Leverancier of partner failliet? Dit zijn de risico’s en mogelijkheden om die te beperken

Het faillissement van een samenwerkingspartner of leverancier komt gelukkig niet vaak voor. Maar als het je overkomt, wil je de nadelige gevolgen zo veel mogelijk beperken. Probiblio zocht advies bij juridische en fiscale dienstverlener Dirkzwager, waar gespecialiseerde juristen Koen Christianen en Arno Stoffelsma zich over de materie bogen.

Hierbij zijn we uitgegaan van een situatie waarin de bibliotheek verwerkingsverantwoordelijke is in de zin van de AVG (art. 4 sub 7 AVG). De bibliotheek werkt samen (1) met een partner die ook verwerkingsverantwoordelijke is, zoals dat kan zijn bij een basisschool, VoorleesExpress, of bij een nationale voorleeswedstrijd, of (2) met een leverancier die verwerker (art. 4 sub 8 AVG) is, bijvoorbeeld de ILS-leverancier.

We herkennen hierbij twee risico's.

De bibliotheek heeft geen toegang meer tot de persoonsgegevens, omdat de failliete partij de dienstverlening gestaakt heeft
De curator verkoopt de persoonsgegevens

Hieronder de volledige reactie van Koen Christianen en Arno Stoffelsma:

Juridisch gezien betreft het in wezen de samenloop tussen de Algemene Verordening Gegevensbescherming (AVG) en de Faillissementswet (Fw). We hebben daarbij gekeken naar relevante literatuur en jurisprudentie. Hieruit volgen niet kant en klare antwoorden, omdat zowel rechters als de rechtsliteratuur nog geen eenduidige lijn voor ogen hebben. Op basis van de beschikbare literatuur en jurisprudentie hebben we de onderstaande antwoorden geformuleerd. Gelet op de context van faillissement bij je vragen, ga ik eerst kort in op de rol die de curator vervult in faillissement.

Rol curator in faillissement

Vanwege de context van faillissement heb ik tevens contact opgenomen met een collega-advocaat die tevens optreedt in de hoedanigheid van curator. Het antwoord op de vraag of een curator gebonden is aan bestaande overeenkomsten (die de failliete partij is aangegaan met de wederpartij) is nog niet uitgekristalliseerd. In de Memorie van Toelichting (toelichting bij nieuwe wetgeving) bij het relevante artikel 37 van de Faillissementswet (Fw) is kort gezegd het volgende beginsel opgenomen: ‘een faillissement heeft geen invloed op bestaande wederkerige overeenkomsten’. De Hoge Raad (hoogste rechtsprekende instantie in Nederland) heeft zich meerdere keren uitgesproken over dit beginsel, en deze ook behoorlijk genuanceerd. In de literatuur is daarover veel discussie (geweest).

De Hoge Raad heeft in 2006 in zijn uitspraak (Nebula-arrest) geoordeeld dat een curator zich niet hoeft te houden aan zowel positieve verplichtingen (iets doen) als negatieve verplichtingen (iets niet doen) in een overeenkomst. Dit wordt ook wel aangeduid als: een curator mag passief en actief wanpresteren. Passief wanpresteren betekent dan: niets doen, terwijl je iets had moeten doen. Actief wanpresteren betekent dan: actief iets doen, terwijl je niets had moeten doen. Voor het nakomen van negatieve verplichtingen is geen handeling nodig. Dit zou de betreffende schuldeiser kunnen bevoordelen ten opzichte van andere schuldeisers (hetgeen juist niet mag in faillissement). Immers, als een curator niets hoeft te doen, zal hij vanzelf de overeenkomst dus nakomen, zonder dat daarvoor enige handeling is vereist.

In 2014 heeft de Hoge Raad in zijn uitspraak (Berzona-arrest) geoordeeld dat een curator echter niet actief mag wanpresteren bij een huurovereenkomst. Dit betekent dat een curator dus het (aanvankelijk door de failliete partij) verhuurde niet zomaar mag laten ontruimen of opeisen.

Sinds 2014 is het niet geheel duidelijk of het verbod op actief wanpresteren ook geldt voor andersoortige overeenkomsten. Punt blijft in ieder geval dat een curator bevoegd is zelfstandig keuzes te maken. De curator besluit zelfstandig of hij reeds gesloten overeenkomsten wel of niet nakomt. Dit hangt in de kern ervan af of het gunstig is voor de boedel om de overeenkomst na te (blijven) komen. Zo niet, dan kan een curator dus besluiten om de overeenkomst niet ‘gestand’ te doen. Daartegen kun je contractueel niets doen.

Failliete partij is verwerkingsverantwoordelijke

Na een faillissement wordt een curator aangesteld, welke het faillissement netjes dient af te wikkelen en de belangen van de schuldeisers zo goed mogelijk moet behartigen. Veelal worden de bezittingen van de failliete partij verkocht om uit de opbrengsten de schuldeisers (gedeeltelijk) te kunnen voldoen. Indien de failliete partij beschikt over een groot klantenbestand met persoonsgegevens, dan kan dat bestand geld waard zijn. De curator kan dus besluiten om zo’n klantenbestand te verkopen.

Bij de verkoop van een klantenbestand (wat een verwerking van persoonsgegevens inhoudt) dient de curator zich, net als de verwerkingsverantwoordelijke, aan de AVG te houden. Dat betekent dat de curator een grondslag moet hebben voor de verkoop. De enige grondslag die naar onze mening gebruikt zou kunnen worden, is het gerechtvaardigd belang. De grondslag van toestemming zou kunnen worden gebruikt, maar dan is het wel de curator die opnieuw toestemming moet vragen aan de betrokkene. Een eerder verleende toestemming van de betrokkene aan de gefailleerde verwerkingsbetrokkene ziet namelijk (in beginsel) niet op het doorverkopen van persoonsgegevens door een curator.

Dus het gerechtvaardigd belang zal in onze opinie de enige steekhoudende grondslag zijn. De curator zal moeten onderzoeken of het doel van de verkoop verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verzameld. Ook zal de curator een belangenafweging moeten maken. Daarbij kan betoogd worden dat de kans dat een beroep op het gerechtvaardigd belang een grotere kans van slagen heeft indien het gaat om het doorverkopen in verband met een doorstart dan wanneer het slechts gaat om het te gelde maken van het klantenbestand zonder dat het om een doorstart gaat. Immers, bij een doorstart gebruik je de persoonsgegevens eigenlijk voor hetzelfde doel als waarvoor de failliete onderneming deze eerst gebruikte. Bijvoorbeeld NAW-gegevens om producten naar klanten van de failliete onderneming te kunnen sturen. Of bijvoorbeeld HR-gegevens van medewerkers van de failliete onderneming om salarisbetalingen te kunnen (blijven) doen.

Tegen het doorverkopen kun je je als bibliotheek niet goed wapenen. Het is immers de curator die die beslissing zelfstandig kan en mag maken. Overigens is het ook de vraag in hoeverre een bibliotheek hierdoor geraakt wordt.

Als het een andere verwerkingsverantwoordelijke is die failliet gaat, dan heeft een bibliotheek sowieso geen ‘recht’ op die gegevens. Als de gegevens tussen een failliete bibliotheek en een niet-failliete bibliotheek eenmaal zijn uitgewisseld, dan is de niet-failliete bibliotheek zelf verantwoordelijke en kan zij de gegevens (onder haar verantwoordelijkheid) gebruiken. In die zin rust het risico dus niet zozeer op de niet-failliete bibliotheek, maar op de curator van de failliete partij. Voor deze situatie kun je geen contractuele afspraken maken, aangezien de curator zelfstandig keuzes maakt (zie hiervoor).

Failliete partij is verwerker

Als de failliete partij een verwerker is, dan is de situatie iets anders. Een curator mag in dat geval de persoonsgegevens niet doorverkopen. Een verwerker houdt de persoonsgegevens slechts onder zich in opdracht van een verwerkingsverantwoordelijke. Hoewel het lastig is om bij persoonsgegevens over “eigendom” te spreken, is het duidelijk dat een verwerker nooit eigenaar van persoonsgegevens is. Het verkopen van persoonsgegevens zou indruisen tegen de wettelijke doelbinding zoals in de AVG geformuleerd: persoonsgegevens mogen uitsluitend worden verwerkt voor het doel waarvoor deze aanvankelijk zijn verzameld. Het doel van de curator is anders dan het doel van de failliete onderneming. De curator mag dus niet eigenstandig die persoonsgegevens doorverkopen.

Of een curator verplicht is om de persoonsgegevens terug te leveren is niet helemaal duidelijk. Een en ander kan in een verwerkingsovereenkomst geregeld zijn. Zoals hiervoor uiteengezet is het onduidelijk bij welke type overeenkomsten de curator actief mag wanpresteren. We weten inmiddels wel dat een curator niet actief mag wanpresteren bij een huurovereenkomst. Als de verwerker failliet is, hoeft de curator zich in onze opinie dan ook niet per se aan de verwerkingsovereenkomst te houden (indien dit gunstiger is voor de boedel).

Duidelijk is dat de verwerker zelf niets aan de gegevens heeft, hij mag ze immers niet doorverkopen. Op basis van de AVG moeten de persoonsgegevens vernietigd of terug geleverd worden. De curator zal in beginsel kiezen voor de minst kostbare variant (dit levert de boedel het meeste op). Naar onze mening kan wel betoogd worden dat de curator de verwerkingsverantwoordelijke daarover moet inlichten. Of de curator verplicht is om de gegevens terug te leveren blijkt niet direct uit jurisprudentie of literatuur. Als de betrokken verwerkingsverantwoordelijke echter aanbiedt om de (extra) kosten van terugleveren op zich te nemen, dan zien wij niet in waarom een curator dat naast zich neer zou kunnen leggen en toch te kiezen voor vernietiging.

Ook dit is niet goed bij voorbaat in een verwerkingsovereenkomst te regelen. Een curator hoeft zich namelijk niet per se aan een dergelijke overeenkomst te houden. Ook al spreek je de verplichting tot terugleveren in een verwerkersovereenkomst af, dan nog mag een curator dat naast zich neerleggen als een andere methode beter is voor de boedel. Maar door als verwerkingsverantwoordelijke aan te bieden om de (extra) kosten op je te nemen, kun je het risico dat de persoonsgegevens verloren gaan wel zo veel mogelijk beperken.

- einde bericht -

In een latere reactie bevestigt Koen Christianen dat het mogelijk is om afspraken te maken over terugleveren van persoonsgegevens als een partij surseance van betaling aanvraagt, een fase die vaak voorafgaat aan faillissement. Deze afspraken kunnen opgenomen worden in een verwerkersovereenkomst (als de partij verwerker is, zie art. 28 lid 3 sub g AVG), of in een overeenkomst gegevensuitwisseling, waarvan je een model elders in deze nieuwsbrief vindt.

Onder de streep bestaan dus beperkte mogelijkheden voor bibliotheken om zich te wapenen tegen de nadelige gevolgen m.b.t. persoonsgegevens rond het faillissement van een samenwerkingspartner of leverancier. Het treffen van deze maatregelen vergroot de kans op succes, maar levert geen zekerheid dat de afspraken stand houden als een rechter zich erover buigt.

Is de failliete partij is een verwerkingsverantwoordelijke? Maak dan afspraken over het terug- of aanleveren van (persoons)gegevens in een overeenkomst gegevensuitwisseling als de partij surseance van betaling aanvraagt en in staat van faillissement verkeert. Wijs de partij uitdrukkelijk op het nakomen van deze afspraak als het zo ver komt. Leg in de verwerkersovereenkomst ook helder vast wat het doel is van de verwerking van de persoonsgegevens. Dat beperkt het risico van doorverkoop door de curator voor een ander doel dan het vastgelegde.

Is de failliete partij is een verwerker? Maak dan afspraken over het terug- of aanleveren van (persoons)gegevens in een verwerkersovereenkomst als de partij surseance van betaling aanvraagt en in staat van faillissement verkeert. Wijs de partij uitdrukkelijk op het nakomen van deze afspraak als het zo ver komt.

Meer informatie

Voor meer informatie over dit artikel of overige vragen, mail naar privacy@probiblio.nl.

Dit artikel is bedoeld voor Privacy Coördinatoren van openbare bibliotheken in Noord- en Zuid-Holland.

De informatie verstrekt door de Privacy Servicedesk is informatief bedoeld. Hoewel ze met zorg is samengesteld, kunnen fouten niet geheel worden uitgesloten. De informatie bevat geen juridisch advies. Probiblio aanvaardt derhalve geen enkele aansprakelijkheid voor handelen door jouzelf of door derden op basis van de informatie in dit bericht. Voorts zijn de Algemene Leveringsvoorwaarden van Probiblio van toepassing op de Privacy Servicedesk.