Mag je in Nederland na een faillissement persoonsgegevens verhandelen als zijnde inboedel?

In dit artikel:

De aankoop door Google van grote hoeveelheden data van een failliete Amerikaanse luchtvaartmaatschappij roept de vraag op of dit ook in Nederland zou kunnen. Het ging onder meer om e-mails, chats, klantgesprekken en personeelsgegevens zoals salarissen en belastingformulieren, mogelijk bedoeld voor AI-training.

Volgens ict-jurist Arnoud Engelfriet is de omgang met data bij Nederlandse faillissementen nauwelijks geregeld. Curatoren verkopen databestanden vaak vanuit het belang van de boedel, maar worden zodra zij toegang krijgen tot persoonsgegevens zelf verwerkingsverantwoordelijke onder de AVG. In een eerdere zaak werd een curator aansprakelijk gehouden voor een per ongeluk verkochte harde schijf met persoonsgegevens.

De handel in persoonsgegevens uit een faillissement is daardoor in de praktijk vrijwel onmogelijk. Daarvoor is doorgaans toestemming van de betrokkenen nodig, terwijl een nieuw doel zoals AI-training meestal niet past binnen de oorspronkelijke doelbinding of eenvoudig kan worden gebaseerd op een gerechtvaardigd belang. Google zegt de gegevens eerst te anonimiseren, maar dat is ingewikkeld: ook een ontdaan personeelsdossier kan nog naar een persoon herleidbare informatie bevatten. Wie alle persoonsgegevens daadwerkelijk verwijdert, houdt mogelijk te weinig bruikbare informatie over voor een taalmodel.