Geblunder bij de GGD met persoonsgegevens: recht op schadevergoeding?

Dat het privacyrecht actueler is dan ooit bleek deze week maar weer eens nadat breed bekend werd dat er grootschalig is gehandeld in persoonsgegevens van miljoenen Nederlanders. Het gaat om gegevens afkomstig uit de twee belangrijkste ‘coronasystemen’ van de GGD en betreft adresgegevens, telefoonnummers, burgerservicenummers en testresultaten. Testresultaten zijn medische gegevens en dus ‘bijzondere’ persoonsgegevens. Daar moet extra zorgvuldig mee worden omgegaan. Maar ook adresgegevens, telefoonnummer en BSN zijn zeer privé, omdat deze gegevens misbruikt kunnen worden voor bijvoorbeeld identiteitsfraude en phishing. Het feit dat dit soort gevoelige gegevens gestolen zijn roept de vraag op of betrokkenen – degenen op wie de gegevens zien – recht hebben op schadevergoeding.

Behalve dat organisaties die slecht omgaan met persoonsgegevens hoge boetes boven het hoofd hangen sinds de invoering van de AVG (Algemene Verordening Gegevensbescherming), kunnen zij los daarvan ook aansprakelijk worden gesteld voor de veroorzaakte schade. Wanneer iemand nadeel ondervindt van een datalek of onrechtmatige verwerking, kan diegene schadevergoeding vorderen bij de rechter. Dit recht op schadevergoeding is vastgelegd in artikel 82 AVG: ‘Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de gelede schade‘.

Niet alleen materiële, maar dus ook immateriële schade komt voor vergoeding in aanmerking. Bij dit laatste kan bijvoorbeeld gedacht worden aan reputatieschade, psychische klachten, enz. Behalve bij de civiele rechter kan ook bij de bestuursrechter schadevergoeding worden gevorderd vanwege een inbreuk door een bestuursorgaan op de AVG. Dit volgt uit een viertal uitspraken van 1 april 2020 van de Afdeling bestuursrechtspraak van de Raad van State (zie o.a. ECLI:NL:RVS:2020:898). Wat is er nodig voor toekenning van schadevergoeding? Er moet schade zijn geleden en sprake zijn van een gebeurtenis zoals wanprestatie of onrechtmatige daad. Materiële schade is schade aan het vermogen van de benadeelde. Dit nadeel kan direct in geld worden uitgedrukt (en wordt vaak ook wel als vermogensschade aangemerkt). Immateriële schade ziet op ander nadeel dan vermogensschade en kan dus juist niet precies worden berekend.

Immateriële schade komt voor vergoeding in aanmerking als iemand ‘lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast’ (zie ook: ECLI:NL:HR:2019:376). Ook al is sprake van overtreding van de AVG en is onrechtmatig gehandeld, dan ontstaat niet automatisch een recht op schadevergoeding. Daarvoor is meer nodig.

De rechtbank Deventer oordeelde dat sprake kan zijn van aantasting in de persoon wegens ‘verlies van controle over de persoonsgegevens’ (ECLI:NL:RBOVE:2019:1827) en kende aan de betrokkene een immateriële schadevergoeding van € 500,- toe wegens schending van diens privacy.

Uit het hoger beroep (ECLI:NL:RVS:2020:899) blijkt echter dat de drempel toch wat hoger ligt dan dat: degene die zich beroept op ‘aantasting van de persoon’ zal dit met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengt dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen.

Of dit laatste het geval is bij de persoonsgegevens verkopende GGD’ers valt te bezien, maar er valt wel wat voor te zeggen. Te meer nu kennelijk de handel in persoonsgegevens al langere tijd bekend was.