8.2.1 Grondslag voor verwerking

Het eerste dat de AVG vereist voor iedere verwerking van persoonsgegevens, is een grondslag. Die noodzakelijkheid van een grondslag maakt deel uit van het beginsel van rechtmatigheid. Artikel 6 AVG geeft een limitatieve opsomming van alle grondslagen: toestemming, noodzakelijkheid voor de uitvoering van een overeenkomst, noodzakelijkheid om te voldoen aan een wettelijke verplichting, noodzakelijkheid om vitale belangen te beschermen, noodzakelijkheid voor de vervulling van een taak van algemeen belang en noodzakelijkheid voor de behartiging van gerechtvaardigde belangen.

Als de curator persoonsgegevens verwerkt, heeft hij een voorafgaand bepaalde grondslag uit artikel 6 AVG nodig. Momenteel moet de curator van verwerking tot verwerking op zoek naar een passende grondslag. Hoewel die regelmatig wel gevonden kan worden, is dit een tijdrovende en onzekere werkwijze. Aan het vragen van toestemming kleven bijvoorbeeld een aantal praktische bezwaren.1 Ik concludeer dat toestemming vragen voor de curator kostbaar is omdat het veel tijd kost, aan strenge voorwaarden is gebonden en de toestemming ook weer kan worden ingetrokken door betrokkenen. In bepaalde gevallen is toestemming vereist, bijvoorbeeld bij de verkoop van een klantenbestand als losse asset.2 Als het mogelijk is, zal de curator in de praktijk liever een andere grondslag gebruiken voor gegevensverwerkingen waarvoor toestemming niet strikt noodzakelijk is.

Omdat de curator geen contractuele verhouding heeft met degenen van wie hij in faillissement persoonsgegevens verwerkt, is de uitvoering van een contract vaak ook geen passende grondslag. Alleen enkele zeer specifieke verwerkingen, zoals de overdracht van de voor de doorstart van de onderneming noodzakelijke persoonsgegevens, kunnen worden gebaseerd op de uitvoering van een overeenkomst.

Er zijn in faillissement drie andere relevante grondslagen: het gerechtvaardigd belang, de wettelijke verplichting en de taak van algemeen belang. Het gerechtvaardigd belang kan onder omstandigheden een grondslag vormen voor de curator, maar is onpraktisch. De curator moet iedere keer een afweging maken of zijn gerechtvaardigd belang zwaarder weegt dan de belangen van betrokkenen. Bij het gerechtvaardigd belang kan de AP of rechter mogelijk achteraf oordelen dat het belang niet zwaarwegend is of de belangenafweging niet goed is uitgevoerd. De curator heeft dus relatief weinig zekerheid of hij daadwerkelijk een geschikte grondslag heeft. Bovendien is de beschikbaarheid van deze grondslag van geval tot geval anders, omdat de afweging steeds anders is.

Het is voor de faillissementspraktijk dan ook belangrijk dat de curator zich voor een aantal gegevensverwerkingen die in ieder faillissement aan de orde komen, kan baseren op een taak van algemeen belang of een wettelijke verplichting die in de wet is opgenomen zodat de curator de voor zijn werkzaamheden noodzakelijke gegevensverwerkingen kan uitvoeren.

De wettelijke verplichting is potentieel een nuttig instrument. Een wettelijke bepaling moet aan een aantal voorwaarden voldoen om zo’n grondslag in de zin van de AVG te vormen.3 Bij verwerkingen op grond van een wettelijke verplichting moet de wet volgens de AVG zo geformuleerd zijn dat een verwerkingsverantwoordelijke geen ruimte heeft om een specifieke verwerking niet of anders uit te voeren. Bepaalde gegevensverwerkingen kan de curator baseren op de wettelijke verplichting, bijvoorbeeld bij de plicht om de administratie onder zich te nemen, of een faillissementsverslag op te stellen.4 Er zijn ook veel gegevensverwerkingen die de curator niet kan baseren op deze wettelijke verplichting. Dit komt omdat de Faillissementswet de curator op veel punten een ruime beoordelingsvrijheid geeft. Een groot deel van de verwerkingen voert de curator uit omdat het mag en niet omdat het moet, wanneer hij denkt dat het passend is in het betreffende faillissement (bijvoorbeeld de verwerkingen die nodig zijn om een onderneming voort te zetten).

Dan blijft over de taak van algemeen belang, die meer flexibiliteit biedt. Ook aan de wettelijke grondslag voor een taak van algemeen belang stelt de AVG eisen, namelijk kenbaarheid en voorzienbaarheid.5 Dit betekent dat een regel die een taak van algemeen belang vaststelt duidelijk en nauwkeurig moet zijn en dat voor betrokkenen duidelijk moet zijn wanneer hun persoonsgegevens moten worden verwerkt. Ook moet uit de wet in voldoende mate blijken welke persoonsgegevens wanneer worden verwerkt. Vervolgens kunnen de voor de taak noodzakelijke gegevensverwerkingen worden uitgevoerd.

Ik concludeer dat de curator een taak van algemeen belang heeft.6 Deze taak bestaat uit het beheren en vereffenen zoals omschreven in artikel 68 Fw. De curator kan de voor die taak noodzakelijke gegevensverwerkingen uitvoeren. Daarbij geldt wel dat het op dit moment niet in alle gevallen voorzienbaar is welke gegevensverwerkingen vallen onder de taak van algemeen belang. De taak van algemeen belang kan dan ook duidelijker omschreven worden in die zin dat uit de wet af valt te leiden welke taken en gegevensverwerkingen er onder vallen. Bovendien biedt de taak van algemeen belang op dit moment geen grondslag voor de verwerking van de hierboven genoemde speciale persoonsgegevens. Dit kan tot problemen leiden, bijvoorbeeld als een zorginstelling failliet gaat of indien de curator een faillissement onder zich heeft in een sector waar de cao niet algemeen verbindend is verklaard. In dat geval kan het voor een eventuele overnamekandidaat belangrijk zijn om te weten wie er lid is van een vakbond, maar een curator kan niet zomaar een ontheffing van het verwerkingsverbod van die bijzondere categorie van persoonsgegevens gebruiken.

De Minister voor Rechtsbescherming heeft in 2020 een consultatievoorstel gepubliceerd dat verandering kan brengen in deze gesignaleerde leemte: de Verzamelwet gegevensbescherming. Dit voorstel bevat een conceptartikel 68a Fw dat beoogt in de Faillissementswet vast te leggen dat de curator een taak van algemeen belang in de zin van de AVG uitoefent als hij zich bezighoudt met het beheren en vereffenen van de boedel en dat hij de in dat kader noodzakelijke gegevensverwerkingen mag uitvoeren.

Ik ga nader in op dit wetsvoorstel.7 Het voorstel kan in de praktijk een meerwaarde hebben omdat het duidelijker maakt dat een curator een taak van algemeen belang in de zin van artikel 6 AVG heeft. Daarmee wordt voor betrokkenen beter voorzienbaar dat hun persoonsgegevens verwerkt worden. Tegelijkertijd blijft veel onduidelijk. Ik concludeer dat het een goed voorstel is om de taak van de curator te concretiseren in wet- of regelgeving, maar dat momenteel niet het volle potentieel van een dergelijke bepaling wordt benut. Dit komt door de zeer open formulering van het artikel: noodzakelijk zijn verwerkingen die noodzakelijk zijn voor activiteiten die vallen onder beheren en vereffenen. Welke activiteiten dat zijn – en welke verwerkingen daar vervolgens noodzakelijk voor zijn – blijft goeddeels onduidelijk.

Voor de verwerking van bepaalde speciale persoonsgegevens wordt met het wetsvoorstel een belangrijke leemte gevuld omdat voor die verwerkingen op dit moment vaak geen grondslag bestaat. Het huidige wetsvoorstel zorgt er echter niet voor dat aan alle voorwaarden uit de AVG is voldaan.

Ik bespreek ook de invloed die voorgesteld artikel 68a Fw kan hebben op de faillissementspraktijk aan de hand van een aantal casus.8 Het wetsvoorstel neemt een aantal praktische vragen naar een grondslag weg door aan te geven dat een curator in bepaalde gevallen persoonsgegevens mag verwerken, maar zorgt er niet voor dat duidelijk wordt hoe de curator persoonsgegevens mag verwerken en welke persoonsgegevens hij mag verwerken. Voor de verwerking van normale persoonsgegevens is het een probleem dat de taak van beheren en vereffenen niet helder omschreven is en daardoor niet duidelijk is wat noodzakelijke gegevensverwerkingen zijn.

Het verdient in mijn ogen aanbeveling om de taken van de curator meer te reguleren en duidelijk aan te geven welke gegevensverwerkingen noodzakelijk zijn voor de taak van algemeen belang. Dit kan in de vorm van richtlijnen of gedragsregels die worden uitgevaardigd door de wetgever, Recofa of INSOLAD. Bovendien zou kunnen worden gedacht aan de mogelijkheid om een gedragscode ex artikel 40 AVG op te stellen. De aangewezen wijze om zo’n gedragscode op te stellen lijkt mij dat INSOLAD in samenspraak met haar leden, de Nederlandse Orde van Advocaten, en curatoren die geen lid zijn van INSOLAD, een code opstelt. Deze dient vervolgens te worden goedgekeurd door de AP. Op die manier hebben curatoren meer handvatten om te bepalen wat zij kunnen en mogen met de persoonsgegevens die zij in de boedel aantreffen. In zo’n gedragscode zou ook aandacht dienen te worden besteed aan andere beginselen, zoals het beginsel van dataminimalisatie en doelbinding. Idealiter worden in een gedragscode best practices geformuleerd die handvatten bieden voor de curator om een faillissement in lijn met de AVG af te wikkelen.