1.1 Introductie

In mei 2018 is de Algemene verordening gegevensbescherming (AVG) in werking getreden.1 De AVG bevat regels betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.2 De AVG heeft een enorm toepassingsbereik: het gegevensbeschermingsrecht raakt alle geledingen van de maatschappij. De invloed van de AVG stopt niet bij overheden en organisaties die op grote schaal persoonsgegevens verwerken, maar reikt ook tot andere ondernemingen, van het midden- en kleinbedrijf tot grote beursgenoteerde vennootschappen.

Nagenoeg iedere onderneming verwerkt op de een of andere manier persoonsgegevens: bijvoorbeeld door een klantenbestand bij te houden met namen, email-adressen en telefoonnummers;3 door tracking cookies te plaatsen bij bezoekers van de website; of door de salarissen en verlofdagen van medewerkers te registreren. Wanneer een onderneming failliet gaat, kunnen die persoonsgegevens een rol spelen in het faillissement. Het is vooral de curator4 die geconfronteerd wordt met de impact van de AVG op de afwikkeling van het faillissement. Hierbij wordt vaak direct gedacht aan de economische waarde die persoonsgegevens vertegenwoordigen, bijvoorbeeld in de vorm van een klantenbestand dat de curator te gelde kan maken.5 Maar de curator krijgt op meer manieren te maken met persoonsgegevens.6 Tijdens het faillissement maakt hij op vele verschillende wijzen gebruik van persoonsgegevens.7 Om enkele voorbeelden te noemen: hij verkrijgt de administratie van de failliet, hij doorzoekt e-mails van de bestuurders van de failliet en hij rapporteert aan de rechter-commissaris over de oorzaken van het faillissement en het handelen van de bestuurders.

Al deze handelingen gaan gepaard met verwerkingen van persoonsgegevens. Persoonsgegevens zijn “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”.8 Alle bewerkingen van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, openen, bewaren, beveiligen, wissen of afschermen ervan, zijn verwerkingen in de zin van de AVG.9 De AVG is van toepassing op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of bestemd zijn om daarin te worden opgenomen.10 Ook het enkele opslaan, bewaren of zelfs verwijderen van een persoonsgegeven is een verwerking. Kortom, (vrijwel) elke handeling die te maken heeft met een persoonsgegeven, kwalificeert in de praktijk als een verwerking.

De AVG heeft een breed territoriaal toepassingsgebied. Artikel 3 AVG verklaart de AVG van toepassing op de verwerking van persoonsgegevens door iedereen die is gevestigd in de Europese Unie11 of zich richt op personen die zich bevinden in de Europese Unie.12 Dat betekent dat de AVG ook van toepassing is op verwerkingen door een partij die niet in de Europese Unie is gevestigd, wanneer die goederen of diensten aanbiedt aan betrokkenen in de EU of gedrag dat plaatsvindt binnen de EU monitort.13 Ten slotte is de AVG ook van toepassing op de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het lidstatelijke recht van toepassing is.14

Als een onderneming in Nederland of een andere lidstaat van de EU gevestigd is, is de AVG van toepassing op de verwerkingen die die onderneming uitvoert, omdat sprake is van “de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie”.15 Dat betekent dat die onderneming bij iedere verwerking van persoonsgegevens gebonden is aan de AVG. Wanneer een (vestiging van) een onderneming in Nederland of een andere lidstaat van de EU failliet gaat, is de AVG ook van toepassing op verwerkingen die tijdens dat faillissement worden verricht. De norm dat persoonsgegevens in lijn met de AVG moeten worden verwerkt, richt zich niet alleen tot de failliet maar ook tot de curator. Dat betekent dat de curator ook normadressaat van de AVG is en de regels uit de AVG in acht moet nemen. Daarmee is de AVG ook van toepassing op de curator die als taak heeft het faillissement van zo’n onderneming af te wikkelen. De AVG kent geen bijzondere regels of uitzonderingen voor gegevensbescherming tijdens faillissementsprocedures.16 Het is echter onduidelijk wat het precies betekent voor de curator dat hij de AVG moet naleven. Op dit terrein is eerder nog geen uitgebreid onderzoek verricht.

De toepasselijkheid van de AVG leidt er in ieder geval niet toe dat de curator tijdens faillissement geen persoonsgegevens mag verwerken. Het recht op gegevensbescherming is weliswaar een fundamenteel recht,17 maar het is geen absoluut recht.18 Het recht op gegevensbescherming moet in relatie tot de functie van gegevensbescherming in de maatschappij worden beschouwd.19 Zoals in de AVG is opgenomen: “De verwerking van persoonsgegevens moet ten dienste van de mens staan”.20 Tegelijkertijd stelt de AVG wel voorwaarden aan de verwerking van persoonsgegevens. Verwerkingen van persoonsgegevens zijn enkel rechtmatig wanneer zij in lijn zijn met de AVG.21 De kern van de AVG wordt gevormd door artikel 5: de beginselen inzake de verwerking van persoonsgegevens. Deze beginselen moeten bij iedere verwerking van persoonsgegevens nageleefd worden.22

De AVG is dus van toepassing op de curator tijdens de faillissementsprocedure en moet worden nageleefd door de curator. Over de gevolgen hiervan is veel onduidelijk. Wat zijn de praktische implicaties van de AVG voor de curator? Kan een faillissement nog wel efficiënt worden afgewikkeld als de AVG van toepassing is?