Elke week gaan in Nederland vele tientallen bedrijven failliet. Het is te verwachten dat het aantal faillissementen aanzienlijk zal stijgen in de nasleep van de coronavirus (COVID-19)-pandemie. De vraag of persoonsgegevens in faillissement mogen worden overgedragen aan derden, al dan niet in het kader van een doorstart van de onderneming, wordt daardoor steeds relevanter. De vraag is: staat de Algemene verordening gegevensbescherming (AVG) een overdracht van persoonsgegevens in faillissement in de weg?
Als voormalig curator - ik ben twee jaar curator geweest in Amsterdam - kan ik uit ervaring spreken dat een curator in een faillissement van alles op het bordje krijgt geserveerd. Vaak heeft de curator te maken met veel persoonsgegevens, niet alleen van werknemers maar ook van klanten. In het klantenbestand staan vaak niet alleen bestaande klanten, maar ook voormalige en nieuwe (potentiële) klanten. Het ophalen van inkomsten ten behoeve van schuldeisers is een van de verplichtingen van de curator. Alles wat van het failliete bedrijf verkocht kan worden, moet worden verkocht. Ook als dat een klantenbestand is dat een bepaalde waarde vertegenwoordigt. Bij een doorstart na een faillissement gaat de gehele onderneming mee, inclusief het volledige klantenbestand.(1) Kan dit nog wel onder de AVG? Dit kan en moet zeker (blijven) kunnen.
De Autoriteit Persoonsgegevens (AP) liet begin dit jaar op dit punt opeens een ander signaal horen. In een brief aan INSOLAD, de vereniging van advocaten die als curator optreden in faillissementen, waarschuwde de AP dat curatoren geen persoonsgegevens mogen doorverkopen zonder toestemming van alle betrokkenen. Ik citeer de AP: “Bij de verkoop van persoonsgegevens (e.g. in de vorm van een klantenbestand) (…) is sprake van een verstrekking aan een andere verwerkingsverantwoordelijke. (…) Een dergelijke verstrekking van persoonsgegevens dient te worden gebaseerd op de voorafgaande toestemming van de betrokkene(n) conform artikel 7 AVG.”
De AP wil daarmee een duidelijke lijn trekken als het gaat om haar overtuiging dat alleen “toestemming” een geschikte grondslag voor verdere verwerking kan zijn. Dit standpunt zal echter (onnodig) leiden tot onwerkbare situaties in de praktijk. Daarnaast strookt dit niet met eerdere uitlatingen van de AP, waaruit blijkt dat een overdracht van persoonsgegevens kan worden gebaseerd op de grondslag “gerechtvaardigd belang”.(2) Het woord “gerechtvaardigd belang” komt echter nul keer voor in de brief aan INSOLAD. Dit is opvallend, omdat de grondslag “gerechtvaardigd belang” een zeer geschikte grondslag is voor de overdracht van persoonsgegevens in een faillissement.(3)
Zo werden in het faillissement van reisorganisatie Travelbird eind 2018 (toen de AVG al gold) de (voormalige) klanten van Travelbird door de curator vooraf netjes geïnformeerd over de doorstart door Secret Escapes, een andere reisorganisatie. De klanten kregen de mogelijkheid hiertegen
bezwaar te maken als zij niet mee wilden in de doorstart. Na afloop van de termijn gingen alle klanten die geen bezwaar hadden gemaakt, “mee” in de doorstart. Deze werkwijze werd geprezen door de AP, als de manier waarop het “hoort te gaan”. De grondslag was hier onmiskenbaar “gerechtvaardigd belang” en niet “toestemming”.(4) De AP legt nergens uit dat (en waarom) zij hierover van gedachten is veranderd.
Volgens de AVG moet elke verwerking van persoonsgegevens rechtmatig zijn. Dat betekent dat ten minste een van de in artikel 6 AVG genoemde “grondslagen” van toepassing moet zijn. “Toestemming” is een van de grondslagen, maar “gerechtvaardigd belang” is er ook een (artikel 6 lid 1 sub f AVG). “Gerechtvaardigd belang” wordt vaak gebruikt op het moment dat een andere grondslag niet mogelijk of onlogisch is. Denk aan cameratoezicht, fraudepreventie, of het informeren van bestaande klanten over de eigen producten of diensten. De AP bevestigt dit in de normuitleg die zij publiceerde over “gerechtvaardigd belang”. De AP noemt echter niet “bedrijfsovername of doorstart bij een faillissement” als een mogelijke toepassing van “gerechtvaardigd belang”. Dit was een gemiste kans voor de AP om duidelijkheid hierover te geven, in lijn met haar eerdere statements over de overdracht van klantbestanden bij Travelbird en de VvAA.
Om “gerechtvaardigd belang” als grondslag te kunnen toepassen, dienen drie ‘testvragen’ te worden beantwoord. Deze testvragen staan in de normuitleg van de AP over “gerechtvaardigd belang”. Andere Europese privacy-toezichthouders (zoals de Britse ICO) hanteren dezelfde testvragen en hebben een uitgebreidere toelichting gepubliceerd over de toepassing van “gerechtvaardigd belang”:
Is het belang gerechtvaardigd? (“Purpose test”)
Is de verwerking noodzakelijk? (“Necessity test”)
Heb ik alle belangen voldoende afgewogen? (“Balancing test”)
Deze drie testvragen zal ik hieronder bespreken voor de toepassing van “gerechtvaardigd belang” in een faillissement:
De eerste testvraag is: is er een te rechtvaardigen belang? Volgens de normuitleg van de AP moet sprake zijn van een belang dat is benoemd in een algemene wet, of volgt uit een algemeen rechtsbeginsel.(5) Daarvan is sprake in een faillissement: de curator heeft namelijk de wettelijk verankerde taak om de failliete onderneming te ‘vereffenen’.(6) Dit betekent dat de curator alles wat van waarde is, ook moet verkopen, ten behoeve van de schuldeisers. Het is dus de wettelijke taak van de curator om een zo hoog mogelijke verkoopopbrengst te realiseren. Dit lijkt echter te botsen met een andere stelling van de AP in dezelfde normuitleg, namelijk dat een “zuiver commercieel belang” of “winstmaximalisatie” nooit een “gerechtvaardigd belang” kan vormen. Dit leidt in de praktijk tot veel vragen en discussie, want: wanneer is iets zuiver commercieel? Waar ligt de grens? Waarom vindt de AP commerciële belangen eigenlijk slecht? Hoe dan ook: nu de taak van de curator een wettelijke basis heeft, is er een belang dat “gerechtvaardigd” is. Aan de “purpose test” wordt voldaan.
De tweede testvraag is of de verwerking van persoonsgegevens nodig is om het eerder genoemde belang te behartigen. Als een onderneming failliet gaat, dan moeten alle vermogensbestanddelen worden verkocht, om de schulden zoveel mogelijk te voldoen. De onderneming wordt soms tijdelijk voortgezet door de curator, maar dat is altijd van korte duur, vanwege de kosten en risico’s (aansprakelijkheid) voor de curator. Om een faillissement af te wikkelen, moet dus alles worden verkocht aan derden. Soms is een doorstart mogelijk, waarbij de gehele onderneming wordt overgedragen aan een derde partij, die de onderneming voortzet, al dan niet onder dezelfde naam als de failliete onderneming. Bij een doorstart is altijd sprake van een overdracht aan een derde. De failliete vennootschap houdt immers op te bestaan, zodra het faillissement is afgewikkeld. De overdracht van een onderneming, inclusief het klantenbestand, is nodig om een doorstart te realiseren. Aan de “necessity test” wordt dus ook voldaan.
De derde test is misschien wel de belangrijkste: de belangenafweging. In een faillissement zijn er meerdere spelers die allemaal hun eigen belangen hebben:
De schuldeisers hebben belang bij een zo hoog mogelijke verkoopopbrengst, zodat de schulden zoveel mogelijk worden voldaan.
De curator handelt ten behoeve van de schuldeisers en heeft een belang om het gehele vermogen van het failliete bedrijf te verkopen en over te dragen aan een doorstarter (dit levert vaak het meeste op).
Werknemers hebben belang bij een doorstart, want dan is de kans op behoud van werkgelegenheid het grootst. Werknemers van een failliete onderneming worden allemaal ontslagen, maar kunnen worden overgenomen door de doorstarter.
De doorstarter wil doorgaans de failliete onderneming ‘intact’ overnemen, inclusief het volledige klantenbestand. Het klantenbestand maakt vaak een belangrijk onderdeel uit van de failliete onderneming en vertegenwoordigt een groot deel van de ‘goodwill’ die de doorstarter bereid is te betalen aan de curator.
Klanten van de failliete onderneming hebben het belang op bescherming van hun persoonlijke levenssfeer en dat hun persoonsgegevens niet zonder hun medeweten worden doorverkocht. Klanten willen tijdig worden geïnformeerd en “in control” kunnen zijn ten aanzien van hun persoonsgegevens. Klanten kunnen echter ook belang hebben bij een doorstart, bijvoorbeeld voor de voortzetting van lopende behandelingen of contracten, of om nieuwe producten of diensten te kunnen afnemen. Bij een doorstart zijn de risico’s voor klanten doorgaans klein, omdat het meestal ‘gewone’ persoonsgegevens betreft, zoals NAW-gegevens. Bovendien zal in een doorstart vaak sprake zijn van hetzelfde (of verenigbaar) doeleinde voor het gebruik van een klantenbestand. Dit wordt benoemd in het artikel van Minke Reijneveld; zij promoveert op dit onderwerp. Ook de rechtbank Amsterdam nam in een uitspraak in 2004 aan dat een doorstarter persoonsgegevens voor hetzelfde doeleinde kan verwerken.(7)
Voordat persoonsgegevens kunnen worden overgedragen in een faillissement, zal de curator een aantal concrete stappen kunnen doorlopen:
De curator beantwoordt de hierboven genoemde drie ‘testvragen’ en documenteert met name de belangenafweging, in het kader van de verantwoordingsplicht.
De curator spreekt af met de beoogde doorstarter (of als een doorstart niet lukt: de ontvanger) dat de persoonsgegevens alleen voor hetzelfde (of een verenigbaar) doel mogen worden gebruikt als waarvoor de failliete onderneming deze gebruikte (doelbinding).
De curator informeert iedereen uit het klantenbestand over de voorgenomen doorstart, waarbij de klanten de mogelijkheid krijgen bezwaar te maken tegen de overdracht van hun persoonsgegevens aan de doorstarter. In de praktijk wordt hiervoor vaak een termijn van 2-4 weken aangehouden.
Van de klanten die wel bezwaar maken, worden de gegevens niet overgedragen aan de doorstarter.
De klanten die niet binnen de gestelde termijn bezwaar hebben gemaakt, gaan “mee” naar de doorstarter.
De doorstarter informeert de klanten die meegegaan zijn over de producten of diensten die de doorstarter kan (blijven) leveren aan de klanten. Conform de AVG kunnen klanten natuurlijk altijd een verwijderverzoek doen.
Uit het bovenstaande blijkt dat “gerechtvaardigd belang” een passende en logische grondslag is in een faillissement, in ieder geval bij een doorstart. Door de vereiste belangenafweging wordt voldoende recht gedaan aan de belangen van alle betrokkenen: schuldeisers (betaling van de schulden), de curator (hoge opbrengst, afwikkeling faillissement), klanten (die voldoende “in control” kunnen zijn, mits ze goed worden geïnformeerd) en werknemers (werkgelegenheid). Juist in deze crisistijd, waarin er veel meer faillissementen worden verwacht in de nasleep van de COVID19-pandemie, is er behoefte aan rechtszekerheid. Dit vraagt om een consistente uitleg van het begrip “gerechtvaardigd belang”. Deze grondslag mag niet zomaar aan de kant worden geschoven of verzwegen, als de AVG hiervoor expliciet ruimte biedt. Als een beroep op “gerechtvaardigd belang” niet meer mogelijk zou zijn, dan heeft dit verregaande gevolgen voor de faillissementspraktijk (en mogelijk ook voor de algehele overnamepraktijk): de doorstart in faillissement wordt hierdoor in belangrijke mate geblokkeerd, waardoor meer waardeverlies optreedt dan nodig. Dit is in niemands belang. Bij deze een oproep aan de AP: bevestig (wederom) dat een beroep op “gerechtvaardigd belang” in een faillissement mogelijk is!
(1) Er valt ook een heleboel te zeggen over de vraag of losse verkoop van een klantenbestand mogelijk is, maar in dit artikel beperk ik mij tot de verkoop van de gehele onderneming in een faillissement (doorstart).
(2) Artikel 6 lid 1 sub f AVG.
(3) Overigens is “gerechtvaardigd belang” ook de meest geschikte grondslag voor alle fusies en overnames buiten faillissement, maar zoals gezegd beperk ik mij in dit artikel tot de overdracht in een faillissement.
(4) De grondslag is ook niet “noodzakelijk voor de uitvoering van een contract”, want het ging hier waarschijnlijk om alle (voormalige) klanten, niet alleen om klanten die al een reis hadden geboekt, maar nog niet hadden gemaakt. De bespreking van deze grondslag gaat echter de reikwijdte van dit artikel te buiten.
(5) Hier is overigens veel discussie over, omdat dit wel een zeer beperkte uitleg is.
(6) Dit staat in artikel 68 van de Faillissementswet (Fw).
(7) In tegenstelling tot de AP, die in de brief aan INSOLAD stelt dat bij een overdracht van een klantenbestand aan een derde geen sprake kan zijn van hetzelfde (of verenigbaar) doeleinde. Dit standpunt is discutabel te noemen, zeker in het geval van een doorstart.
Staat de AVG een overdracht van persoonsgegevens in faillissement in de weg?
Op 11 juni neemt neemt advocaat en voormalig curator I Chu Chao u tijdens de online cursus Persoonsgegevens in faillissement mee in de privacyregels en de belangenafweging om een klantenbestand te kunnen overdragen in faillissement.
Klik hier voor meer informatie.
