7.4 Toepassing op de AVG: verschillende scenario’s

Het eerste scenario is ogenschijnlijk relatief eenvoudig. Een curator krijgt een boedel onder zich waarin zich persoonsgegevens bevinden. Als de curator de AVG niet naleeft, bijvoorbeeld omdat hij een klantenbestand als zelfstandige asset doorverkoopt zonder dat hij toestemming van alle betrokkenen heeft,1 overtreedt hij de AVG. De curator komt dan een op hem rustende verplichting niet na. De curator dient bij de afwikkeling van het faillissement zélf de AVG na te leven, los van eventuele verplichtingen die op de failliet rustten. Niet-naleving van de AVG door de curator kan verschillende gevolgen hebben.

Allereerst kan de AP handhavend optreden jegens de curator. De AP kan bijvoorbeeld besluiten dat de curator een verwerking ongedaan moet maken of alsnog om toestemming moet vragen, verbieden om de persoonsgegevens verder te verwerken of de curator een boete opleggen. Als de AP besluit om handhavend op te treden jegens de curator, zijn geldschulden die daaruit voortvloeien concurrente boedelschulden. Persoonlijke aansprakelijkheid van de curator voor deze bestuursrechtelijke geldschuld is hier in principe niet aan de orde, aangezien de curator slechts q.q. normadressaat is.2 Indien de curator ook een persoonlijk verwijt treft, doordat hij wist of redelijkerwijze behoorde te weten dat hij de AVG niet naleefde, kan zijn handelen mogelijk tot persoonlijke aansprakelijkheid leiden jegens de (gezamenlijke) schuldeisers.3

Naast deze vorm van handhaving door de AP (en mogelijk ook door de schuldeisers), kunnen ook betrokkenen handhavend optreden jegens de curator door schadevergoeding op grond van artikel 82 AVG te vorderen. Tijdens faillissement kunnen dat tal van partijen zijn. Een sprekend voorbeeld is wellicht de klant wiens gegevens in het klantenbestand staan, dat zonder zijn toestemming is verkocht. Maar ook (oud-)bestuurders of individuele schuldeisers kunnen schade leiden, bijvoorbeeld als de curator hun persoonsgegevens op onrechtmatige wijze in een faillissementsverslag plaatst. In het geval van een failliete zorginstelling kunnen ook cliënten of patiënten schade lijden als hun persoonsgegevens worden verwerkt op een manier die strijdig is met de AVG. Als dergelijke personen kunnen aantonen dat zij schade lijden door de overtreding van de AVG van de curator, moet de curator die schade in beginsel vergoeden. Deze aanspraak rust allereerst op de curator in hoedanigheid en resulteert daarmee in een concurrente boedelschuld. Mocht de curator echter een persoonlijk verwijt kunnen worden gemaakt, dan kan de overtreding ook leiden tot aansprakelijkheid pro se en daarmee tot een vordering op de curator.

Het kan daarnaast voorkomen dat de curator een boedel onder zich krijgt met voortdurende AVG-gebreken. Dit kan tal van redenen hebben, bijvoorbeeld dat zich in de administratie gegevens bevinden die al verwijderd hadden moeten zijn, omdat gegevens van klanten zijn bewaard die nooit bewaard hadden mogen worden (omdat er geen grondslag was om ze te verzamelen of omdat het doel waarvoor ze werden verzameld al behaald is) of omdat onvoldoende passende beveiligingsmaatregelen zijn genomen. Doordat de curator de bescheiden van de failliet onder zich krijgt, zal het vaak in zijn macht liggen om de overtreding te beëindigen.

Zoals hierboven in §7.3.1 uiteen is gezet, zal de AP in deze situatie handhavend kunnen optreden jegens de curator in hoedanigheid. Geldschulden die voortvloeien uit die handhaving zijn concurrente boedelschulden. Het is nog wel de vraag of dergelijke boedelschulden niet hun doel voorbijschieten. Zo kan de ruime kwalificatie als concurrente boedelschuld strategisch gedrag van handhavende instanties uitlokken, bijvoorbeeld doordat ze wachten met handhaven tot na de faillietverklaring om zo een hogere status in faillissement te verkrijgen. Echter, wachten met handhaven tot na de faillietverklaring met als enkele doel om een boedelvordering te verkrijgen, is mijns inziens strijdig met het verbod van détournement de pouvoir en het evenredigheidsbeginsel.4

Voor de schadevergoedingsvordering van betrokken bepaalt artikel 82 lid 1 AVG simpelweg dat eenieder die (im)materiële schade lijdt als gevolg van een inbreuk op de AVG, een recht heeft op schadevergoeding van de verwerkingsverantwoordelijke of verwerker voor de geleden schade. Het aansprakelijkheidsregime uit de AVG moet, zoals bleek in §7.2.2, ruim worden uitgelegd.

Om te bepalen in welke mate de curator de schade moet vergoeden, moet een stapje terug worden gedaan naar de verwerkingsverantwoordelijkheid van de curator. Na faillissement is de curator de nieuwe verwerkingsverantwoordelijke. Hij bepaalt immers het doel van de verwerkingen.5 Dit betekent niet dat de curator en de failliete rechtspersoon gezamenlijk verwerkingsverantwoordelijk worden.6 In plaats daarvan hebben zij ieder een zelfstandige verwerkingsverantwoordelijkheid voor hun eigen verwerkingen. Het HvJ EU heeft bepaald dat in zo’n geval iedere verwerkingsverantwoordelijke alleen verantwoordelijk is voor dat deel van de verwerkingen waar hij invloed op kan uitoefenen.7

Als we dit toepassen op scenario 2, zijn er verschillende mogelijkheden. In sommige gevallen zet de curator verwerkingen van de failliet voort. Dit is met name het geval als de curator de onderneming voortzet. Op dat moment is sprake van dezelfde verwerkingen als voor faillissement voor zover het gaat om de normale bedrijfsvoering van de onderneming. De AP heeft in een brief aan INSOLAD aangegeven dat de curator de verwerking van persoonsgegevens in geval van een voortzetting van de onderneming kan voortzetten op basis van de oorspronkelijke grondslagen – indien de verwerking voor faillissement rechtmatig was.8 Vereist is dat de persoonsgegevens worden verwerkt voor dezelfde doeleinden als de oorspronkelijke verwerkingsdoeleinden voorafgaand aan faillissement. Er mag voor de betrokkenen wat betreft hun gegevensverwerkingen niets (materieels) veranderen.9 De curator blijft in dat geval verwerkingsverantwoordelijke, maar mag, als praktische oplossing voor de bijzondere situatie, gebruikmaken van de grondslagen van de failliet om de onderneming voort te zetten.10 Het kan hier voorkomen dat zowel het handelen van voor de faillietverklaring als het handelen van de curator schade veroorzaken.

De tweede optie is die waarin de curator gegevens op een nieuwe manier verwerkt met als doel het faillissement af te wikkelen. Op dat moment is er sprake van losse, elkaar opvolgende verwerkingen: de failliet heeft in een fase van de verwerking gegevens verzameld en verwerkt op een manier die strijdig met de AVG was en de curator verkrijgt die gegevens, waarmee een volgende fase van verwerking ingaat. Nu is sprake van een overtreding van de AVG die is begaan door de failliet en die tot schade leidt. De curator heeft deze schade niet actief veroorzaakt, maar kan invloed uitoefenen op de gegevensverwerkingshandelingen na faillissement, doordat hij de nieuwe verwerkingsverantwoordelijke is.11 De curator schendt zijn AVG-verplichtingen zowel als hij de schadeveroorzakende verwerking niet stopt als wanneer hij nalaat de gevolgen ervan te herstellen. Als de curator persoonsgegevens verder verwerkt, kan hij daarnaast aanvullende schade veroorzaken.

In beide gevallen is de curator alleen verantwoordelijk voor het deel van de verwerkingen dat plaatsvindt na de faillietverklaring. Hij is alleen voor die verwerkingen normadressaat, omdat hij alleen voor die verwerkingen als verwerkingsverantwoordelijke kwalificeert.12 De formulering van artikel 82 AVG in samenhang met het ruime aansprakelijkheidsregime uit de AVG brengen met zich dat de curator door eenieder die schade leidt als gevolg van de overtreding van de AVG aansprakelijk kan worden gesteld, maar dat dit in beginsel beperkt wordt tot schade als gevolg van de inbreuk op de AVG door de curator. Hiermee valt de claim van betrokkenen in dit scenario uiteen in twee delen: één deel jegens de failliet, dat als concurrente faillissementsvordering kan worden ingediend in faillissement en één deel jegens de curator. De vorderingen die de betrokkenen jegens de curator hebben leveren in beginsel concurrente boedelschulden op. In beginsel betreft het hier vorderingen op de curator in hoedanigheid. Als voldaan is aan de vereisten voor persoonlijke aansprakelijkheid kan de schade ook verhaald worden op de curator pro se. Hiervan kan bijvoorbeeld sprake zijn als een curator bewust een overtreding van de AVG laat voortduren terwijl hij die kan beëindigen en zo schade voorkomen. Als de curator bijvoorbeeld een rechterlijk bevel om een situatie te beëindigen negeert of onrechtmatig verzamelde gegevens verder verwerkt, negeert hij een regel die op hem van toepassing is. In dat geval kan ook persoonlijke aansprakelijkheid aan de orde komen.

Ik kan mij voorstellen dat het in bepaalde situaties lastig is om de schade bij betrokkenen te splitsen in een deel dat is ontstaan voor de faillietverklaring en een deel dat is ontstaan na de faillietverklaring, vooral als sprake is van een voortzetting van verwerkingen door de curator. Als het niet mogelijk is om te bepalen welk deel van de schade door welke partij is veroorzaakt, kan de alternatieve causaliteitsleer met zich brengen dat de curator en de failliet hoofdelijk aansprakelijk zijn voor de gehele schade.13 Zij kunnen zich dan dus voor hun gehele schade richten tot de curator.

In dit scenario treft de curator een boedel aan waarin voor faillissement een overtreding van de AVG plaatsvond. Hierbij kan aan verschillende situaties worden gedacht. De eerste is een situatie waarin de AP al een verwerkingsverbod heeft opgelegd, waardoor de failliet is gestopt met de verwerking van persoonsgegevens in strijd met de AVG. De tweede mogelijkheid is dat de overtreding reeds is beëindigd, bijvoorbeeld als voor faillissement een datalek heeft plaatsgevonden door een gebrek in de beveiliging, daarvan een melding bij de AP is gedaan en de beveiliging voor het faillissement is verbeterd. Het is in dit scenario goed mogelijk dat de overtreding weliswaar gestopt is, maar de schade niet is hersteld. Het is de vraag of dit nog aanspraken jegens de boedel of de curator kan opleveren.

De curator treft in dit geval een boedel aan waarin weliswaar de AVG is overtreden, maar daar nu in faillissement geen sprake meer van is. Een bestuursorgaan handhaaft bij de overtreder.14 In het geval dat de curator een boedel met herstelde AVG-gebreken aantreft, is er eigenlijk in faillissement niets meer aan de hand. De curator beheert weliswaar de boedel vanaf het moment van de faillietverklaring, maar is niet de overtreder. De overtreding is immers al beëindigd. Mocht de AP voor faillissement al hebben gehandhaafd, dan zijn die geldschulden concurrente faillissementsvorderingen.

Ook personen met een vordering tot betaling van schadevergoeding op basis van artikel 82 AVG die dateert van voor de dag van de faillietverklaring, kunnen hun vorderingen indienen ter verificatie in faillissement. Schadevergoeding op basis van de AVG kan worden gevorderd bij de verwerkingsverantwoordelijke of de verwerker. Hoewel deze termen ruim moeten worden omschrijven om een doeltreffende en volledige bescherming van de betrokkenen te verzekeren,15 kunnen betrokkenen zich naar mijn mening niet tot de curator in hoedanigheid richten voor de betaling van hun schadevergoeding. Het gaat namelijk om overtredingen waar de curator geen invloed op heeft kunnen uitoefenen. Hij kan de schade ook niet beperken of voorkomen, want de volledige gebeurtenis heeft al plaatsgevonden. In dat geval is de curator ook op grond van de AVG niet aansprakelijk voor eventuele schade. De betrokkene heeft uitsluitend een verifieerbare concurrente vordering jegens de failliet, die ter verificatie kan worden ingediend.