van verwerkingsactiviteiten.17 Wanneer dit register (deels) ontbreekt, kan dat een aanwijzing zijn dat de AVG niet is nageleefd. De curator kan er dan niet zonder meer vanuit gaan dat er een rechtmatige grondslag is voor de verwerkingen die de schuldenaar heeft uitgevoerd.

Indien er aanwijzingen zijn dat de AVG (mogelijk) niet is nageleefd door de schuldenaar, kan de curator er niet zonder meer van uitgaan dat er een rechtmatige grondslag is voor de verwerking van persoonsgegevens. Als er geen rechtmatige grondslag is voor de verwerking van persoonsgegevens, of dit nog onduidelijk is, dient de curator de verwerkingen tot een minimum te beperken. Daarnaast kan de curator zelf een nieuwe grondslag verkrijgen om gegevens te verwerken. Dit betekent bijvoorbeeld dat hij zelf toestemming vraagt van de betrokkenen om hun gegevens voor een bepaald doel te verwerken.