1.3 Opzet van het onderzoek

In mijn boek ga ik in op de grootste botsing die er is tussen het faillissementsrecht en het gegevensbeschermingsrecht, namelijk toegang tot informatie of juist de beperking van die toegang waar nodig. Deze openbaarheid van informatie komt het meest tot uiting in de informatieverstrekking door de curator. Immers, als antwoord op deelvraag I kan in het algemeen worden gezegd dat de curator in ieder geval persoonsgegevens verwerkt tijdens faillissement wanneer hij die persoonsgegevens deelt met andere partijen.

De curator beschikt over een grote hoeveelheid informatie, onder meer doordat hij alle bescheiden en gegevensdragers van de failliet onder zich neemt1 en de failliet verplicht is de curator van informatie te voorzien.2 Het faillissementsrecht geeft de curator een vergaand recht op informatie tijdens faillissement.3 Begrijpelijkerwijs zijn er vele partijen die willen dat de curator deze informatie met hen deelt. Hierbij kan worden gedacht aan crediteuren, debiteuren, eventuele bestuurders van de failliete onderneming en – in het geval van persoonsgegevens – de betrokkenen.4 De informatieverstrekkingen die in mijn onderzoek centraal staan zijn de volgende:

Over deze informatieverstrekking heb ik zes artikelen geschreven die tussen 2019 en 2022 zijn gepubliceerd in verschillende juridisch-wetenschappelijke tijdschriften.5 Ik richt mij in die artikelen op een aantal casusposities zonder uitputtend te willen zijn. Die artikelen vormen de basis van dit boek. Toen ik begon was er nauwelijks literatuur over het onderwerp ‘AVG in faillissement’ beschikbaar.6 Ik heb gekozen voor een proefschrift dat bestaat uit artikelen om een discussie over deze materie aan te zwengelen, flexibel te zijn in de keuze voor relevante onderwerpen en in te kunnen spelen op ontwikkelingen in de literatuur of wetgeving gedurende het traject.

Om een algemeen kader van de AVG te schetsen, bespreek ik in dit inleidende hoofdstuk enkele belangrijke concepten uit de AVG. Het territoriale en materiële toepassingsbereik en de concepten ‘verwerking’ en ‘persoonsgegeven’ zijn hiervoor al aan bod gekomen. Omdat in mijn latere onderzoek met name de beginselen inzake de verwerking van persoonsgegevens centraal staan, en veel verplichtingen uit de AVG ook kunnen worden herleid tot een van die beginselen, bespreek ik kort al deze beginselen.7 Daarnaast geef ik in deze inleiding een overzicht van de partijen die later in mijn onderzoek centraal staan.8

Vervolgens komen mijn reeds gepubliceerde artikelen aan de orde. In de periode waarin deze artikelen zijn gepubliceerd, van juli 2019 tot en met april 2022, is er het nodige veranderd aan de ‘juridische werkelijkheid’. Zo is de Autoriteit Persoonsgegevens gedeeltelijk gesprongen in het kennisvacuüm dat bestond over de toepassing van de AVG in faillissement met een brief aan INSOLAD. Daarnaast heeft de toetsingscommissie van INSOLAD in een uitspraak verschillende best practices voor curatoren geformuleerd op het gebied van persoonsgegevensverwerkingen in faillissement.9 Ook verschillende ministers hebben niet stilgezeten: er zijn conceptwetsvoorstellen gepubliceerd of in internetconsultatie gegaan die meer of minder expliciet ingaan op de rol van de AVG in faillissement. Die wetsvoorstellen komen hierna uitgebreid aan bod.

Het kon – door bovengenoemde ontwikkelingen – voorkomen dat artikelen tijdens de afronding van mijn onderzoek inhoudelijk niet langer volledig op elkaar aansloten. Ten gevolge van voortschrijdende inzichten óf een wijziging in de juridische werkelijkheid is het mogelijk dat wat aan het begin van mijn proefschriftonderzoek vanzelfsprekend leek of op een bepaalde manier kon worden opgelost, aan het eind van mijn onderzoek niet meer vanzelfsprekend was of een andere oplossing heeft gekregen. Waar dat relevant is, heb ik deze voortschrijdende inzichten ondervangen door de betreffende artikelen enigszins te bewerken. Ik ga daarbij alleen in op nieuw verschenen literatuur, wetgeving en beleidsstukken en de wijzigingen in mijn standpunten die daar het resultaat van zijn. Her en der betekent dit dat stukken zijn toegevoegd aan de artikelen of onderdelen zijn bewerkt. Ik geef in de eerste voetnoot van de betreffende hoofdstukken aan of dat het geval is en, zo ja, welke paragrafen dat betreft. Dit doe ik alleen voor zover het grotere wijzigingen betreft, zoals de toevoeging van een of meer alinea’s. Op sommige plekken heb ik ook kleine wijzigingen doorgevoerd, bijvoorbeeld door een nieuwe bron toe te voegen. Dit geef ik niet aan.

Ik heb ervoor gekozen om de oorspronkelijke inleidingen van de artikelen te behouden. Dit zorgt ervoor dat elk hoofdstuk afzonderlijk leesbaar blijft. Hierdoor bestaat er enige overlap, zij het een beperkte, tussen de hoofdstukken.

Het boek is opgedeeld in drie delen. Het eerste deel (‘De curator als subject van het gegevensbeschermingsrecht’) gaat over de toepassing van de AVG op de curator. In dit deel bespreek ik de algemene beginselen van de AVG, de positie van de curator als verwerkingsverantwoordelijke en kijk ik welke grondslagen hij kan gebruiken voor de verwerking van persoonsgegevens. In het tweede deel (‘De openbaarmaking van informatie door de curator’) staan enkele specifieke verwerkingen van persoonsgegevens centraal. Het derde deel (‘Handhaving’) gaat over de naleving van de AVG door de curator en de mogelijke consequenties van niet-naleving.

Na deze inleiding begint deel I van mijn onderzoek. Dit deel gaat over “de curator als subject van het gegevensbeschermingsrecht”. In hoofdstuk II wordt ingegaan op de positie van de curator onder de AVG. De AVG maakt onderscheid tussen verwerkers, verwerkingsverantwoordelijken en derden. Deze partijen hebben verschillende posities met daarbij komende verantwoordelijkheden en verplichtingen. Ik beoordeel welke positie op de faillissementscurator van toepassing is. Ook bespreek ik enkele vervolgvragen, zoals de verhouding tussen de curator en de failliet en de vraag wat de verantwoordelijkheid van de curator is met betrekking tot persoonsgegevens die voor hem ontoegankelijk blijven.

Vervolgens ga ik in hoofdstuk III in op de grondslag voor gegevensverwerkingen door de curator. Iedere verwerking van persoonsgegevens moet rechtmatig zijn. Dit betekent ten eerste dat een verwerking niet in strijd met het geldende recht mag zijn. Daarnaast is een verwerking alleen rechtmatig voor zover een grondslag bestaat.10 Ik bespreek de voor de curator relevante grondslagen. De curator heeft een bijzondere positie binnen het civiele recht, die gepaard gaat met grote AVG-verantwoordelijkheden. Ik bespreek het consultatievoorstel voor de Wijziging van de Uitvoeringswet Algemene verordening gegevensbescherming en enkele andere wetten in verband met het stroomlijnen en actualiseren van het gegevensbeschermingsrecht (Verzamelwet gegevensbescherming) waarin een voorstel wordt gedaan voor de toevoeging van een artikel 68a Fw aan de Faillissementswet en kijk hoe de curator persoonsgegevens kan verwerken tijdens het beheer en de vereffening van de boedel.

In deel II ga ik in op de openbaarmaking van informatie door de curator. Ik bespreek een aantal situaties tijdens faillissement waarin de informatieverstrekking door de curator een bijzonder grote rol speelt. Hierbij bespreek ik telkens het gegevensbeschermingsrechtelijk kader en pas ik dat vervolgens toe op de praktijk van het faillissement.

In hoofdstuk IV ga ik in op de informatieverstrekking aan het publiek door middel van het faillissementsverslag. In hoofdstuk V behandel ik naar de informatieverstrekking aan de betrokkenen. De curator moet aan deze betrokkenen op basis van de AVG informatie verstrekken. In hoofdstuk VI kijk ik ten slotte naar de informatieverstrekking aan potentiële overnamekandidaten in de biedingsprocedure.

Ik heb geen apart hoofdstuk geschreven over de verkoop van persoonsgegevens in de vorm van klantenbestanden tijdens faillissement. Aan het begin van mijn onderzoek was over dit onderwerp al geschreven.11 Sindsdien heeft ook de AP – zonder voorbehouden – aangegeven dat een los klantenbestand alleen mag worden verkocht met voorafgaande toestemming van alle betrokkenen.12 De concept-Memorie van Toelichting bij het conceptvoorstel voor de Verzamelwet gegevensbescherming, die in hoofdstuk 3 uitgebreid aan bod komt, bevestigt deze visie. Over de verkoop van een klantenbestand vermeldt zij het volgende:

Al met al is op dit moment duidelijk dat de losse verkoop van een klantenbestand gebaseerd dient te worden op de individuele goedkeuring van alle klanten die in dat bestand staan. Pas op het moment dat betrokkenen actief toestemming verlenen, kan de curator hun persoonsgegevens overdragen als hij een klantenbestand als losse asset verkoopt. De verkoop van een klantenbestand als onderdeel van de onderneming valt onder de overname die ik bespreek in mijn artikel over biedingsprocedures.

In de verschillende hoofdstukken ga ik in op de eerdergenoemde deelvragen. De laatste deelvraag (“Welke mogelijkheden zijn er om de faillissementsprocedure beter in lijn te brengen met de beginselen inzake de verwerking van persoonsgegevens?”), is een vraag die ik steeds probeer te beantwoorden. Ik geef bijvoorbeeld aan dat een bepaalde situatie gereguleerd zou moeten worden, een curator bepaalde persoonsgegevens niet mag verwerken, of dat er standaarden afgesproken moeten worden.

Een andere mogelijkheid om de feitelijke afwikkeling van de faillissementsboedel beter in lijn te brengen met de AVG ziet op een goede handhaving van de AVG in faillissement. Deel III ziet dan ook op de handhaving van de AVG tijdens faillissement. In hoofdstuk VII ga ik in op de mogelijkheden voor de AP en betrokkenen om handhavend op te treden tegen de curator.