Eerder schreef ik al eens over de boetes die de Autoriteit Persoonsgegevens (AP) heeft uitgedeeld aan organisaties die het niet zo nauw nemen met de privacy. Zo was daar het Haga-ziekenhuis dat een boete van € 460.000 kreeg, omdat zij niet voldeden aan het vereiste van tweefactorauthenticatie. Ook Uber kreeg een boete van € 600.000. Zij verzuimde niet alleen om een datalek te melden, maar deed zelfs alle mogelijke moeite om het datalek geheim te houden. En in België kreeg een burgemeester een boete van € 5.000 omdat hij de gegevens van burgers die hij uit hoofde van zijn ambt als burgemeester had verkregen, misbruikte voor zijn eigen verkiezingscampagne.

Schadevergoeding

Maar naast boetes opgelegd door de AP kan een rechter ook schadevergoeding toekennen aan een betrokkene die is benadeeld omdat de verwerkingsverantwoordelijke zich niet heeft gehouden aan de privacywetgeving. Het recht op schadevergoeding is vastgelegd in artikel 82 van de AVG. De schadevergoeding die wordt toegekend op grond van de overtreding van de AVG is een immateriële schadevergoeding. Immateriële schade ziet op pijn, leed of gederfde levensvreugde. Dit in tegenstelling tot materiële schade die ziet op schade aan lichaam of eigendommen.

In het algemeen is de toekenning van immateriële schadevergoeding niet eenvoudig. Enerzijds omdat het lastig is om het verband tussen de schadeveroorzakende gebeurtenis en de schade aan te tonen. Anderzijds is het moeilijk deze schade in geld uit te drukken. De AVG schiet daarbij enigszins te hulp. In de AVG wordt echter gesteld dat het ‘verlies van controle over persoonsgegevens’ door betrokkene maakt dat er sprake is van schade. Hiermee wordt het causale verband bij voorbaat verondersteld. Het loopt nog geen storm, maar er is al in verschillende gevallen een schadevergoeding toegekend.

Gemeente Deventer

In mei 2019 kende de rechtbank Overijssel een schadevergoeding toe vanwege een onrechtmatige verwerking van persoonsgegevens. Een betrokkene had een verzoek op grond van de WOB (Wet openbaarheid van bestuur) ingediend. Toen bleek dat deze betrokkene ook bij andere gemeenten vergelijkbare verzoeken had ingediend, wilde de gemeente Deventer van hen weten hoe zij met de WOB-verzoeken van deze persoon waren omgegaan. Bij de uitwisseling van informatie tussen de verschillende gemeenten zijn ook de persoonsgegevens van betrokkene gedeeld. De rechtbank oordeelde dat gezien de onrechtmatigheid van het delen van deze persoonsgegevens, betrokkene immateriële schade had geleden. De rechtbank kende de betrokkene een schadevergoeding van € 500 toe.

UWV

In september 2019 werd het UWV veroordeeld tot een schadevergoeding van € 250. In dit geval ging het om een arbeidsongeschikte medewerkster. Na een burn-out is werkneemster weggegaan bij haar oude werkgever en in dienst getreden van haar nieuwe werkgever. Ongeveer een jaar na indiensttreding ontvangt de nieuwe werkgever een brief van het UWV over de ziekte van de medewerkster. Tot dat moment was de nieuwe werkgever hier niet van op de hoogte. De rechtbank oordeelde dat het UWV ten onrechte gevoelige gegevens had gedeeld met de nieuwe werkgever. De medewerker had geen toestemming gegeven om dergelijke gegevens te delen. De medewerker heeft naar het oordeel van de rechtbank ‘reële en niet-verwaarloosbare’ schade geleden. De rechter kent haar een schadevergoeding van € 250 toe.

Uittreksel basisregistratie personen op Facebook

Tot slot een uitspraak van de rechtbank Noord-Nederland. Het Dagblad van het Noorden publiceert een serie artikelen over misstanden in de huursector. Een van de in de artikelen genoemde verhuurders is het niet eens met de publicaties. Hij klaagt de krant en de journalist aan. Tijdens de procedure blijkt dat de verhuurder het uittreksel uit de basisregistratie personen van de journalist via Facebook heeft verspreid. De rechtbank oordeelt dat de verhuurder persoonsgegevens heeft verwerkt in strijd met artikel 6 van de AVG. Hij had immers geen grondslag voor de verwerking van deze gegevens. De betrokkene is in zijn persoonlijkheidsrecht aangetast en heeft recht op schadevergoeding. De rechtbank kent de journalist € 250 toe.

Impact

Tot nu toe zijn de toegekende schadevergoedingen te overzien. Maar als het gaat om een incident met veel benadeelden, bijvoorbeeld bij een groot datalek, kan het aardig optellen. Dan kan de toegekende schadevergoeding leuk in de papieren lopen, ook al is de schadevergoeding per betrokkene niet zo heel hoog. In de AVG is geregeld dat een belangenorganisatie namens een groep slachtoffers een vordering in kan dienen bij de rechtbank.