Door Nick Vrugt | Aansprakelijkheidsrecht | 10 oktober 2022 | 8 min. leestijd
De AVG en schadevergoeding, het is een veelbesproken onderwerp. Ook op deze blog, zie bijvoorbeeld deze blogpost en het vervolg daarop. Misbruik van persoonsgegevens of een datalek is natuurlijk heel vervelend voor een betrokkene. Maar het is lastig om een schadebedrag te koppelen aan deze onaangenaamheid, zo blijkt ook uit een recente rechtszaak.
Wat speelt er?
Een inwoonster van de gemeente Heemskerk dient bij de gemeente een bezwaarschrift in. De gemeente maakt vervolgens een dossier aan met verschillende persoons- en medische gegevens van de inwoonster. Voor de behandeling van het bezwaar wijst de gemeente een hoor- en adviescommissie aan. De gemeente stuurt het dossier per post aan de leden van de commissie. Maar een van de leden van de commissie ontvangt het dossier niet. Het dossier is kwijt – ook bij het postbedrijf – wat betekent dat het dossier mogelijk toegankelijk is (geweest) voor derden. Er is sprake van een datalek. De gemeente meldt het datalek bij de Autoriteit Persoonsgegevens en bij de inwoonster.
De inwoonster wil een “immateriële schadevergoeding”
De inwoonster stelt dat zij immateriële schade lijdt door het datalek. Ze verzoekt om een schadevergoeding van € 2.000,- op grond van artikel 6:106 van het Burgerlijk Wetboek (BW):
Artikel 6:106 BW
Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:
a. indien de aansprakelijke persoon het oogmerk had zodanig nadeel toe te brengen;
b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;
c. indien het nadeel gelegen is in aantasting van de nagedachtenis van een overledene en toegebracht is aan de niet van tafel en bed gescheiden echtgenoot, de geregistreerde partner of een bloedverwant tot in de tweede graad van de overledene, mits de aantasting plaatsvond op een wijze die de overledene, ware hij nog in leven geweest, recht zou hebben gegeven op schadevergoeding wegens het schaden van zijn eer of goede naam.
De inwoonster zou psychisch letsel hebben opgelopen door het datalek. Doordat derden over haar medische en overige persoonsgegevens kunnen beschikken, heeft de inwoonster stress- en angstklachten. Ook vreest de inwoonster dat de gegevens voor criminele doeleinden zullen worden gebruikt, zoals voor identiteitsfraude.
De inwoonster stelt dat zij de rest van haar leven extra alert moet zijn op verdachte brieven, e-mails en phishing pogingen. Dat in het dossier ook medische gegevens staan, zou de inwoonster kwetsbaar maken.
Ter onderbouwing van de schade heeft de inwoonster e-mails van een maatschappelijk werker en haar huisarts overgelegd. De aard en de ernst van de normschending leiden er volgens de inwoonster toe dat er nadelige gevolgen voor de hand liggen.
Immateriële schadevergoeding volgens de Hoge Raad
In een uitspraak uit 2019 heeft de Hoge Raad de uitgangspunten voor de toepassing van artikel 6:106 BW uiteengezet:
4.2.1 Als de schade die het gevolg is van een onrechtmatige daad nadeel omvat dat niet in vermogensschade bestaat, heeft de benadeelde ingevolge art. 6:106 lid 1, aanhef en onder b, BW recht op een naar billijkheid vast te stellen schadevergoeding indien hij lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast.
Van de in art. 6:106 lid 1, onder b, BW bedoelde aantasting in zijn persoon op andere wijze is in ieder geval sprake indien de benadeelde geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan, waartoe nodig is dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld (vgl. HR 23 januari 1998, ECLI:NL:HR:1998:ZC2551, rov. 3.4).
Daarnaast kunnen de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in art. 6:106 lid 1, onder b, BW bedoelde aantasting in zijn persoon op andere wijze sprake is (vgl. Parl. Gesch. Boek 6, p. 379 en p. 380).
(…)
In beginsel zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. In voorkomend geval kunnen de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde
zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. (…)
4.2.2 Van een aantasting in de persoon op andere wijze als bedoeld in art. 6:106 lid 1, onder b, BW, is niet reeds sprake bij de enkele schending van een fundamenteel recht.
Kortom, het enkele feit dat sprake is van een schending van een fundamenteel recht, zoals het recht op privacy, is niet voldoende voor de toekenning van schadevergoeding. De eisende partij zal de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. In sommige gevallen kunnen de aard en de ernst van de normschending meebrengen dat de nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat dit al genoeg is aan te nemen dat sprake is van een aantasting in de persoon.
Gemeente: schade is niet aannemelijk gemaakt
De gemeente stelt zich op het standpunt dat de inwoonster niet aannemelijk heeft gemaakt dat het datalek heeft geleid tot aantasting in haar persoon. Dat sprake is van een datalek betekent niet automatisch dat daarmee ook schade is ontstaan die vergoed moet worden.
Er is volgens de gemeente geen sprake van ernstig verwijtbaar gedrag met zo ernstige gevolgen dat aantasting van de persoon kan worden aangenomen. De kans dat er daadwerkelijk een onbevoegde toegang heeft gekregen tot de gegevens van de inwoonster zou gering zijn. Dat het dossier kwijt is, betekent niet dat de persoonsgegevens misbruikt zullen worden. Er zijn ook geen aanwijzingen dat de gegevens al zijn misbruikt. Het dossier is al in juli 2019 zoekgeraakt. Als de gegevens nu nog niet zijn misbruikt, is het onwaarschijnlijk dat dat op enig moment nog gaat gebeuren.
De inwoonster heeft volgens de gemeente ook niet met concrete gegevens onderbouwd dat sprake is van aantasting van haar persoon. De (psychische) schade is niet met concrete objectieve gegevens onderbouwd. De overgelegde e-mails van de hulpverleners zijn daarvoor onvoldoende. Hiermee kan niet worden vastgesteld dat eventuele klachten door het datalek zouden komen. De inwoonster zou ook vóór het datalek al contact hebben gehad met hulpverleners.
Kortom, de gemeente meent dat het verzoek om schadevergoeding moet worden afgewezen.
Rechter: geen schadevergoeding
De rechter overweegt, in lijn met de uitspraak van de Hoge Raad, dat de eisende partij voldoende concrete gegevens zal moeten aanvoeren waaruit volgt psychische schade is ontstaan als gevolg van het datalek. Daarvoor is nodig dat het bestaan van geestelijk letsel objectief kan worden vastgesteld.
Als het bestaan van geestelijk letsel niet objectief kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, alsnog meebrengen dat van een aantasting in de persoon sprake is. In dat geval zal de eisende partij de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is alleen anders als de aard en de ernst van de normschending zodanig zijn dat de nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. De enkele schending van een fundamenteel recht is niet voldoende.
In deze zaak is niet gebleken dat de gegevens van de inwoonster bij anderen terecht zijn gekomen. Er is geen identiteitsfraude bekend en de inwoonster heeft geen verdachte brieven, phishing e-mails of telefoontjes ontvangen die in verband kunnen worden gebracht met het datalek.
De rechter oordeelt daarom dat de inwoonster geen recht heeft op schadevergoeding. Niet is met concrete en objectieve gegevens onderbouwd dat zij als gevolg van het datalek geestelijk letsel heeft opgelopen. Uit de e-mails met de hulpverleners blijkt slechts dat zij praat over haar zoekgeraakte dossier en over deze kwestie. Uit de e-mails kan niet de conclusie worden getrokken dat sprake zou zijn van geestelijk letsel.
Kortom, het verzoek tot schadevergoeding wordt afgewezen.
Tot slot
Uit deze zaak blijkt nog maar eens dat voor een immateriële schadevergoeding na een inbreuk op de AVG echt vereist is dat voldoende concrete gegevens aangevoerd worden waaruit volgt dat er immateriële schade is geleden. Dit blijkt in de praktijk vaak lastig.
Dit is alleen anders als de aard en de ernst van de normschending meebrengen dat nadelige gevolgen zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Dit speelde bijvoorbeeld in deze kwestie waarin de Raad van State wel een schadevergoeding (van € 500,-) toekende vanwege een schending van de AVG.
