Vier bestuursrechtelijke uitspraken over het toekennen van schadevergoedingen vanwege een inbreuk op de privacy (gepubliceerd op 1 april 2020). In slechts één van die uitspraken wordt een schamele schadevergoeding van € 500,- toegewezen.
Dit zou de indruk kunnen wekken dat het zo’n vaart niet loopt met schadevergoedingen onder de AVG. Toch plaveien (een aantal van) deze uitspraken de weg voor de toekenning van hoge schadevergoedingen bij ernstige inbreuken op de AVG. Het is dan ook wachten op de eerste massa claims. Het belang van deze zaken wordt hieronder toegelicht.
Schade?
Het gaat in de vier zaken niet zozeer om de vraag of er sprake is van een schending van de AVG. Dat wordt relatief snel vastgesteld. Centraal staat de wijze waarop de geleden schade wordt berekend. Het gaat daarbij om immateriële ofwel geestelijke schade. De bestuursrechter geeft aan dat die schade bepaald moet worden op basis van artikel 6:106 Burgerlijk Wetboek. Dit artikel luidt als volgt:
Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:
[…]
b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;
[…]
Op welke wijze de bestuursrechter dit artikel toepast, is voor de partij die de schadevergoeding eist (de eiser) van groot belang. Als de bestuursrechter wil bepalen op basis van objectieve maatstaven zal de eiser moeten aantonen dat er immateriële schade is geleden. Dat is niet eenvoudig. De bestuursrechter kan echter ook bepalen dat het schenden van de privacy van de eiser op zichzelf voldoende is om immateriële schade aan te nemen. In dat geval hoeft de eiser geen bewijs aan te leveren dat daadwerkelijk schade is geleden. Zoals uit het onderstaande blijkt, is de wijze waarop de bestuursrechter artikel 6:106 BW toepast afhankelijk van de aard, ernst en duur van de inbreuk op de privacy.
Naam en woonplaats
Vier van de vijf zaken hebben (nagenoeg) hetzelfde onderwerp. Een ambtenaar uit de ene gemeente heeft een e-mail gestuurd aan ambtenaren in andere gemeenten. In deze e-mail zijn de naam en woonplaats van de eiser opgenomen. De eiser acht het opnemen van zijn naam en woonplaats onrechtmatig.
In drie zaken oordeelt de bestuursrechter dat degene die stelt dat hij/zij in zijn/haar persoon is aangetast, dit met voldoende concrete gegevens moet onderbouwen zodat naar objectieve maatstaven het bestaan van immaterieel letsel kan worden vastgesteld. De bestuursrechter acht alleen het overtreden van de AVG onvoldoende om immateriële schade aan te nemen. De bestuursrechter formuleert dat als volgt:
Dat een inbreuk op persoonsgegevens kan resulteren in (im)materiële schade en dat een betrokkene volledige en daadwerkelijke vergoeding van de door hem geleden schade moet ontvangen, betekent niet dat een normschending per definitie tot schade leidt en dat schade niet reëel en zeker moet zijn geleden.
De bestuursrechter sluit echter niet uit dat in bepaalde gevallen een normschending welvoldoende is om schade aan te nemen. Als door de aard en ernst van de normschending de negatieve gevolgen daarvan zo voor de hand liggen, kan een aantasting in de persoon wel worden aangenomen. Feitelijk zegt de bestuursrechter dus tegen de eiser dat de inbreuk op zijn privacy niet ernstig genoeg was.
Dat oordeel is te begrijpen. Het verzenden van de naam en woonplaats van de eiser lijkt geen grote inbreuk op zijn privacy op te leveren. De eiser weet dit ook niet te onderbouwen. De stellingen dat de vermelding stigmatiserend zou werken en dat heel bestuurlijk Nederland zijn gegevens heeft kunnen inzien, zijn onvoldoende om aantasting in zijn persoon aan te nemen. De gegevens zijn gedeeld met ambtenaren van gemeenten uit hoofde van hun functie. Er zijn geen aanwijzingen dat de gegevens zijn misbruikt.
Overigens zijn er op 9 mei 2020 één en op 28 mei 2020 nog drie uitspraken gedaan over exact dit onderwerp. In deze uitspraken wordt bepaald dat er helemaal geen schending van de AVG heeft plaatsgevonden. De verzending van de naam en woonplaats van eiser door de gemeente staan in verhouding tot de inbreuk op de privacy van eiser. Aan de vraag hoe de schadevergoeding berekend moet worden, komt de rechter in deze vier zaken helemaal niet toe.
Uitkomst is in ieder geval dat de eiser in geen van de benoemde zaken een schadevergoeding krijgt.
Medische gegevens
In de vijfde casus ligt het anders. In deze zaak heeft de directeur van het Pieter Baan Centrum in het kader van een tegen hem aangespannen tuchtzaak, zonder toestemming en buiten het medeweten van de eiser medische gegevens over de eiser aan een tuchtcollege verstrekt. Het gaat hier dus om bijzondere persoonsgegevens (medische gegevens) en niet om relatief onschuldige gegevens zoals naam en woonplaats.
De bestuursrechter zegt het niet met zoveel woorden maar in dit geval is de normschending op zichzelf wel voldoende om aantasting in de persoon aan te nemen. Er wordt in ieder geval niet verwezen naar bewijs dat door de eiser zou zijn aangedragen. De bestuursrechter verwoordt het als volgt:
“De Afdeling is met de rechtbank van oordeel dat [appellant] recht heeft op toekenning van een vergoeding voor immateriële schade. De minister heeft gehandeld in strijd met artikel 16 van de Wbp) en daardoor het recht op eerbiediging van de persoonlijke levenssfeer van [appellant] geschonden. Een inbreuk op de persoonlijke levenssfeer van [appellant] kan worden aangemerkt als een aantasting in de persoon als bedoeld in artikel 6:106, eerste lid en onder b, van het BW, die aanspraak geeft op vergoeding van immateriële schade”
Vervolgens moet de hoogte van de schadevergoeding worden bepaald. Eerder in deze procedure was de hoogte van de schadevergoeding vastgesteld op € 300,-. Dit vindt de bestuursrechter te laag. Een bedrag van € 500,- zou gezien de aard, ernst en duur van de inbreuk wel billijk zijn.
De gegevens waren van gevoelige aard aangezien het om medische gegevens ging die bovendien zonder toestemming en medeweten van de eiser zijn verstrekt zonder dat daar een rechtvaardigingsgrond voor bestond. De nadelige gevolgen van de verstrekking van dergelijke persoonsgegevens liggen volgens de bestuursrechter voor de hand.
De ernst van de inbreuk valt in dit geval echter mee. De medische gegevens zijn slechts bij een kleine groep professionals terecht gekomen die vanuit hun functie een geheimhoudingsplicht hebben.
Voor wat betreft de duur van de inbreuk constateert de bestuursrechter dat na het verstrekken van de gevoelige gegevens aan het tuchtcollege door het Pieter Baan Centrum direct actie is ondernomen om de verstrekking ongedaan te maken. Het tuchtcollege heeft vervolgens aangegeven de stukken buiten beschouwing te laten en niet aan het dossier te zullen toevoegen. De eiser heeft niet aannemelijk gemaakt dat dit tot negatieve gevolgen heeft geleid.
Het onrechtmatig verstrekken van bijzondere persoonsgegevens is ernstig maar overige factoren leiden ertoe dat er slecht een beperkte inbreuk op de privacy heeft plaatsgevonden en dus een lage schadevergoeding wordt toegekend.
Conclusie
Wat kunnen we nu afleiden uit deze uitspraken? Als de inbreuk op de privacy betrekking heeft op gevoelige persoonsgegevens liggen de nadelige gevolgen voor de eiser voor de hand en hoeft niet aangetoond te worden dat daadwerkelijk immateriële schade is geleden. Dat de ernst en duur van de inbreuk vervolgens enorm meevallen, maakt kennelijk niet uit.
Het is nu wachten op zaken waarin wel sprake is van een ernstige inbreuk op de privacy. Bijvoorbeeld omdat grote hoeveelheden gevoelige gegevens bij criminelen terecht zijn gekomen. In een dergelijk geval zal een schadevergoeding aanzienlijk hoger uitvallen dan € 500,-. Zeker als eisers zich verenigen en als collectief een schadevergoeding vorderen. Artikel 80 van de AVG biedt expliciet de mogelijkheid tot het instellen van een dergelijke class action. Deze vijf uitspraken maken de weg vrij voor deze massa claims (zie ook deze blog van kantoorgenoot Yentl van den Winkel inzake class actions en massa claims.)
De eiser kan bovendien kiezen bij welk loket hij schadevergoeding eist, de civiele rechter of de bestuursrechter. In de vijf zaken wordt aan deze keuzevrijheid uitgebreid aandacht besteed. Kanttekening daarbij is wel dat claims van meer dan
€ 25.000,- alleen door de civiele rechter behandeld kunnen worden.
