Een faillissement brengt veel veranderingen met zich mee, maar doet niet af aan de privacyrechten van personen. Binnen de Europese Unie vormt de Algemene Verordening Gegevensbescherming (AVG) het juridisch kader voor de verwerking van persoonsgegevens. Op de naleving van de AVG wordt door toezichthoudende autoriteiten strikt toegezien. Wanneer een onderneming failliet wordt verklaard, krijgt de curator toegang tot aanzienlijke hoeveelheden bedrijfsinformatie, waarvan een groot deel persoonsgegevens bevat. De curator wordt daarmee niet alleen verantwoordelijk voor de afwikkeling van het faillissement, maar ook voor het waarborgen dat persoonsgegevens rechtmatig worden verwerkt.
Het praktische belang van deze vraagstukken is met name duidelijk geworden bij faillissementen in de zorgsector. Bij het recente faillissement van Co-Med, een van de grootste en meest publiekelijk besproken zorgfaillissementen in Nederland, werd Rob Lemmens tot curator benoemd. De afwikkeling van het faillissement, waarbij grote hoeveelheden gevoelige medische gegevens en persoonsgegevens waren betrokken, illustreerde de praktische uitdagingen die zich voordoen bij het verenigen van de wettelijke taken van de curator met de strikte vereisten van de AVG.
Onder het Nederlandse faillissementsrecht wordt de curator vanaf het moment waarop het faillissement wordt uitgesproken aangemerkt als verwerkingsverantwoordelijke voor persoonsgegevens. Het veiligstellen van gegevens, het beoordelen van documentatie, het onderzoeken van de oorzaken van het faillissement en het communiceren met betrokken partijen kunnen dan ook alle worden aangemerkt als verwerkingen in de zin van de AVG.
Deze dubbele verantwoordelijkheid brengt in de praktijk bijzondere uitdagingen met zich mee. Enerzijds rust op de curator de taak om de activa van de boedel veilig te stellen en te gelde te maken, de financiële aangelegenheden van de failliete onderneming te onderzoeken en de belangen van de schuldeisers te behartigen. Anderzijds mogen persoonsgegevens uitsluitend worden verwerkt indien daarvoor een rechtmatige grondslag bestaat en slechts voor zover dit noodzakelijk is voor een gerechtvaardigd doel. Fundamentele beginselen van de AVG, waaronder transparantie, evenredigheid en gegevensminimalisatie, blijven daarom gedurende het gehele faillissementsproces onverkort van toepassing.
Deze verplichtingen zijn van toenemend belang nu ondernemingen steeds verder digitaliseren. Bedrijfsadministraties bevatten tegenwoordig vaak e-mailarchieven, gegevens opgeslagen in cloudomgevingen, klantendatabases en personeelsdossiers. Dit vereist een zorgvuldige afweging van de wijze waarop persoonsgegevens worden beveiligd, beoordeeld, bewaard en uiteindelijk verwijderd.
De praktijk laat zien dat gegevensbeschermingsrecht en insolventierecht niet langer als afzonderlijke rechtsgebieden kunnen worden beschouwd. Een zorgvuldige omgang met persoonsgegevens vormt daarmee een essentieel onderdeel van de moderne faillissementspraktijk.