5.3 Reikwijdte van de rechten in faillissement

Iedere verwerking van persoonsgegevens vindt plaats onder de verantwoordelijkheid van een verwerkingsverantwoordelijke.1 De rechten van betrokkenen zijn inroepbaar tegen een verwerkingsverantwoordelijke. Het is daarom van groot belang om vast te stellen waarvoor de curator precies verantwoordelijk is.

De verwerkingsverantwoordelijkheid van de faillissementscurator ziet op eigen verwerkingen. Een curator is niet verantwoordelijk voor een bestand met persoonsgegevens als zodanig, maar uitsluitend voor zijn verwerking van die persoonsgegevens.2 Hij is géén verwerkingsverantwoordelijke voor verwerkingen die door de failliet zijn verricht.3 De betrokkene kan zijn rechten alleen inroepen tegen de curator wanneer die zien op verwerkingen waarvoor de curator verwerkingsverantwoordelijke is. De betrokkene weet dat de curator zijn persoonsgegevens verwerkt omdat de curator hem daarover moet informeren.4

De curator verkrijgt de zeggenschap over de administratie van de failliet.5 Deze verkrijging is een verwerking, evenals het doorzoeken of bewaren van die gegevens.6 Doordat de curator persoonsgegevens gaat verwerken, krijgt hij ook de verplichting om verzoeken van betrokkenen te beantwoorden. Een betrokkene kan zich dus tot een curator wenden om zijn rechten uit te oefenen met betrekking tot de verwerkingen die de curator heeft uitgevoerd. Een inzageverzoek van een betrokkene tegen de curator ziet bijvoorbeeld alleen op de verwerkingsdoeleinden waarvoor de curator persoonsgegevens verwerkt, niet op de verwerkingsdoeleinden waarvoor de failliet de persoonsgegevens verwerkte.7

Het kan voorkomen dat een curator bepaalde persoonsgegevens doorgeeft aan een derde – bijvoorbeeld een overnemende partij – en daarna verwijdert, of verwijdert omdat hij de persoonsgegevens niet meer nodig heeft en daardoor niet meer kan voldoen aan bepaalde verzoeken van betrokkenen. In beginsel is dit in lijn met de AVG: de beginselen van minimale gegevensverwerking en opslagbeperking vereisen dat persoonsgegevens verwijderd worden zodra het niet meer noodzakelijk is om ze te bewaren.8 Ook artikel 11 AVG schrijft voor dat persoonsgegevens niet hoeven te worden bewaard louter om aan verzoeken van betrokkenen te voldoen. Dit betekent echter niet dat de curator ook ‘onder verzoeken uit kan komen’ door persoonsgegevens te verwijderen. Er zijn hierbij verschillende situaties te onderscheiden. Als een betrokkene een verzoek bij de curator indient op het moment dat de betreffende persoonsgegevens al zijn verwijderd, kan de curator dat berichten aan de betrokkene. Het kan ook voorkomen dat een curator persoonsgegevens verwijdert of overdraagt en er na enige tijd achter komt dat er nog een verzoek openstaat, waarop niet meer gereageerd kan worden. In die gevallen handelt de curator mijns inziens niet in strijd met de AVG. Hij heeft de beginselen van dataminimalisatie en opslagbeperking juist nageleefd. Wel kan hij, wanneer hij persoonsgegevens heeft overgedragen, het verzoek doorgeven aan degene aan wie de persoonsgegevens zijn verstrekt en de betrokkene daarvan op de hoogte stellen. Die derde is immers de nieuwe verwerkingsverantwoordelijke.

De curator mag echter niet de uitoefening van de rechten van betrokkenen bewust frustreren. Zo mag hij niet, nadat een verzoek is binnengekomen, de betreffende persoonsgegevens verwijderen waardoor hij niet langer aan het verzoek kan voldoen.9 Artikel 12 lid 2 AVG verlangt dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkenen faciliteert. Hiervan is geen sprake als betrokkenen worden tegengewerkt bij het uitoefenen van hun rechten. Dergelijk handelen is strijdig met de beginselen van behoorlijkheid en transparantie.10 Daarnaast mag het beginsel van dataminimalisatie niet worden misbruikt om aan verzoeken van betrokkenen te ontkomen. De curator ontzegt betrokkenen in dat geval ook hun rechten op controle, terwijl deze rechten en de bijbehorende controle een belangrijk deel van de AVG zijn.11