Op 1 september 2026 is, als onderdeel van de Verzamelwet gegevensbescherming, het nieuwe artikel 68a Fw in werking getreden. Bij het uitvoeren van hun wettelijke taken verwerken curatoren persoonsgegevens. Hierbij kan gedacht worden aan persoonsgegevens van klanten of medewerkers, maar ook aan persoonsgegevens van schuldeisers of bestuurders van een vennootschap. De curator kwalificeert daarbij als verwerkingsverantwoordelijke in de zin van artikel 4 aanhef en onder 7 AVG. Om persoonsgegevens te mogen verwerken, heeft een verwerkingsverantwoordelijke op grond van artikel 6 AVG een grondslag nodig. Artikel 6 AVG somt zes limitatieve grondslagen op, maar in de praktijk was het voor curatoren niet altijd duidelijk op welke grondslagen zij een beroep konden doen.

Met de komst van artikel 68a Fw wordt verduidelijkt dat deze grondslag voor curatoren kan worden gevonden in artikel 6 lid 1 onder e jo. artikel 6 lid 3 AVG: de verwerking van persoonsgegevens door curatoren is noodzakelijk voor de vervulling van een taak van algemeen belang zoals vastgelegd in de wet, namelijk het beheer en de vereffening van de boedel. Artikel 68a Fw voorziet daarmee in een uitgewerkte rechtsgrond voor de verwerking van persoonsgegevens in het kader van die taak van algemeen belang. 

Een ander punt waar de praktijk mee worstelde was de problematiek rondom faillissementen in de zorg, met name voor wat betreft de overdracht van patiëntendossiers.

In deze update wordt daarom ingegaan op:

1. wanneer de curator op grond van artikel 68a Fw in ieder geval persoonsgegevens mag verwerken; en
2. de mogelijkheden voor curatoren om bij faillissementen van zorginstellingen de patiëntendossiers over te dragen aan een opvolgende hulpverlener of hulpverlenende instantie.

Verwerking persoonsgegevens artikel 68a Fw
De taak van de curator is het beheer en de vereffening van de boedel. Artikel 68a lid 2 Fw geeft een (niet-limitatieve) opsomming van deze wettelijke taken waarvoor de curator onder andere persoonsgegevens mag verwerken, bijvoorbeeld:

1. de opzegging van de arbeidsovereenkomst;
2. de voortzetting of voorbereiding van de verkoop van het bedrijf;
3. de verkoop van goederen uit de faillissementsboedel;
4. het oorzaken- en rechtmatigheidsonderzoek;
5. de publicatie van voortgangsverslagen.

Het gaat hierbij om algemene persoonsgegevens zoals naam, adres, telefoonnummers en e-mailadressen. De in lid 2 genoemde taken zijn voorbeelden: mocht een specifieke taak niet zijn genoemd dan kan de curator terugvallen op lid 1 van artikel 68a Fw. Daarin is bepaald dat de curator persoonsgegevens kan verwerken voor zover dit nodig is voor het uitoefenen van zijn taak, namelijk het beheer en de vereffening van de boedel. 

Daarnaast blijft het voor een curator mogelijk om - wanneer een voorgenomen gegevensverwerking niet valt binnen een van de in artikel 68a Fw genoemde taken en evenmin specifiek in de wet (of lagere regelgeving) is omschreven - zich op andere grondslagen van artikel 6 AVG te beroepen, bijvoorbeeld:

1. artikel 6 lid 1 onder a AVG (toestemming, bijvoorbeeld bij de verkoop van losse klantenbestanden; of
2. artikel 6 lid 1 onder c AVG (de verwerking is noodzakelijk om aan een wettelijke verplichting te voldoen, denk bijvoorbeeld aan het naleven van de bewaarplicht ten aanzien van administratie).

Voor het verwerken van bijzondere categorieën van persoonsgegevens geldt dat artikel 68 lid 3 Fw hiervoor een doorbreking van het verwerkingsverbod van artikel 9 lid 1 AVG biedt. Voorbeelden van bijzondere categorieën van persoonsgegevens zijn onder andere het lidmaatschap van een vakbond, een politieke voorkeur, gezondheidsgegevens of het BSN. Daarbij verwijst artikel 68 lid 3 Fw expliciet naar de beperking die in artikel 9 lid 2 onder g AVG wordt benoemd voor het verwerken van deze bijzondere categorie van persoonsgegevens: de verwerking van deze persoonsgegevens moet noodzakelijk zijn om redenen van zwaarwegend algemeen belang. Ook geeft artikel 68a lid 3 Fw de curator de mogelijkheid om bij de uitoefening van bepaalde taken strafrechtelijke persoonsgegevens te verwerken. Dit mag de curator bijvoorbeeld bij het onderzoek naar de oorzaak van het faillissement (zie artikel 68a lid 2 onder c jo. lid 3 onder b Fw).

Tegelijk met de invoering van artikel 68a Fw zijn vergelijkbare regelingen ingevoerd voor de bewindvoerder in surseance van betaling (artikel 215b Fw) en de Wsnp-bewindvoerder (artikel 316a Fw), zodat ook zij voor de verwerking van persoonsgegevens in het kader van de aan hen opgelegde wettelijke taken nu een rechtsgrond hebben (zie artikel 6 lid 3 AVG).  

Verzamelwet gegevensbescherming: de rol van curatoren bij de overdracht van patiëntendossiers in zorgfaillissementen 
In artikel 68a lid 2 Fw wordt ook verwezen naar een andere taak van de curator, namelijk het veiligstellen of “onder zich nemen” van de bescheiden en andere gegevensdragers en overige stukken (artikel 92 Fw). Hierbij gaat het niet alleen om administratie, maar ook om (medische) dossiers, al dan niet elektronisch opgeslagen. Bij de zorg voor een goede overdracht van patiëntendossiers was in het verleden onduidelijk welke (on)mogelijkheden er waren bij het beheer van deze dossiers. Daarbij was sprake van een situatie waarbij de curator de dossiers moest beheren, maar er geen rechtsgeldige grondslag bestond om de dossiers over te dragen aan een nieuwe hulpverlener. 

Tot wat voor praktische problemen dat leidde, werd zichtbaar in het faillissement van het M.C. Slotervaartziekenhuis. Voor een patiëntendossier geldt dat een hulpverlener op grond van artikel 7:454 BW een bewaarplicht heeft van 20 jaar die ingaat nadat de laatste wijziging in het dossier heeft plaatsgevonden. Dit heeft als gevolg dat een curator gedurende een periode van 20 jaar dossiers zou moeten opslaan en voor elektronische dossiers bovendien licenties beschikbaar moet houden. Voor de overdracht van een dossier was daarnaast toestemming nodig van de patiënt. Los van het feit dat dit bij grote aantallen dossiers niet werkbaar is, zullen er patiënten zijn die op een verzoek voor het verlenen van toestemming voor een overdracht niet reageren of die inmiddels zijn overleden. 

Voor de overdracht van patiëntendossiers naar een opvolgende hulpverlener hoeft daarom geen toestemming meer te worden gevraagd. Curatoren kunnen de verwerking van persoonsgegevens die met deze overdracht gepaard gaat, baseren op artikel 6 lid 1 onder e, AVG omdat verwerking noodzakelijk is voor de uitoefening van de taak van algemeen belang die de curator uitvoert op basis van de Faillissementswet, namelijk de taak om medische dossiers te bewaren (zie artikel 68a lid 2 onder f Fw) en zo nodig en mogelijk een ordelijke overdracht van deze dossiers aan een opvolgende hulpverlener te realiseren (zie ook: Gerechtshof Arnhem-Leeuwarden 26 maart 2019, ECLI:NL:GHARL:2019:2644, r.o. 4.14). Volledigheidshalve wordt opgemerkt dat het inherent is aan de overdracht van patiëntendossiers is dat hierbij sprake is van het verwerken van bijzondere persoonsgegevens in de zin van artikel 9 lid 1 AVG, te weten gezondheidsgegevens. Via zowel artikel 68a lid 2 onder f jo. lid 3 onder a Fw als het nieuwe artikel 30b Uitvoeringswet AVG kan de curator het verwerken van deze gegevens legitimeren.

De wetgever heeft ook oog gehad voor de uitvoerbaarheid van deze regeling en heeft gekozen voor een informatieplicht. Bij overdracht van een patiëntendossier dient de curator de patiënt hierover te informeren. In het geval dat het individueel informeren van patiënten onevenredig veel inspanning zou vragen, is het ook mogelijk om te volstaan met een algemene bekendmaking. Of sprake is van een dergelijke situatie hangt af van de omstandigheden van het geval. Uit de Memorie van Toelichting volgt dat de wetgever hierbij wel heeft gedacht aan het Slotervaartziekenhuis: als voorbeeld wordt de daar aangetroffen zes kilometer aan patiëntendossiers genoemd.

Uit het faillissementsverslag van de curatoren van het M.C. Slotervaartziekenhuis volgt dat uiteindelijk in overleg met het Ministerie van VWS, de Inspectie Gezondheidszorg en Jeugd (IGJ) en Zilveren Kruis afspraken zijn gemaakt over de overdracht van de patiëntendossiers en de kosten van de opslag. Sinds april 2020 zijn de patiëntendossiers op te vragen bij het UMC Utrecht. Dit is een eenmalige oplossing geweest. De nieuwe Verzamelwet gegevensbescherming biedt nog geen mogelijkheid voor de overdracht van patiëntendossiers als er geen opvolgende hulpverlener is. Wanneer overdracht aan een opvolgende hulpverlener niet mogelijk is, dan blijft de bewaarplicht voor de patiëntendossiers op de curator rusten. Ook al biedt de Verzamelwet gegevensbescherming de curator duidelijkere handvatten voor het verwerken van persoonsgegevens, juist voor deze situatie zal in goed overleg met het Ministerie van VWS, IGJ, zorgverzekeraars nog een oplossing gevonden moeten worden.