Curator onder vuur: eerste AVG-boete bevestigd
Op 7 augustus heeft de rechtbank Gelderland een belangrijke uitspraak gedaan: voor het eerst heeft de Autoriteit Persoonsgegevens (AP) een boete opgelegd aan een curator wegens een overtreding van de AVG. In deze zaak toetst de rechtbank of die boete terecht is opgelegd.
De rechtbank bevestigt dat een curator als verwerkingsverantwoordelijke in de zin van de AVG kan worden aangemerkt.
Het ging in deze zaak over een harde schijf met (bijzondere en gevoelige) persoonsgegevens uit de boedel van een faillissement van een zorginstelling. De harde schijf bevond zich op een server die werd verkocht op een veiling in opdracht van de curator. De curator was zich van het bestaan van deze harde schijf niet bewust.
Wat betekent dit voor de praktijk?
Deze uitspraak van de rechtbank Gelderland resulteert in een soort risicoaansprakelijkheid voor de faillissementsboedel van een organisatie die persoonsgegevens verwerkt. Het zal doorgaans niet eenvoudig zijn voor een curator om binnen de korte tijd die hem ter beschikking staat om de boedel te beredderen een volledig beeld te krijgen van de persoonsgegevens die zijn opgeslagen in de (digitale) administratie van de gefailleerde. De kans dat hij iets over het hoofd ziet is niet denkbeeldig.
Deze aansprakelijkheid kan verstrekkende financiële gevolgen hebben. In dit geval legde de AP aanvankelijk een boete op van € 310.000. Een dergelijke boete levert een boedelschuld op. De boete werd door de rechter wel gematigd, onder meer omdat de curator wel een IP-scan heeft laten uitvoeren ter inventarisatie van alle data die bij gefailleerde aanwezig waren. Ook had de curator het veilingbedrijf de opdracht gegeven om de datadragers voorafgaand aan de veiling te verwijderen. Dat was voor de rechtbank echter niet genoeg om de verwijtbaarheid weg te nemen. Volgens de rechtbank had de curator moeten verifiëren of alle gegevensdragers daadwerkelijk waren verwijderd, voordat deze door de boedel ter veiling werden aangeboden.
Het oordeel komt er dus op neer dat een curator verantwoordelijk is voor de naleving van de AVG. Dit verplicht de curator onder andere tot het nemen van passende technische organisatorische maatregelen om ervoor te zorgen dat persoonsgegevens beschermd zijn tegen ongeoorloofde en onrechtmatige verwerking. De onderhavige uitspraak leert dat dit geen sinecure is. De rechtbank legt de lat erg hoog voor een curator.
De AVG kent echter nog andere verplichtingen die de curator zal moeten naleven, zoals het verstrekken van inlichtingen aan betrokkenen over hun gegevens of de rectificatie of het wissen daarvan.
Dit soort verplichtingen klemmen temeer als de gefailleerde bijzondere persoonsgegevens verwerkt, zoals gegevens over gezondheid, zoals bij zorginstellingen het geval is. Daarmee is nog niet alles gezegd, want een curator van een zorginstelling heeft niet alleen met de AVG te maken, maar wordt ook geconfronteerd met andere wettelijke verplichtingen zoals het medisch beroepsgeheim en de bewaarplicht van (medische) dossiers.
Een curator van een zorginstelling wordt daarmee opgezadeld met de nodige risico’s en onduidelijkheden. Een ‘zorgcurator’ moet dus goed beslagen ten ijs komen.
Masterclass Zorgfaillissementen – 25 november 2025
Op dinsdag 25 november 2025 organiseert INSOLAD een verdiepende masterclass over de problematiek waarmee een curator van een failliete zorginstelling geconfronteerd wordt. We sluiten de bijeenkomst af met een interactieve paneldiscussie met ervaringsdeskundigen en vertegenwoordigers van de verschillende betrokken partijen. Deelname aan deze verdiepingscursus staat open voor curatoren, insolventieadvocaten, rechters-commissarissen en vertegenwoordigers van zorgverzekeraars en bij de zorg betrokken overheidsinstanties.
Ervaring met de materie is een voorwaarde voor deelname. Er is plek voor 50 deelnemers, dus meld u snel aan.
De rechtbank bevestigt dat een curator als verwerkingsverantwoordelijke in de zin van de AVG kan worden aangemerkt.
Het ging in deze zaak over een harde schijf met (bijzondere en gevoelige) persoonsgegevens uit de boedel van een faillissement van een zorginstelling. De harde schijf bevond zich op een server die werd verkocht op een veiling in opdracht van de curator. De curator was zich van het bestaan van deze harde schijf niet bewust.
Wat betekent dit voor de praktijk?
Deze uitspraak van de rechtbank Gelderland resulteert in een soort risicoaansprakelijkheid voor de faillissementsboedel van een organisatie die persoonsgegevens verwerkt. Het zal doorgaans niet eenvoudig zijn voor een curator om binnen de korte tijd die hem ter beschikking staat om de boedel te beredderen een volledig beeld te krijgen van de persoonsgegevens die zijn opgeslagen in de (digitale) administratie van de gefailleerde. De kans dat hij iets over het hoofd ziet is niet denkbeeldig.
Deze aansprakelijkheid kan verstrekkende financiële gevolgen hebben. In dit geval legde de AP aanvankelijk een boete op van € 310.000. Een dergelijke boete levert een boedelschuld op. De boete werd door de rechter wel gematigd, onder meer omdat de curator wel een IP-scan heeft laten uitvoeren ter inventarisatie van alle data die bij gefailleerde aanwezig waren. Ook had de curator het veilingbedrijf de opdracht gegeven om de datadragers voorafgaand aan de veiling te verwijderen. Dat was voor de rechtbank echter niet genoeg om de verwijtbaarheid weg te nemen. Volgens de rechtbank had de curator moeten verifiëren of alle gegevensdragers daadwerkelijk waren verwijderd, voordat deze door de boedel ter veiling werden aangeboden.
Het oordeel komt er dus op neer dat een curator verantwoordelijk is voor de naleving van de AVG. Dit verplicht de curator onder andere tot het nemen van passende technische organisatorische maatregelen om ervoor te zorgen dat persoonsgegevens beschermd zijn tegen ongeoorloofde en onrechtmatige verwerking. De onderhavige uitspraak leert dat dit geen sinecure is. De rechtbank legt de lat erg hoog voor een curator.
De AVG kent echter nog andere verplichtingen die de curator zal moeten naleven, zoals het verstrekken van inlichtingen aan betrokkenen over hun gegevens of de rectificatie of het wissen daarvan.
Dit soort verplichtingen klemmen temeer als de gefailleerde bijzondere persoonsgegevens verwerkt, zoals gegevens over gezondheid, zoals bij zorginstellingen het geval is. Daarmee is nog niet alles gezegd, want een curator van een zorginstelling heeft niet alleen met de AVG te maken, maar wordt ook geconfronteerd met andere wettelijke verplichtingen zoals het medisch beroepsgeheim en de bewaarplicht van (medische) dossiers.
Een curator van een zorginstelling wordt daarmee opgezadeld met de nodige risico’s en onduidelijkheden. Een ‘zorgcurator’ moet dus goed beslagen ten ijs komen.
Masterclass Zorgfaillissementen – 25 november 2025
Op dinsdag 25 november 2025 organiseert INSOLAD een verdiepende masterclass over de problematiek waarmee een curator van een failliete zorginstelling geconfronteerd wordt. We sluiten de bijeenkomst af met een interactieve paneldiscussie met ervaringsdeskundigen en vertegenwoordigers van de verschillende betrokken partijen. Deelname aan deze verdiepingscursus staat open voor curatoren, insolventieadvocaten, rechters-commissarissen en vertegenwoordigers van zorgverzekeraars en bij de zorg betrokken overheidsinstanties.
Ervaring met de materie is een voorwaarde voor deelname. Er is plek voor 50 deelnemers, dus meld u snel aan.
- Locatie: CMS Amsterdam (Parnassusweg 737)
- Tijd: 13.00 – 17.30 uur (met afsluitende borrel)
- Voor: curatoren, insolventieadvocaten, rechters-commissarissen, zorgverzekeraars en overheidsinstanties
- PO-punten: 3 (NOvA)
- Kosten: € 175,-
- Ervaring vereist – slechts 50 plekken beschikbaar!
- Aanmelden: secretariaat@insolad.nl