Persónuverndarlög leggja ýmsar skyldur á aðila sem bera ábyrgð á vinnslu persónuupplýsinga, svokallaða ábyrgðaraðila vinnslunnar. Fullyrða má að öll fyrirtæki vinni með persónuupplýsingar og eru þrotabú og skiptastjórar þar ekki undanskilin.
Þegar bú félags er tekið til gjaldþrotaskipta stofnast nýr lögaðili, þrotabú, sem stýrt er af skiptastjóra. Skiptastjóri fer með forræði þrotabúsins og hefur ákvörðunarvald yfir hagsmunum þess.
Við skipun er skiptastjóra skylt að taka við stjórn búsins og taka yfir allar eignir þess. Þetta á einnig við um allar persónuupplýsingar félagsins en um getur verið að ræða allskonar upplýsingar sem liggja á starfsstöð þess og í tölvukerfum, þ.m.t. upplýsingar um viðskiptavini og starfsfólk félagsins. Í einhverjum tilfellum getur verið um að ræða viðkvæmar persónuupplýsingar, t.d. heilsufarsupplýsingar um starfsmenn. Þá þarf skiptastjóri að vinna með tilteknar persónuupplýsingar í tengslum við skiptin sjálf, t.d. um kröfuhafa.
Ábyrgðaraðili vinnslunnar getur verið hvort heldur sem er þrotabúið sjálft eða skiptastjóri, allt eftir því um hverskonar vinnsluaðgerðir er að ræða. Ef skiptastjóri ákveður til dæmis að halda rekstri búsins áfram í því skyni að selja reksturinn síðar, þá eru vinnsluaðgerðir í tengslum við reksturinn á ábyrgð þrotabúsins. Vinnsla persónuupplýsinga við gerð kröfuskrár er hins vegar á ábyrgð skiptastjóra. Skiptastjóri ber ekki ábyrgð á vinnslu sem fram fer áður en hann tekur við búinu en hann ber ábyrgð á persónuupplýsingunum frá því hann er skipaður skiptastjóri og upplýsingarnar komast í hans vörslur, ýmist sem sjálfstæður ábyrgðaraðili eða sem fyrirsvarsmaður búsins.
Persónuvernd og ábyrgð skiptastjóra
Ljóst er að um þá vinnslu gilda persónuverndarlög og það er á ábyrgð skiptastjóra að sjá til þess að meðferð persónuupplýsinga við skipti á þrotabúinu sé í samræmi við lög. Til þess að geta uppfyllt þær skyldur sínar þarf skiptastjóri þegar hann tekur við þrotabúi að átta sig á því hvernig vinnslu persónuupplýsinga hefur verið háttað hjá hinu gjaldþrota félagi, hvar upplýsingarnar eru varðveittar og um hverskonar persónuupplýsingar er að ræða.
Yfirleitt er um að ræða upplýsingar sem varðveittar eru á starfstöð félagsins og í tölvukerfum þess en hafa þarf í huga að tölvur og önnur tæki sem kunna að geyma persónuupplýsingar geta verið í vörslum fyrrum starfsmanna félagsins. Skiptastjóri þarf að tryggja að upplýsingarnar séu varðveittar í öruggum kerfum og loka starfstöð fyrirtækisins þannig að óviðkomandi aðilar hafi ekki aðgang að upplýsingum sem þar kunna að liggja. Í framhaldinu þarf skiptastjóri að gæta að því að öll vinnsla sem fram fer á hans vegum meðan á skiptum stendur sé í samræmi við persónuverndarlög.
Skiptastjóri þarf þannig að ganga frá vinnslusamningum við vinnsluaðila sem kunna að vinna persónuupplýsingar á vegum skiptastjóra, t.d. hýsingaraðila sem hýsa gögn meðan á skiptum stendur og grípa til fullnægjandi öryggisráðstafana til að vernda persónuupplýsingar.
Við störf sín þarf skiptastjóri að huga að því að vinnsla hans byggi á fullnægjandi lagagrundvelli og sé í samræmi við meginreglur persónuverndarlaga svo sem um lögmæti og meðalhóf. Skiptastjóri verður einnig að gæta að því til hverra hann miðlar persónuupplýsingunum og þá sérstaklega ef skiptastjóri hyggst miðla persónuupplýsingum til aðila utan Evrópska efnahagssvæðisins.
Þar sem skiptastjórn felur í sér lögbundið hlutverk getur vinnsla persónuupplýsinga við skiptin yfirleitt byggt á lagaskyldu. Skiptastjóri þarf hins vegar að gæta þess að vinnslan rúmist innan þess verkefnis sem honum
hefur verið falið að lögum.
Persónuupplýsingar má ekki varðveita lengur en nauðsynlegt er, en varðveisla persónuupplýsinga þarf eins og önnur vinnsla að byggja á lagaheimild. Þegar skiptastjóri tekur því við búinu ber honum að eyða persónuupplýsingum sem ekki er nauðsynlegt að varðveita. Við lok skipta þarf skiptastjóri að ákveða hversu lengi hann hyggst varðveita þær persónuupplýsingar sem eftir standa.
Í mörg horn að líta
Lög kunna að setja þar tiltekin skilyrði en sem dæmi gera bókhaldslög kröfu um að öll bókhaldsgögn skuli varðveitt í sjö ár frá lokum viðkomandi reikningsárs. Ein af skyldum skiptastjóra er að taka við bókhaldi félagsins og ber skiptastjóra því að varðveita slík gögn í samræmi við lög. Skiptastjóri getur einnig varðveitt upplýsingar á grundvelli lögmætra hagsmuna, t.d. þar sem það kann að vera nauðsynlegt til að stofna, hafa uppi eða verja réttarkröfu. Í því sambandi má líta til reglna um fyrningarfrest krafna og því ætti í flestum tilvikum ekki að þurfa að varðveita upplýsingarnar lengur en í fjögur ár á þeim grundvelli. Eftir skiptalok er ekki lengur hægt að gera kröfur á hendur þrotabúinu sjálfu og eru því í flestum tilvikum ekki lögmætir hagsmunir til að varðveita upplýsingar sem ekki varða gjaldþrotaskiptin sjálf eftir skiptalok.
Á skiptastjóra hvílir skylda til að afhenda gögn sem þýðingu hafa fyrir gjaldþrotaskiptin til varðveislu á Þjóðskjalasafni að skiptum loknum. Af því leiðir að skiptastjóra ber að varðveita upplýsingar sem máli skipta fyrir gjaldþrotaskiptin meðan á skiptum stendur og í tiltekinn tíma eftir skiptalok til að geta brugðist við fyrirspurnum og mögulegum kröfum er tengjast gjaldþrotaskiptunum en svo ber honum að afhenda gögnin á Þjóðskjalasafnið.
Mikið í húfi
Það eru miklir hagsmunir í húfi þegar kemur að vernd persónuupplýsinga. Brot á persónuverndarlögum geta haft í för með sér sekt sem lögð er á ábyrgðaraðila sem getur numið allt að 2,4 milljörðum króna eða allt að 4% af árlegri heildarveltu fyrirtækis. Í þeim tilvikum þar sem þrotabúið sjálft er ábyrgðaraðili vinnslunnar, t.d. vegna vinnslu sem á sér stað fyrir þrot, yrði slík sekt hluti af kröfum í búið sem hefur áhrif á endurheimt annarra kröfuhafa. Ef skiptastjóri er sjálfur ábyrgðaraðili, þ.e. ef um er að ræða vinnslu persónuupplýsinga við gjaldþrotaskiptin beinist sektin að honum. Það er því full ástæða til að vera vel á verði.
Í heimi þar sem persónuupplýsingar verða sífellt stærri partur af viðskiptamódeli fyrirtækja má ætla að álitamál er varða persónuvernd komi til með að verða
fyrirferðarmeiri þegar kemur að gjaldþrotaskiptum. Persónuupplýsingar kunna einnig að vera verðmætasta eign þrotabúsins og því enn frekari ástæða til að gæta vel að þeim reglum sem um þær gilda. Það er því mikilvægt að skiptastjórar séu meðvitaðir um þær skyldur sem á þeim hvíla þegar kemur að vernd persónuupplýsinga í störfum þeirra.
