2.2.1 Uitzondering bij de voortzetting van de onderneming?

In januari 2020 stuurde de AP een brief naar INSOLAD over de verwerking van persoonsgegevens in faillissement. De AP bevestigt in die brief dat curatoren in hun hoedanigheid van verwerkingsverantwoordelijke, verplicht zijn de regels uit de AVG en de UAVG na te leven.1 De positie van de curator in faillissement gaat gepaard met verantwoordelijkheid ten aanzien van de persoonsgegevens in de boedel.2

Vervolgens werkt de AP in de brief aan aantal verschillende scenario’s uit die in faillissement kunnen spelen. Eén van die scenario’s ziet op de voortzetting van de activiteiten van dezelfde gefailleerde rechtspersoon door de curator. De AP omschrijft dit scenario als volgt: er kan sprake zijn van een tijdelijke voortzetting van de activiteiten van de gefailleerde rechtspersoon door de curator met als doel een going concern-verkoop van de failliet te bewerkstelligen. In dat geval wordt de rechtspersoon door de curator voortgezet, hoewel er volgens de AP wel sprake kan zijn van een ‘gewijzigde vorm’.3

Vervolgens lijkt de AP af te wijken van haar eerdere standpunt dat de curator vanaf het moment dat hij is benoemd, verwerkingsverantwoordelijke is. De AP stelt het volgende:

Als de curator verder gaat met verwerkingen die de failliet voor faillissement ook uitvoerde én hij dit doet voor dezelfde doeleinden, lijkt de AP minder strikte eisen te stellen aan de grondslagen die de curator kan gebruiken. Als de failliet een grondslag had om persoonsgegevens te verwerken, mag de curator doorgaan met die verwerkingen op basis van dezelfde grondslag.

Het is onduidelijk of de AP hier bedoelt dat, bij voortzetting van de onderneming, die rechtspersoon die de onderneming drijft of in stand houdt ook de verwerkingsverantwoordelijke blijft, ook al verkeert die onderneming in staat van faillissement. Dit kan worden opgemaakt uit het citaat, maar eerder in dezelfde brief stelt de AP dat de “positie van de curator(en) in faillissement aldus gepaard [gaat] met een (al dan niet gezamenlijke) verantwoordelijkheid ten aanzien van de persoonsgegevens in de boedel van de gefailleerde”.5 De AP geeft zelf niet aan hoe deze uitzondering zich verhoudt tot het uitgangsprincipe van verwerkingsverantwoordelijkheid voor de curator.6

Daarnaast ligt het niet voor de hand om de onderneming of de failliet tijdens faillissement als de verwerkingsverantwoordelijke te zien. Op basis van de Faillissementswet verliest de schuldenaar door de faillietverklaring de beschikking en het beheer over het tot de boedel behorend vermogen.7 Of de curator ervoor kiest om de onderneming tijdelijk voort te zetten of om direct te gaan vereffenen, maakt niet veel uit aangezien hij in beide gevallen bezig is met de afwikkeling van het faillissement. Er is geen hard onderscheid te maken tussen beide vormen van beheer van de boedel.

Bovendien is het vanuit het perspectief van de AVG ook tijdens de voortzetting van de onderneming de curator die beslist voor welke doeleinden persoonsgegevens worden verwerkt. Ook het conceptwetsvoorstel voor de Verzamelwet gegevensbescherming lijkt ervan uit te gaan dat de curator tijdens faillissement te allen tijde verwerkingsverantwoordelijke is.8 Zwenne en Van Vlijmen concluderen dan ook dat duidelijk is dat “de curator, en niet de failliet, heeft te gelden als verwerkingsverantwoordelijke, zodra hij is benoemd”.9

Ik meen ook dat de curator tijdens faillissement de verwerkingsverantwoordelijke is en blijft ten aanzien van verwerkingen die in het kader van het beheer en de vereffening van de boedel onder zijn verantwoordelijkheid als curator plaatsvinden, onafhankelijk van het type gegevensverwerking dat hij uitvoert. Er is geen goede reden om aan te nemen dat de curator bij voortzetting van de onderneming geen verwerkingsverantwoordelijke zou zijn. Bovendien zou het voor onder meer de aansprakelijkheid voor onrechtmatige gegevensverwerkingen tijdens faillissement onaantrekkelijk zijn om afhankelijk van het type verwerking andere partijen aansprakelijk te stellen.10

Wellicht dat de brief van de AP als een geste naar de curator kan worden gezien: vanwege de bijzondere situatie van het faillissement mag hij, als praktische oplossing, gebruikmaken van de grondslagen van de failliet als hij exact dezelfde verwerkingen voor dezelfde doeleinden uitvoert. Hij kan daardoor het bedrijf van de failliet zonder problemen voortzetten. Tegelijkertijd blijft het een uitgangspunt van de AVG dat geen enkele verwerkingsverantwoordelijke persoonsgegevens kan verwerken op de grondslag van een ander, maar altijd zelf een eigen grondslag nodig heeft.

Toch kan ik mij het standpunt van de AP wel voorstellen, indien het wordt gelezen als een praktische interpretatie van de taak van de curator. In dat geval zou de grondslag van de taak van de curator (die ik uitgebreid bespreek in hoofdstuk III) maken dat hij zich bij een voortzetting van de onderneming kan baseren op de vóór de faillietverklaring bestaande grondslagen van de failliet. Als de curator de onderneming voortzet, kan hij op die manier gebruik maken van de grondslagen voor de verwerking van persoonsgegevens waar de failliet zich ook al op baseerde. Dit zorgt ervoor dat de curator zonder al te veel praktische problemen – vanuit de AVG bezien – de onderneming voort kan zetten, zonder te moeten zoeken naar tal van nieuwe grondslagen. Als dit niet zo is, zou de curator voor iedere verwerking van persoonsgegevens tijdens de voortzetting van de onderneming zelfstandig een nieuwe grondslag moeten verwerven.

Mocht het voorstel voor de Verzamelwet gegevensbescherming aangenomen worden door de Staten-Generaal, dan maakt dit het probleem van de grondslag voor de curator bij de voortzetting van de onderneming eenvoudiger. In de Verzamelwet – die ik uitgebreider bespreek in hoofdstuk III – is een bepaling opgenomen die de curator een grondslag geeft om de noodzakelijke persoonsgegevens te verwerken tijdens het beheer en de vereffening van de boedel.11 Daarin is aangegeven dat als noodzakelijk voor beheer en vereffening in ieder geval ook worden begrepen gegevensverwerkingen in het kader van de voortzetting van het bedrijf.12