5.4.3 Reageren op verzoeken

De AVG vereist dat de curator binnen een maand reageert op verzoeken van betrokkenen.1 Aan die reactie worden bovendien voorwaarden gesteld.

Wanneer een verzoek wordt gedaan, dient de curator met voldoende zekerheid vast te stellen of het inderdaad de betrokkene betreft.2 De betrokkene mag in beginsel slechts informatie over zijn eigen persoonsgegevens ontvangen. De curator moet daartoe een authenticatiesysteem gebruiken waarmee de betrokkene kan worden geïdentificeerd.3 In sommige gevallen is identificatie eenvoudig. Als een betrokkene zich aanmeldt op de door “de verwerker van de gegevens aangeboden onlinedienst”, staat zijn identiteit voldoende duidelijk vast.4 De curator kan de identiteit van betrokkenen die inloggen op hun bestaande onlineaccounts bij de failliet dus betrekkelijk eenvoudig vaststellen. Wanneer dat niet het geval is, kan het tijd en geld kosten om betrokkenen te identificeren. Als de curator kan aantonen dat hij niet in staat is de betrokkene te identificeren, kan hij weigeren aan het verzoek te voldoen.5 De curator moet in dit identificatieproces een zekere balans vinden. De authenticatie van een betrokkene mag geen onnodig obstakel vormen voor de uitoefening van zijn rechten.6 Tegelijkertijd mag de curator niet té eenvoudig de identificatie van de betrokkene nalaten ten gunste van een snellere of gemakkelijkere behandeling van het verzoek.7 Daardoor zou de gegevensbescherming van derden in het gedrang kunnen komen.

Nadat de curator de identiteit van de betrokkene heeft vastgesteld, moet hij in beginsel onverwijld maar ten laatste binnen één maand reageren op zijn verzoek.8 Afhankelijk van de complexiteit en het aantal verzoeken kan de curator die termijn met nog eens twee maanden verlengen.9

Ook inhoudelijk is de reactie van de curator aan voorwaarden gebonden, vooral wanneer een betrokkene gebruikmaakt van zijn rechten op inzage en dataportabiliteit. Uitoefening van deze rechten mag geen afbreuk doen aan de rechten en vrijheden van anderen.10 Dat betekent dat de curator in de verstrekte kopie niet op onrechtmatige wijze persoonsgegevens van anderen mag doorgeven aan de betrokkene. Dit moet echter niet te strikt worden geïnterpreteerd en betekent niet dat een betrokkene geen recht op inzage heeft als deze inzage ook persoonsgegevens van derden bevat.11 De belangen van een derde worden bijvoorbeeld niet geschaad als uit de inzage blijkt dat een betrokkene ooit contact heeft gehad met de derde. De curator kan echter niet volstaan met het simpelweg doorsturen van alle beschikbare persoonsgegevens van de betrokkene. Als hij besluit dat bepaalde informatie niet of niet volledig aan de betrokkene kan worden verstrekt, moet hij kenbaar maken dat er informatie ontbreekt en uitleggen waarom dat zo is.12 Een betrokkene heeft in beginsel ook recht op een kopie waarin persoonsgegevens van derden zwart zijn gemaakt als dat de meest effectieve wijze is waarop hij zo volledig mogelijk zijn recht op inzage kan uitoefenen.13 Wat betreft de communicatie met betrokkenen gelden dezelfde inhoudelijke eisen voor heldere communicatie als hierboven al besproken zijn met betrekking tot de privacyverklaring.14