Curatoren verkopen geregeld klantgegevens zonder toestemming na faillissement

Curatoren verkopen na bedrijfsfaillissementen geregeld klantgegevens door, waaronder die van failliete webwinkels. Dat meldde Tweakers woensdag. Zij baseren zich op onderzoek van De Groene Amsterdammer en onderzoeksplatform Investico. Zij bekeken verschillende faillissementen en de dataverkoop die daarmee gemoeid ging. Zo’n dataverkoop mag niet, en wie zegt van wel -of dat het ingewikkeld is- die heeft het keihard fout. Ik ergerde me dan ook rot aan het bericht. Ik wil best geloven dat niet iedere curator even diep in de AVG zit, maar de partijen die die data kopen die moeten gewoon weten dat ze privacyheling plegen.

Curatoren moeten natuurlijk de failliete boedel te gelde maken, en ik zie heus wel dat er geld te verdienen is met een lijst klantgegevens of relaties. Er zijn altijd partijen die daar geld voor geven. Deze praktijk speelt dan ook al vele jaren. Het belang van zo’n bestand was tien jaar terug niet zo heel erg groot, en je merkte er niet altijd wat van als je gegevens werden doorverkocht. Maar vandaag de dag is dat wel anders.

Onder de AVG zijn de regels vrij simpel: zowel de kopende als de verkopende partij moet een eigen grondslag hebben om dit te mogen doen. Dat je iets van een curator koopt, betekent nog niet dat je er wat mee mag doen. En als je er niks mee mag doen, dan mag je die gegevens niet hebben. Dataminimalisatie, verwijderplicht.

“Het belang van de boedel gaat gewoon voor”, zegt een curator dan. Zou hij dat ook zeggen bij een partij asbest of Viagra-pillen die hij in de boedel aantreft? Ik kan me het niet voorstellen. Ja, ik weet dat de AVG erg ingewikkeld kan zijn, maar denk dan cynisch wel altijd “vooral voor mensen die er baat bij hebben dat ze het niet begrijpen”. Want je voelt op je klompen aan dat databestanden met klantgegevens niet bedoeld zijn voor derden om reclame op te doen. Dus dan mag het niet.

Oké, het hielp niet dat de AP eind 2017 op haar website expliciet vermeldde dat curatoren wel die gegevens mogen verkopen. Maar die zin is snel weer weggehaald, en terecht. Ik blijf cynisch: tot 2017 was het dus heel onduidelijk hoe de wet werkte, ondanks dat de AP op diverse manieren aangaf dat het niet mocht. En in 2017 was het dan ineens wél duidelijk dat het mocht omdat de AP het zei, en nu de AP weer zegt dat het niet mag is het heel onduidelijk en dus blijven we het maar doen. Ik kan daar met mijn eenvoudige juristenpet niet bij.

Arnoud

19 reacties

    1. In dit soort gevallen zou een boete aan de curator gegeven moeten worden en niet aan de boedel. Overigens kan ik me bij de voortzetting van dienstverlening voorstellen dat er wel een gerechtvaardigd belang is en dat het mag. Bij webwinkels zie je soms dat de garantie afhandeling wordt overgenomen en dan is het al lastiger.

      Stel een energiemaatschappij gaat failliet, dan kan ik me voorstellen dat de klanten verkocht worden om voortzetting van de dienstverlening te borgen.

      1. Maar dan moet er toch op zijn minst aan de klanten gevraagd worden of ze over willen stappen? En bij geen, of een negatief antwoord, moeten ze per direct uit het bestand van de overnemende partij. Je hebt nooit een contract afgesloten met die partij.

        1. Vraag ik mij vanaf dag 1 al af. Niemand nam mij serieus. Maar stel nou dat je na al die jaren, blijkbaar toch geen geldig contract hebt, wat zijn dan de mogelijkheden? En ja ik heb vragen gesteld en geprotesteerd. maar er werd gedaan alsof het de normaalste zaak van de wereld was. En voor de rest was het het zwijgende machtsblok zoals je wel vaker tegenkomt tegenwoordig.

      2. Stel een energiemaatschappij gaat failliet, dan kan ik me voorstellen dat de klanten verkocht worden om voortzetting van de dienstverlening te borgen.

        Dit was onlangs een lezersvraag in de Consumentengids. Energieleverantie wordt dan tijdelijk overgenomen door een andere leverancier. Tijdens deze periode mag je zelf niet wisselen. De nieuwe leverancier neemt contact met je op met de vraag wat je wil. https://www.consuwijzer.nl/elektriciteit-en-gas/netbeheerder-en-energiemarkt/energiebedrijf-failliet

  1. Mooi strak uiteengezet. Maar hoe werkt dat dan in geval van een doorstart? Veelal gaat de onderneming onder dezelfde naam door maar in een nieuwe vennootschap = nieuwe verwerkingsverantwoorselijke. Het niet kunnen meenemen van de klantgegevens maakt een doorstart kansloos. Maar feitelijk zijn het klantgegevens verkregen door oude vennootschap.

      1. Toch kreeg ik vorige maand (20-03) keurig een mailtje via de mailinglijst van Intertoys. Weliswaar een opt-out maar dat zijn details. Oordeel zelf maar. Hieronder de tekst. Zo mag ik het graag zien.

        Geachte mevrouw, heer,

        U ontvangt dit bericht omdat u de nieuwsbrief van Intertoys ontvangt. U zult misschien weten dat Intertoys op 21 februari 2019 failliet is verklaard, met aanstelling van Mr Joris Lensink (De Vos en Partners Advocaten) en Mr Jasper Berkenbosch (Jones Day) tot curatoren.

        Inmiddels is er een koper gevonden voor een deel van de onderneming van Intertoys. Deze koper is Green Swan, een Portugese partij met veel kennis van de speelgoedsector en mooie plannen voor de toekomst. Green Swan zal Intertoys verder uitbouwen, ook online, en een deel van de winkels in Nederland voortzetten.

        Wat betekent dat voor u? Green Swan zal onder de merknaam Intertoys de klanten van Intertoys bedienen. Ook zal zij u als relatie van Intertoys via een nieuwsbrief willen informeren over ontwikkelingen, aanbiedingen en evenementen. Dat zal alleen kunnen als de curatoren het bestand van Intertoys, waarin ook uw (persoons)gegevens zijn opgeslagen, aan Green Swan zal overdragen. De curatoren willen uw gegevens alleen overdragen met uw medeweten.

        De curatoren hebben met Green Swan afgesproken dat zij dit bestand enkel zal gebruiken zoals Intertoys dat deed. Alle informatie over uw privacy en rechten staat in de privacy statement. Volgens Intertoys bent u opgenomen in het bestand van personen ouder dan 16 jaar die de nieuwsbrief van Intertoys ontvangen.

        Bezwaar tegen overdracht en afmelden Mocht u niet willen dat de curatoren uw (persoons)gegevens aan Green Swan overdragen, vraag dan om verwijdering van uw gegevens bij Intertoys via privacy@intertoys.nl. Op die wijze meldt u zich ook meteen af voor de nieuwsbrief. Hiervoor heeft u 14 dagen na dit bericht de tijd. Heeft u niet om verwijdering gevraagd, dan zullen de curatoren (ook) uw bij Intertoys bekende (persoons)gegevens overdragen aan Green Swan.

        We hopen u hiermee voldoende informatie te hebben verstrekt. Eventuele vragen kunnen via privacy@intertoys.nl worden gesteld.

        Met vriendelijke groet, De curatoren van Intertoys

        Edit: blockquote en p elementen mogen elkaar niet, blijkbaar.

  2. De vraag is dan: “Wat moet er wel gebeuren met die gegevens.”

    In het geval van een partij met een doorlopende dienstverlening (zoals Mark stelt: een energiemaatschappij, je maandelijkse-lenzen-leverancier of zoiets simpels als een abonnement op de Donald Duck of Hello Fresh), ben je afhankelijk van de leveringen. Als die niet meer komen, kun je in de problemen komen.

    Als er dan een partij is die die levering over gaat nemen, moet die partij natuurlijk wel weten waar ze die stroom, je lenzen of je eten moeten afleveren. Persoonsgegevens dus.

    De enige manier waarop ik me voor kan stellen hoe dit binnen de AVG geregeld kan worden, is dat er vanuit het failliete bedrijf (lees: de curater) een e-mail gaat naar alle personen in het databestand. “Bedrijf X is failliet. Bedrijf Y gaat het overkopen. Wil je direct daar klant worden, klik hier.” Hier is dan een linkje naar een formulier op de website van Y, gegevens invullen, opslaan en hop, je bent klant bij Y.

    Niet gereageerd op de mail? Dan wordt Y niet jouw nieuwe leverancier. Maar Y hoeft dan ook niks over te kopen.

    Technisch niet eens zo heel moeilijk. Maar ja, wel werk voor zowel Curator X en Bedrijf Y. En daar zullen zowel X als Y waarschijnlijk de AVG even aan de kant schuiven.

  3. Duidelijk. Maar wat te doen als je later merkt dat je persoonsgegevens verkocht zijn? Ik had een maand geleden nog een kledingzaak die mij per email benaderde omdat hij het klantenbestand van een andere kledingzaak had overgenomen. Dat bedrijf hield op te bestaan, zonder faillissement overigens, want de eigenaar wilde ermee stoppen en heeft daarbij zijn inboedel doorverkocht aan andere winkels. En kennelijk dus ook het klantenbestand…

    Dat mag dus waarschijnlijk ook niet. Maar als het gebeurt, wat moet je dan doen? Juridisch dan…

    1. Daar ben ik ook heel benieuwd naar en in het algemeen eigenlijk. Beetje off-topic misschien, maar zijn daar toegankelijke boeken over? Of is dat ergens online te vinden? Voor zover ik begrepen heb, lijkt het er sowieso op dat je bijna altijd afhankelijk bent van een derde om je recht te kunnen halen. In het geval van strafrecht van een OvJ, bij bestuursrecht, van de klachtenregeling van de overheidsinstantie zelf en voor civiel recht van een advocaat. Klopt dat? Of kan je zelf ook iets? En waar past de AP in dit plaatje?

      Het zou mooi zijn als hier meer bekend over is bij het grote publiek. Want wetgeving begint steeds minder relevant te lijken namelijk. Ik krijg hier regelmatig vragen over van kinderen en jongeren, en moet ze een goed antwoord schuldig blijven… “Een regel die niet gehandhaafd wordt, geldt niet”, is de manier waarop dit werkt bij hen. De wet wordt daardoor iets waar je wel last van hebt, maar geen bescherming biedt. Dat lijkt me niet de bedoeling.

      En er komen, lijkt het, steeds meer regels voor bedrijven en rechten voor burgers bij. Maar in de praktijk weet helaas niemand wat je daarmee kan. Wat heb je aan een recht als je het, in praktische zin, niet kan opeisen en de ander niet bestraft wordt? Zeker als dat het risico van hoge kosten voor jezelf met zich meebrengt. En waarom zou een bedrijf zich er dan aan houden? Grote bedrijven werken altijd met risico en kosten analyses. Dus als de kans op een boete laag is… Why bother?

      Of kan dat wel, maar weten veel mensen niet hoe? In het onderwijs en jeugdzorg is hier veel onduidelijkheid over. Vragen waar ouders en kinderen mee kunnen zitten: Wat kan je doen als een gemeente of school iets weigert waar je recht op hebt? Ouders voelen zich soms enorm machteloos en in de steek gelaten…. Wat kan je doen als iemand je stiekem naakt heeft gefotografeerd? Veel jongeren houden dat voor zichzelf. Ze denken dat de kans groot is, dat de dader toch niet bestraft zal worden, omdat de politie daar vaak geen tijd voor heeft. Wat kan je doen als iemand een filmpje van je op YouTube/Insta plaatst zonder je toestemming? Behalve dat je het weg kan laten halen, wat op zich prettig is, maar verder niet bepaald een gevoel van bescherming tegen herhaling geeft…

  4. De activiteiten van een onlangs failliet verklaarde vacature-site zijn (via een doorstart) voortgezet door een branchegenoot. De curator informeerde mij – ik stond in de database – en bood de mogelijkheid om bezwaar te maken tegen de overdracht van persoonsgegevens (nieuwe verwerkingsverantwoordelijke). Dat was dus niet nodig? Ik weet niet in wiens belang deze actie dan is geweest…

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.