Geen schadevergoeding na datalek bij gemeente: geestelijk letsel onvoldoende onderbouwd

Inleiding: beoordelingskader immateriële schadevergoeding onder de AVG

In eerdere blogs schreef ik al over het beoordelingskader voor (immateriële) schadevergoeding onder de AVG. In het heel kort: voor immateriële schadevergoeding onder de AVG wordt aansluiting gezocht bij het civiele schadevergoedingsrecht. Op basis van artikel 6:106 BW kan immateriële schade vanwege een schending van de AVG kwalificeren als een ‘aantasting van de persoon’. Daarvan is in elk geval sprake als de benadeelde geestelijk letsel heeft opgelopen. Volgens rechtspraak (zie EBI-arrest) geldt dat degene die zich hierop beroept:

1. met voldoende concrete gegevens moet aanvoeren waaruit volgt dat sprake is van geestelijk letsel; of
2. moet aantonen dat de aard en ernst van de normschending met zich brengen dat nadelige gevolgen zodanig voor de hand liggen, dat reeds daarom een aantasting in de persoon kan worden aangenomen.

Van een ‘aantasting in de persoon’ is bovendien niet al sprake bij de enkele schending van een fundamenteel recht. De enkele schending van de AVG levert (dus) niet direct een recht op schadevergoeding op.

Wat was er in deze kwestie aan de hand?

In een recente kwestie bij rechtbank Noord-Holland betreft het een inwoonster van de gemeente Heemskerk die bij de gemeente een bezwaarschrift opgesteld in het kader van een zaak die betrekking op haar had. De gemeente had in die zaak namelijk een dossier opgesteld waarin bepaalde medische en persoonsgegevens van haar waren opgenomen. De gemeente had dat dossier per post aan leden van de hoor- en adviescommissie toegezonden, maar één lid had het dossier echter niet ontvangen. De gemeente heeft dat als datalek gekwalificeerd en daarvan melding gedaan aan de Autoriteit Persoonsgegevens en de inwoonster zelf. Daarbij stelt de inwoonster dat de gemeente haar heeft laten weten dat door het niet aankomen van het procesdossier bij een van de commissieleden haar medische en persoonsgegevens voor derde(n) toegankelijk zijn (geweest).

Ergo: de schending van de AVG staat tussen partijen vast.

Verzoek om schadevergoeding

De inwoonster stelt dat zij immateriële schade heeft geleden door het datalek en vindt een schadevergoeding van € 2.000,00 op zijn plaats. Ze stelt dat zij in haar persoon is aangetast, omdat zij geestelijk letsel heeft opgelopen. Het feit dat derden over haar medische en overige privégegevens kunnen beschikken leidt bij eiseres tot stress- en angstklachten. Zij vreest dat de gegevens voor criminele doeleinden zullen worden gebruikt zoals identiteitsfraude. Zeker nu het dossier ook bij het postbedrijf vermist is. De inwoonster meent dat zij de rest van haar leven extra alert moeten zijn op verdachte brieven, e-mails en phishing pogingen van derden in de post, digitaal en telefonisch. Haar geestelijk letsel onderbouwt ze met e-mails van een maatschappelijk werker en de huisarts.

Daarnaast meent de inwoonster dat bovendien de aard en ernst van de normschending met zich brengen dat nadelige gevolgen voor de hand liggen. De inwoonster gaat daarmee voor beide ankers uit het toetsingskader liggen.

Tenslotte merkt de inwoonster expliciet op dat voor toekenning van schadevergoeding volgens haar niet hoeft vast te staan dat haar gegevens zijn misbruikt.

Gemeente voert verweer: schade niet aannemelijk gemaakt c.q. onderbouwd

De gemeente stelt dat de inwoonster niet aannemelijk heeft gemaakt dat de inbreuk op de AVG heeft geleid tot een aantasting in haar persoon. Dit is ook niet door inwoonster met concrete en objectieve gegevens onderbouwd. Uit het enkele feit dat de inwoonster met maatschappelijk werk en de huisarts gesproken heeft over stress- en angstklachten, is onvoldoende om vast te stellen dat daarvan ook sprake is.

Ook stelt de gemeente dat het hier niet gaat om zodanig ernstig verwijtbaar gedrag met zo ernstige gevolgen, dat aantasting van de persoon kan worden aangenomen. De kans dat het bij het postbedrijf zoekgeraakte poststuk zal leiden tot misbruik is volgens de gemeente zeer gering. Er zijn bovendien geen aanwijzingen dat de gegevens zijn misbruikt, terwijl het poststuk al in 2019 is zoekgeraakt. Als de gegevens nu nog niet zijn misbruikt, is het volgens de gemeente onwaarschijnlijk dat het nog zal gebeuren.

Geen recht op immateriële schadevergoeding

Het oordeel van de rechtbank is kort, maar krachtig. Niet gebleken is dat de gegevens bij derden terecht zijn gekomen. Er heeft geen identiteitsfraude plaatsvonden en de inwoonster heeft tot op heden geen verdachte brieven, phishing mails of telefoontjes ontvangen.

Bovendien volgt de rechtbank de gemeente in de stelling dat de inwoonster niet met concrete en objectieve gegevens heeft onderbouwd dat zij ten gevolge van het datalek geestelijk letsel heeft opgelopen: de in het geding gebrachte e-mails van maatschappelijk werk en de huisarts rechtvaardigen die conclusie niet. De rechtbank wijst daarom het verzoek om schadevergoeding af.

Tot slot

Met deze uitspraak wordt andermaal bevestigd dat voor schadevergoeding wegens een inbreuk op de AVG vereist is dat voldoende concrete gegevens aangevoerd moeten worden waaruit kan volgen dat er sprake is van daadwerkelijk geleden immateriële schade. En daarnaast dat de lat voor het aantonen van geestelijk letsel hoog ligt.

Dat is slechts anders – en dat speelde niet in deze kwestie – als de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Zie daarvoor onder andere ook dit blog.

Deze uitspraak past overigens binnen de huidige lijn in de Nederlandse rechtspraak over vergoedbaarheid van schade onder de AVG. Het is nog even wachten op de beantwoording van prejudiciële vragen aan het Europese Hof van Justitie over schadevergoeding van de AVG. Eén van de vragen is of er sprake is van immateriële schade als gevolg van zorgen, ongerustheid en angst van betrokkenen over mogelijk toekomstig misbruik van hun persoonsgegevens, zelfs als deze nog niet zijn misbruikt. De beantwoording van deze vragen wachten wij met nieuwsgierigheid af, nu dit mogelijk ook gevolgen heeft voor de lijn in Nederlandse rechtspraak.

Vragen over schadevergoeding onder de AVG? Weet mij, of mijn collega’s van het Privacyteam graag te vinden.