Onlangs
werd bekend
dat curatoren klantenbestanden van failliete ondernemingen verkopen zonder
daarbij de toepasselijke privacywetgeving in acht te nemen. In de praktijk is
de verhouding tussen de wettelijke taak van de curator om de boedel te
vereffenen en de verplichtingen op grond van de AVG kennelijk onduidelijk. Bij sommige
curatoren bestaat de mening dat het vereffenen van de boedel de (wettelijke
verplichte) kerntaak is van de curator en daardoor niet kan worden gehinderd
door de AVG. Maar wat mogen curatoren vanuit privacyrechtelijk perspectief nou
eigenlijk met zo’n klantenbestand?

De
taak van de curator

Wanneer een onderneming
failliet is gegaan neemt de curator de positie van de failliete onderneming
over. Dit betekent dat de curator in beginsel dezelfde vermogensrechtelijke
rechten en verplichtingen heeft als de onderneming voor het faillissement. Curatoren
hebben op grond van de faillissementswet de taak om de boedel te beheren en vereffenen.
Dit betekent dat ze de volledige beschikking krijgen over het vermogen en zoveel
mogelijk opbrengsten proberen te genereren om daarmee zichzelf en de
schuldeisers te betalen. Zowel door overname van de vermogensrechtelijke
positie van de failliete onderneming als in de uitvoering van zijn taak krijgt
de curator te maken met privacy. De curator moet rekening houden met de
privacyrechtelijke verplichtingen die de onderneming had voor het
faillissement, maar heeft ook zelfstandig de verplichting zich aan
privacywetgeving te houden bij het vereffenen van de boedel.

Klantenbestand
in de failliete boedel en de AVG

Een klantenbestand bestaat in
de regel uit: namen, adressen, telefoonnummers en e-mailadressen. Dit zijn
persoonsgegevens in de zin van de AVG. Persoonsgegevens zijn alle gegevens aan
de hand waarvan een natuurlijke persoon kan worden geïdentificeerd.
Klantenbestanden kunnen een aanzienlijke waarde vertegenwoordigen en zijn aan
te merken als vermogen van een onderneming. Ter uitvoering van de taak van de
curator wordt een klantenbestand dus regelmatig verkocht ten behoeve van de
boedel.

De AVG is van toepassing op de
verwerking van persoonsgegevens. Alle
handelingen met betrekking tot persoonsgegevens worden op grond van de AVG
aangemerkt als een verwerking (denk aan ordenen, structureren, opslaan,
bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken). De
verkoop en overdracht van het klantenbestand aan de koper is dus aan te merken
als een verwerking van persoonsgegevens waarop de AVG van toepassing is.

Omdat de curator in de
vermogensrechtelijke positie van de failliet treedt en het beheer en de
beschikking over het vermogen krijgt, kan hij beslissen wat er met het
klantenbestand gebeurt. De curator bepaalt dus het doel en de middelen van de
verwerking en is aan te merken als verwerkingsverantwoordelijke. De curator
moet zich daarom aan de verplichtingen van de AVG houden.

Verplichtingen
van de curator op grond van de AVG

De AVG is dus van toepassing
op het handelen van de curator, daar waar het persoonsgegevens betreft. Dat
betekent (onder meer) dat de curator de persoonsgegevens alleen mag verwerken
als daarvoor een grondslag kan worden in de AVG, zoals toestemming, wettelijke
verplichting of gerechtvaardigd belang.

Wettelijke verplichting

Verwerking op grond van een wettelijke
verplichting vereist dat uit die wet voldoende duidelijk moet blijken wat de
aard en het doel van de verwerking is en om welke gegevens het gaat. Deze wettelijke
grondslag kan gevonden worden in artikel 68 Faillissementswet waarin de plicht van
de curator tot vereffening van de boedel is opgenomen. Door een aantal curatoren
wordt betoogd dat zij op grond hiervan verplicht zijn het klantenbestand, die
waarde vertegenwoordigt, te verkopen.

Deze wet zegt echter niet
uitdrukkelijk dat de verkoop van klantenbestanden onder het vereffenen van de
boedel valt. Bovendien heeft de curator vrijheid bij het beheren van de boedel
en kan naar eigen inzicht bepalen of hij het klantenbestand al dan niet
verkoopt. Een plicht verondersteld geen keuzeruimte. Het is dus de vraag of
deze wettelijke grondslag kwalificeert als grondslag voor de rechtmatige
verwerking van persoonsgegevens door de curator. De Autoriteit Persoonsgegevens (AP) publiceerde in 2017
op haar website dat wel sprake is van een wettelijke grondslag, waar zij
overigens eerder
nog oordeelde dat daarvan geen sprake was omdat de wet de verkoop van het
klantenbestand niet vereist. De AP heeft het standpunt uit 2017 verwijderd van
haar website, en stelt inmiddels dat niet zomaar door de curator over kan
worden gegaan tot verkoop van het klantenbestand met persoonsgegevens.

Toestemming 

Voor de grondslag toestemming
is volgens de AVG vereist dat betrokkenen hun specifieke, vrije, geïnformeerde
en ondubbelzinnig instemming geven aan de verwerking van hun persoonsgegevens. Het
is de vraag of het voldoende is dat de betrokkenen op voorhand toestemming geven
aan de (dan nog niet failliete) onderneming, door in te stemmen met
verstrekking van de gegevens aan derden in geval van een
faillissementssituatie. De omstandigheden die zich dan zullen voordoen zijn
immers nog niet bekend (is het dan specifiek genoeg?). De curator zou ook
alsnog toestemming kunnen vragen, maar je zal begrijpen dat dat om praktische redenen
onmogelijk kan zijn bijvoorbeeld als het klantenbestand omvangrijk is.

Gerechtvaardigd belang

De laatste, voor dit geval,
relevante grondslag is het gerechtvaardigd belang. Dit komt neer op een
afweging van het belang van de curator bij de verkoop van het klantenbestand en
de privacybelangen van de betrokkenen. De curator moet deze afweging voor ieder
geval zorgvuldig maken en kunnen aantonen hoe hij deze heeft gemaakt. Er wordt
wel aangenomen dat de belangenafweging sneller in het voordeel van de curator
uit zal vallen in het geval van een doorstart. De gegevens zullen dan in de
regel worden gebruikt voor vergelijkbare diensten. De curator zou daarbij
kunnen bedingen dat de koper de gegevens voor dezelfde doelen en onder dezelfde
voorwaarden zal gebruiken. Voorwaarde voor een doorstart zal ook regelmatig
zijn dat het klantenbestand wordt overgedragen. Het is in dit kader voor
curatoren aan te raden om waarborgen te treffen om de belangen van de
betrokkenen zoveel mogelijk te beschermen.

In geval van losse verkoop van
het klantenbestand, zal het sneller voor kunnen komen dat de koper de gegevens
voor andere doeleinden wil gebruiken. Het is dan afhankelijk van het doel of de
belangen van de curator bij verstrekking en die van de ontvanger bij
verkrijging zwaarder wegen dan de privacybelangen van de klanten.

Geen
gehoor is rechtdoor

Er wordt wel geopteerd, en het
is in de praktijk ook al gebruikt maar nog niet getoetst, voor een
bezwaartermijn. De curator die als verwerkingsverantwoordelijke toch al
verplicht is de betrokkenen te informeren over de voorgenomen verkoop, geeft
dan een termijn aan de betrokkene om bezwaar te maken. Wordt er geen bezwaar
gemaakt, dan wordt instemming verondersteld. Dit geldt overigens niet als
toestemmingsgrondslag, maar als waarborg in het kader van de belangenafweging
voor het gerechtvaardigd belang. Ook hier vallen nog wel wat praktische
bezwaren te bedenken, je moet dan even zo goed de betrokkenen benaderen.

AVG
compliance

De AVG is niet bedoeld om de
taakuitoefening van de curator onmogelijk te maken, al voelt dat wellicht wel
zo. Zeker omdat over de verhouding tussen het boedelbelang en de AVG nog
onduidelijkheid bestaat en het zich in de praktijk nog zal moeten
uitkristalliseren. Belangrijk is in ieder geval dat curatoren zich bewust zijn
van de verplichtingen op grond van de AVG en zich daaraan zullen houden om de
privacy van de betrokken te waarborgen. De gevolgen van overtreding van de AVG
door curatoren kunnen ingrijpend zijn, niet alleen voor de betrokken, maar ook
voor curatoren en kopers die door de AP gesanctioneerd kunnen worden.

Wil je meer weten over dit
onderwerp neem dan contact op met Lora of Yentl.

https://www.solv.nl/weblog/mag-de-curator-een-klantenbestand-verkopen-onder-de-avg/21794