De klant gaat failliet, de leverancier blijft alleen achter met de gegevens — en wordt verwerkingsverantwoordelijke

Wat er gebeurde

Op 24 maart 2020 gaat een Noorse winkelketen failliet. Oud-werknemers vragen de curator om dekking van het loon over de gewerkte dagen en hebben daarvoor hun urenregistratie nodig: uren, diensten, aanwezigheid. Die gegevens staan echter in het systeem van een externe leverancier, die ze namens het bedrijf verwerkte. De curator heeft geen toegang tot het systeem. Op 18 juni dient een oud-werknemer een inzageverzoek in over zijn eigen gegevens; in totaal komen er tachtig binnen. Op 23 juni antwoordt de leverancier schriftelijk dat hij geen zelfstandige beschikkingsbevoegdheid heeft en aan niemand gegevens mag verstrekken, „zelfs niet aan de betrokkenen zelf".

Een verwerking zonder verwerkingsverantwoordelijke bestaat niet

Artikel 28 lid 10 bepaalt dat een verwerker die doel en middelen bepaalt, voor die verwerking verwerkingsverantwoordelijke wordt. Na het faillissement was de leverancier de enige met toegang tot de systemen, besliste hij of en aan wie gegevens werden verstrekt, bepaalde hij hoe lang ze bewaard bleven en handelde hij verzoeken van betrokkenen zelfstandig af. Dat zijn beslissingen over de wezenlijke middelen van de verwerking, en die komen de verwerkingsverantwoordelijke toe. De verordening kent geen verwerker zonder verwerkingsverantwoordelijke: voor elke verwerking moet iemand instaan.

De factuur schort geen rechten op

De leverancier had de curator gevraagd zijn openstaande vorderingen te voldoen voordat hij de urenstaten zou afgeven, en bood aan „ruwe gegevens" alleen te leveren via een nieuwe betaalde opdracht. De toezichthouder hield beide zaken uit elkaar: of de leverancier recht heeft op een vergoeding is een contractuele vraag die de AVG niet regelt, terwijl inzage binnen één maand moet worden beantwoord (artikel 12 lid 3) en in beginsel kosteloos is (artikel 12 lid 5). Een openstaande rekening bij een failliete klant is geen rechtsgrond om iemand zijn eigen gegevens te weigeren.

• Wat er met de gegevens gebeurt als de verwerkingsverantwoordelijke failliet gaat of ophoudt te bestaan. De standaardclausule „na afloop van het contract teruggeven of wissen" volstaat niet wanneer werknemers die gegevens nodig hebben voor een vordering: er moet staan wie in de tussentijd inzageverzoeken beantwoordt.
• Is uw klant zelf leverancier, controleer dan of hij het moment herkent waarop niemand hem nog instructies geeft. Vanaf dat moment wijst hij ofwel de opvolger aan — meestal de curator — ofwel erkent hij dat hij zelf verwerkingsverantwoordelijke is.
• Geen enkel inzageverzoek mag afhankelijk worden gesteld van betaling. Op dat punt verloor de leverancier, en het is tegelijk het punt dat zich het makkelijkst in een interne procedure laat vastleggen.

De boete, en waarom die lager uitvalt dan hij had kunnen zijn

Tweehonderdvijftigduizend Noorse kronen, ongeveer vijfentwintigduizend euro. In de brief van april 2025 had de toezichthouder nog zevenhonderdvijftigduizend aangekondigd en het bedrag daarna verlaagd vanwege de duur van de procedure: de klacht kwam binnen op 30 juni 2020 en het eerste verzoek om uitleg ging pas op 15 oktober 2024 naar het bedrijf. De zaak werd als grensoverschrijdend behandeld, met Zweden, Denemarken en Spanje onder de betrokken toezichthouders.