Blog

De eerste schadevergoeding op grond van de AVG is een feit!

Bijna exact (op 3 dagen na) een jaar nadat de Algemene Verordening Gegevensbescherming (AVG) van toepassing werd, heeft de Nederlandse rechter voor het eerst een schadevergoeding toegekend op grond van de AVG. Het is lastig om geleden schade bij een schending van privacy “handen en voeten” te geven. Daarom is het fijn dat daar nu in een rechterlijke uitspraak aanknopingspunten voor zijn gegeven, althans dat er een richting is gegeven aan de hoogte van de schade.

Wat was het geval?

Partijen in de zaak zijn de gemeente Deventer en een man die verschillende Wob-verzoeken heeft ingediend. De Wob (Wet openbaarheid van bestuur) is een wet op grond waarvan een overheidsinstantie informatie over haar handelen moet verstrekken.

De man in kwestie heeft bij verschillende overheidsinstanties verschillende Wob-verzoeken ingediend. Waaronder bij de gemeente Deventer. De verschillende overheidsinstanties wilden n.a.v. de Wob-verzoeken van de man in kwestie met elkaar informatie uitwisselen over hoe met de verzoeken het best kon worden omgegaan. In dat kader heeft de gemeente Deventer in een e-mail aan ongeveer 50 andere overheidsinstanties verschillende persoonsgegevens van de man gedeeld, waaronder zijn naam, geslacht en woonplaats. De man vraagt bij de gemeente een overzicht op van het doel van die verwerking en een volledige lijst van alle ontvangers van zijn persoonsgegevens.

De gemeente komt maar beperkt aan dit verzoek tegemoet door niet een overzicht van alle ontvangers van de persoonsgegevens toe te sturen. De man meent dat de gemeente dit volledige overzicht wel had moeten toesturen, althans dat zij zorgvuldiger onderzoek had moeten doen naar de ontvangers van zijn persoonsgegevens. Hij gaat daarom beroep tegen het besluit van de gemeente. Ook vordert hij een schadevergoeding vanwege de schending van zijn recht op privacy. De rechtbank oordeelt over het besluit om niet een overzicht van alle ontvangers van de persoonsgegevens toe te sturen als volgt:

De rechtbank stelt vast dat eiser voor de doorzending van zijn persoonsgegevens aan andere bestuursorganen dan de gemeente Deventer een dergelijke toestemming niet heeft verleend.

De eerst ter zitting door de gemachtigde van verweerder gedane stelling dat de gegevens-verwerking noodzakelijk was voor de goede vervulling van een publiekrechtelijke taak, kan de rechtbank niet volgen nu verweerder deze stelling niet verder heeft onderbouwd.

De rechtbank deelt het standpunt van eiser dat verweerder de andere bestuursorganen ook had kunnen informeren zonder het vermelden van de persoonsgegevens (naam en woonplaats) van eiser.

De rechtbank concludeert dat verweerder met de doorzending van de persoonsgegevens van eiser, de beginselen van proportionaliteit en subsidiariteit heeft geschonden en dat niet uitgesloten kan worden geacht dat verweerder vaker persoonsgegevens van eiser heeft verwerkt.

De rechtbank is dan ook van oordeel dat verweerder nader onderzoek had moeten doen of persoonsgegevens van eiser vaker zijn verwerkt in de e-mailboxen binnen de gemeente Deventer.

Kortom: de gemeente had wel een overzicht van alle ontvangers van de persoonsgegevens aan de man moeten sturen, althans zij had in elk geval nader onderzoek naar de ontvangers moeten verrichten. De rechter verklaart het beroep daarom gegrond.

De rechter dient vervolgens nog te oordelen over de schadevergoeding. 

Schadevergoeding o.g.v. de AVG

Op grond van art. 82 van de AVG heeft eenieder die schade lijdt als gevolg van een inbreuk op de AVG recht op schadevergoeding. Iedere overtreding van de AVG levert in beginsel een inbreuk op, en is dus een grondslag voor schadevergoeding. De daadwerkelijk gelden schade kan worden verhaald. In het geval van een inbreuk op de AVG is het vaak lastig om deze concrete schade te begroten.

avg

 

Voor wat betreft een inbreuk op de AVG komt (ook) immateriële schade voor vergoeding in aanmerking op grond van art. 82 AVG. Maar ook op grond van art. 6:106 BW. Een inbreuk op de privacy kan namelijk worden aangemerkt als een aantasting in de persoon in de zin van art. 6:106 lid 1 onder b BW. In dat geval heeft de benadeelde recht op een “naar billijkheid vast te stellen” schadevergoeding.

Rechter: inbreuk en € 500,- schadevergoeding

De rechtbank oordeelt dat sprake is van een inbreuk op de AVG. Door de verstrekking van zijn persoonsgegevens door de gemeente is de man de controle over zijn persoonsgegevens verloren. De man is daardoor volgens de rechtbank in zijn persoon aangetast:

Naar het oordeel van de rechtbank is eiser als gevolg van dat onrechtmatige besluit in zijn persoon aangetast wegens verlies van controle over zijn persoonsgegevens. Dat is een persoonlijkheidsrecht. Dit betekent dat eiser op grond van artikel 82 van de Avg in samenhang met artikel 6:106 van het BW recht heeft op een naar billijkheid vast te stellen schadevergoeding. Wat betreft de hoogte van die vergoeding neemt de rechtbank in acht dat in het onrechtmatige besluit geen rechtvaardiging is gegeven voor de verwerking van de persoonsgegevens van eiser.

In dat kader acht de rechtbank een schadevergoeding van € 500,- voor geleden immateriële schade billijk in de zin van art. 6:106 BW. De rechter veroordeelt de gemeente Deventer daarom tot betaling van € 500,- aan de man vanwege een inbreuk op de AVG.

Conclusie

De toegekende schadevergoeding van € 500,- lijkt misschien laag, maar het is wel degelijk belangrijk voor de privacy van burgers dat er nu eindelijk een aanknopingspunt is voor de begroting van (immateriële) schadevergoeding vanwege een inbreuk op de AVG. Indien er een inbreuk op de AVG plaatsvindt, is er nu in elk geval een richting waar qua schadevergoeding aan moet worden gedacht.

Organisaties dienen er dus ook echt rekening mee te houden dat het niet AVG compliant zijn daadwerkelijk financiële gevolgen kan hebben. Niet alleen kan de Autoriteit Persoonsgegevens boetes opleggen, maar ook kunnen individuele burgers daadwerkelijk een schadevergoeding toegewezen krijgen.

 

 

 

Gerelateerde berichten