3.5.3.1 Uitzondering op het verbod

Uit de Memorie van Toelichting kan worden afgeleid dat de uitzondering op het verbod op verwerking van bijzondere categorieën van persoonsgegevens door de curator wordt gevormd door artikel 9 lid 2 sub g AVG.1 De Raad van State is in het advies over de Verzamelwet gegevensbescherming kritisch over dit gebruik van de grondslag van het zwaarwegend algemeen belang. De Raad stelt dat:

De Raad van State acht het kennelijk noodzakelijk dat de wetgever nader specificeert waaruit het zwaarwegende belang tijdens faillissement bestaat. Naar mijn mening is het bestaan van de faillissementsprocedure als zodanig een zwaarwegend algemeen belang,3 maar de minister zou dit nader kunnen aangeven in de toelichting. Tegelijkertijd is het een interessante vraag wat precies het verschil is tussen een maatschappelijk belang en een dringend of zwaarwegend maatschappelijk belang. Hoe kunnen de verschillende gradaties van maatschappelijke belangen worden vastgesteld? Op dit punt is de AVG onduidelijk.

Een uitzondering moet daarnaast voldoende nauwkeurig vaststellen welke persoonsgegevens mogen worden verwerkt. In artikel 68a lid 3 Fw en de Memorie van Toelichting wordt voor sommige, tamelijk specifieke situaties, nader gespecificeerd op wat voor bijzondere persoonsgegevens het artikel ziet.

De minister verduidelijkt in de wetstoelichting dat de curator noodzakelijkerwijs bijzondere categorieën van persoonsgegevens verwerkt als hij onregelmatigheden onderzoekt. Hetzelfde geldt als hij een bestuursverbod vordert, omdat uit bestuursfuncties bijvoorbeeld een vakbonds- of kerklidmaatschap kan blijken.4 Als de curator gegevensdragers bewaart,5 kan hij bijzondere persoonsgegevens verwerken omdat die zich daarop bevinden.6 Ook voor de opening van brieven en telegrammen mag de curator bijzondere persoonsgegevens verwerken, “met het oog op bijvoorbeeld inventarisering van vorderingen”. In al deze situaties volgt mijns inziens voldoende duidelijk uit de conceptmemorie van Toelichting waarom de curator bijzondere categorieën van persoonsgegevens mag verwerken. Het gaat om vrij specifiek omschreven situaties. De categorieën persoonsgegevens zijn duidelijk en er wordt aangegeven waarom het noodzakelijk is dat de curator dergelijke persoonsgegevens verwerkt.

Ten slotte kan de curator bijzondere persoonsgegevens verwerken bij de voortzetting van het bedrijf of de voorbereiding van een doorstart. Dit ziet specifiek op het werknemersbestand, waarin informatie is opgenomen “van werknemers zoals het ziekteverzuim”.7 Hierop bestaat kritiek van bijvoorbeeld de vakcentrales.8 Zij stellen dat de curator niet over deze gegevens mag beschikken, omdat alleen de bedrijfsarts dat mag. Ook de landelijke Cliëntenraad stelt dat alleen een bedrijfsarts de gezondheidsgegevens van werknemers over mag dragen aan een andere bedrijfsarts, en dat de curator deze gegevens niet mag verwerken.9 Met deze critici ben ik van mening dat onvoldoende uit de Memorie van Toelichting volgt waarom het noodzakelijk is dat een geïnteresseerde doorstarter persoonsgegevens verkrijgt van de werknemers van de failliet. Dit is niet zonder meer duidelijk, en valt daarom ook niet zonder meer onder de grondslag van de curator om zijn taak van algemeen belang uit te oefenen. Bovendien betwijfel ik of het ooit noodzakelijk zal zijn voor de curator om deze gegevens te verwerken, ook als dat beter zou worden opgeschreven in een wet.

Ook de verwerking van strafrechtelijke persoonsgegevens moet een basis in de wet hebben. Wederom geeft de wet weinig handvatten voor de soorten persoonsgegevens en verwerkingen, maar de Memorie van Toelichting wel. De minister stelt dat de curator slechts in drie gevallen persoonsgegevens van strafrechtelijke aard kan verwerken, namelijk: 1) wanneer de curator tijdens het oorzakenonderzoek een melding maakt bij de rechter-commissaris en eventueel aangifte doet bij het OM; 2) wanneer in het kader van de voorzetting of verkoop van de onderneming in de personeelsadministratie informatie van strafrechtelijke aard is opgenomen (zoals een berisping van een werknemers wegens diefstal); 3) wanneer de curator een bestuursverbod voorbereidt of vordert.10 De curator mag deze informatie niet publiceren in zijn faillissementsverslag, maar in het verslag kan “uiteraard wel het nodige worden opgemerkt over eventuele mogelijkheden tot het aansprakelijk stellen van de bestuurder”.11 Voor punt 1 en 3 geldt dat de noodzakelijkheid van de verwerking evident is: de curator kan immers geen oorzakenonderzoek uitvoeren als hij geen strafrechtelijke persoonsgegevens mag inzien. Bij punt 2 is de noodzaak voor mij minder helder: waarom is het noodzakelijk voor een curator om een eventuele berisping van een medewerker door te geven aan een potentiële doorstarter? Het is niet zonder nadere toelichting te volgen waarom de minister dit noodzakelijk vindt.12

Ten slotte geeft artikel 68a lid 3 Fw een grondslag voor de curator om het BSN-nummer te verwerken. De lijst van gevallen is gelijk aan de lijst bij de verwerking van bijzondere categorieën van persoonsgegevens. Aanvullend is opgenomen dat het BSN bijvoorbeeld niet in het faillissementsverslag mag worden opgenomen.13 Wederom is voor mij niet duidelijk waarom de curator het BSN zou mogen doorgeven aan potentiële doorstarters.

Voor deze specifieke situaties kan worden gezegd dat voor de curator duidelijk is wanneer hij speciale persoonsgegevens mag verwerken. Uit de Memorie van Toelichting blijkt (tot op zekere) hoogte welke persoonsgegevens de curator mag verwerken. Wat betreft de bijzondere categorieën van persoonsgegevens en de strafrechtelijke persoonsgegevens kan wel worden opgemerkt dat niet in alle situaties duidelijk is op wat voor typen persoonsgegevens de minister doelt. Dit lijkt mij in faillissement begrijpelijk, omdat voorafgaand onduidelijk is – afhankelijk van het soort failliete onderneming – wat voor bijzondere categorieën van persoonsgegevens zich bijvoorbeeld bevinden in de administratie. Uit de toelichting volgt duidelijk voor welke doeleinden en in welke specifieke situaties de curator speciale persoonsgegevens mag verwerken.