5.5.1 Contractuele taakverdeling

De curator heeft verschillende mogelijkheden om contractueel een taakverdeling te bewerkstelligen met verschillende partijen en zo verschillende AVG-verplichtingen uit te besteden. Ik onderscheid twee verschillende situaties: het outsourcen van de verplichtingen aan een derde1 en het maken van afspraken met een doorstarter of overnemende partij. Voor de curator maakt het uiteindelijk niet veel uit met welke partij hij een taakverdeling maakt: hij blijft verantwoordelijk voor de reactie op verzoeken van betrokkenen over verwerkingen die hij zelf heeft uitgevoerd. De curator blijft in deze gevallen verwerkingsverantwoordelijke: hij bepaalt immers nog steeds welke persoonsgegevens voor welke doeleinden worden verwerkt.

Een derde die ten behoeve van een verwerkingsverantwoordelijke persoonsgegevens verwerkt, is een verwerker.2 De verwerker handelt ‘onder het gezag’ van de verwerkingsverantwoordelijke curator.3 Indien de curator een verwerker inschakelt, moet hij een verwerkersovereenkomst sluiten met die verwerker.4 In een verwerkersovereenkomst moet in ieder geval gespecificeerd staan de duur, aard en het doel van de verwerking, de soorten persoonsgegevens die worden verwerkt, de rechten en verplichtingen van de verwerkingsverantwoordelijke en de categorieën van verwerking van de betrokkenen. Ook moet onder meer worden vastgelegd hoe de persoonsgegevens worden beveiligd en in welke landen data wordt opgeslagen.5 Het is van belang om dit goed vast te leggen, omdat de curator verantwoordelijk is voor verwerkingen door een verwerker.

De curator kan daarnaast afspraken maken met een doorstarter. Het is mogelijk dat de curator persoonsgegevens te gelde maakt door ze te verkopen als onderdeel van de onderneming.6 Bij het overdragen van de persoonsgegevens aan een overnemer, kan de curator bedingen dat de overnemer de verplichtingen van de curator op basis van de AVG (gedeeltelijk) moet nakomen. De curator sluit dan weer een verwerkingsovereenkomst, bijvoorbeeld door in het overnamecontract vast te leggen dat de overnemende partij de verplichting op zich neemt om de bestaande verzoeken van derden af te handelen. Ook hier geldt dat een curator niet ontslagen wordt van de verantwoordelijkheid om de verzoeken voldoende af te handelen: hij blijft verantwoordelijk voor nakoming van de AVG voor zijn eigen verwerkingen.

De uitbesteding aan een derde kan al met al een doelmatige vervulling opleveren van de verplichtingen van de curator onder de AVG. Als een curator een gespecialiseerde partij inschakelt om verzoeken van betrokkenen af te handelen, kan dat een tijds- en geldbesparing opleveren. Als een curator persoonsgegevens overdraagt, ligt het vanuit een doelmatigheidsoogpunt voor de hand dat de overnemer het voortouw neemt in de afhandeling van de verzoeken, zeker in geval van voortzetting van de onderneming. Het is aan te bevelen dat een curator hier afspraken over maakt. Dit kan een aanzienlijke besparing opleveren van zowel tijd als kosten.