Overdracht van persoonsgegevens in faillissement: staat AVG in de weg?

Meer faillissementen door corona-maatregelen

Elke week gaan in Nederland vele tientallen bedrijven failliet. Het is te verwachten dat het aantal faillissementen nog aanzienlijk zal stijgen in de nasleep van de coronavirus (COVID-19)-pandemie. De vraag of persoonsgegevens in faillissement mogen worden overgedragen aan derden, al dan niet in het kader van een doorstart van de onderneming, wordt daardoor steeds relevanter. De vraag is: staat de Algemene verordening gegevensbescherming (AVG) een overdracht van persoonsgegevens in faillissement in de weg?

Curator moet alles wat verkocht kan worden, verkopen

Als voormalig curator – ik ben twee jaar curator geweest in Amsterdam – kan ik uit ervaring spreken dat een curator in een faillissement van alles op het bordje krijgt geserveerd. Vaak heeft de curator te maken met veel persoonsgegevens, niet alleen van werknemers maar ook van klanten. In het klantenbestand staan vaak niet alleen bestaande klanten, maar ook voormalige en nieuwe (potentiële) klanten. Het ophalen van inkomsten ten behoeve van schuldeisers is een van de verplichtingen van de curator. Alles wat van het failliete bedrijf verkocht kan worden, moet worden verkocht. Ook als dat een klantenbestand is dat een bepaalde waarde vertegenwoordigt. Bij een doorstart na een faillissement gaat de gehele onderneming mee, inclusief het volledige klantenbestand. Kan dit nog wel onder de AVG? Dit kan en moet zeker (blijven) kunnen.

Brief van de AP aan curatoren

De Autoriteit Persoonsgegevens (AP) liet begin 2020 op dit punt opeens een ander signaal horen. In een brief aan INSOLAD, de vereniging van advocaten die als curator optreden in faillissementen, waarschuwde de AP dat curatoren geen persoonsgegevens mogen doorverkopen zonder toestemming van alle betrokkenen. Ik citeer de AP:

“Bij de verkoop van persoonsgegevens (e.g. in de vorm van een klantenbestand) (…) is sprake van een verstrekking aan een andere verwerkingsverantwoordelijke. (…) Een dergelijke verstrekking van persoonsgegevens dient te worden gebaseerd op de voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.”

De AP wil daarmee een duidelijke lijn trekken als het gaat om haar overtuiging dat alleen “toestemming” een geschikte grondslag voor verdere verwerking kan zijn. Dit standpunt zal echter (onnodig) leiden tot onwerkbare situaties in de praktijk. Daarnaast strookt dit niet met eerdere uitlatingen van de AP, waaruit blijkt dat een overdracht van persoonsgegevens kan worden gebaseerd op de grondslag “gerechtvaardigd belang”. Het woord “gerechtvaardigd belang” komt echter nul keer voor in de brief aan INSOLAD. Dit is opvallend, omdat de grondslag “gerechtvaardigd belang” een zeer geschikte grondslag is voor de overdracht van persoonsgegevens in een faillissement.

Doorstart bij Travelbird en artsen

Zo werden in het faillissement van reisorganisatie Travelbird eind 2018 (toen de AVG al gold) de (voormalige) klanten van Travelbird door de curator vooraf netjes geïnformeerd over de doorstart door Secret Escapes, een andere reisorganisatie. De klanten kregen de mogelijkheid hiertegen bezwaar te maken als zij niet mee wilden in de doorstart. Na afloop van de termijn gingen alle klanten die geen bezwaar hadden gemaakt, “mee” in de doorstart. Deze werkwijze werd geprezen door de AP, als de manier waarop het “hoort te gaan”. De grondslag was hier onmiskenbaar “gerechtvaardigd belang” en niet “toestemming”. De AP legt ergens nergens uit dat (en waarom) zij hierover van gedachten is veranderd.

Een ander voorbeeld: de VvAA (Vereniging van Artsen Automobilisten) publiceerde op 1 augustus 2019 (ruim na de inwerkingtreding van de AVG) op haar website een geruststellend bericht voor artsen: de AP had in een statement aan VvAA bevestigd dat bij een praktijkovername géén expliciete toestemming hoeft te worden gevraagd aan patiënten voor de overdracht van hun dossier. Vooraf informeren en het geven van een bezwaartermijn zou volstaan. Als een gehele artsenpraktijk op deze manier mag worden overgedragen (waarbij het om bijzondere persoonsgegevens gaat en niet alleen lopende behandelingsovereenkomsten worden overgedragen), waarom zou een dergelijke overdracht niet in een faillissement mogen? Hier is geen goede reden voor te bedenken.

Wanneer past “gerechtvaardigd belang”?

Volgens de AVG moet elke verwerking van persoonsgegevens rechtmatig zijn. Dat betekent dat ten minste een van de in artikel 6 AVG genoemde “grondslagen” van toepassing moet zijn. “Toestemming” is een van de grondslagen, maar “gerechtvaardigd belang” is er ook een (artikel 6 lid 1 sub f AVG). “Gerechtvaardigd belang” wordt vaak gebruikt op het moment dat een andere grondslag niet mogelijk of onlogisch is. Denk aan cameratoezicht, fraudepreventie, of het informeren van bestaande klanten over de eigen producten of diensten. De AP bevestigt dit in de normuitleg die zij publiceerde over “gerechtvaardigd belang”. De AP noemt echter niet “bedrijfsovername of doorstart bij een faillissement” als een mogelijke toepassing van “gerechtvaardigd belang”. Dit was een gemiste kans voor de AP om duidelijkheid hierover te geven, in lijn met haar eerdere statements over de overdracht van klantbestanden bij Travelbird en de VvAA.

Toepassing van “gerechtvaardigd belang” in faillissement

Om “gerechtvaardigd belang” als grondslag te kunnen toepassen, dienen drie ‘testvragen’ te worden beantwoord. Deze testvragen staan in de normuitleg van de AP over “gerechtvaardigd belang”. Andere Europese privacy-toezichthouders (zoals de Britse ICO) hanteren dezelfde testvragen en hebben een uitgebreidere toelichting gepubliceerd over de toepassing van “gerechtvaardigd belang”:

1. Is het belang gerechtvaardigd? (“Purpose test”)
2. Is de verwerking noodzakelijk? (“Necessity test”)
3. Heb ik alle belangen voldoende afgewogen? (“Balancing test”)

Deze drie testvragen zal ik hieronder bespreken voor de toepassing van “gerechtvaardigd belang” in een faillissement:

1. Belang moet gerechtvaardigd zijn (“Purpose test”).

De eerste testvraag is: is er een te rechtvaardigen belang? Volgens de normuitleg van de AP moet sprake zijn van een belang dat is benoemd in een algemene wet, of volgt uit een algemeen rechtsbeginsel. Daarvan is sprake in een faillissement: de curator heeft namelijk de wettelijke taak om de failliete onderneming te ‘vereffenen’. Dit betekent dat de curator alles wat van waarde is, ook moet verkopen, ten behoeve van de schuldeisers. Het is dus de wettelijke taak van de curator om een zo hoog mogelijke verkoopopbrengst te realiseren.

Dit lijkt echter te botsen met een andere stelling van de AP in dezelfde normuitleg, namelijk dat een “zuiver commercieel belang” of “winstmaximalisatie” nooit een “gerechtvaardigd belang” kan vormen. Dit leidt in de praktijk tot veel vragen en discussie, want: wanneer is iets zuiver commercieel? Waar ligt de grens? Waarom vindt de AP commerciële belangen eigenlijk zo slecht? Hoe dan ook: nu de taak van de curator een wettelijke basis heeft, is er een belang dat “gerechtvaardigd” is. Aan de “purpose test” wordt voldaan.

2. De verwerking moet nodig zijn (“Necessity test”)

De tweede testvraag is of de verwerking van persoonsgegevens nodig is om het eerder genoemde belang te behartigen. Als een onderneming failliet gaat, dan moeten alle vermogensbestanddelen worden verkocht, om de schulden zoveel mogelijk te voldoen. De onderneming wordt soms tijdelijk voortgezet door de curator, maar dat is altijd van korte duur, vanwege de kosten en risico’s (aansprakelijkheid) voor de curator. Om een faillissement af te wikkelen, moet dus alles worden verkocht aan derden. Soms is een doorstart mogelijk, waarbij de gehele onderneming wordt overgedragen aan een derde partij, die de onderneming voortzet, al dan niet onder dezelfde naam als de failliete onderneming. Bij een doorstart is altijd sprake van een overdracht aan een derde. De failliete vennootschap houdt immers op te bestaan, zodra het faillissement is afgewikkeld. De overdracht van een onderneming, inclusief het klantenbestand, is nodig om een doorstart te realiseren. Aan de “necessity test” wordt dus ook voldaan.

3. Alle belangen moeten worden afgewogen (“Balancing test”).

De derde test is misschien wel de belangrijkste: de belangenafweging. In een faillissement zijn er meerdere spelers die allemaal hun eigen belangen hebben:

• De schuldeisers hebben belang bij een zo hoog mogelijke verkoopopbrengst, zodat de schulden zoveel mogelijk worden voldaan.
• De curator handelt ten behoeve van de schuldeisers en heeft een belang om het gehele vermogen van het failliete bedrijf te verkopen en over te dragen aan een doorstarter (dit levert vaak het meeste op).
• Werknemers hebben belang bij een doorstart, want dan is de kans op behoud van werkgelegenheid het grootst. Werknemers van een failliete onderneming worden allemaal ontslagen, maar kunnen worden overgenomen door de doorstarter.
• De doorstarter wil doorgaans de failliete onderneming ‘intact’ overnemen, inclusief het volledige klantenbestand. Het klantenbestand maakt vaak een belangrijk onderdeel uit van de failliete onderneming en vertegenwoordigt een groot deel van de ‘goodwill’ die de doorstarter bereid is te betalen aan de curator.
• Klanten van de failliete onderneming hebben het belang op bescherming van hun persoonlijke levenssfeer en dat hun persoonsgegevens niet zonder hun medeweten worden doorverkocht. Klanten willen tijdig worden geïnformeerd en “in control” kunnen zijn ten aanzien van hun persoonsgegevens. Klanten kunnen echter ook belang hebben bij een doorstart, bijvoorbeeld voor de voortzetting van lopende behandelingen of contracten, of om nieuwe producten of diensten te kunnen afnemen. Bij een doorstart zijn de risico’s voor klanten doorgaans klein, omdat het meestal ‘gewone’ persoonsgegevens betreft, zoals NAW-gegevens. Bovendien zal in een doorstart vaak sprake zijn van hetzelfde (of verenigbaar) doeleinde voor het gebruik van een klantenbestand. Dit wordt benoemd in het artikel van Minke Reijneveld; zij promoveert op dit onderwerp. Ook de rechtbank Amsterdam nam in een uitspraak in 2004 aan dat een doorstarter persoonsgegevens voor hetzelfde doeleinde kan verwerken.

Stappenplan voor de curator

Voordat persoonsgegevens kunnen worden overgedragen in een faillissement, zal de curator een aantal concrete stappen kunnen doorlopen:

1. De curator beantwoordt de hierboven genoemde drie ‘testvragen’ en documenteert met name de belangenafweging, in het kader van de verantwoordingsplicht.
2. De curator spreekt af met de beoogde doorstarter (of als een doorstart niet lukt: de ontvanger) dat de persoonsgegevens alleen voor hetzelfde (of een verenigbaar) doel mogen worden gebruikt als waarvoor de failliete onderneming deze gebruikte (doelbinding).
3. De curator informeert iedereen uit het klantenbestand over de voorgenomen doorstart, waarbij de klanten de mogelijkheid krijgen bezwaar te maken tegen de overdracht van hun persoonsgegevens aan de doorstarter. In de praktijk wordt hiervoor vaak een termijn van 2-4 weken aangehouden.
4. Van de klanten die wel bezwaar maken, worden de gegevens niet overgedragen aan de doorstarter.
5. De klanten die niet binnen de gestelde termijn bezwaar hebben gemaakt, worden overgedragen aan de doorstarter.
6. De doorstarter informeert de klanten die meegegaan zijn over de producten of diensten die de doorstarter kan (blijven) leveren aan de klanten. Conform de AVG kunnen klanten natuurlijk altijd een verwijderverzoek doen.

Overdracht van persoonsgegevens in faillissement: AVG staat niet in de weg

Uit het bovenstaande volgt dat “gerechtvaardigd belang” een passende en logische grondslag is in een faillissement, in ieder geval bij een doorstart. Door de vereiste belangenafweging wordt voldoende recht gedaan aan de belangen van alle betrokkenen:

• schuldeisers (betaling van de schulden)
• de curator (hoge opbrengst, afwikkeling faillissement)
• klanten (die voldoende “in control” kunnen zijn, mits ze goed worden geïnformeerd) en
• werknemers (werkgelegenheid).

Juist in deze crisistijd, waarin er veel meer faillissementen worden verwacht in de nasleep van de COVID19-pandemie, is er behoefte aan rechtszekerheid. Dit vraagt om een consistente uitleg van het begrip “gerechtvaardigd belang”. Deze grondslag mag niet zomaar aan de kant worden geschoven of verzwegen, als de AVG hiervoor expliciet ruimte biedt. Als een beroep op “gerechtvaardigd belang” niet meer mogelijk zou zijn, dan heeft dit verregaande gevolgen voor de faillissementspraktijk (en mogelijk ook voor de algehele overnamepraktijk): de doorstart in faillissement wordt hierdoor in belangrijke mate geblokkeerd, waardoor meer waardeverlies optreedt dan nodig. Dit is in niemands belang. Bij deze een oproep aan de AP: bevestig (wederom) dat een beroep op “gerechtvaardigd belang” in een faillissement mogelijk is!

Als je vragen hebt of advies nodig hebt over de overdracht van persoonsgegevens in een faillissement, neem dan contact met mij op.