Klantenbestand Archives

Curatoren verkopen geregeld klantgegevens zonder toestemming na faillissement

Geplaatst op 19 april 201917 april 2019 in Privacy, 19 reacties

Curatoren verkopen na bedrijfsfaillissementen geregeld klantgegevens door, waaronder die van failliete webwinkels. Dat meldde Tweakers woensdag. Zij baseren zich op onderzoek van De Groene Amsterdammer en onderzoeksplatform Investico. Zij bekeken verschillende faillissementen en de dataverkoop die daarmee gemoeid ging. Zo’n dataverkoop mag niet, en wie zegt van wel -of dat het ingewikkeld is- die heeft het keihard fout. Ik ergerde me dan ook rot aan het bericht. Ik wil best geloven dat niet iedere curator even diep in de AVG zit, maar de partijen die die data kopen die moeten gewoon weten dat ze privacyheling plegen.

Curatoren moeten natuurlijk de failliete boedel te gelde maken, en ik zie heus wel dat er geld te verdienen is met een lijst klantgegevens of relaties. Er zijn altijd partijen die daar geld voor geven. Deze praktijk speelt dan ook al vele jaren. Het belang van zo’n bestand was tien jaar terug niet zo heel erg groot, en je merkte er niet altijd wat van als je gegevens werden doorverkocht. Maar vandaag de dag is dat wel anders.

Onder de AVG zijn de regels vrij simpel: zowel de kopende als de verkopende partij moet een eigen grondslag hebben om dit te mogen doen. Dat je iets van een curator koopt, betekent nog niet dat je er wat mee mag doen. En als je er niks mee mag doen, dan mag je die gegevens niet hebben. Dataminimalisatie, verwijderplicht.

“Het belang van de boedel gaat gewoon voor”, zegt een curator dan. Zou hij dat ook zeggen bij een partij asbest of Viagra-pillen die hij in de boedel aantreft? Ik kan me het niet voorstellen. Ja, ik weet dat de AVG erg ingewikkeld kan zijn, maar denk dan cynisch wel altijd “vooral voor mensen die er baat bij hebben dat ze het niet begrijpen”. Want je voelt op je klompen aan dat databestanden met klantgegevens niet bedoeld zijn voor derden om reclame op te doen. Dus dan mag het niet.

Oké, het hielp niet dat de AP eind 2017 op haar website expliciet vermeldde dat curatoren wel die gegevens mogen verkopen. Maar die zin is snel weer weggehaald, en terecht. Ik blijf cynisch: tot 2017 was het dus heel onduidelijk hoe de wet werkte, ondanks dat de AP op diverse manieren aangaf dat het niet mocht. En in 2017 was het dan ineens wél duidelijk dat het mocht omdat de AP het zei, en nu de AP weer zegt dat het niet mag is het heel onduidelijk en dus blijven we het maar doen. Ik kan daar met mijn eenvoudige juristenpet niet bij.

Arnoud

Curator van Radio Shack wil klantenbestand verkopen, mag dat?

Geplaatst op 31 maart 201530 maart 2015 in Privacy, 11 reacties

radio-shack De curator van het failliete Radio Shack is van plan hun klantenbestand te verkopen, las ik bij Ars Technica. Dit ondanks de privacyverklaring die men jarenlang hanteerde, waarin netjes “Wij verkopen uw data nimmer aan derden” stond. Mag dat zomaar?

Nou ja, het is recht, dus niets mag (of mag niet) zómaar. Maar dit soort zaken zijn erg lastig, omdat er geen harde regels zijn over wat een curator mag doen met gegevens. Digitale gegevens zijn immers niet iets dat je kunt kopen of verkopen. In het speciale geval van virtuele goederen (en belminuten of credits) kan dat wel, maar daarvan is hier geen sprake. De reden is simpel: iets is pas een zaak als iemand er de beschikkingsmacht over kan hebben, zeg maar als het gestolen kan worden. En dat kan niet bij zo’n klantenbestand. De curator zou het ding probleemloos honderd keer kunnen verkopen.

Het bestand zou bij ons onder de Wet bescherming persoonsgegevens vallen. Die bepaalt alleen niets over koop en verkoop daarvan. Het enige dat de Wbp zegt, is dat wie een bestand heeft, dit alleen mag gebruiken met toestemming of een wettelijke grondslag (zoals nakoming overeenkomst). Het tegen geld geven van een kopie van het bestand aan een derde vereist dus zo’n grondslag, en ik zou hem niet weten in dit geval.

Als iemand een doorstart wil maken met het bedrijf, dan is het logisch dat hij ook het klantenbestand krijgt. Dat is daarvoor nodig, zeker als hij de oude contracten met die klanten alsnog wil nakomen. De wet hanteert hiervoor het criterium van “verenigbaarheid” met het oorspronkelijke doel. Overnemen van klanten om de originele dienst zo veel mogelijk alsnog te leveren, lijkt me wel legaal.

Hier is echter geen sprake van verkoop van een klantenbestand mét contractsinformatie maar alleen van contactgegevens. Het enige doel daarvoor dat ik kan bedenken is acquisitie, kijken of die klanten nu interesse in jouw bedrijf hebben. Dat is problematisch, zeker als er ook digitale contactinformatie bij zit want dan loop je tegen spamverbod en dergelijke aan.

De insteek van de juridische klacht tegen de curator is ook wel een aardige: contractbreuk, er is immers via de privacyverklaring afgesproken dat dit niet zou gebeuren. Maar een curator contractbreuk verwijten is heel erg lastig. Weliswaar mag de curator geen contracten schenden, maar een schending is normaal een claim die je maar op de boedel van het failliete bedrijf moet zien te verhalen. En dat valt meestal niet mee, ze zijn niet voor niets failliet gegaan.

Arnoud

Curator veilt klantenbestand, mag dat?

Geplaatst op 21 januari 201321 januari 2013 in Privacy, 31 reacties

Een lezer wees me op een faillissementsveiling met een wel heel aparte kavel:

Inderdaad, je biedt hier op een Excel-spreadsheet met daarin NAW-gegevens van partijen die klant waren bij het failliete bedrijf. Logisch vanuit de curator want die moet zo veel mogelijk geld halen uit de boedel, en er is vast wel iemand die geld wil betalen voor een kopie van die spreadsheet.

Maar wat koop je dan eigenlijk?

Een spreadsheet is geen “zaak”, geen ding waar je eigendom op kunt claimen. Digitale data is in het algemeen niet iets dat je kunt kopen of verkopen. In het speciale geval van virtuele goederen (en belminuten of credits) kan dat wel, maar daarvan is hier geen sprake. De reden is simpel: iets is pas een zaak als iemand er de beschikkingsmacht over kan hebben, zeg maar als het gestolen kan worden. En dat kan niet bij zo’n spreadsheet. De curator zou het ding probleemloos honderd keer kunnen verkopen.

De spreadsheet is wel een bestand in de zin van de Wet bescherming persoonsgegevens. Die bepaalt alleen niets over koop en verkoop daarvan. Het enige dat de Wbp zegt, is dat wie een bestand heeft, dit alleen mag gebruiken met toestemming of een wettelijke grondslag (zoals nakoming overeenkomst). Het tegen geld geven van een kopie van het bestand aan een derde vereist dus zo’n grondslag, en ik zou hem niet weten in dit geval.

Hier is echter geen sprake van verkoop van een klantenbestand mét contractsinformatie maar alleen van NAW-gegevens. Het enige doel daarvoor dat ik kan bedenken is acquisitie, kijken of die klanten nu interesse in jouw bedrijf hebben. En omdat het NAW-gegevens zijn (en niet NAWE, met e-mailadres erbij) lijkt dat wel te mogen. Het spammen op papier is immers niet verboden.

Wel is het een eis dat de koper de klanten bij zijn mailing informeert hóe hij aan de NAW-gegevens komt, en ze een opt-out biedt.

Ik vraag me af of dit vaker voorkomt. Voor mij was het de eerste keer dat ik het zag.

Arnoud