07/09/2022 De rechtbank Noord-Holland heeft in een recente uitspraak van 16 augustus 2022 geoordeeld dat een inwoonster van de gemeente Heemskerk niet in aanmerking komt voor een schadevergoeding na een datalek bij de gemeente. In deze blog legt Considerati kort uit wat het beoordelingskader van schadevergoeding onder de Algemene Verordening Gegevensbescherming (AVG) inhoudt en legt zij dit kader langs de uitspraak van de rechtbank Noord-Holland. 

Beoordelingskader schadevergoeding onder de AVG  

In artikel 82 AVG is voor eenieder de mogelijkheid opgenomen om schadevergoeding te vorderen van de verwerkingsverantwoordelijke of verwerker als gevolg van een inbreuk op de AVG. De schade kan bestaan uit immateriële- en/of materiële schade.  Artikel 82 lid 1 AVG luidt als volgt: 

Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade 

Materiële schade is schade die direct in geld uit te drukken is. Bij immateriële schade kan worden gedacht aan schade als gevolg van verlies van controle over persoonsgegevens of beperking van rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaan making van pseudonimisering, reputatieschade en verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens.2  

Omdat communautaire regelgeving ontbreekt, wordt voor vergoeding van immateriële schade in Nederland uitsluiting gezocht bij artikel 6:106 Burgerlijk Wetboek (BW). Op basis van dit artikel kan immateriële schade vanwege een schending van de AVG kwalificeren als een “aantasting van de persoon”. Daarvan is in elk geval sprake als de benadeelde geestelijk letsel heeft opgelopen.  

Om in aanmerking te komen voor schadevergoeding moet degene die zich op dit artikel beroept: 

  1. met voldoende concrete en objectieve gegevens aantonen dat er sprake is van geestelijk letsel; of 
  2. aantonen dat de aard en de ernst van de geschonden norm zo ernstig is dat enkel door die normschending een aantasting in de persoon kan worden aangenomen. 

De bewijsdrempel voor het aantonen van deze punten ligt hoog. Het is in de regel niet gemakkelijk om snel een immateriële schadevergoeding te verkrijgen.  

Waar ging deze zaak om? 

De inwoonster van de gemeente Heemskerk had in een andere zaak tussen haar en de gemeente Heemstede een bezwaarschrift ingediend. De gemeente had in die zaak een procesdossier samengesteld waarin de persoons– en medische gegevens van deze inwoonster waren opgenomen. Voor de behandeling van dat bezwaar had de gemeente en hoor- en adviescollege aangewezen en het procesdossier van deze inwoonster aan de leden van de commissie gezonden. Eén van deze leden had het procesdossier niet ontvangen. Het procesdossier is per ongeluk kwijtgeraakt, waardoor er sprake is van een datalek. Het datalek is door de gemeente gemeld bij de Autoriteit Persoonsgegevens (AP) en bij de inwoonster. Volgens de inwoonster zijn haar adresgegevens, BSN-nummer, contactgegevens en medische gegevens door het datalek (mogelijk) voor derden toegankelijk (geweest). De inbreuk op de AVG staat in deze zaak vast.  

De inwoonster stelt dat zij immateriële schade lijdt door dit datalek en vordert een schadevergoeding van € 2.000,- Op grond van artikel 6:106 BW  stelt de inwoonster recht te hebben op een naar billijkheid vast te stellen schadevergoeding omdat zij in haar persoon is aangetast.   Daarvan is in dit geval volgens de eiseres sprake omdat zij psychisch letsel zou hebben opgelopen. Het feit dat derden (hebben) kunnen beschikken over haar privé gegevens leidt bij haar tot stress – en angstklachten. Daarbij vreest zij  dat haar gegevens worden gebruikt door criminelen. Zij stelt dat zij haar hele leven extra alert moet zijn op criminelen. Ook stelt zij dat gelet op de aard en de ernst van de geschonden norm – de overtreding van de AVG door de gemeente – de nadelige gevolgen voor de hand liggen. 

De inwoonster beroept zich op allebei de gronden uit artikel 6:106 BW (zie hiervoor). Ter onderbouwing van haar immateriële schade heeft zij correspondentie van een maatschappelijk werker en de huisarts overlegd. 

De gemeente voert verweer tegen de argumenten van de inwoonster en stelt zich op het standpunt dat het enige feit is dat een datalek heeft voorgedaan, niet automatisch leidt tot schade en dat de schade in dit geval ook niet is bewezen. Ook staat volgens de gemeente niet vast dat dat er een grote kans bestaat dat de persoonsgegevens zullen worden misbruikt. De gemeente geeft aan dat het datalek twee jaar geleden heeft plaatsgevonden, en dat er geen bewijs is dat de gegevens zijn gebruikt door derden. Dit feit laat volgens de gemeente zien dat het niet in de lijn der verwachting ligt dat dit nog gaat gebeuren. Ook stelt de gemeente dat de inwoonster er niet in geslaagd is de gestelde schade met concrete objectieve gegevens te onderbouwen.  

De rechtbank is het in deze zaak met de gemeente eens. Volgens de rechtbank staat het niet vast dat de persoonsgegevens in verkeerde handen zijn gekomen. Ook oordeelt de rechtbank dat de inwoonster niet met objectieve gegevens heeft onderbouwd dat zij geestelijk letsel heeft opgelopen door het datalek.  De rechtbank ziet de correspondentie van de inwoonster met haar maatschappelijk werker en huisarts niet ziet als voldoende bewijs. Het verzoek tot schadevergoeding wordt afgewezen.  Wel erkent de rechtbank dat het datalek een fout was van de gemeente. 

Slotopmerking 

Ook deze uitspraak illustreert dat het krijgen van schadevergoeding op basis van artikel 82 van de AVG moeilijk is. Schade moet worden bewezen aan de hand van voldoende concrete en objectieve gegevens De bewijslast ligt hoog, en aan die bewijslast kan niet altijd worden voldaan.  

 

Nine Bennink Senior legal Consultant

Meer weten?

Wilt u meer weten over bovenstaand onderwerp? Neem dan gerust contact met ons op. Onze collega's staan u graag te woord.