2.3.1 Doorstart of verkoop van losse vermogensbestanddelen

Wanneer de curator een doorstart realiseert, verkoopt hij in de meeste gevallen de onderneming van de gefailleerde geheel of gedeeltelijk aan een derde via een activatransactie.1 Deze derde zet de onderneming dan voort voor eigen rekening en risico.2 De curator kan in dat geval de verzamelde persoonsgegevens overdragen aan de doorstarter. Wanneer een curator losse vermogensbestanddelen te gelde maakt, worden de goederen afzonderlijk verkocht. De curator kan daarbij ook persoonsgegevens afzonderlijk verkopen, zoals een klantenbestand.3

In beide gevallen is sprake van drie verwerkingsverantwoordelijke partijen die elkaar in tijd opvolgen: de schuldenaar, de curator en de koper. Er is geen sprake van gezamenlijke verwerkingsverantwoordelijkheid maar eerder van ‘een keten van verwerkingen’ met opvolgende verantwoordelijken. Zoals A-G Bobek betoogt in zijn conclusie bij Fashion-ID, kan een verwerkingsverantwoordelijke “worden aangesproken op die bewerking of dat geheel van bewerkingen, waarvoor hij het doel en de middelen […] bepaalt, voor zover het de desbetreffende bewerking betreft. Die persoon kan daarentegen niet aansprakelijk worden gesteld voor eerdere of latere fasen van de gehele verwerkingsketen, ten aanzien waarvan hij niet het doel of de middelen van die verwerkingsfase kon bepalen”.4 Ieder is dus in beginsel alleen verantwoordelijk voor eigen verwerkingen. Wat dit betekent voor de aansprakelijkheid van de curator voor overtredingen van de AVG begaan door hemzelf of de failliet voorafgaand aan de faillietverklaring, bespreek ik in hoofdstuk VII.

Om persoonsgegevens over te dragen hoeft de curator niet veel verschillende verwerkingshandelingen te verrichten. In het eenvoudigst denkbare scenario doorzoekt hij de gegevens, slaat ze op en geeft ze door aan een derde. Zijn verantwoordelijkheid ziet alleen op deze door hemzelf uitgevoerde verwerkingen. Bij al deze verwerkingen moet de curator voldoen aan de AVG.5 Hieruit volgt dat de curator bijvoorbeeld moet bijhouden welke gegevens hij verwerkt en contact moet opnemen met betrokkenen als hij hun persoonsgegevens verkrijgt van de schuldenaar.6 Daarnaast moet worden voldaan aan de eisen van doelbinding.7 Dit is bij een doorstart waarschijnlijk gemakkelijker dan bij de verkoop van losse onderdelen, aangezien bij een doorstart de onderneming intact blijft en het doel van de verwerkingen daarmee in beginsel ook.8 Ten slotte moet de curator zich inspannen om nakoming van de AVG door de overnemende partij te verzekeren. Deze verplichting volgt mijns inziens uit artikel 24 AVG: de curator dient rekening te houden met de “qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van natuurlijke personen” en op basis daarvan passende maatregelen te nemen om “te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd”.9