Data van een failliet bedrijf verkopen: mag dat zomaar?

Security.nl publiceerde op 21 oktober een juridische vraag van Arnoud Engelfriet over de verkoop van persoonsgegevens na een faillissement. Aanleiding is een Amerikaans luchtvaartbedrijf dat failliet ging. Google kocht tijdens een veiling grote hoeveelheden e-mails, chatgesprekken, opgenomen telefoongesprekken en personeelsdossiers, waaronder salarisgegevens en belastingformulieren. Google wil die data gebruiken om AI mee te trainen.

De vraag is of dat in Nederland ook kan. Engelfriet legt uit dat de status van data bij een faillissement hier nauwelijks geregeld is. Curatoren verkopen databestanden alsof het oude bureaustoelen zijn, omdat ze zoveel mogelijk geld voor de schuldeisers willen ophalen. Maar de AVG staat dat in de weg, zegt hij. Een curator wordt verwerkingsverantwoordelijke zodra hij bij de data kan. Handel in persoonsgegevens van een failliet bedrijf is volgens de Autoriteit Persoonsgegevens alleen mogelijk met toestemming van de betrokkenen. Die toestemming krijg je vrijwel niet rond.

Wat dit betekent voor jouw bedrijf

Misschien denk je: dit gaat over een faillissement in de Verenigde Staten, niet over mijn zaak. Toch raakt het je eigen processen. Veel MKB-bedrijven bewaren klantgegevens, personeelsdossiers en e-mailarchieven in systemen die eigendom zijn van het bedrijf. Als jij ooit je bedrijf verkoopt of overdraagt, kunnen die bestanden onderdeel worden van de deal. De vraag is of je dat zomaar mag doen. De AVG geldt ook dan. Je klanten en medewerkers hebben er niet mee ingestemd dat hun gegevens naar een koper gaan.

Daarnaast speelt de vraag of je zelf data van een ander bedrijf kunt kopen om je AI-model te trainen. Misschien zie je een aanbieder die een dataset met gesprekken of e-mails verkoopt. Volgens de lijn van Engelfriet en de AP mag dat niet zonder toestemming van de mensen in die data. Anonimiseren lijkt een uitweg, maar Engelfriet plaatst daar vraagtekens bij. Een personeelsdossier blijft persoonsgegevens bevatten, ook als je de naam en het salarisnummer weghaalt. En als je alles verwijdert wat over iemand gaat, houd je weinig over waar een taalmodel iets mee kan.

• Weet welke persoonsgegevens je bewaart en waar ze staan.
• Bepaal of je die gegevens ooit zou willen overdragen of verkopen.
• Regel toestemming of een andere grondslag voordat je data deelt.
• Twijfel je over anonimiseren? Vraag je af of het echt anoniem is.

Wat je deze week kunt doen

Kijk deze week eens naar de map met personeelsdossiers en de export van je klantenservice. Stel jezelf de vraag: als ik dit bedrijf morgen zou overdragen, wat gebeurt er dan met deze bestanden? En als ik ze zou willen gebruiken voor een AI-project, heb ik dan toestemming van de mensen erin? Dat is geen juridisch advies, maar een praktische check. Vaak ontdek je dat je niet precies weet welke data je hebt en waarom. Dat is het moment om het uit te zoeken, voordat een curator of een koper dat voor je doet.