Een gemeente noemt op haar website een vergunningsaanvrager met zijn NAW-gegevens, telefoonnummer, e-mailadres en BSN-nummer. De rechter beoordeelt of de eiser aanspraak maakt op een vergoeding van de geleden vermogensschade en op een vergoeding van de immateriële schade wegens aantasting van zijn integriteit.
De gemeente Oldambt heeft in 2016 een perceel grond, waarop zich een niet meer in gebruik zijnde schietbaan bevond, voor het symbolische bedrag van €1,- te koop gezet. Een hobbyschutter had belangstelling voor de aankoop van de schietbaan en heeft een omgevingsvergunning aangevraagd voor het weer in gebruik nemen van de schietbaan. Voor deze omgevingsvergunning heeft de aanvrager zijn persoonsgegevens ingevuld, waaronder begrepen zijn NAW- gegevens, e-mailadres en telefoonnummer. De gemeente Oldambt publiceert deze gegevens vervolgens op haar gemeentelijke website, die voor een ieder toegankelijk is. De aanvrager is hier via het twitteraccount van een verslaggever van RTV Noord achter gekomen en heeft vervolgens dezelfde dag nog een melding van een datalek gemaakt bij de gemeente. Bij de melding doet de aanvrager tevens een beroep op betaling van een vergoeding voor de door hem gestelde materiële en immateriële schade. De aanvrager eist in totaal €15.000,-. De gemeente verwijdert de persoonsgegevens van de website en meldt het datalek bij de Autoriteit Persoonsgegevens, maar wijst de gestelde materiele en immateriële schadevergoeding af. De aanvrager stapt zodoende naar de rechter.
De vergunningsaanvraag met gevoelige gegevens, waaronder begrepen BSN, e-mailadres en telefoonnummer is vier keer gepubliceerd en heeft in totaal zo’n twee jaar openbaar op de website van de gemeente gestaan. De rechter oordeelt in een recente uitspraak dat deze herhaaldelijke datalekken, waarbij er persoonsgegevens van de eiser zonder diens voorafgaande toestemming zijn gepubliceerd, als inbreuken op de privacy van de eiser in de zin van artikel 4 lid 12 AVG moeten worden aangemerkt.
Als gevolg van de inbreuken heeft de eiser op grond van artikel 82 AVG in beginsel jegens de gemeente recht op betaling van schadevergoeding. Op grond van de wet kan schade bestaan uit vermogensschade (artikel 6:96 BW) en ander nadeel, waaronder begrepen immateriële schade (artikel 6:106 BW).
Kort gezegd, vordert de eiser vergoeding van de kosten van de maatregelen die hij naar eigen zeggen na het voorvallen van de datalekken heeft getroffen voor de beveiliging van zijn huis, bestaande uit het aanbrengen van beveiligingscamera’s, alarmsystemen en rolluiken.
Als vermogensschade komt voor vergoeding in aanmerking de redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht. Deze kosten moeten aan een ‘dubbele redelijkheidstoets’ voldoen. Dit houdt in dat zowel het nemen van de betreffende maatregelen op zichzelf als de daaraan verbonden kosten redelijk moeten zijn.
In dit geval zijn de getroffen beveiligingsmaatregelen aan de woning van de eiser volgens de rechter geen redelijke kosten ter voorkoming of beperking van schade als gevolg van het datalek. Er heeft zich namelijk geen concrete dreiging voorgedaan dat anderen met de persoonsgegevens van de eiser “aan de haal zouden kunnen gaan” en ook acht de rechter het niet aannemelijk dat er een serieuze kans was dat de datalekken tot persoonlijk gevaar voor de eiser of zijn goederen kunnen leiden.
De rechter acht relevant dat de gemeente de datalekken steeds snel heeft ‘gedicht’ door de betreffende persoonsgegevens van de gemeentelijke website te halen. Daarnaast had de eiser gekozen voor een openbare aanvraag van een vergunning voor een schietbaan. Daarmee geeft de eiser sowieso al zijn eigen naam en woonadres vrijwillig prijs. Ook heeft de eiser bewust meegewerkt aan publicatie van een artikel in het Dagblad van het Noorden over de komst van de schietbaan, waarin hij duidelijk in verband wordt gebracht met deze schietbaan. “Zijn vrees dat kwaadwillende personen het om die reden op hem gemunt zouden (kunnen) hebben, ligt daarmee in zijn eigen risicosfeer. Hier staat de gemeente buiten.” Kortom: de gevorderde vergoeding voor materiële schade wordt afgewezen.
Een benadeelde heeft voor nadeel dat niet in vermogensschade bestaat recht op een naar billijkheid vast te stellen schadevergoeding, indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast. De rechter is van oordeel dat de eiser in casu anderszins in zijn persoon is aangetast. Zijn persoonlijke levenssfeer is immers bij herhaling door de gemeente geschonden vanwege het – in strijd met de AVG – meermalen publiceren van zijn BSN-nummer, e-mailadres en telefoonnummer op de gemeentelijke website, zonder zijn toestemming. Het gaat hierbij ook om naar hun aard gevoelige gegevens, zeker waar het betreft het BSN-nummer. De nadelige gevolgen van het lekken daarvan, zoals identiteitsfraude, liggen voor de hand. Gelet op de omstandigheden van het onderhavige geval, waaronder de aard, duur, frequentie en ernst van de inbreuk, afgezet tegen de omstandigheid dat niet is gebleken dat de datalekken tot concrete negatieve gevolgen hebben geleid, komt de rechter tot de conclusie dat de eiser recht heeft op een vergoeding van de immateriële schade ter hoogte van €500,00,-.
In deze uitspraak zet de rechter het juridisch kader uiteen voor het recht op schadevergoeding onder de AVG. Voor een vergoeding van de materiële schade is het belangrijk dat de gevorderde kosten voldoen aan de dubbele redelijkheidstoets: zowel het nemen van de betreffende maatregelen op zichzelf als de daaraan verbonden kosten moeten redelijk zijn. Ook moet er een causaal verband zijn met het datalek. Met betrekking tot een geslaagd beroep op immateriële schadevergoeding geldt dat benadeelde de aantasting van zijn persoon aannemelijk moet maken en de gestelde schade met concrete gegevens moet onderbouwen.
