ICAM is ontvankelijk in haar procedure tegen de Staat, GGD GHOR en de GGD’en (“de Staat c.s.”), dat heeft de rechtbank Amsterdam geoordeeld in haar vonnis van 17 juli 2024. De procedure gaat over het grootschalige datalek dat tijdens de coronapandemie plaatsvond bij de GGD’en (“het GGD-datalek”). ICAM komt als belangenbehartiger op voor de 6,5 miljoen Nederlanders die zijn getroffen door dit datalek. Met de procedure beoogt ICAM enerzijds helderheid te verschaffen over de omvang en gevolgen van het GGD-datalek, en anderzijds de overheid ertoe te bewegen in zijn algemeenheid een hoger niveau van informatiebeveiliging na te streven. Tevens vordert ICAM vergoeding van de materiële en immateriële schade die de gedupeerden hebben geleden als gevolg van het GGD-datalek.
In deze blog bespreek ik het ontvankelijkheidsvonnis, waarbij ik in het bijzonder inga op de overwegingen van de rechtbank die zien op de ontvankelijkheid van de immateriële schadevergoedingsvorderingen.
ICAM is ontvankelijk
De procedure die ICAM heeft ingesteld betreft een collectieve actie waarop de Wet afwikkeling massaschade in collectieve actie (“WAMCA”) van toepassing is. De rechtbank oordeelt dat ICAM voldoet aan alle door de WAMCA gestelde ontvankelijkheidseisen in de artikelen 1018c Rv en 3:305a BW.[1] Haar dagvaarding bevat de vereiste omschrijvingen en gegevens en ICAM als stichting is ook ontvankelijk. ICAM heeft vorderingen ingesteld die strekken tot bescherming van de belangen van de personen voor wie zij opkomt. De statutaire doelstellingen van ICAM dienen het algemeen belang en zij is gelet op de activiteiten die zij ontplooit ook actief op het gebied van gegevensbescherming in de zin van artikel 80 AVG.
Ook aan het waarborgvereiste van artikel 3:305a lid 1 en 2 BW is volgens de rechtbank voldaan. ICAM is representatief, dat wil zeggen dat zij een voldoende groot deel van de totale achterban vertegenwoordigt in de procedure. Bovendien benadrukt de rechtbank dat ondanks dat dit een beperkt percentage is van alle personen voor wie ICAM opkomt (6,5 miljoen) niet afdoet aan ICAM’s representativiteit.
Tenslotte oordeelt de rechtbank dat ICAM beschikt over een toereikend toezichthoudend orgaan, over passende en doeltreffende mechanismen voor deelname aan of vertegenwoordiging bij haar besluitvorming, en dat zij over voldoende middelen beschikt om de kosten voor deze procedure te dragen en dat daarbij de zeggenschap over de rechtsvordering in voldoende mate bij haar ligt.
Omdat ICAM de enige eiser is in deze zaak wijst de rechtbank haar tevens aan als exclusieve belangenbehartiger.
Immateriële schadevergoedingsvorderingen
Vervolgens toetst de rechtbank of de door ICAM ingestelde vorderingen ook ontvankelijk zijn. De 6,5 miljoen mensen van wie persoonsgegevens zijn opgenomen in de GGD-systemen heeft ICAM gecategoriseerd in twee groepen: groep A en B. groep A bestaat kort gezegd uit de personen wiens persoonsgegevens zijn verwerkt in één van of beide GGD-systemen. Voor groep B geldt aanvullend dat voor deze personen vaststaat of tijdens de procedure zal komen vast te staan dat hun persoonsgegevens door het GGD-datalek onbevoegd zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen. Voor beide groepen heeft ICAM vorderingen tot vergoeding van materiële en immateriële schade ingesteld in de zin van artikel 82 lid 1 AVG. Ik beperk me in deze blog tot de bespreking van het oordeel van de rechtbank over de immateriële schadevergoedingsvorderingen van groep A.
De WAMCA bepaalt dat in een collectieve vordering de feitelijke en rechtsvragen moeten kunnen worden beantwoord zonder daarbij de bijzondere omstandigheden van de individuele belanghebbenden te hoeven betrekken. Anders gezegd, de belangen waarvan ICAM bescherming nastreeft moeten zich lenen voor bundeling. In dat geval is het namelijk efficiënter en effectiever dat daarover in één collectieve procedure wordt geoordeeld in plaats van in allerlei individuele procedures. De rechtbank acht de omstandigheden waarin de gedupeerden in groep A verkeren in vergaande mate vergelijkbaar. Het vonnis wijkt daarbij af van het oordeel van de rechtbank Amsterdam inzake TikTok, waar de rechtbank de vorderingen juist onvoldoende gelijksoortig achtte vanwege de grote verscheidenheid aan bestaande verschillen in gebruik van TikTok door de gedupeerden.
Dan bespreekt de rechtbank of aan de gedupeerden uit groep A ook immateriële schadevergoeding toekomt. De rechtbank oordeelt dat alleen immateriële schadevergoeding kan worden toegekend aan personen jegens wie niet alleen een inbreuk op de AVG is gemaakt, maar die daardoor ook daadwerkelijk schade hebben geleden. Daarbij overweegt de rechtbank als volgt:
Vereist is dus dat de benadeelde aantoont dat er bepalingen van de AVG zijn geschonden. Dat is hier nu juist niet het geval, want volgens ICAM gaat het bij groep A over personen die in onzekerheid verkeren of hun gegevens wel of niet gestolen zijn. Alleen al daarom kunnen deze personen geen schadevergoeding vorderen.
Deze overweging is opmerkelijk omdat het tussen partijen helemaal niet ter discussie staat dát er bepalingen van de AVG zijn geschonden. ICAM heeft betoogd dat de Staat c.s. inbreuk heeft gepleegd op de artikelen 24, 25, 32, 34 en 35 van de AVG. Een inbreuk op de artikelen 24, 25 en 32 AVG is door de AP ook vastgesteld en wordt door de Staat c.s. niet betwist. Er bestaat weliswaar onzekerheid over de vervolgvraag: of de gegevens van de gedupeerden uit groep A wel of niet daadwerkelijk gestolen zijn, maar dát jegens deze gedupeerden inbreuk op de AVG is gepleegd staat vast. Hun gegevens stonden immers in één van of beide GGD-systemen waaraan talloze beveiligingsgebreken kleefden en dus heeft er een inbreuk op de AVG plaatsgevonden.
De rechtbank vervolgt door in eerste instantie in lijn met de rechtspraak van het HvJ te overwegen dat de vrees die een betrokkene na een inbreuk op de AVG koestert voor mogelijk misbruik van zijn persoonsgegevens door derden, immateriële schade kan vormen. De rechtbank overweegt daarna echter dat de door ICAM gestelde vrees niet de vrees is dat derden de persoonsgegevens die zij onrechtmatig hebben verkregen zullen misbruiken (de rechtbank noemt dit ‘de vrees na een inbreuk’), maar ‘de vrees voor een inbreuk’. Oftewel, de vrees dat derden mogelijk onrechtmatig persoonsgegevens zouden kunnen hebben verkregen en die vervolgens zouden kunnen misbruiken. Omdat ICAM haar vorderingen volgens de rechtbank baseert op de vrees voor een inbreuk, is volgens de rechtbank op grond van de rechtspraak van het HvJ uitgesloten dat hiervoor immateriële schadevergoeding kan worden toegekend.
Allereerst is het onduidelijk waar de rechtbank uit afleidt dat ICAM haar vorderingen zou baseren op de vrees voor een inbreuk, nu door ICAM steevast is aangevoerd dat de gedupeerden vrees hebben voor misbruik van hun gegevens (‘de vrees na een inbreuk’). Zoals gezegd staat die inbreuk immers vast.
Ten tweede vergelijkt de rechtbank de vrees van de gedupeerden uit groep A met de vrees in de zaak MediaMarktSaturn van het HvJ. In die zaak is een document met persoonsgegevens verstrekt aan een onbevoegde derde, waarvan volgens de nationale rechter vaststond dat deze derde geen kennis heeft genomen van de inhoud van het document. De betrokkene vreesde dat zijn gegevens in de toekomst verspreid of misbruikt zouden worden, nu de mogelijkheid bestaat dat de derde een afschrift van het document heeft gemaakt alvorens het werd teruggegeven. Aan het HvJ werd de vraag voorgelegd of deze vrees immateriële schade oplevert in de zin van artikel 82 lid 1 AVG.
Het Hof overweegt in lijn met zijn eerdere rechtspraak dat het begrip ‘immateriële schade’ autonoom en uniform moet worden gedefinieerd. Bovendien dient het begrip ruim te worden uitgelegd, in lijn met de doelstelling van de AVG om natuurlijke personen een hoog gegevensbeschermingsniveau te bieden. De vrees die een betrokkene na een inbreuk op de AVG koestert voor mogelijk misbruik van zijn persoonsgegevens door derden, kan immateriële schade vormen. Het Hof benadrukt nog maar eens dat het verlies van controle over persoonsgegevens – ook gedurende een korte tijdspanne – voor de betrokkene immateriële schade kan veroorzaken waarvoor een recht op schadevergoeding bestaat, op voorwaarde dat de betrokkene bewijst dat hij daadwerkelijk dergelijke schade heeft geleden.
Een inbreuk op de bepalingen van de AVG geeft – logischerwijs – niet automatisch een recht op schadevergoeding. Betrokkenen die een op artikel 82 AVG gesteunde vordering tot vergoeding van schade instellen, dienen het bestaan van dergelijke schade aan te tonen. Het HvJ overweegt voorts dat een zuiver hypothetisch risico dat een onbevoegde derde misbruik maakt van persoonsgegevens geen aanleiding kan geven tot schadevergoeding. Volgens het HvJ is sprake van zo’n zuiver hypothetisch risico indien geen enkele derde kennis heeft genomen van de desbetreffende persoonsgegevens.
Terug naar de zaak tegen de Staat c.s. De rechtbank maakt dus de vergelijking met MediaMarktSaturn en trekt daaruit de conclusie dat ook hier sprake zou zijn van een zuiver hypothetisch risico, nu voor de gedupeerden uit groep A nog niet is vast komen te staan dat hun persoonsgegevens daadwerkelijk zijn gestolen. De rechtbank miskent hiermee echter dat het risico op misbruik in deze zaak zeker niet ‘zuiver hypothetisch’ is. Het staat immers voor ruim 1350 personen vast dat er daadwerkelijk misbruik gemaakt is van hun gegevens, en voor alle andere personen in de database weten we het op dit moment simpelweg niet. Zoals de rechtbank zelf ook overweegt, kan niet zonder meer de conclusie worden getrokken dat er geen andere datadiefstal heeft plaatsgevonden dan die welke de politie tot nu toe heeft vastgesteld.
De oorzaak van de inbreuken was – onder andere – de gebrekkige beveiliging van de GGD-systemen. De inbreuk ziet aldus op de blootstelling van al die persoonsgegevens. Het vervolgens daadwerkelijk buitmaken van die gegevens is het gevolg daarvan. Oftewel, dat nog niet is vast komen te staan dat de persoonsgegevens van de gedupeerden uit groep A daadwerkelijk zijn gestolen – hetgeen waarover ICAM nou juist helderheid wil verschaffen middels deze procedure – doet niet af aan het feit dat er in de eerste plaats wel sprake is van een inbreuk.
De inbreuken op de AVG hebben voor alle 6,5 miljoen personen het verlies van controle over hun persoonsgegevens tot gevolg gehad, waarvoor een recht op schadevergoeding bestaat. Zo oordeelde het HvJ ook in Gemeinde Ummendorf. De nationale rechter in die zaak was van oordeel dat het enkele verlies van controle over persoonsgegevens niet volstaat om te kunnen spreken van immateriële schade in de zin van artikel 82 lid 1 AVG. Om te kunnen erkennen dat sprake is van immateriële schade moet volgens hem een ‘de minimis-drempel’ worden overschreven. Niets daarvan, oordeelt het HvJ waarbij hij opnieuw herhaalt dat artikel 82 lid 1 AVG zich verzet tegen een nationale regel of praktijk op grond waarvan immateriële schade in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt.
Zoals het HvJ oordeelde in het NAP-arrest moet aan drie cumulatieve voorwaarden voldaan worden om recht te hebben op schadevergoeding in de zin van artikel 82 lid 1 AVG. Er moet sprake zijn van een inbreuk op de AVG, de betrokkene moet daardoor schade hebben geleden en er moet een causaal verband bestaan tussen die inbreuk en de schade. Deze drie voorwaarden zijn noodzakelijk – en tevens voldoende – om recht te hebben op schadevergoeding in de zin van die bepaling. Er kunnen geen bijkomende voorwaarden worden gesteld, zoals de merkbaarheid van het nadeel of de objectieve aard van de inbreuk. Het gaat er dus niet om dat als gevolg van verlies van controle vermogensschade wordt geleden, en ook niet dat het verlies van controle lijdt tot negatieve gevoelens zoals angst, boosheid, stress en verontwaardiging, of problemen in de psychische of mentale sfeer. Het verlies van controle ís immateriële schade.
In gevallen waar de betrokkene zich beroept op enkel de vrees voor toekomstig misbruik, zoals ook in de procedure tegen de Staat c.s. aan de orde is, moet de nationale rechter volgens het HvJ nagaan of deze vrees in de concrete omstandigheden van het geval gegrond is. Aan die beoordeling is de rechtbank echter helemaal niet toegekomen, nu zij er ten onrechte vanuit is gegaan dat de door ICAM aangevoerde vrees ziet op vrees voor een inbreuk, in plaats van vrees voor misbruik.
[1] Voor een korte uiteenzetting van deze ontvankelijkheidsvereisten en invulling door de rechtspraak tot dusver verwijs ik naar onze eerdere blog.
