Advokaten 1
PRAKTISK JURIDIK » AVGRÄNSNINGEN FÖR VAD SOM UTGÖ
R ÅTGÄRDER INOM RAMEN FÖR KONKURSBOETS VERKSAMHET OCH VAD SOM UTGÖR ÅTGÄRDER I KONKURSÄRENDET ÄR I GDPRHÄNSEENDE INTE HELT TYDLIG. förestående överlåtelse av en verksamhet med ett omfattande kundregister är det nödvändigt att konkursförvaltaren överväger om det är möjligt att medverka till en sådan försäljning eftersom överlåtelsen skulle kunna medföra att personuppgifter kommer att behandlas för annat ändamål än det som var avsett med den ursprungliga insamlingen. Enbart förekomsten av personuppgifter i allmänhet kan inte begränsa eller förhindra förvaltaren från att överlåta verksamheten tillsammans med personuppgifterna. Förvaltaren har inte heller något ansvar för förvärvarens hantering av sådana personuppgifter. Däremot måste det finnas ett sakligt samband mellan den överlåtna verksamheten och förvärvarens behov av tillgång till dessa personuppgifter. Avgörande är det ändamål som uppgifterna har samlats in för. En överlåtelse av ett kundregister till någon som inte förvärvar den rörelse i vilken registret har använts utan enbart önskar använda personuppgifterna i marknadsföringssyfte torde innebära att förvaltaren utför en behandling – överlåtelsen – som strider mot GDPR. Skälet till detta är att förvaltaren därigenom använder personuppgifterna för ett annat ändamål än det ursprungliga. 3 GDPR art. 13 och 14. 44 VEM BÄR ANSVARET FÖR UPPGIFTERNA OCH HANTERINGEN? Ansvaret för personuppgiftsbehandling vid konkurshandläggning kan antingen åvila konkursförvaltaren eller konkursboet. Vid hantering av personuppgifter som sker för att konkursförvaltaren ska fullgöra rättsliga förpliktelser som åvilar denne enligt konkurslagen är det konkursförvaltaren som bär ansvaret. När det gäller åtgärder som vidtas inom ramen för konkursboets verksamhet är det däremot konkursboet som ansvarar. Avgränsningen för vad som utgör åtgärder inom ramen för konkursboets verksamhet och vad som utgör åtgärder i konkursärendet är i GDPRhänseende inte helt tydlig. Rekons uppfattning är att behandling som genomförs inom ramen för fortsatt drift, indrivning av kundfordringar, återvinning och försäljning av tillgångar ska betraktas som konkursboets ansvar. Gränsen mellan konkursförvaltarens och konkursboets ansvar har betydelse i fråga om exempelvis den information som ska lämnas till den registrerade. Den registrerade har rätt att få veta vem som är ansvarig för behandlingen av den registrerades personuppgifter. I ett praktiskt hänseende är emellertid vår bedömning att konsekvenserna av en felaktig personuppgiftsbehandling ytterst drabbar konkursförvaltaren. Oaktat vem som är personuppgiftsansvarig i dataskyddsförordningens mening är det konkursförvaltaren som för boets räkning behandlar personuppgifterna. Om det skulle visa sig att personuppgifter inom ramen för konkursboets ansvar har hanterats i strid med dataskyddsförordningen har konkursförvaltaren åsamkat konkursboet en skada. Om boet drabbas av en sanktionsavgift på grund av felaktig personuppgiftshantering har förvaltaren ådragit konkursboet en massaskuld. INFORMATION TILL DEN REGISTRERADE Dataskyddsförordningen innehåller förhållandevis långtgående skyldigheter för den personuppgiftsansvarige att lämna information till den registrerade om behandlingen i samband med att personuppgifterna samlas in.3 Denna informationsskyldighet gäller såväl när uppgifterna har hämtats in från den registrerade som när de har hämtats in från annan än den registrerade. Informationen ska vara klar, tydlig och lätt tillgänglig. Den enklaste åtgärden för att lämna informationen är enligt vår uppfattning genom att hänvisa till advokatbyråns policy för personuppgiftsbehandling, såvida denna finns enkelt tillgänglig på advokatbyråns webbplats. Vår bedömning är att det inte är nödvändigt att regelmässigt ta in hänvisningar i de dokument konkursförvaltaren enligt konkurslagen upprättar under handläggningen av konkursen. Skälet till detta är att flertalet av dessa handlingar inte kommer till den registrerades kännedom. I de fall handlingen ändå skickas till den registrerade har det som regel dessförinnan redan förekommit kontakter mellan konkursförvaltaren och den registrerade då informationen har lämnats. Vår ADVOKATEN NR 5 • 2020