3.4.2 Ruimte voor verbetering

Het bovenstaande geeft aan dat uit het wetsvoorstel en de toelichting niet duidelijk volgt welke verwerkingen voor de curator noodzakelijk zijn bij het uitoefenen van zijn taak van beheren en vereffenen. Welke verwerkingen van persoonsgegevens noodzakelijk zijn, wiens persoonsgegevens kunnen worden verwerkt, en wat voor categorieën van persoonsgegevens dat betreft: het volgt niet voor alle handelingen uit het wetsvoorstel of de toelichting. De curator zal dus nog steeds in veel situaties zelf moeten bepalen welke verwerkingen van persoonsgegevens noodzakelijk zijn. Deels is dit inherent aan het stelsel van de AVG: de curator zal in specifieke situaties altijd eindverantwoordelijke blijven voor de beoordeling of een bepaalde verwerking van persoonsgegevens noodzakelijk is. Tegelijkertijd vereist de AVG dat met voldoende precisie kan worden bepaald welke verwerkingen noodzakelijk zijn voor de taak van algemeen belang.

De wetgever zou dan ook aanvullende duidelijkheid moeten geven. Dit geldt zeker op de punten waar het ingewikkelder wordt, zoals de doorstart, de voortzetting en de losse verkoop. Een belangrijke eerste stap daarbij is om meer duidelijkheid te creëren over wat ‘beheren en vereffenen’ betekent en wat er verwacht wordt van de curator. Er bestaat geen wettelijke definitie of lijst van handelingen die hier al dan niet onder vallen.1 Daarnaast is ook niet duidelijk wat precies het doel ervan is: gaat dit om winstmaximalisatie – waardoor persoonsgegevens in meer gevallen mogen worden verkocht – of gaat het om iets anders?

Vervolgens zijn er mijns inziens twee mogelijkheden. De eerste is om – in lijn met het huidige voorstel – een relatief beperkte kerntaak van algemeen belang in de zin van de AVG vast te leggen in de Faillissementswet. De curator kan de voor die handelingen noodzakelijke verwerkingen baseren op deze wettelijke grondslag. Voor overige verwerkingen van persoonsgegevens heeft de curator dan een andere grondslag nodig, zoals toestemming of het gerechtvaardigd belang. De curator is hier wellicht minder mee geholpen, maar dit geeft wel duidelijkheid. De tweede mogelijkheid is om een brede taak van de curator nader te reguleren door vast te leggen wat het doel van beheer en vereffening moet zijn en redelijk gedetailleerd vast te leggen welke handelingen hieronder vallen en welke verwerkingen daarvoor noodzakelijk zijn. In dat geval kan de curator meer verwerkingen op zijn taak van algemeen belang baseren, maar zal ook verder uitgewerkt moeten worden welke verwerkingen noodzakelijk zijn.

INSOLAD pleit er in dit verband voor om zoveel mogelijk feitelijke handelingen en rechtshandelingen van de curator op te nemen in het artikel, om discussie te voorkomen “over de vraag of een bepaalde feitelijke handeling of rechtshandeling van de curator wel noodzakelijk is voor het beheer en de vereffening van de boedel en daardoor of de met die handelingen gepaard gaande gegevensverwerking wel rechtmatig door de curator kan geschieden”.2

Hierbij treedt dan wel een groter risico op a contrario-redeneringen op: hoe specifieker de taak omschreven is, hoe meer dingen erbuiten vallen. Dit kan naar mijn mening enigszins worden ondervangen door categorieën van verwerkingen en persoonsgegevens te omschrijven in plaats van specifieke types verwerkingen en persoonsgegevens. Dit is ook de opzet van het huidige voorstel, maar naar mijn mening is de minister daar nog niet volledig in geslaagd. Ook kan de minister extra benadrukken dat het een niet-uitputtende lijst blijft en benadrukken dat sprake is van een safe haven-regeling die aangeeft wat er in ieder geval mag. Uitgebreidere lijsten zullen ook nooit volledige duidelijkheid geven, maar wel meer duidelijkheid dan op dit moment het geval is.

In beide gevallen geldt dat duidelijke keuzes moeten worden gemaakt. Juist op ‘lastige’ punten verdient de taak van de curator verduidelijking. Vragen die in ieder geval beantwoord zouden moeten worden om het werk van de curator eenvoudiger te maken, zien op noodzakelijke verwerkingen bij voortzetting, doorstart en verkoop en bij de bewaring van bescheiden door de curator na faillissement.3

De AVG benoemt dit ook door in artikel 6 lid 3 te stellen dat het doel van de verwerking in de rechtsgrond wordt vastgesteld en te expliciteren dat de rechtsgrond “specifieke bepalingen [kan] bevatten om de toepassing van de regels van deze verordening aan te passen met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX”.4 De minister zou bijvoorbeeld nog explicieter aan kunnen geven welke categorieën persoonsgegevens van welke betrokkenen de curator op welke manier mag verwerken bij welke handeling. Door dit tot categorieën te beperken (bijvoorbeeld contactgegevens van klanten), wordt het ook niet snel een onuitputtelijke lijst. De AP heeft eerder – zoals in §3.3 is uitgewerkt – ook geadviseerd om concreet aan te geven welke persoonsgegevens kunnen worden verwerkt.5

Deze uitwerking hoeft overigens niet per definitie te worden opgenomen in de Faillissementswet zelf, zoals INSOLAD voorstelt.6 Een ‘lidstaatrechtelijke bepaling’ – waarvan de AVG spreekt – hoeft niet door het parlement te zijn vastgesteld.7 Als de grondslag in de Faillissementswet staat kunnen aanvullende bepalingen ook worden opgenomen in de Recofa-richtlijnen, of een andere richtlijn. Dit heeft een aantal voordelen. Door de uitwerking in de Recofa-richtlijnen op te nemen kan de regeling eenvoudiger worden gewijzigd of aangevuld. Dat is vooral ook wenselijk omdat de AVG een relatief jonge Europese verordening is waarvan de praktijk nog moet uitwijzen hoe bepaalde concepten precies worden uitgelegd. Flexibiliteit is in dat verband handig. Tegelijkertijd biedt dit de rechter ook ruimte om in individuele gevallen gemotiveerd af te wijken van de richtlijnen indien dat noodzakelijk is.