Rb. Amsterdam, 18-06-2025, nr. C/13/731682 / HA ZA 23/329

Na het tussenvonnis heeft de rechtbank ontvangen:

- een akte uitlating belang, tevens houdende verzoek tot heroverweging, van ICAM;

- een akte houdende overlegging bewijsstukken, met producties, van de Staat;

- een akte uitlating vorderingen onder J. als bedoeld in het tussenvonnis (opt-in/opt-out), van de Staat;

- een akte overlegging nadere producties en uitlating opt-out/opt-in, met producties, van GGD GHOR;

- een akte uitlating opt-out/opt-in, van de GGD’en c.s.

De rechtbank heeft bij rolbeslissing van 19 maart 2025, ECLI:NL:RBAMS:2025:315, het verzoek van ICAM tot heroverweging afgewezen. Vervolgens heeft de rechtbank ontvangen:

- een antwoordakte van ICAM;

- een antwoordakte van de Staat;

- een antwoordakte van GGD GHOR;

- een antwoordakte van de GGD’en c.s.;

- een brief van ICAM van 13 mei 2025 met het verzoek tot het bepalen van een mondelinge behandeling,

- een brief van gedaagden van 13 mei 2025 met een reactie op genoemde brief van ICAM.

Ten slotte heeft de rechtbank bepaald dat vandaag vonnis wordt gewezen.

In de hoofdzaak

De gevraagde mondelinge behandeling

De rechtbank heeft ICAM in het tussenvonnis ontvankelijk verklaard in de vorderingen K. en L. De rechtbank heeft ICAM bevolen op de voet van artikel 22 Wetboek van Burgerlijke Rechtsvordering (Rv) bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV, inhoudende verklaringen voor recht dat (verwerkingsverantwoordelijke) gedaagden in strijd handel(d)en met onder meer diverse bepalingen uit het EVRM, het Handvest en de AVG en jegens de gedupeerden onrechtmatig handel(d)en op grond van artikel 6:162 BW en dat deze gedaagden op grond van artikel 82 AVG en/of artikel 6:162 BW hoofdelijk aansprakelijk zijn voor alle door het GGD-datalek veroorzaakte schade, en toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waaruit dat blijkt.

ICAM heeft in haar akte gesteld dat het belang bij de vorderingen onder K. nog altijd aanwezig is. Gedupeerden kunnen (na opt-out) bij toewijzing van de gevraagde verklaringen voor recht in een eigen procedure tegen de Staat c.s. hun materiële en immateriële schade verhalen en daarbij is het efficiënt als de onrechtmatigheid al in een collectieve procedure is vastgesteld. Daarbij is volgens ICAM voldoende dat de gestelde privacy schendingen onder bepaalde omstandigheden tot materiële en/of immateriële schade (kunnen) hebben geleid.1.

ICAM stelt dat zij ook nog belang heeft bij haar vorderingen onder L., omdat GGD GHOR weliswaar stelt dat HPZone Lite inmiddels niet meer in gebruik is, maar dat niet nader onderbouwt. HPZone wordt nog steeds gebruikt voor de algemene infectieziekten bestrijding. Volgens ICAM is er nog altijd een groot (privacy)risico en is dat ook niet automatisch weggenomen door de vervanging van HPZone (Lite) door GGD Contact.

Gedaagden betwisten dat ICAM belang heeft bij de vorderingen waarin zij ontvankelijk is verklaard.

De Staat voert daartoe aan dat de aansprakelijkheidsvraag zich niet in algemene zin laat beantwoorden, gezien de brede opzet van de gevraagde verklaringen voor recht.

GGD GHOR stelt dat het gestelde belang van ICAM bij de gevorderde verklaringen voor recht nu is het voor individuen in de toekomst eenvoudiger te maken om alsnog schadevergoeding te vorderen, maar dat de WAMCA-procedure daar niet voor is bedoeld. Ook stelt zij dat GGD Contact pas een tijd na de datadiefstal in gebruik was genomen, dat GGD GHOR daarvan geen verwerkingsverantwoordelijke is geweest en dat de data in GGD Contact al enige tijd geleden is vernietigd en dat dit systeem niet meer in gebruik is. HPZone is een systeem van de GGD’en, dat zij al voor de COVID-19 pandemie in gebruik hadden, GGD GHOR had en heeft geen toegang tot de gegevens in HPZone. Ook meent zij dat hier van een vermeerdering van eis sprake is, waartegen zij zich verzet.

De GGD’en c.s. stellen dat ICAM het belang bij een verklaring voor recht onvoldoende heeft toegelicht, omdat toewijzing van die verklaring voor recht er nog niet toe leidt dat gedupeerden op eenvoudige wijze een recht op schadevergoeding geldend zouden kunnen maken, ICAM heeft geen aandacht besteed aan de relativiteit. Ook is van belang dat de GGD’en beschikken over verschillende taken en bevoegdheden. Wat de gevorderde verklaring voor recht dat gedaagden aansprakelijk zijn betreft, geldt dat ICAM niet heeft toegelicht welk belang zij heeft bij voortzetting van de procedure jegens de GGD’en c.s.. De GGD’en c.s. menen dat dit belang ontbreekt.

Bij brief van 13 mei 2025 heeft ICAM verzocht een mondelinge behandeling te bevelen over de vragen waarover partijen een akte hebben genomen, te weten:

- de vraag in hoeverre ICAM nog belang heeft bij haar vorderingen K.II t/m K.IV,

- de vraag of de Staat aangemerkt moet worden als verwerkingsverantwoordelijke,

- de vraag of er een mogelijkheid tot opt-in/opt-out gegeven moet worden.

ICAM heeft haar belang bij een mondelinge behandeling over de vraag of zij belang heeft bij haar vorderingen nader toegelicht.

Gedaagden verzetten zich tegen een mondelinge behandeling van genoemde onderwerpen. Zij menen dat het verzoek daartoe rijkelijk laat is gedaan, dat het processuele debat is voltooid en dat ICAM geen recht heeft op een tweede mondelinge behandeling, omdat er al een mondelinge behandeling heeft plaatsgehad.

De rechtbank heeft in het tussenvonnis een aantal beslissingen genomen die behoren tot de ontvankelijkheidsfase. Voor zover ICAM ontvankelijk is in haar vorderingen, zal de rechtbank overgaan tot een inhoudelijke behandeling van die vorderingen. Om een inhoudelijke behandeling van vorderingen waarbij ICAM uiteindelijk geen belang meer blijkt te hebben, te voorkomen, heeft de rechtbank ICAM gevraagd haar belang bij de ontvankelijk verklaarde vorderingen toe te lichten.Omdat ICAM stelt dat zij bij al haar vorderingen (voor zover ontvankelijk) nog belang heeft, zal de beoordeling van die vorderingen en van het gestelde belang bij de inhoudelijke behandeling plaatsvinden. De rechtbank beslist daar nu niet over, zodat daarover ook niet een (afzonderlijke) mondelinge behandeling nodig is.

Ook de vraag of de Staat aangemerkt moet worden als verwerkingsverantwoordelijke zal bij de inhoudelijke behandeling aan de orde komen. Ook daarover is een (afzonderlijke) mondelinge behandeling nu niet nodig.

Wat de collectieve vordering precies inhoudt

Volgens artikel 1018e lid 2 Rv wordt door de rechter beoordeeld wat de collectieve vordering precies inhoudt. Dat is nog niet gebeurd in het tussenvonnis, omdat de rechtbank eerst aan ICAM heeft bevolen bij akte toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waar dat uit blijkt en is zij in de gelegenheid gesteld bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV.

Gezien de in het tussenvonnis genomen beslissingen en de beslissing onder 2.6 in dit vonnis zal de rechtbank bepalen wat de collectieve vordering precies inhoudt, namelijk dat wat wordt gevorderd onder K.I tot en met K.III en L, voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek.

ICAM is wel ontvankelijk verklaard in de vordering onder K.IV, omdat deze vordering niet summierlijk ondeugdelijk was, immers ook gedaagden hebben niet betwist dat zij voor de schadelijke gevolgen van het coronadatalek aansprakelijk waren. Zij stellen echter dat de leden van die groep al een schadevergoeding is aangeboden. In de schadevergoedingsvordering voor groep B is ICAM niet ontvankelijk verklaard, kort gezegd omdat die groep klein tot zeer klein is en ICAM niet heeft kunnen aantonen dat een voldoende grote groep de vordering ondersteunt. ICAM was voor deze groep niet representatief. Zie het tussenvonnis onder 5.20.18-5.20.20. Dit leidt tot de conclusie dat het gevorderde onder L.IV geen onderdeel meer dient uit te maken van wat de collectieve vordering precies inhoudt.

Opt-in en opt-out

Alvorens de inhoudelijke behandeling van de vorderingen K. en L. kan plaatsvinden, zal de rechtbank moeten beslissen of zij personen, behorende tot de (in het tussenvonnis vastgestelde) nauw omschreven groep voor wie ICAM optreedt, in de gelegenheid moet stellen zich te kunnen onttrekken aan de collectieve belangenbehartiging (‘opt-out’) en of zij personen, behorende tot de nauw omschreven groep, maar die geen woonplaats of verblijf in Nederland hebben, in de gelegenheid moet stellen zich bij die vorderingen aan te sluiten (‘opt-in’). Die kwestie behoort nog bij de ontvankelijkheidsfase. Dat partijen is verzocht zich daarover uit te laten, komt voort uit de beslissing ICAM niet-ontvankelijk te verklaren in haar schadevergoedingsvorderingen.

ICAM stelt dat de rechtbank personen behorende tot de nauw omschreven groep gelegenheid zou moeten geven voor opt-out. Het oordeel dat ICAM niet-ontvankelijk is in haar vorderingen tot vergoeding van schade, omdat deze vorderingen summierlijk ondeugdelijk zijn, zal geen gezag van gewijsde hebben tussen gedaagden en de gedupeerden die gebruik maken van hun recht op opt-out. Gedaagden die van opt-out gebruik maken, kunnen wel profiteren van de in dit geding gevorderde verklaringen voor recht. ICAM stelt dat publicatie in een nieuwsblad achterwege kan blijven, gelet op de daarmee gemoeide kosten, en stelt voor de mededeling over opt-out op haar eigen website te doen. Zij heeft in dit kader een tekstvoorstel gedaan. Zij handhaaft haar verzoek het opt-out-regime ook toe te passen op in het buitenland woonachtige gedupeerden.

De Staat heeft zich op het standpunt gesteld dat, nu ICAM niet-ontvankelijk is verklaard in haar schadevergoedingsvorderingen, een opt-out fase niet zal bijdragen aan een efficiënte en effectieve afhandeling van de procedure en daarom moet worden overgeslagen. De Staat stelt dat het hier gaat om ideële en algemene belangen. Gelet op de aard van de resterende collectieve vorderingen, is onttrekking aan de uitspraak moeilijk voorstelbaar. Subsidiair stelt de Staat dat ICAM voor de aankondiging verantwoordelijk zou moeten zijn. Er is geen grond voor het openen van de mogelijkheid van opt-out voor personen buiten Nederland, omdat dit een groep is die ook voor ICAM onbekend is.

Ook GGD GHOR verzoekt primair de opt-out mogelijkheid buiten beschouwing te laten, omdat er alleen nog algemene vorderingen resteren en moeilijk voorstelbaar is dat betrokkenen zich zouden kunnen onttrekken aan een uitspraak over die vorderingen. Haar subsidiaire standpunten komen overeen met die van de Staat.

De GGD’en c.s. nemen eveneens als primair standpunt in dat geen opt-out mogelijkheid zou moeten worden geboden, omdat de aard van de procedure door het niet-ontvankelijk verklaren van ICAM in haar schadevergoedingsvorderingen is verschoven naar een algemeen belangactie. Bij een toewijzend eindvonnis kan geen sprake zijn van een situatie waarin sommige personen wel en anderen niet gebonden zouden zijn aan de uitspraak, omdat het niet gaat om een uitspraak die een individuele aanspraak oplevert. Wat de gevorderde verklaring voor recht dat onrechtmatig is gehandeld betreft, zou dat in theorie anders kunnen zijn, maar omdat het onrechtmatig handelen niet kan leiden tot schadevergoeding is dat volgens de GGD’en c.s. in dit geval niet zo.

De GGD’en c.s. hebben zich subsidiair uitgelaten over de vorm van een opt-out en hebben evenals de Staat en GGD GHOR bezwaar gemaakt tegen de toepassing van het opt-out regime op in het buitenland woonachtige personen.

De rechtbank overweegt als volgt. In het tussenvonnis is ICAM ontvankelijk verklaard in de vorderingen K. en L. Deze vorderingen luiden als volgt:

“K Verklaringen voor recht

K.I Voor recht te verklaren dat de Gedaagden ieder voor zich zelfstandig dan wel gezamenlijk met één of meer andere Gedaagden, in de zin van de AVG moeten worden aangemerkt als verwerkingsverantwoordelijken voor de gegevensverwerkingen in de GGD-systemen CoronIT en/of HPZone Lite.

K.II Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, in strijd handelen met, althans in strijd hebben gehandeld met:

a. a) Artikel 8 EVRM; en/of

b) Artikel 7 Handvest; en/of

c) Artikel 8 Handvest; en/of

d) Artikel 5 AVG; en/of

e) Artikel 24 AVG; en/of

f) Artikel 25 AVG; en/of

g) Artikel 32 AVG; en/of

h) Artikel 34 AVG; en/of

i. i) Artikel 35 AVG; en/of

j) Artikel 7:457 BW; en/of

k) Artikel 10 Wabvpz jo. artikel 2 Regeling gebruik burgerservicenummer in de zorg; en/of

l) Artikel 15j Wabvpz jo. artikel 3 en 5 Begz.

K.III Voor recht te verklaren dat de Gedaagden jegens de Gedupeerden onrechtmatig handelen, althans onrechtmatig hebben gehandeld op grond van artikel 6:162 BW.

K.IV Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, op grond van artikel 82 AVG en/of artikel 6:162 BW hoofdelijk aansprakelijk zijn voor alle schade die door de Gedupeerden is geleden en nog zal worden geleden ten gevolge van het GGD-datalek.

L Beëindigen van de inbreuk en verbeteren van beveiligingsmaatregelen

L.I Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, te bevelen om binnen drie maanden na het in deze zaak te wijzen vonnis alle in het lichaam van de dagvaarding omschreven inbreuken op het EVRM, het Handvest, de AVG en specifieke zorgwetgeving en al het in het lichaam van deze Dagvaarding omschreven onrechtmatig handelen, te staken en gestaakt te houden.

L.II De betreffende Gedaagden te bevelen om mee te werken aan beoordeling en controle van alle genomen maatregelen ter uitvoering van het bevel op grond van vordering L.I door een door de rechtbank aan te wijzen deskundige, zulks met opdracht aan de deskundige om binnen zes maanden na het in deze zaak te wijzen vonnis van zijn of haar bevindingen schriftelijk en gedetailleerd verslag te doen aan Stichting ICAM.”

De nauw omschreven groep voor wie ICAM optreedt, is in het tussenvonnis onder 8.3 vastgesteld zoals gevorderd:

a. a) alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, met uitzondering van de personen die deel uitmaken van Gedupeerden Categorie B (“Gedupeerden Categorie A”);

b) alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, en waarvan vaststaat of zal worden vastgesteld dat hun persoonsgegevens als gevolg van het GGD-datalek door ongeautoriseerde personen zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen, zoals door het ongeoorloofd inzien, downloaden, exporteren, printen, kopiëren, fotograferen en/of aanbieden, verhandelen, ontvangen of op andere wijze delen van de persoonsgegevens (“Gedupeerden Categorie B”).

De rechtbank heeft hiervoor beslist dat de vorderingen K.I-III en L (voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek) zijn wat de collectieve vordering precies inhoudt.

Dit heeft twee gevolgen. Voor de schadevergoedingsvorderingen waarin ICAM niet ontvankelijk is verklaard, betekent het dat de uitspraak die de rechtbank zal doen niet bindend is voor de leden van de nauw omschreven groep. De leden van de nauw omschreven groep zijn immers alleen gebonden aan de beslissingen die de rechtbank neemt over wat de collectieve vordering precies inhoudt. Dat heeft tot gevolg dat geen opt-out nodig is om een vordering tot schadevergoeding tegen een gedaagde in te kunnen stellen.

Het andere gevolg is dat beoordeeld moet worden of de leden van de nauw omschreven groep de mogelijkheid moet worden geboden om zich van de gebondenheid aan de uitspraak over wat de collectieve vordering precies inhoudt te bevrijden (‘opt-out’), dan wel of niet in Nederland wonende of verblijvende leden van de nauw omschreven groep de gelegenheid moet worden geboden om aan de collectieve actie deel te nemen (‘opt-in’).

In verschillende uitspraken is beslist dat de aard van de vorderingen kan meebrengen dat opt-in en opt-out niet zinvol is.2.Dat kan het geval zijn bij ideële vorderingen waarbij een belangenorganisatie niet optreedt voor de belangen van een identificeerbare groep van personen, maar voor een algemeen belang.

De strekking van de onder 2.16 weergegeven vordering onder K.I is dat de rechtbank één of meer van gedaagden als verwerkingsverantwoordelijken aanmerkt. Deze aanwijzing moet echter in verband worden gezien met de daarop volgende vorderingen K.II en K.III, waarin verklaringen voor recht zijn gevorderd dat (verwerkingsverantwoordelijke) gedaagden in strijd handel(d)en met onder meer diverse bepalingen uit het EVRM, het Handvest en de AVG en jegens de gedupeerden onrechtmatig handel(d)en op grond van artikel 6:162 BW.

Omdat de schadevergoedingsvorderingen niet ontvankelijk zijn verklaard, zijn de resterende vorderingen nog slechts relevant voor zover zij zien op andere gedragingen dan verband houdend met het coronadatalek en ook alleen in zoverre zijn deze krachtens de bovenstaande bepaling van wat de collectieve vordering precies inhoudt nog relevant.

ICAM doelt hierbij, naar blijkt uit de dagvaarding, op tekortschietende beveiligingsmaatregelen en het daaruit voortvloeiende risico op nieuwe datalekken. De vorderingen onder L. zijn ingesteld ter beëindiging van de inbreuk en het verbeteren van beveiligingsmaatregelen. Leden van de nauw omschreven groep hebben in relatie tot die vorderingen echter geen belang bij opt-in, omdat uit de toewijzing van deze vordering voor hen geen persoonlijke aanspraak jegens een van gedaagden kan voortvloeien. Evenmin is er belang bij opt-out, omdat zij geen nadeel kunnen ondervinden van de toe- of afwijzing van het gevorderde. Het gaat hier om een algemeen belang. Er is daarom geen belang bij de nauw omschreven groep bij ‘opt-out’ dan wel ‘opt-in’. De rechtbank zal daartoe dan ook geen gelegenheid geven.

In het (deels voorwaardelijke) incident

Het inzageverzoek in de zin van artikel 843a Rv (oud)

ICAM heeft een verzoek tot inzage gedaan op grond van het in dit geding nog toepasselijke artikel 843a Rv (oud).

De rechtbank heeft in het tussenvonnis daarover het volgende overwogen:

“6.2. ICAM is in vordering B niet ontvankelijk op grond van artikel 70 lid 1 Rv voor zover tegen de afwijzende beschikking van het bestuursorgaan bezwaar kon worden gemaakt, administratief beroep kon worden ingesteld of beroep bij een bestuursrechter kon worden ingesteld. Dit lijkt op basis van de voetnoten bij de in de dagvaarding onder 10.2.1 vermelde bescheiden te gelden voor de stukken genummerd 9 tot en met 27. ICAM zal moeten toelichten of dit juist is. Van de overige bescheiden is vermeld dat deze zich in het domein van de Staat c.s. bevinden. Dat volstaat niet; ICAM zal moeten aangeven welk van de gedaagden over deze stukken beschikt en of dit stuk al dan niet in het kader van de Wet open overheid is opgevraagd of opgevraagd kon worden en indien het is opgevraagd met welk resultaat. Gedaagden mogen daarop reageren. De zaak zal daartoe naar de rol worden verwezen; iedere beslissing op dit punt wordt aangehouden.”

Volgens ICAM is voornoemd oordeel onjuist, omdat een procedure op grond van de Wet open overheid (hierna: Woo) en een exhibitievordering volgens vaste rechtspraak naast elkaar kunnen bestaan.3.De Woo heeft geen exclusief karakter.

ICAM heeft in haar akte een overzicht opgenomen van welke stukken ICAM inmiddels via bestuursrechtelijke weg heeft verkregen en welke nog niet. Alle stukken die nog niet zijn verkregen, zijn in het bezit van GGD GHOR. De “Rapportage functionele beveiligingstest uitgevoerd door Fox-IT” is tevens in het bezit van de Staat (het ministerie van VWS). Volgens ICAM stelt GGD GHOR zich op het standpunt dat zij geen bestuursorgaan is. Ten aanzien van deze stukken is dus in het geheel geen sprake van een bestuursrechtelijke weg, aldus ICAM.

De Staat (het ministerie van VWS) verzet zich tegen de gevraagde inzage van het FOX-IT rapport. Volgens de Staat verzetten gewichtige redenen in de zin van artikel 843a, vierde lid, Rv zich tegen het verstrekken van dit rapport. Het FOX-IT rapport bevat gedetailleerde informatie over de aard en omvang van de datadiefstal bij de GGD'en, evenals specifieke details over de beveiligingsmaatregelen en kwetsbaarheden binnen deze organisaties. Openbaarmaking van dergelijke informatie zou aanvullende risico 's voor de GGD'en kunnen creëren, omdat kwaadwillenden kennis kunnen nemen van specifieke zwakke plekken of gebruikte technologieën.

Daarnaast loopt er momenteel een procedure op grond van de Woo betreffende het verzoek van ICAM om openbaarmaking van het FOX-IT rapport. De Woo voorziet in een specifieke bestuursrechtelijke procedure voor de beoordeling van dergelijke verzoeken, inclusief de mogelijkheid voor belanghebbenden om bezwaar en beroep in te stellen tegen beslissingen.

Gelet op het bovenstaande verzoekt de Staat de rechtbank de vordering van ICAM tot inzage in en afschrift van het FOX-IT rapport af te wijzen, op grond van de aanwezigheid van gewichtige redenen, zoals bedoeld in artikel 843a lid 4 Rv, en vanwege de lopende Woo-procedure die een passend kader biedt voor de beoordeling van het verzoek tot openbaarmaking van het rapport.

GGD GHOR voert aan dat ICAM buiten de instructie van de rechtbank is getreden, omdat zij de rechtbank in feite verzoekt om terug te komen op een eerdere, niet in een einduitspraak vervatte, bindende eindbeslissing te weten rechtsoverweging 6.2 van het tussenvonnis. De drempel om terug te komen op een bindende eindbeslissing ligt hoog. ICAM heeft geen bijzondere omstandigheden gesteld die het onaanvaardbaar zouden maken dat de rechtbank aan de betreffende eindbeslissing zou zijn gebonden.

ICAM heeft de mogelijkheid gehad om in hoger beroep te gaan, maar heeft uiteindelijk hiervan afgezien door het hoger beroep al snel weer in te trekken. Ten overvloede merkt ook GGD GHOR op dat niet van haar kan worden verlangd om de opgevraagde documenten te verstrekken op grond van artikel 843a Rv, omdat ICAM deze documenten al heeft opgevraagd in Woo-procedures. Zij wijst op artikel 194 lid 3 Rv (nieuw). De goede procesorde is niet gebaat bij het verstrekken van documenten voor zover een partij daar op grond van de Woo niet toe gehouden is. Ook voor derden gaat een zekere reflexwerking uit van de weigeringsgronden op grond van de Woo.

Volgens GGD GHOR heeft ICAM in de verschillende Woo-procedures al inzage gekregen in substantieel meer documenten dan de zes die op de lijst van ICAM staan vermeld. ICAM heeft onvoldoend concrete feiten en omstandigheden gesteld waaruit haar belang bij inzage, uittreksel of afschrift van de overige documenten blijkt. De vordering van ICAM is bovendien zodanig ruim geformuleerd, dat deze moet worden beschouwd als “fishing expedition”.

Bovendien beroept GGD GHOR zich op gewichtige redenen om niet aan de 843a-vordering te voldoen. Ook volgens GGD GHOR bevatten de documenten uiterst vertrouwelijke informatie over de beveiliging van systemen en applicaties, die door kwaadwillenden kan worden misbruikt. Daarnaast bevatten sommige documenten, zoals bijvoorbeeld de logbestanden van activiteiten in CoronIT en HPZone Lite, een grote hoeveelheid zeer vertrouwelijke persoonsgegevens van medewerkers die zich hebben ingezet voor de coronabestrijding en ook gevoelige persoonsgegevens van betrokkenen.

In de belangenafweging dient volgens GGD GHOR ook te worden meegewogen dat reeds is tegemoetgekomen aan de vordering van ICAM, nu het overgrote deel van de documenten is opgevraagd in de Woo-procedures en de Staat en GGD'en aan de hand van de uitzonderingsgronden in de Woo een juiste belangenafweging kunnen maken voor de (gedeeltelijke) verstrekking van de documenten. Deze belangenafweging kan bovendien ter toetsing worden voorgelegd aan de bestuursrechter. Ook zonder afgifte van documenten op grond van artikel 843a Rv is een behoorlijke rechtsbedeling daarmee gewaarborgd.

De rechtbank is van oordeel dat ICAM terecht stelt dat de weg van artikel 843a Rv open staat naast de weg op grond van de Woo. In deze zaak is artikel 843a Rv (oud) nog van toepassing. In de per 1 januari 2025 in werking getreden nieuwe regeling van het inzagerecht (artikel 194-195a Rv) is over de verhouding tussen beide regelingen bepaald dat een bestuursorgaan, dat geen partij is bij de relevante rechtsbetrekking, niet verplicht is tot verstrekking van gegevens voor zover die op grond van de Woo ook niet hoeven te worden verstrekt. Ook uit die regeling blijkt dat er weliswaar een zekere samenhang is tussen beide regelingen, maar dat deze naast elkaar kunnen worden toegepast.

De rechtbank komt dan ook terug van het oordeel dat ICAM niet-ontvankelijk is in haar vordering onder B. en zal deze, voor zover nu nog relevant, dus alsnog beoordelen. Gelet op hetgeen hierna ten aanzien van vordering B (zie 2.31) wordt overwogen, ziet de rechtbank aanleiding dit te doen zonder partijen in de gelegenheid te stellen zich eerst uit te laten over haar voornemen hiertoe (vergelijk HR 14 februari 2025, ECLI:NL:HR:2025:258).

Een vordering op grond van artikel 843a Rv kan worden toegewezen indien aan de volgende cumulatieve voorwaarden is voldaan: (i) de eiser dient een rechtmatig belang te hebben bij afgifte van de bescheiden, (ii) het moet gaan om bepaalde bescheiden (iii) aangaande een rechtsbetrekking waarin de eiser of zijn rechtsvoorganger partij zijn en (iv) de wederpartij moet over de bescheiden beschikken.

ICAM heeft in het bijzonder haar belang bij inzage in het Fox-IT rapport, dat zowel bij de Staat als GGD GHOR aanwezig is, benadrukt, omdat juist dit rapport inzicht zou moeten geven in de vraag in welke mate er gegevens door GGD-medewerkers onrechtmatig zijn ingezien of zelfs gestolen, en dus of de omvang van het GGD-Datalek groter is dan vermeld. Ook wanneer uit dit rapport de conclusie volgt dat de omvang van het GGD-Datalek niet kan worden vastgesteld, is dat zeer relevante informatie. Dat betekent namelijk dat de onzekerheid waarin de personen uit Groep A zich bevinden, nooit zal kunnen worden weggenomen, aldus ICAM.

De rechtbank stelt echter vast dat het door ICAM gestelde belang de vorderingen betreft waarin zij niet-ontvankelijk is verklaard, namelijk de schadevergoedingsvorderingen. Dat ICAM belang heeft bij inzage in het FOX-IT rapport met het oog op de vorderingen die nu nog aan de orde zijn, blijkt uit haar toelichting niet.

Wat de overige alleen onder GGD GHOR berustende bescheiden betreft, oordeelt de rechtbank als volgt. ICAM heeft haar belang bij die bescheiden in randnummer 746 van de dagvaarding toegelicht. Zij noemt daar als belang van de gedupeerden te weten hoe groot het risico is dat hun gegevens zijn ontvreemd. Ook hebben zij er belang bij om vastgesteld te krijgen of hun gegevens al dan niet daadwerkelijk zijn ontvreemd, nu ICAM in deze procedure voor de groep personen van wie kan worden vastgesteld dat gegevens zijn ontvreemd, een hogere schadevergoeding vordert. Op basis van de bescheiden kan ICAM inzicht verkrijgen in het onderzoek dat is gedaan naar de omvang van deze groep personen. Uit de Bescheiden kan ook blijken of en hoe de logging in de GGD-systemen heeft plaatsgevonden, aldus ICAM.

Voor zover de gestelde belangen betrekking hebben op de vraag of gegevens daadwerkelijk zijn ontvreemd, heeft ICAM daar geen belang meer bij, omdat zij niet ontvankelijk is in de schadevergoedingsvorderingen voor de nauw omschreven groep onder B. Voor zover de gevorderde bescheiden informatie zouden kunnen verschaffen over het risico dat gegevens zijn ontvreemd, heeft ICAM daarbij geen belang, omdat zij dat risico ten grondslag heeft gelegd aan de gestelde schadevergoedingsvorderingen voor de nauw omschreven groep onder A, maar zij in die schadevergoedingsvorderingen niet-ontvankelijk is verklaard.

ICAM stelt dat uit de bescheiden kan blijken of en hoe de logging in de GGD-systemen heeft plaatsgevonden. Welk belang zij daarbij heeft, heeft zij niet toegelicht en is ook uit de aard van de nu nog ontvankelijke vorderingen niet af te leiden.

De conclusie moet zijn dat ICAM ook bij inzage in de onder GGD GHOR berustende bescheiden geen rechtmatig belang heeft, zodat de vorderingen op dit punt dienen te worden afgewezen. De vordering onder B. zal dan ook in zijn geheel worden afgewezen.

In het tussenvonnis is al beslist dat de vorderingen C, D en E zullen worden afgewezen (en dat vordering A niet zal worden gehonoreerd).

Gelet op dit alles moeten ook vorderingen F en G worden afgewezen.

Als de in het ongelijk gestelde partij zal ICAM worden veroordeeld in de aan de zijde van ieder van de Staat, GGD GHOR en de GGD’en gevallen kosten in het incident, steeds begroot op EUR 1.228,00 aan salaris advocaat (twee punten, tarief II) en EUR 178,00 aan nakosten, in totaal EUR 1.406,00. De nakosten zullen voor het overige worden toegewezen op de in de beslissing vermelde wijze. Hetzelfde geldt voor de gevorderde wettelijke rente.

In de hoofdzaak

Voortzetting van de procedure

De door de Staat en door GGD GHOR in het geding gebrachte producties zullen worden betrokken bij de inhoudelijke behandeling. Voor zover partijen in hun akten zijn ingegaan op de vraag wie als verwerkingsverantwoordelijke moet gelden, is dat eveneens een vraag die bij de inhoudelijke behandeling aan de orde zal komen.

De zaak zal naar de rol worden verwezen voor conclusie van antwoord van gedaagden met betrekking tot de vorderingen K. en L. Vervolgens zal een zitting worden bepaald voor de inhoudelijke behandeling van de zaak.

De rechtbank:

in het incident

wijst de vorderingen af;

veroordeelt ICAM in de aan de zijde van de Staat gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00;

veroordeelt ICAM in de aan de zijde van de Staat na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis;

veroordeelt ICAM in de aan de zijde van GGD GHOR gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na heden;

veroordeelt ICAM in de aan de zijde van GGD GHOR na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis, een en ander te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na betekening;

veroordeelt ICAM in de aan de zijde van de GGD’en c.s. gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na heden;

veroordeelt ICAM in de aan de zijde van de GGD’en c.s. na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis, een en ander te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na betekening;

verklaart de kostenveroordelingen onder 3.4, 3.5, 3.6 en 3.7 uitvoerbaar bij voorraad;

in de hoofdzaak

bepaalt wat de collectieve vordering precies inhoudt, namelijk het gevorderde onder K .I, K.II, K.III en L, zoals weergegeven onder 2.16, voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek,

verwijst de zaak naar de rol van 10 september 2025 voor conclusie van antwoord van gedaagden met betrekking tot de vorderingen K. en L.,

houdt iedere verdere beslissing aan.

Dit vonnis is gewezen door mr. R.H.C. Jongeneel, mr. H.J.H. van Meegen en mr. A.J. Scheijde, rechters, bijgestaan door mr. A.A.J. Wissink, griffier, en in het openbaar uitgesproken op 18 juni 2025.

Het petitum van de gelijkluidende dagvaardingen van 28 maart 2023 luidt:

Dat het de rechtbank moge behagen om bij vonnis, voor zover mogelijk uitvoerbaar bij voorraad:

IN HET INCIDENT

A Verzoek tot een bevel ex artikel 22 Rv

A.I De Staat c.s. op grond van artikel 22 Rv te bevelent om de in paragraaf 10.2.1 opgesomde informatie en/of documenten in het geding te brengen.

B Voorwaardelijke vordering: inzage en afschrift ex artikel 843a Rv

Indien of voor zover de rechtbank verzoek A niet honoreert:

Primair

B.I Gedaagden te bevelen om binnen tien (10) dagen na betekening van het vonnis in incident een digitaal afschrift van de Bescheiden (zoals genoemd in paragraaf 10.2.1 van deze Dagvaarding) te verstrekken aan Stichting ICAM.

Subsidiair

B.II Gedaagden te bevelen om binnen tien (10) dagen na betekening van het vonnis in incident een digitaal afschrift van de Bescheiden te verstrekken aan de advocaten van Stichting ICAM en aan een door de rechtbank te benoemen deskundige, waarbij door Gedaagden ten aanzien van ieder document gemotiveerd wordt aangegeven welk onderdeel of welke onderdelen vertrouwelijk zouden zijn, waarna de deskundige in samenspraak met de advocaten van Stichting ICAM en de advocaten van de Gedaagden zal bepalen welke bescheiden of gedeelten van bescheiden vertrouwelijk moeten blijven en welke documenten of gedeelten niet, waarbij als vertrouwelijk aangemerkte Bescheiden vernietigd zullen worden en als vertrouwelijk aan te merken gedeelten van Bescheiden zullen worden zwartgemaakt.

B.III Daarbij te bepalen dat de deskundige en de advocaten van Stichting ICAM aan geheimhouding gebonden zijn ten aanzien van de als vertrouwelijk aangemerkte Bescheiden en de als vertrouwelijk aan te merken gedeelten van Bescheiden.

B.IV Te bepalen dat indien de deskundige, de advocaten van Stichting ICAM en de advocaten van Gedaagden niet tot overeenstemming komen over de vraag welke gedeelten vertrouwelijk moeten blijven en welke gedeelten niet, de deskundige hierover bindend zal besluiten.

B.V Te bepalen dat de deskundige binnen vijf (5) dagen na voltooiing van de door hem of haar te plegen vaststelling een digitaal afschrift van de Bescheiden, met uitzondering van hetgeen als vertrouwelijk is aangemerkt, zal verstrekken aan Stichting ICAM.

Meer-subsidiair

B.VI Gedaagden te bevelen om binnen tien (10) dagen na betekening van het vonnis in incident inzage, afschrift of uittreksel van de Bescheiden te verstrekken aan Stichting ICAM op een wijze zoals door de rechtbank in goede justitie te bepalen.

C Deskundigenonderzoek naar (de omvang en gevolgen van) het datalek

C.I Een door de rechtbank te benoemen deskundige opdracht te geven om in overleg met Gedaagden en Stichting ICAM te onderzoeken wat de omvang en risico’s van het datalek zijn, althans zijn geweest, met inbegrip van de vraag van hoeveel en van welke (categorieën van) personen persoonsgegevens uit de GGD-systemen onbevoegd konden worden, zijn en/of kunnen worden ingezien en/of ontvreemd, zulks met opdracht aan de deskundige om binnen acht (8) weken na het vonnis in incident van zijn of haar bevindingen schriftelijk en gedetailleerd verslag te doen aan de rechtbank en Stichting ICAM.

C.II Gedaagden te bevelen om aan het onderzoek van en de rapportage door de deskundige volledig en onvoorwaardelijk medewerking te verlenen en aan de deskundige alle informatie te verschaffen die de deskundige relevant acht voor de uitvoering van zijn of haar onderzoek.

D Melding aan Gedupeerden

D.I Gedaagden te bevelen om binnen vier (4) weken na betekening van het vonnis in incident, althans binnen vier (4) weken na het beschikbaar komen van het in vordering C bedoelde rapport, alle Gedupeerden van wie persoonsgegevens in de GGD-systemen onbevoegd konden worden, zijn en/of kunnen worden ingezien en/of ontvreemd, hierover zoveel mogelijk op individuele basis schriftelijk te informeren, onder vermelding van de (mogelijke) gevolgen en risico’s daarvan, en om van die informatieverschaffing binnen twee (2) weken na het informeren van de Gedupeerden schriftelijk en gedetailleerd verslag te doen aan de rechtbank.

E Beschikbaar houden van gegevens

E.I Gedaagden te bevelen om, ieder voor zover zij hierover beschikken, de hierna genoemde informatie en gegevens van alle Gedupeerden te bewaren en beschikbaar te houden voor zolang dat nodig is (i) om tot volledige en correcte melding aan de Gedupeerden over te gaan zoals bedoeld in vordering D en (ii) om tot volledige en correcte uitbetaling van schadevergoeding over te kunnen gaan:

a. a) Voor- en achternaam;

b) Geboortedatum;

c) Adres;

d) E-mailadres en telefoonnummer;

e) De gegevens die onbevoegd konden worden, zijn en/of kunnen worden ingezien en/of ontvreemd;

f) De periode waarin de betreffende gegevens onbevoegd konden worden, zijn en/of kunnen worden ingezien en/of ontvreemd;

g) Het aantal personen dat (onbevoegd) toegang had tot de betreffende gegevens en de motivering daarvan, mede in het licht van hun rollen of functies;

h) Informatie over de vraag of de betreffende gegevens daadwerkelijk of waarschijnlijk zijn gestolen of anderszins zijn aangewend op een wijze die tot aansprakelijkheid van Gedaagden jegens Gedupeerden leidt;

i. i) Logbestanden.

E.II Een door de rechtbank te benoemen deskundige opdracht te geven om periodiek te controleren of (blijvend) aan het bevel op grond van vordering E.I wordt voldaan, zulks met opdracht aan de deskundige om van zijn of haar bevindingen iedere drie (3) maanden schriftelijk en gedetailleerd verslag te doen aan de rechtbank en Stichting ICAM.

E.III Gedaagden te bevelen om aan het onderzoek van en de rapportage door de deskundige volledig en onvoorwaardelijk medewerking te verlenen en aan de deskundige alle informatie te verschaffen die de deskundige relevant acht voor de uitvoering van zijn of haar onderzoek.

F Kostenvergoeding

F.I Gedaagden op de voet van 1018l lid 2 Rv hoofdelijk te veroordelen in de redelijke en evenredige gerechtskosten en andere kosten van het incident, waaronder de nader te begroten kosten verbonden aan het verkrijgen van inzage, afschrift of uittreksel en waaronder de advocaatkosten en de kosten voor de deskundige(n).

G Dwangsommen

G.I Gedaagden hoofdelijk te bevelen een dwangsom te betalen van € 250.000,- (zegge: tweehonderdenvijftigduizend euro) voor iedere dag (een gedeelte van een dag als een gehele gerekend) dat zij geheel of gedeeltelijk in strijd handelen met de bevelen op grond van de verzoeken c.q. vorderingen A, B, C.II, D en/of E, met een maximum van € 100.000.000,- (zegge honderd miljoen euro).

IN DE HOOFDZAAK

H Exclusieve belangenbehartiger

Stichting ICAM aan te wijzen als exclusieve belangenbehartiger in de zin van artikel 1018e lid 1 Rv.

I De vertegenwoordigde groep personen

I.I In het kader van artikel 1018e lid 2 Rv bepaalt dat Stichting ICAM in deze collectieve vordering de belangen behartigt van alle Gedupeerden, zijnde:

a. a) Alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, met uitzondering van de personen die deel uitmaken van Gedupeerden Categorie B (“Gedupeerden Categorie A”);

b) Alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, en waarvan vaststaat of zal worden vastgesteld dat hun persoonsgegevens als gevolg van het GGD-datalek door ongeautoriseerde personen zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen, zoals door het ongeoorloofd inzien, downloaden, exporteren, printen, kopiëren, fotograferen en/of aanbieden, verhandelen, ontvangen of op andere wijze delen van de persoonsgegevens (“Gedupeerden Categorie B”).

J Opt-out / Opt-in

J.I Gedaagden te bevelen om de uitspraak op grond van artikel 1018e lid 1 en 2 Rv, vergezeld van een eenvoudige samenvatting, alsmede vertalingen van de uitspraak en de samenvatting in tenminste dezelfde talen als waarin de website www.prikkenzonderafspraak.nl van de Rijksoverheid wordt aangeboden, binnen vier (4) weken na de datum van de uitspraak te plaatsen op (i) de website van GGD GHOR, (ii) de websites van de GGD’en en (iii) een speciaal daarvoor in het leven te roepen website van de Rijksoverheid, zodanig dat deze door de Gedupeerden ten behoeve van latere kennisneming kunnen worden opgeslagen.

J.II Gedaagden te bevelen om binnen vier (4) weken na de datum van de uitspraak op grond van artikel 1018e lid 1 en 2 Rv alle Gedupeerden bij gewone brief mededeling te doen van de aanwijzing van de Exclusieve Belangenbehartiger, de collectieve vordering en de nauw omschreven groep personen wier belangen de Exclusieve Belangenbehartiger in deze collectieve vordering behartigt.

J.III Gedaagden te bevelen om binnen vier (4) weken na de datum van de uitspraak op grond van artikel 1018e lid 1 en 2 Rv aankondiging te doen van de aanwijzing van de Exclusieve Belangenbehartiger en de collectieve vordering en de nauw omschreven groep personen wier belangen de Exclusieve Belangenbehartiger in deze collectieve vordering behartigt, zulks in alle landelijke en regionale nieuwsbladen van Nederland en met een inhoud en op een wijze zoals door de rechtbank in goede justitie te bepalen na uitlating van partijen daarover.

J.IV Te bepalen dat (de wettelijk vertegenwoordiger(s) van) iedere persoon met woonplaats of verblijf in Nederland die behoort tot de groep Gedupeerden, gedurende een periode van drie (3) maanden na de aankondiging in de zin van artikel 1018f lid 3 Rv de mogelijkheid heeft om door middel van een schriftelijke mededeling aan de griffie van de rechtbank te laten weten zich van de behartiging van zijn of haar belangen in deze collectieve vordering te willen bevrijden (Opt-out).

J.V Te bepalen dat (de wettelijk vertegenwoordiger(s) van) iedere persoon zonder woonplaats of verblijf in Nederland die behoort tot de groep Gedupeerden, gedurende een periode van zes (6) maanden na de aankondiging in de zin van artikel 1018f lid 3 Rv de mogelijkheid heeft om door middel van een schriftelijke mededeling aan de griffie van de rechtbank te laten weten in te stemmen met de behartiging van zijn of haar belangen in deze collectieve vordering (Opt-in).

K Verklaringen voor recht

K.I Voor recht te verklaren dat de Gedaagden ieder voor zich zelfstandig dan wel gezamenlijk met één of meer andere Gedaagden, in de zin van de AVG moeten worden aangemerkt als verwerkingsverantwoordelijken voor de gegevensverwerkingen in de GGD-systemen CoronIT en/of HPZone Lite.

K.II Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, in strijd handelen met, althans in strijd hebben gehandeld met:

a. a) Artikel 8 EVRM; en/of

b) Artikel 7 Handvest; en/of

c) Artikel 8 Handvest; en/of

d) Artikel 5 AVG; en/of

e) Artikel 24 AVG; en/of

f) Artikel 25 AVG; en/of

g) Artikel 32 AVG; en/of

h) Artikel 34 AVG; en/of

i. i) Artikel 35 AVG; en/of

j) Artikel 7:457 BW; en/of

k) Artikel 10 Wabvpz jo. artikel 2 Regeling gebruik burgerservicenummer in de zorg; en/of

l) Artikel 15j Wabvpz jo. artikel 3 en 5 Begz.

K.III Voor recht te verklaren dat de Gedaagden jegens de Gedupeerden onrechtmatig handelen, althans onrechtmatig hebben gehandeld op grond van artikel 6:162 BW.

K.IV Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, op grond van artikel 82 AVG en/of artikel 6:162 BW hoofdelijk aansprakelijk zijn voor alle schade die door de Gedupeerden is geleden en nog zal worden geleden ten gevolge van het GGD-datalek.

L Beëindigen van de inbreuk en verbeteren van beveiligingsmaatregelen

L.I Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, te bevelen om binnen drie maanden na het in deze zaak te wijzen vonnis alle in het lichaam van de dagvaarding omschreven inbreuken op het EVRM, het Handvest, de AVG en specifieke zorgwetgeving en al het in het lichaam van deze Dagvaarding omschreven onrechtmatig handelen, te staken en gestaakt te houden.

L.II De betreffende Gedaagden te bevelen om mee te werken aan beoordeling en controle van alle genomen maatregelen ter uitvoering van het bevel op grond van vordering L.I door een door de rechtbank aan te wijzen deskundige, zulks met opdracht aan de deskundige om binnen zes maanden na het in deze zaak te wijzen vonnis van zijn of haar bevindingen schriftelijk en gedetailleerd verslag te doen aan Stichting ICAM.

M Immateriële schadevergoeding

Primair

M.I Gedaagden hoofdelijk te veroordelent tot vergoeding van de immateriële schade van iedere Gedupeerde en die immateriële schade te begroten op:

a. a) Een bedrag van € 500,- (zegge: vijfhonderd euro) per Gedupeerde binnen Gedupeerden Categorie A;

b) Een bedrag van € 1.500,- (zegge: vijftienhonderd euro) per Gedupeerde binnen Gedupeerden Categorie B;

te vermeerderen met de wettelijke rente vanaf de datum van het in deze zaak te wijzen vonnis tot aan de dag der algehele voldoening.

Sbsidiair

M.II Gedaagden hoofdelijk te veroordelen tot vergoeding van de immateriële schade van iedere Gedupeerde en die immateriële schade te begroten op een bedrag of bedragen door de rechtbank in goede justitie te bepalen, te vermeerderen met de wettelijke rente vanaf de datum van het in deze zaak te wijzen vonnis tot aan de dag der algehele voldoening.

Meer-subsidiair

M.III Te bepalen dat de door de Gedupeerden geleden immateriële schade nader zal worden opgemaakt bij staat en zal worden vereffend volgens de wet.

N Materiële schadevergoeding

Primair

N.I. Gedaagden hoofdelijk te veroordelen tot vergoeding van de materiële schade van iedere Gedupeerde en die materiële schade te begroten op een bedrag van € 50,- (zegge: vijftig euro) per Gedupeerde, te vermeerderen met de wettelijke rente vanaf de datum van het in deze zaak te wijzen vonnis tot aan de dag der algehele voldoening, met bepaling dat dit onverlet laat dat de Gedupeerden individueel gerechtigd zijn tot een hogere vergoeding voor materiële schade indien op enig moment blijkt dat die hoger is.

Subsidiair

N.II Een bedrag of bedragen door de rechtbank in goede justitie te bepalen, te vermeerderen met de wettelijke rente vanaf de datum van het in deze zaak te wijzen vonnis tot aan de dag der algehele voldoening, met bepaling dat dit onverlet laat dat de Gedupeerden individueel gerechtigd zijn tot een hogere vergoeding voor materiële schade indien op enig moment blijkt dat die hoger is.

Meer-subsidiair

N.III Te bepalen dat de door de Gedupeerden geleden materiële schade nader zal worden opgemaakt bij staat en zal worden vereffend volgens de wet.

O Kostenvergoedingen

Primair

O.I Gedaagden hoofdelijk te veroordelen tot vergoeding aan Stichting ICAM van:

a. a) De volledige door Stichting ICAM gemaakte buitengerechtelijke kosten;

b) De redelijke en evenredige gerechtskosten en andere kosten van Stichting ICAM, de nakosten daaronder begrepen, zulks op grond van artikel 1018l lid 2 Rv, althans artikel 237 Rv;

c) Indien of voor zover dit niet onder sub b) valt, de volledige door Stichting ICAM aan de Financier op grond van de Financieringsovereenkomst te betalen vergoeding, zijnde 20% (zegge: twintig procent) van (enig gedeelte van) ieder geldbedrag, dan wel ieder op geld waardeerbaar goed, dat op grond van de vorderingen daadwerkelijk aan de Gedupeerden wordt toegekend, met een maximum van een bedrag ter hoogte van vijfmaal het volledige bedrag dat daadwerkelijk door de Financier is geïnvesteerd ter financiering van deze procedure, een en ander te vermeerderen met BTW indien van toepassing;

een en ander zoals nader te begroten op basis van door Stichting ICAM over te leggen informatie en te vermeerderen met de wettelijke rente vanaf de datum van het in deze zaak te wijzen vonnis tot aan de dag der algehele voldoening, zo nodig op te maken bij staat en te vereffenen volgens de wet;

d) De volledige kosten van Stichting ICAM die zij nog zal maken in verband met de uitvoering van het in deze zaak te wijzen vonnis en de afhandeling van de vaststelling en uitbetaling van de schadevergoeding en de begeleiding van en controle op dat proces, conform de in vordering P bedoelde wijze van schadeafwikkeling, te vermeerderen met BTW indien van toepassing, steeds halfjaarlijks vooraf te voldoen op basis van door Stichting ICAM vast te stellen redelijke voorschotbedragen en na afronding af te rekenen op basis van nacalculatie.

Subsidiair

O.II Te bepalen dat Stichting ICAM de kosten zoals bedoeld in vordering O.I in mindering zal mogen brengen op de door of namens haar aan de Gedupeerden uit te betalen schadevergoedingen.

P Schadeafwikkeling

Primair

P.I Een door de rechtbank te benoemen deskundige op het vlak van de uitvoering en afhandeling van collectieve schadeafwikkeling opdracht te geven om in overleg met Gedaagden en Stichting ICAM tot de inning en verdeling van alle in deze procedure toegekende schadevergoedingen over te gaan.

P.II Gedaagden hoofdelijk te bevelen om binnen een maand na het in deze zaak te wijzen vonnis over te gaan tot voldoening van de bedragen bedoeld in vorderingen M en N op een door de deskundige daartoe specifiek in te richten kwaliteitsrekening.

P.III Gedaagden te bevelen volledig en onvoorwaardelijk medewerking te verlenen aan de schadeafwikkeling door de deskundige conform door de deskundige te geven instructies en aan de deskundige alle informatie te verschaffen die de deskundige relevant acht voor de uitvoering van zijn of haar taken in dat verband.

P.IV Gedaagden hoofdelijk te bevelen om de kosten die gemoeid zijn met de werkzaamheden van de deskundige, alsmede alle bijkomende kosten, te vermeerderen met BTW indien van toepassing, te vergoeden, steeds halfjaarlijks vooraf te voldoen op basis van de deskundige vast te stellen redelijke voorschotbedragen en na afronding af te rekenen op basis van nacalculatie.

P.V Te bepalen dat enig bedrag aan schadevergoeding dat na afhandeling van de schadeafwikkeling nog resteert en niet aan de Gedupeerden kan worden uitbetaald, door de deskundige zal worden uitgekeerd aan één of meer door Stichting ICAM aan te wijzen organisaties zonder winstoogmerk die actief zijn op het gebied van privacybescherming en beveiliging van persoonsgegevens.

P.VI Te bepalen dat de Gedupeerden die in aanmerking wensen te komen voor betaling van schadevergoeding, daarvoor dienen in te stemmen met een bindendadviesprocedure met betrekking tot de vaststelling door de deskundige van het recht op schadevergoeding en met betrekking tot de verdeling van de schadevergoeding, waarbij een door de rechtbank, na uitlating daarover door Stichting ICAM en Gedaagden, aan te wijzen onafhankelijke persoon met voldoende deskundigheid als bindend adviseur zal optreden.

Subsidiair

P.VII De collectieve schadeafwikkeling zodanig vorm te geven als de rechtbank geraden acht op basis van (een) door Stichting ICAM en/of Gedaagden op grond van artikel 1018i Rv over te leggen voorstel(len) voor een collectieve schadeafwikkeling.

Q Dwangsommen

Q.I Gedaagden hoofdelijk te bevelen een dwangsom te betalen van € 250.000,- (zegge: tweehonderdenvijftigduizend euro) voor iedere dag (een gedeelte van een dag als een gehele gerekend) dat zij geheel of gedeeltelijk in strijd handelen met de bevelen op grond van vordering J, L, P.II en/of P.III, met een maximum van € 100.000.000,- (zegge: honderd miljoen euro).

Het dictum van het vonnis van 17 juli 2024 (ECLI:NL:RBAMS:2024:4264) luidt:

De rechtbank:

in de hoofdzaak

verklaart ICAM ontvankelijk in haar vorderingen onder K en L;

wijst ICAM aan als exclusieve belangenbehartiger;

bepaalt dat de nauw omschreven groep van personen voor wie ICAM optreedt wordt vastgesteld zoals gevorderd onder I (…);

verklaart ICAM niet-ontvankelijk in haar vorderingen tegen de veiligheidsregio’s (gedaagden sub 31 en 32), de gemeenten (gedaagden sub 33 en 34), de Gemeentelijke Gezondheidsdienst (GGD) Amsterdam-Amstelland (gedaagde sub 6) en de GGD Gooi & Vechtstreek (gedaagde sub 14);

veroordeelt ICAM in de aan de zijde van de onder 8.4 genoemde gedaagden gevallen proceskosten, voor hen samen tot dit vonnis begroot op EUR 3.743,49, te betalen binnen veertien dagen na aanschrijving daartoe;

veroordeelt ICAM, voor het geval zij niet tijdig aan deze veroordeling voldoet, in de extra nakosten van EUR 92,00 plus de kosten van betekening;

veroordeelt ICAM tot betaling van de wettelijke rente als bedoeld in artikel 6:119 BW over deze proceskosten als deze niet binnen veertien dagen na aanschrijving zijn betaald;

verklaart deze kostenveroordelingen uitvoerbaar bij voorraad

verklaart ICAM niet-ontvankelijk in de vorderingen M, N en P;

beveelt ICAM op de voet van artikel 22 Rv bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV;

beveelt ICAM op de voet van artikel 22 Rv bij akte toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waaruit dat blijkt;

beveelt de Staat en GGD GHOR bij akte bewijsstukken in het geding te brengen waaruit blijkt welke opdracht aan GGD GHOR is gegeven met betrekking tot het registreren van burgers ten behoeve van testen, vaccineren en bron- en contactonderzoek met betrekking tot Covid-19;

stelt elk van partijen in de gelegenheid zich uit te laten over opt-out en opt-in, gezien de in dit vonnis gegeven beslissingen;

verwijst de zaak voor het hiervoor onder 8.10 tot en met 8.13 bedoelde doel naar de rol van 14 augustus 2024;

in het (deels voorwaardelijke) incident

verwijst de zaak naar de rol van 14 augustus 2024 opdat ICAM zich kan uitlaten zoals omschreven onder 6.2;

wijst de vorderingen C, D en E af;

in de hoofdzaak en in het (deels voorwaardelijke) incident

bepaalt dat elk van partijen op de op 14 augustus 2024 te nemen akten mag reageren bij antwoordakte,

bepaalt dat reeds thans hoger beroep openstaat van dit vonnis;

verwijst de zaak voor verdere behandeling en beslissing naar de meervoudige kamer;

houdt iedere verdere beslissing aan.

Vervolgens ontving de rechtbank:

- een akte uitlating belang, tevens houdende verzoek tot heroverweging, van ICAM;

- een akte houdende overlegging bewijsstukken, met producties, van de Staat;

- een akte uitlating vorderingen onder J als bedoeld in tussenvonnis d.d. 7 juli 2024 (opt-in / opt-out), van de Staat;

- een akte overlegging nadere producties en uitlating opt-out/opt-in, met producties, van GGD GHOR;

- een akte uitlating opt-out/opt-in, van de GGD’en c.s.

Naar aanleiding van hoofdstuk 2 (Verzoek tot heroverweging) van de akte van ICAM ontving de rechtbank:

- een brief, gedateerd 28 februari 2025, van mr. Thole namens alle gedaagden;

- een brief, gedateerd 3 maart 2025, van mr. M. Schimmel, advocaat te Amsterdam, namens ICAM;

- een brief, gedateerd 10 maart 2025, van mr. Thole namens alle gedaagden.

Deze rolbeslissing betreft uitsluitend hoofdstuk 2 van de akte van ICAM en de naar aanleiding daarvan gevoerde correspondentie.

ICAM verzoekt de rechtbank om terug te komen van het vonnis van 17 juli 2024 in die zin dat:

- wordt geoordeeld dat van summierlijke ondeugdelijkheid van de materiële en immateriële schadevergoedingsvorderingen ten behoeve van Groep A niet is gebleken;

- wordt geoordeeld dat ICAM voldoende representatief is voor Groep B;

- wordt geoordeeld dat ICAM ontvankelijk is in haar vorderingen ter vergoeding van materiële en immateriële schade.

ICAM stelt primair dat de andersluidende oordelen in het vonnis van 17 juli 2024 berusten op onjuiste feitelijke en juridische grondslagen en subsidiair dat dat vonnis innerlijk tegenstrijdig is.

Gedaagden voeren hiertegen aan dat het verzoek van ICAM in strijd is met de goede procesorde. Zij verzoeken de rechtbank om hoofdstuk 2 van de akte van ICAM buiten beschouwing te laten.

De rechtbank stelt voorop dat de omstandigheid dat de zaak in het vonnis van 17 juli 2024 voor verdere behandeling en beslissing is verwezen naar de meervoudige kamer niet in de weg staat aan beoordeling van het onderhavige verzoek door de enkelvoudige kamer die dat vonnis gewezen heeft.

Artikel 1018c lid 5 Rv bepaalt, voor zover hier van belang, dat inhoudelijke behandeling van de collectieve vordering slechts plaatsvindt indien en nadat de rechter heeft beslist: (a) dat eiser voldoet aan de ontvankelijkheidseisen van artikel 3:305a BW, (b) dat de eiser voldoende aannemelijk heeft gemaakt dat het voeren van de collectieve actie efficiënter en effectiever is dan het instellen van een individuele vordering en (c) dat niet summierlijk van de ondeugdelijkheid van de collectieve vordering blijkt.

Het vonnis van 17 juli 2024 is gestoeld op deze bepaling. Dat vonnis is een deelvonnis. Het is een eindvonnis voor zover in het dictum aan enig deel van het gevorderde door toe- of afwijzing (ontvankelijk- en niet-ontvankelijkverklaring hieronder begrepen) definitief een einde wordt gemaakt. Voor het overige is het een tussenvonnis.

Het verzoek van ICAM strekt ertoe dat de rechtbank op inhoudelijke gronden terugkomt van enkele in het dictum van het vonnis van 17 juli 2024 neergelegde afwijzende beslissingen (niet-ontvankelijkverklaringen). Afgezien van het uitdrukkelijk in de wet geregelde geval van herroeping past een dergelijk terugkomen op een einduitspraak niet in het systeem van het Nederlands burgerlijk procesrecht. Litis finiri oportet, het geding moet eens tot een einde komen. Het verzoek van ICAM kan dan ook niet worden toegewezen, wat er ook zij van de gronden waarop het berust. Hoofdstuk 2 van de akte van ICAM zal daarom buiten beschouwing worden gelaten.

Partijen hebben inmiddels een aanvang gemaakt met de uitwisseling van de in het vonnis van 17 juli 2024 voorziene akten en antwoordakten. Deze uitwisseling zal worden voortgezet op de laatstelijk in correspondentie tussen partijen en de rechtbank vastgestelde wijze.

De rechtbank:

wijst het onder 2.2 weergegeven verzoek van ICAM af;

verstaat dat de in het vonnis van 17 juli 2024 voorziene uitwisseling van akten en antwoordakten zal worden voortgezet op de laatstelijk in correspondentie tussen partijen en de rechtbank vastgestelde wijze.

Deze rolbeslissing is gegeven door mr. R.H.C. Jongeneel, rechter, bijgestaan door mr. A.A.J. Wissink, griffier, en in het openbaar uitgesproken op 19 maart 2025.

Het verloop van de procedure blijkt uit:

- de gelijkluidende dagvaardingen van 28 maart 2023;

- de akte overlegging producties, met producties A.1 tot en met K.26;

- de conclusie van antwoord, met producties, van de Staat;

- de conclusie van antwoord op grond van artikel 1018c lid 5 Rv t.a.v. niet-ontvankelijkheid, met productie 1, van GGD GHOR;

- de conclusie van antwoord ex artikel 1018c lid 5 Rv, met producties 1 en 2, van de GGD’en c.s.;

- het tussenvonnis van 20 december 2023;

- de rolbeslissing van 7 februari 2024;

- de akte uitlating ontvankelijkheid tevens houdende producties, met producties K.27 tot en met K.29, van ICAM;

- de antwoordakte tevens houdende productie, met een productie, van de Staat;

- de mededeling van GGD GHOR, bij e-mailbericht van 8 april 2024 van haar advocaat, dat zij afziet van een antwoordakte;

- de mededeling van de GGD’en c.s., bij e-mailbericht van 2 april 2024 van hun advocaat, dat zij afzien van een antwoordakte;

- het proces-verbaal van mondelinge behandeling van 22 april 2024 en de daarin vermelde stukken.

Ten slotte is vonnis bepaald.

Deze zaak gaat over de persoonsgegevens van de personen die zich tijdens de coronapandemie door de GGD’en hebben laten testen en/of vaccineren en over de persoonsgegevens van personen naar wie door de GGD’en tijdens de coronapandemie een bron- en contactonderzoek is ingesteld.

Vaststaat dat er medewerkers van de GGD’en zijn geweest die toegang hadden tot de IT-systemen en die persoonsgegevens ter beschikking hebben gesteld van derden. Dit wordt wel aangeduid als het coronadatalek.

ICAM heeft ten behoeve van de hiervoor onder 2.1 bedoelde personen vorderingen ingesteld tegen een aantal gedaagden, onder wie de GGD’en. ICAM wil onder meer dat de gedaagden worden veroordeeld tot het betalen van schadevergoeding, niet alleen aan de personen van wie vast staat dat hun persoonsgegevens aan derden zijn verstrekt, maar ook aan iedereen die moet vrezen dat zijn persoonsgegevens in verkeerde handen zijn gevallen. En dat geldt volgens ICAM voor iedereen die gegevens aan een GGD heeft verstrekt.

De wet stelt een aantal formele vereisten aan ICAM en de door haar ingestelde vorderingen. In dit vonnis gaat de rechtbank na of aan deze vereisten is voldaan.

De rechtbank acht ICAM ontvankelijk, maar niet tegen alle gedaagden, want een aantal gedaagden heeft in het coronadatalek geen rol gespeeld.De vorderingen tot schadevergoeding zijn niet ontvankelijk. Schadevergoeding wegens de vrees dat gegevens in verkeerde handen zouden kunnen komen, zonder dat vast staat dat dit het geval is, is volgens Europese rechtspraak niet mogelijk. Voor de gevallen waarin wel vaststaat dat de gegevens in verkeerde handen zijn gekomen geldt dat de GGD’en een financiële tegemoetkoming hebben aangeboden, die door de meeste benadeelden is geaccepteerd, waarmee zij afstand hebben gedaan van een vordering tot schadevergoeding. Er blijft slechts een beperkte groep van benadeelden over. ICAM heeft niet aannemelijk kunnen maken dat zij voor die groep representatief is. Ook in haar vordering tot schadevergoeding voor deze groep is ICAM daarom niet ontvankelijk.

Er zal nu wel verder worden geprocedeerd over de overige vorderingen. Daarover wil de rechtbank eerst meer informatie.

In de hoofdzaak en in het (deels voorwaardelijke) incident

Op 28 januari 2021 stond op www.ggdghor.nl:

Veelgestelde vragen en antwoorden over datadiefstal

Laatste update: 28 januari 2021

Hier vindt u veelgestelde vragen en de antwoorden over de datadiefstal die recent heeft plaatsgevonden. We vullen deze vragen steeds aan met de laatste informatie die wij hebben. (…).

We kunnen ons voorstellen dat de datadiefstal vragen oproept en mogelijk uw vertrouwen schaadt. Dit vinden wij heel erg. We willen u zo goed mogelijk informeren en daarom vullen wij deze veelgestelde vragen steeds aan met nieuwe informatie.

Er loopt op dit moment een politieonderzoek, waardoor we nog niet precies weten hoe groot de datadiefstal is. Ook mogen we bepaalde details nog niet delen, omdat dit mogelijk het onderzoek in gevaar brengt.

(…)

Top 3 meest gestelde vragen

Wat is er precies gebeurd?

Er zijn persoonsgegevens gestolen. Deze gegevens gaan over het testen op corona en mogelijk het bron- en contactonderzoek en bevatten onder andere naam, adres, BSN, testuitslag en testlocatie. Of de gegevens ook zijn verkocht en om wiens gegevens het gaat, maakt deel uit van het politieonderzoek. Meer informatie is te vinden op de site van de politie.

Zijn mijn gegevens gestolen?

Dat kunnen wij nu nog niet zeggen. Dit maakt onderdeel uit van het politieonderzoek. Op het moment dat vast komt te staan dat uw gegevens gestolen zijn, dan is het onze plicht u daarover te informeren en dat zullen wij dan ook doen.

Wat zijn de mogelijke gevolgen? Welk risico loop ik als criminelen mijn persoonsgegevens hebben? En waarop moet ik letten?

De website van de politie beschrijft de mogelijke gevolgen goed:

• U loopt het risico slachtoffer te worden van oplichting. Criminelen bellen of mailen u bijvoorbeeld – zogenaamd uit naam van een voor uw geloofwaardige instantie zoals uw bank – en winnen uw vertrouwen omdat ze al veel over u weten (zoals uw geboortedatum of woonadres). Voordat u het weet, heeft u een betaling voor iets gedaan – maar feitelijk op een phishinglink geklikt. (…).

• Een ander risico is identiteitsfraude. De fraudeur gebruikt uw persoonsgegevens bijvoorbeeld om producten en diensten te krijgen op uw naam. Of om een bankrekening te openen of een creditcard aan te vragen. (…).

(…)

Vragen over de datadiefstal

Hoe is deze situatie bekend geraakt bij GGD GHOR Nederland?

Via een tip van een journalist van RTL afgelopen vrijdag.

Wat hebben jullie gedaan na deze tip?

We hebben meteen contact opgenomen met de politie, aangifte gedaan en een melding gedaan bij de Autoriteit Persoonsgegevens. Vervolgens hebben wij controles uitgevoerd in onze systemen én volledige toegang gegeven aan de politie tot onze systemen om de opsporing zo goed mogelijk plaats te kunnen laten vinden.

Vragen (beveiliging) persoonlijke gegevens

Staan de gegevens van alle Nederlanders in jullie systemen?

Nee, in onze systemen staan alleen de gegevens van mensen die de afgelopen tijd met de GGD te maken hebben gehad voor een testafspraak, bron- en contactonderzoek of een vaccinatie.

Welke informatie leggen jullie van mensen vast?

Wij leggen persoonsgegevens vast zoals naam, adres, woonplaats, telefoonnummer/e-mailadres, BSN, geslacht en geboortedatum. Daarnaast, afhankelijk van het contact, ook test- en/of vaccineerafspraken en testresultaten. Is er sprake van een bron en contactonderzoek, dan wordt daarin ook de informatie uit de bron- en contactonderzoek gesprekken vastgelegd (in HPZone). Dit is onder andere: noodzakelijke medische gegevens (bijvoorbeeld klachten/symptomen en huisarts), waar iemand is geweest en met wie hij/zij in contact is geweest. Ook wordt informatie vastgelegd van bron(nen) en nauwe contacten. Deze informatie is beperkt.

Hebben evenveel mensen toegang tot mijn gegevens bij vaccineren?

De medische gegevens die bij vaccinaties worden vastgelegd zijn afgeschermd en niet zichtbaar voor medewerkers die zich met testen bezighouden. Omdat iedereen maar één dossier heeft en iedereen zich ook kan laten testen zijn persoonsgegevens wel in te zien.

Welke maatregelen hebben jullie om misbruik te voorkomen?

Dat zijn er verschillende:

1. We hebben controle aan de poort. Mensen moeten een Verklaring Omtrent het Gedrag (VOG) aanleveren en een geheimhoudingsverklaring ondertekenen. Daarmee is duidelijk dat ze aansprakelijk zijn op het moment dat zij zich niet aan de voorwaarden van de overeenkomst houden.

2. Daarnaast zijn privacy en geheimhouding doorlopend onderwerp van onze trainingen en gesprekken.

3. Wij controleren sinds de start het gebruik van onze systemen door de medewerkers, en hebben onze controles steeds verder verbeterd en doen dat nog steeds. Vanwege het belang van de virusbestrijding en de gevraagde snelheid zijn wij – op diverse manieren – met steeksproefsgewijze controles van start gegaan. Over dit uitgangspunt zijn wij altijd transparant geweest. De Autoriteit Persoonsgegevens heeft tot nu toe geen aanvullende vragen gesteld over de werkwijze.

4. Alleen mensen die voor hun werk noodzakelijk toegang moeten hebben tot een persoonsdossier, mogen dit dossier inzien. Hierop controleren we zoals gezegd steeksproefsgewijs. Bij verboden toegang volgt ontslag en indien nodig aangifte.

5. Daarnaast schalen we de monitoring van het gebruik van onze systemen verder op. We verwachten eind maart systemen te implementeren die automatisch en continu zullen controleren. Hier werken wij al geruime tijd aan.

Hoe controleren jullie zelf hoe medewerkers omgaan met de persoonsinformatie?

Wij controleren op verschillende manieren hoe onze medewerkers omgaan met de informatie in onze systemen. En dat heeft eerder geleid tot de ontdekking van onregelmatigheden en tot het nemen van maatregelen. Daarnaast beschermen we ons tegen aanvallen op onze systemen van buiten. Wij verwerken grote volumes gegevens, en deze actie is in onze controles niet naar voren gekomen.

Welke nieuwe maatregelen nemen jullie?

Er zijn verschillende maatregelen genomen om uw gegevens beter te beschermen en de kans op diefstal te verkleinen. Wat deze maatregelen zijn, kunnen wij u nog niet vertellen in het belang van het politie onderzoek.

Vragen over systemen

Om welke systemen gaat het?

Het gaat om CoronIT. Dit is het administratiesysteem voor het test- en vaccinatieproces en de communicatie hierover. Dus als je een afspraak maakt voor een coronatest via het callcenter, de coronatest website of een arts, komen je persoonsgegevens in CoronIT. Ook als je een afspraak maakt voor een vaccinatie.

Daarnaast lijkt er ook sprake te zijn van HPZone. HPZone is een elektronisch dossier wat de GGD’en gebruiken om het bron- en contactonderzoek uit te voeren. Als iemand een positieve testuitslag heeft en deze gemeld wordt bij de GGD, dan wordt een dossier van deze persoon in HPZone aangemaakt.

Wat doen medewerkers in de systemen?

Medewerkers van het callcenter (inbound – die gebeld worden) kunnen via CoronIT testafspraken en vaccinatieafspraken maken. Verder kunnen de (outbound – die mensen bellen) callagents de testuitslagen zien, aangezien zij mensen, zonder DigiD, bellen met hun testuitslag.

Bron- en contactonderzoekers leggen alle gegevens rondom een besmetting vast in HP-zone.

Bij brief van 8 november 2021 heeft de Autoriteit Persoonsgegevens (hierna: de AP), voor zover hier van belang, aan GGD GHOR geschreven:

Naar aanleiding van het op 22 januari 2021 door GGD GHOR Nederland (hierna: GGD GHOR), mede namens de regionale GGD’en aan de Autoriteit Persoonsgegevens (hierna: AP) gemelde datalek, de zorgwekkende berichtgeving in de media over de diefstal van en handel in persoonsgegevens afkomstig uit de systemen van GGD GHOR en de GGD’en alsmede de vele bezorgde signalen die de AP hierover vervolgens ontving, heeft de AP aangekondigd het toezicht op de GGD te intensiveren en in dat kader onderzoek te doen. De AP heeft onderzocht of door GGD GHOR en twee onderzochte GGD’en passende technische en organisatorische maatregelen zijn getroffen om de persoonsgegevens die worden verwerkt in het kader van testen, vaccineren en bron- en contractonderzoek in verband met de coronapandemie passend te beveiligen. Met deze eindbrief informeert de AP u over de bevindingen van het onderzoek.

De AP is zich ervan bewust dat met het uitbreken van de pandemie de GGD’en en GGD GHOR voor een enorme opgave werden gesteld. Zij kregen de opdracht in zeer korte tijd zorg te dragen voor het op grote schaal testen van personen, het uitvoeren van bron- en contactonderzoek en het vaccineren van personen. De werkzaamheden om dit te realiseren werden onder grote tijdsdruk verricht.

Tegelijkertijd geldt dat van een uitzonderlijk grote groep burgers in dit verband bijzondere persoonsgegevens betreffende hun gezondheid werden en worden verwerkt en dat een grote groep, veelal speciaal voor dit doel aangetrokken, tijdelijke medewerkers hiertoe toegang hebben. Het treffen van technische en organisatorische maatregelen die zijn afgestemd op de hiermee gepaard gaande risico’s voor de persoonsgegevens is dan ook van zeer groot belang. De bereidheid van burgers om zich te laten testen en vaccineren of medewerking te verlenen aan bron- en contactonderzoek hangt immers ook samen met het vertrouwen in de wijze waarop in dat kader persoonsgegevens van burgers worden verwerkt en beveiligd. Mede hierom besloot de AP onderzoek te doen.

Conclusie

De AP constateert dat een aantal aangekondigde verbetermaatregelen zijn getroffen waardoor het risico op datalekken is verminderd. Wel ziet de AP nog wezenlijke risico’s voor de beveiliging van persoonsgegevens die aanvullende verbetermaatregelen vereisen. Het gaat hier in het bijzonder om risico’s die verband houden met het grote aantal partijen dat betrokken is bij de verwerkingen van persoonsgegevens in verband met het testen, vaccineren en bron- en contactonderzoek. In ieder geval zijn dit de 25 regionale GGD’en, de landelijke koepelorganisatie GGD GHOR, zes landelijke partnerorganisaties (callcenters en alarmcentrales), diverse uitzendbureaus en IT-leveranciers. Duidelijke afspraken tussen de betrokken organisaties over bepaalde beveiligingsaspecten rondom de systemen die voor bron- en contactonderzoek worden gebruikt ontbreken. Dit geldt bijvoorbeeld ten aanzien van het autorisatiebeheer en de controle van logbestanden. Hierdoor is onvoldoende duidelijk wie waarvoor verantwoordelijk is en wie welke maatregelen in dit verband dient te treffen. Dat vergroot de kans op nieuwe tekortkomingen in de beveiliging van persoonsgegevens.

Verder werken het ministerie van Volksgezondheid, Welzijn en Sport, GGD GHOR en de GGD’en aan het vervangen van de systemen voor bron- en contactonderzoek (HP Zone en HP Zone Lite). In dit kader merkt de AP op dat vervanging van een systeem niet zonder meer leidt tot een betere beveiliging van de persoonsgegevens die daarin worden verwerkt. Hierbij wil de AP benadrukken dat bij de ontwikkeling en implementatie van een nieuw systeem nadrukkelijk rekening moet worden gehouden met de uit de Algemene verordening gegevensbescherming (hierna: AVG) voortvloeiende verplichtingen, zoals het vroegtijdig uitvoeren van een risicoanalyse in de vorm van een gegevensbeschermingseffectbeoordeling (artikel 35 AVG), de toepassing van gegevensbescherming door ontwerp en door standaardinstellingen (artikel 25 AVG) en het treffen van passende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens (artikel 32 AVG), zoals bijvoorbeeld logging, controle op de logging en autorisatiebeheer.

Onderzoek

De AP heeft in het bijzonder onderzocht of voldoende verbetermaatregelen zijn getroffen met het oog op toegangsbeveiliging, verleende autorisaties en autorisatiebeheer, logging van de gebruikte systemen, controle op deze logging en om het ongeoorloofd exporteren/printen van persoonsgegevens uit de systemen te voorkomen. Ook heeft de AP gecontroleerd of de aangekondigde maatregelen met betrekking tot beperking van de zoekfuncties van gebruikers in de systemen ook daadwerkelijk zijn getroffen. Daarnaast is onderzocht of de betrokkenen die geraakt zijn door het datalek in overeenstemming met de AVG zijn geïnformeerd over de inbreuk in verband met hun persoonsgegevens. Tenslotte heeft de AP – naar aanleiding van nieuwe zorgelijke berichtgeving in de media in februari 2021 – onderzocht of de website www.coronatest.nl aan de beveiligingseisen voldoet die gelden voor aansluiting op DigiD.

Het onderzoek was gericht op de systemen die worden gebruikt voor het verwerken van persoonsgegevens in het kader van de coronapandemie, namelijk voor het testen en vaccineren (CoronIT) en bron- en contractonderzoek (HPZone en HPZone Lite).

In het kader van het onderzoek heeft de AP controles uitgevoerd bij GGD GHOR en steeksproefgewijs bij twee regionale GGD’en en een van de landelijke partners die capaciteit leveren voor het uitvoeren van bron- en contactonderzoek. Onderstaande bevindingen zijn gebaseerd op de informatie die de AP tijdens het onderzoek heeft verzameld.

(…)

Ter afsluiting

De AP heeft onderzoek gedaan bij GGD GHOR en twee (regionale) GGD’en naar de beveiliging van persoonsgegevens die in het kader van de coronapandemie worden verwerkt in CoronIT, HPZone en HPZone Lite. Deze systemen worden door alle 25 GGD’en gebruikt en de beveiliging van de daarin verwerkte persoonsgegevens is dus mede afhankelijk van maatregelen die alle 25 GGD’en afzonderlijk dan wel gezamenlijk treffen om de persoonsgegevens passend te beveiligen. De bevindingen van de AP zijn dan ook relevant voor alle 25 GGD’en. De AP verwacht daarom dat alle GGD’en de in deze brief genoemde noodzakelijke verbetermaatregelen – voor zover zij dat nog niet hebben gedaan – zullen treffen om een passend niveau van beveiliging van persoonsgegevens te waarborgen. Mede met het oog hierop zal deze brief ook aan de overige 23 GGD’en worden gezonden.

Informatiebeveiliging is een continu proces waarin risico’s en maatregelen periodiek moeten worden (her)beoordeeld zodat de technische en organisatorische beveiligingsmaatregelen steeds zijn afgestemd op de actuele risico’s voor betrokkenen. Om deze reden benadrukt de AP met klem het belang om audits gericht op informatiebeveiliging te blijven uitvoeren en risico’s en maatregelen periodiek te (her)beoordelen zodat, waar nodig, (aanvullende) technische en organisatorische maatregelen ter beveiliging van de (bijzondere) persoonsgegevens die worden verwerkt tijdig kunnen worden genomen.

De AP heeft inmiddels de bevindingen van het onderzoek in een gesprek aan GGD GHOR toegelicht en zal erop toezien dat noodzakelijke verbeteringen tijdig worden doorgevoerd. De AP verzoekt GGD GHOR dan ook om uiterlijk op 1 maart 2022 in een voortgangsrapportage op elk van de in deze brief aangegeven punten aan te geven welke verbetermaatregelen daadwerkelijk zijn of worden getroffen om de geïdentificeerde risico’s ten aanzien van de beveiliging van persoonsgegevens die worden verwerkt in het kader van de coronapandemie te verminderen. Dit betreft zowel de huidige systemen zolang deze nog worden gebruikt voor de bestrijding van de coronapandemie als de vervangende systemen wanneer deze in productie worden genomen. Mocht de in de voortgangsrapportage genoemde implementatie van verbetermaatregelen onverhoopt vertraging oplopen, dan verwacht de AP daarover door GGD GHOR onverwijld te worden geïnformeerd.

ICAM is op 25 november 2021 opgericht door [naam 1] .

Haar statuten luiden, voor zover hier van belang:

Doel

Artikel 3.

De Stichting stelt zich ten doel om als onafhankelijke organisatie en zonder winstoogmerk de belangen te behartigen van Gedupeerden, zijnde groepen natuurlijke personen, vennootschappen en/of rechtspersonen, in Nederland en/of daarbuiten, die zijn of dreigen te worden geraakt in een gelijksoortig belang in de zin van artikel 3:305a BW (of een vergelijkbare of daarvoor in de plaats tredende (wettelijke) regeling) en daardoor op enige derde(n) een of meer vordering(en) hebben verband houdend met door deze natuurlijke personen, vennootschappen en/of rechtspersonen geleden en/of te lijden Massaschade.

In het bijzonder valt onder het doel van de Stichting:

a. a) Het optreden tegen (dreigende) inbreuken op het recht van burgers, consumenten, vennootschappen en/of rechtspersonen op bescherming van de persoonlijke levenssfeer en bescherming van persoonsgegevens, waaronder in het bijzonder tegen inbreuken door de overheid en/of overheidsinstanties, zoals de Staat en andere publiekrechtelijke rechtspersonen, waaronder begrepen het verhalen van Massaschade die deze Gedupeerden lijden en/of hebben geleden ten gevolge van inbreuken op genoemde rechten, waaronder begrepen overtredingen van de EU Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679) en/of enige daaruit voortvloeiende nationale wet- of regelgeving, beleidsregels, gedragscodes of normen;

b) Het optreden tegen (dreigende) inbreuken op rechten van burgers, consumenten, vennootschappen en/of rechtspersonen in verband met financiële diensten of producten, non-conformiteit van producten en/of productaansprakelijkheid en/of in verband met overtredingen van Unierechtelijke en/of nationale regelgeving, waaronder regelgeving ter bescherming van consumenten;

c) Het optreden tegen (dreigende) inbreuken op rechten van burgers, consumenten, vennootschappen en/of rechtspersonen in verband met overtredingen van het mededingingsrecht, waaronder kartelafspraken en misbruik van machtspositie;

d) Het optreden tegen (dreigende) inbreuken op rechten van burgers, consumenten, vennootschappen en/of rechtspersonen in verband met overtredingen van wet- en regelgeving ter regulering van online markten en online tussenpersonen, waaronder online platforms;

e) Het optreden tegen (dreigende) inbreuken op rechten van natuurlijke personen, vennootschappen en/of rechtspersonen in verband met overtredingen van wet- en regelgeving ter bescherming van mensen, dieren, milieu, klimaat en/of leefomgeving.

De Stichting tracht haar doel te bereiken met alle haar rechtens toekomende middelen, waaronder begrepen, zonder daartoe beperkt te zijn:

a. a) Het in naam van de Stichting en/of in naam van de Gedupeerden starten en/of ondersteunen van juridische procedures, zoals civiele, strafrechtelijke of bestuursrechtelijke procedures, het instellen van (rechts)vorderingen of verzoeken, waaronder vorderingen of verzoeken tot het vergoeden, compenseren en/of ongedaan maken van Massaschade, het terugbetalen van onverschuldigd betaalde bedragen, het ongedaan maken van ongerechtvaardigde verrijking, het verkrijgen van verklaringen voor recht en het treffen van (voorlopige) voorzieningen, en het indienen van klachten bij toezichthoudende instanties, een en ander in Nederland en in andere jurisdicties indien nodig en mogelijk, waaronder begrepen procedures, vorderingen, verzoeken en klachten zoals bedoeld in:

i. i) Artikel 3:305a lid 1 BW;

ii) Artikel 6:240 BW;

iii) Richtlijn (EU) 2020/1828 van het Europees Parlement en de Raad van 25 november 2020 betreffende representatieve vorderingen ter bescherming van de collectieve belangen van consumenten en tot intrekking van Richtlijn 2009/22/EG;

iv) Artikel 7:907 BW;

v) Artikel 80 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG, of enige daarvoor in de plaats tredende (wettelijke) regelingen of enige daarmee vergelijkbare (wettelijke) regelingen in Nederland en/of daarbuiten;

b) Het (laten) doen van onderzoek naar (mogelijke) inbreuken op de rechten van Gedupeerden en naar de aansprakelijkheid van de (rechts)personen die (mogelijk) inbreuk maken of hebben gemaakt;

c) Het namens of in het belang van Gedupeerden voeren van onderhandelingen over en/of het aangaan van (collectieve) vaststellingsovereenkomsten, waaronder begrepen vaststellingsovereenkomsten in de zin van artikel 7:907 BW;

d) Het (laten) berekenen, vaststellen, verkrijgen, (door)betalen en distribueren van schadevergoedingen en het (laten) uitvoeren van (collectieve) vaststellingsovereenkomsten, waaronder begrepen vaststellingsovereenkomsten in de zin van artikel 7:907 BW;

e) Het optreden als woordvoerder en vertegenwoordiger van Gedupeerden, waaronder in de media, in de politiek, bij het bedrijfsleven, bij (potentiële) wederpartijen en in relatie tot het maatschappelijk middenveld;

f) Het informeren van Gedupeerden ten aanzien van zaken gerelateerd aan doel en werkzaamheden van de Stichting, onder meer via de Website;

g) Het beschikbaar stellen en/of door een externe partij beschikbaar laten stellen van adequate financiering voor het behalen van de doelstellingen van de Stichting, al dan niet tegen betaling van een financieringsvergoeding voor rente en gelopen risico;

h) Het bieden van de mogelijkheid aan Gedupeerden om Deelnemer te worden;

i. i) Het verrichten van al hetgeen met het vorenstaande in de ruimste zin verband houdt of daartoe bevorderlijk kan zijn.

De Stichting is een organisatie zonder winstoogmerk. Onder winstoogmerk wordt niet verstaan het nastreven van een door de Stichting te ontvangen of te bedingen marktconforme vergoeding voor gemaakte kosten, gelopen risico’s of geleverde diensten, met inbegrip van een eventuele redelijke opslag ten behoeve van (toekomstige) collectieve belangenbehartiging en van kosten voor gebruik van eigen vermogen of vreemd vermogen.

De Stichting onderschrijft de Claimcode. De Stichting zal haar statuten, organisatie en werkwijze zoveel mogelijk inrichten overeenkomstig de Claimcode of zal, indien daarvan wordt afgeweken, toelichten waarom zij daarvan afwijkt.

Organen en governance structuur

Artikel 4.

De Stichting kent de volgende organen:

a. een Bestuur;

b. een Raad van Toezicht; en

c. een gemeenschappelijke vergadering van Bestuur en Raad van Toezicht.

De Stichting kent Deelnemers.

(…)

Bestuur; samenstelling, benoeming, schorsing, ontslag

Artikel 6.

Het Bestuur bestaat uit een door de Raad van Toezicht vast te stellen aantal Bestuurders van ten minste drie.

Het Bestuur is zodanig samengesteld dat de Bestuurders ten opzichte van elkaar, de Raad van Toezicht, een eventuele Financier en de Deelnemers onafhankelijk en kritisch kunnen opereren. Daarnaast is het Bestuur zodanig samengesteld dat het beschikt over de specifieke deskundigheid die noodzakelijk is voor een adequate behartiging van de in Artikel 3 omschreven belangen.

Ten minste één Bestuurder beschikt over de specifieke ervaring en juridische expertise die noodzakelijk is voor een adequate behartiging van de in Artikel 3 omschreven belangen. Ten minste één Bestuurder beschikt over de specifieke ervaring en financiële expertise die noodzakelijk is voor een adequate behartiging van de in Artikel 3 omschreven belangen.

De vereiste specifieke deskundigheid, ervaring en expertise van het Bestuur zoals bedoeld in Artikel 6.2 en 6.3 kan, waar dat nodig is ten aanzien van specifieke Claims, mede worden ingevuld door middel van ondersteuning door Claim-specifieke commissies of adviseurs.

Bestuur; taken en bevoegdheden

Artikel 7.

Het Bestuur is belast met het besturen van de Stichting. Bij de vervulling van hun taak richten de Bestuurders zich naar het belang van de Stichting en de met haar verbonden organisatie.

(…)

Het Bestuur legt ten minste één keer per jaar verantwoording af aan de Raad van Toezicht over de vaststelling en uitvoering van het (financieel) beleid en de op verwezenlijking van de statutaire doelstelling gerichte strategie.

Het Bestuur is verplicht om elke voorgenomen substantiële wijziging in de governance structuur van de Stichting en in de naleving van de Claimcode ter bespreking voor te leggen aan de Raad van Toezicht. Het Bestuur zal het voorafgaande als een afzonderlijk agendapunt op de agenda van de vergadering zetten.

(…)

Bestuur; besluitvorming

Artikel 9.

(…)

Aan de goedkeuring van de Raad van Toezicht zijn onderworpen besluiten van het Bestuur omtrent:

(…)

d. het aanhangig maken van ene gerechtelijke procedure;

e. het sluiten van een schikkingsovereenkomst;

f. het aangaan of beëindigen van enige financieringsovereenkomst; en

g. het vaststellen of wijzigen van de jaarlijkse begroting.

De Raad van Toezicht kan in zijn daartoe strekkend besluit duidelijk te omschrijven andere besluiten van het Bestuur aan zijn goedkeuring onderwerpen. De Raad van Toezicht deelt een dergelijk besluit onverwijld schriftelijk aan het Bestuur mede.

(…).

Website

Artikel 12.

Het Bestuur houdt een algemeen toegankelijke Website in stand waarop de voor de belanghebbenden van de Stichting van belang zijnde informatie wordt geplaatst, waaronder in elk geval wordt verstaan:

a. de Statuten;

b. het doel en de middelen van de Stichting;

(…)

i. een overzicht van de aan Deelnemers gevraagde bijdrage(n);

(…)

m. een plan van aanpak op hoofdlijnen op basis waarvan een potentiële Deelnemer kan beoordelen of de aard en werkwijze van de Stichting aansluiten bij zijn of haar belangen;

n. een overzicht van de wijze waarop personen tot bescherming van wier belangen de rechtsvordering strekt zich kunnen aansluiten bij de Stichting en de wijze waarop zij deze aansluiting kunnen beëindigen;

o. indien een bijdrage wordt gevraagd van de personen tot bescherming van wier belangen de rechtsvordering strekt: inzicht in de berekening van deze bijdrage;

p. een overzicht van de stand van zaken in door de Stichting gestarte gerechtelijke procedures;

q. een overzicht van de hoofdlijnen van door de Stichting gesloten vaststellingsovereenkomsten;

r. het laatst vastgestelde bestuursverslag, welke binnen acht (8) dagen na vaststelling op de Website wordt gepubliceerd;

s. voor zover van toepassing, dat sprake is van externe financiering, de identiteit en woonplaats van de Financier, de systematiek op hoofdlijnen van de met de Financier overeengekomen vergoeding(en) en overeengekomen diensten en, indien van toepassing, het percentage van een in of buiten rechte toe te kennen collectieve (schade)vergoeding die in de vorm van een vergoeding toekomt aan de Financier.

Raad van Toezicht; samenstelling, benoeming, defungeren

Artikel 13.

De Raad van Toezicht bestaat uit ten minste drie leden, waarvan er maximaal één, niet zijnde de voorzitter, kan worden benoemd op voordracht van een eventuele Financier. Een dergelijke benoeming wordt gepubliceerd op de Website. Het aantal leden wordt vastgesteld door de Raad van Toezicht. Slechts natuurlijke personen kunnen lid van de Raad van Toezicht zijn.

De Raad van Toezicht is zodanig samengesteld dat de leden ten opzichte van elkaar en het Bestuur en ten aanzien van de door de Stichting behartigde belangen, onafhankelijk en kritisch kunnen opereren. Ten minste één lid van de Raad van Toezicht beschikt over de specifieke ervaring en juridische expertise die noodzakelijk is voor een adequate behartiging van en adequaat toezicht op de in Artikel 3 omschreven belangen. Ten minste één lid van de Raad van Toezicht beschikt over de specifieke ervaring en financiële expertise die noodzakelijk is voor een adequate behartiging van en adequaat toezicht op de in Artikel 3 omschreven belangen.

(…).

Raad van Toezicht; taak en bevoegdheden

Artikel 14.

De Raad van Toezicht heeft tot taak toezicht te houden op het beleid en de strategie van het Bestuur en op de algemene gang van zaken in de Stichting. De Raad van Toezicht staat het Bestuur met raad terzijde. Bij de vervulling van hun taken richten de leden van de Raad van Toezicht zich naar het belang van de Stichting en de met haar verbonden organisatie.

(…).

(…)

Deelnemers

Artikel 19.

De Stichting kan onder meer om organisatorische, proces-technische en/of financiële redenen Deelnemers kennen per specifieke Claim.

(…)

Het Bestuur kan een reglement vaststellen waarin nadere regels en voorschriften worden vastgelegd ter zake van de (organisatie van de) Deelnemers. Het besluit tot vaststelling of wijziging van een dergelijk reglement behoeft de voorgaande goedkeuring van de Raad van Toezicht.

Naleving en handhaving Claimcode

Artikel 20.

De hoofdlijnen van de governancestructuur van de Stichting worden elk jaar op een voor het publiek toegankelijk deel van de Website uiteengezet met de uitdrukkelijke toelichting in hoeverre zij daarvan afwijkt.

De over ieder boekjaar op de Website gepubliceerde informatie over de governancestructuur blijft voor het publiek toegankelijk zolang de Stichting actief is.

Artikel 7.4 is van toepassing op een wijziging in de governancestructuur van de Stichting.

Externe financiering

Artikel 21.

De Stichting kan ten behoeve van de financiering van statutaire werkzaamheden een overeenkomst aangaan met een Financier. Het Bestuur vergewist zich ervan dat individuele Bestuurders en leden van de Raad van Toezicht, alsmede de door de Stichting ingeschakelde advocaat of andere dienstverleners zelfstandig en onafhankelijk zijn van de Financier en de aan deze rechtstreeks of middellijk verbonden (recht)personen, alsmede dat de Financering en de aan deze rechtstreeks of middellijk verbonden (rechts)personen onafhankelijk zijn van de wederpartij in de collectieve actie. De overeenkomst voorziet in een regeling die de in de vorige volzin bedoelde zelfstandigheid en onafhankelijkheid waarborgt. Het Bestuur ziet erop toe dat de financieringsvoorwaarden (waaronder begrepen de omvang en systematiek van de overeen te komen vergoeding) redelijkerwijs niet strijdig zijn met het collectieve belang van de (rechts)personen ten behoeve van wie de Stichting krachtens Artikel 3 optreedt.

Tot eerste leden van het Bestuur zijn benoemd [naam 1] voornoemd, [naam 2] en [naam 3] .

Tot eerste leden van de Raad van Toezicht zijn benoemd [naam 4] , [naam 5] en [naam 6] . Laatstgenoemde is op 21 juni 2022 onverwacht overleden. In zijn plaats is op 30 oktober 2023 benoemd [naam 7] .

Bij brieven van 8 februari 2022 heeft ICAM gedaagden, met uitzondering van Stichting Landelijke Coördinatie COVID-19 Bestrijding (gedaagde sub 5), (onder meer) uitgenodigd tot het voeren van overleg als bedoeld in artikel 3:305a lid 3 onder c Burgerlijk Wetboek (BW).

Bij brief van 22 november 2022 heeft ICAM Stichting Landelijke Coördinatie COVID-19 Bestrijding (gedaagde sub 5) (onder meer) uitgenodigd tot het voeren van overleg als bedoeld in artikel 3:305a lid 3 onder c BW.

Het op deze brieven gevolgde overleg heeft er niet toe geleid dat ICAM het gevorderde heeft bereikt.

Bij brieven van 15 februari 2022 heeft ICAM (onder andere) gedaagden op grond van de Wet openbaarheid van bestuur (Wob) verzocht om informatie en/of documenten.

Bij brief van 25 april 2022 heeft GGD GHOR, voor zover hier van belang, aan 1.247 van de 1.373 personen wier persoonsgegevens – naar door de politie is vastgesteld – uit de GGD-systemen zijn ontvreemd, voor zover hier van belang, geschreven:

Vorig jaar stuurden wij u een brief over de diefstal van uw persoonsgegevens uit één van de computersystemen van de GGD. Met deze brief willen we u laten weten dat de politie onderzoek heeft gedaan en wat de uitkomst daarvan is.

Wij vinden het heel vervelend dat deze datadiefstal heeft plaatsgevonden. Daarom willen we graag een financieel gebaar maken voor uw ongemak. Hierover leest u ook meer in deze brief.

Datadiefstal

Wij lieten u vorig jaar al weten dat persoonsgegevens zijn gestolen uit CoronIT. Dit is het computersysteem dat de GGD gebruikt bij het bestrijden van de COVID-19 pandemie. Wij hebben vorig jaar meteen bij de politie aangifte gedaan. Die startte een uitgebreid onderzoek en heeft een aantal verdachten aangehouden. De politie heeft vastgesteld dat er foto’s (schermafdrukken) waren gemaakt van gegevens in CoronIT. Dit is verboden en daarom heeft de rechter hiervoor al een aantal verdachten veroordeeld. De andere verdachten moeten nog voor de rechter komen.

Financieel gebaar

Nu het politieonderzoek naar de datadiefstal klaar is, weten we dat helaas ook foto’s gemaakt zijn van uw gegevens. We vinden dit heel vervelend en zeggen daarom nog een keer sorry. Voor eventueel ongemak willen wij u 500 euro aanbieden. U kunt zelf kiezen of u van dit aanbod gebruik wilt maken of niet.

Wat vragen wij u te doen?

U kunt één keuze aankruisen op de antwoordbrief (die is aan deze brief vastgeniet). Hieronder staat welke keuzes u hebt:

1. Ja, ik maak gebruik van het aanbod en ontvang graag 500 euro op een rekening die op mijn naam staat.

2. Nee, ik wil geen gebruik maken van het aanbod van GGD GHOR Nederland.

Vóór 1 juli 2022 in de brievenbus doen

Heeft u uw keuze aangekruist? Dan kunt u de ingevulde antwoordbrief los maken van deze brief en in de antwoordenvelop doen. Een postzegel is niet nodig. Plak deze envelop goed dicht en doe deze vóór 1 juli 2022 op de post.

Als u kiest voor keuze 1, krijgt u het bedrag binnen zes weken nadat wij uw antwoordbrief hebben ontvangen.

De bij deze brief gevoegde bijlage Vragen en antwoorden luidt, voor zover hier van belang:

Waarom bieden jullie een financieel gebaar aan?

Uw gegevens zijn door de politie gevonden bij de verdachten. We vinden dit heel vervelend. Daarom willen wij een financieel gebaar maken voor uw mogelijke ongemak.

(…)

Waarom is de hoogte van het bedrag 500 euro?

Wij vinden dit onder de omstandigheden waaronder de datadiefstal zich voorgedaan een gepast bedrag.

(…)

Wat als ik niet reageer voor 1 juli 2022?

Als u niet voor 1 juli 2022 reageert, dan gaan wij ervan uit dat u geen gebruik wilt maken van het aanbod.

Jullie gaan een gebaar maken naar circa 1250 mensen. Waarom niet naar andere mensen?

Bij het politieonderzoek naar de datadiefstal zijn gegevens van circa 1250 personen gevonden. De politie heeft geen aanwijzingen gevonden dat grootschalige databestanden in omloop en verhandeld zouden zijn. Wij bieden alleen die mensen 500 euro aan waarvan de politie schermafdrukken van hun gegevens gevonden heeft bij de verdachten.

(…)

Hoe staat het op dit moment met de beveiliging van jullie systemen? Kan zoiets in de toekomst nog een keer gebeuren?

Geen enkele organisatie kan 100% garantie geven. Echter, dataveiligheid en privacy zijn integrale onderdelen van onze werkprocedures. Het is een doorlopend proces waarbij we continu de veiligheid van onze systemen analyseren en verbeteren. We spannen ons in om de data van alle Nederlanders goed te beschermen en beveiligen tegen onrechtmatige inzage en misbruik. Intern zijn extra veiligheidsmaatregelen getroffen en uit voorzorg zijn diverse systeemaanpassingen gedaan.

Wat gebeurt er als nieuwe screenshots bij (andere) verdachten worden aangetroffen?

Als er nieuwe feiten bekend worden, dan zullen wij weer aangifte doen bij de politie.

De bij de brief van 25 april 2022 gevoegde bijlage Antwoordbrief luidt, voor zover hier van belang:

Keuze financieel gebaar

(…)

Graag één van de vakjes aankruisen om uw keuze aan ons door te geven.

(…).

□ Ja, ik maak gebruik van het aanbod van GGD GHOR Nederland en ontvang graag €500 op de volgende rekening die op mijn naam staat:

(…).

Als wij het bedrag van €500 op uw bankrekening hebben betaald, geeft u ons finale kwijting. Lees onderaan deze pagina wat dat voor u betekent.

□ Nee, ik wil geen gebruik maken van het aanbod van GGD GHOR Nederland.

(…).

Wat is finale kwijting?

Dit betekent dat u ermee akkoord gaat dat wij tegenover u geen verplichtingen hebben die te maken hebben met de datadiefstal uit de coronasystemen van de GGD. Dit geldt dan voor verplichtingen van GGD GHOR Nederland, de GGD’en of andere overheidsinstanties (zoals de gemeente of de landelijke overheid).

Ongeveer 80% van deze 1.247 personen heeft het aanbod aanvaard.

GGD GHOR heeft de overige 126 personen onlangs hetzelfde aanbod gedaan.

Inleiding

De rechtbank zal het verzoek van ICAM om een bevel op de voet van artikel 22 Rv niet honoreren, omdat voor een dergelijk bevel – in elk geval in dit stadium van de procedure – geen aanleiding bestaat. Daarmee wordt toegekomen aan vordering B.

ICAM is in vordering B niet ontvankelijk op grond van artikel 70 lid 1 Rv voor zover tegen de afwijzende beschikking van het bestuursorgaan bezwaar kon worden gemaakt, administratief beroep kon worden ingesteld of beroep bij een bestuursrechter kon worden ingesteld. Dit lijkt op basis van de voetnoten bij de in de dagvaarding onder 10.2.1 vermelde bescheiden te gelden voor de stukken genummerd 9 tot en met 27. ICAM zal moeten toelichten of dit juist is. Van de overige bescheiden is vermeld dat deze zich in het domein van de Staat c.s. bevinden. Dat volstaat niet; ICAM zal moeten aangeven welk van de gedaagden over deze stukken beschikt en of dit stuk al dan niet in het kader van de Wet open overheid is opgevraagd of opgevraagd kon worden en indien het is opgevraagd met welk resultaat. Gedaagden mogen daarop reageren. De zaak zal daartoe naar de rol worden verwezen; iedere beslissing op dit punt wordt aangehouden.

Vordering C zal worden afgewezen. Gedeeltelijk is dat omdat het gevorderde onderzoek onmogelijk is. Er is geen deskundige die de omvang van het datalek zou kunnen vaststellen.

Gedeeltelijk is dat omdat de vraagstelling te algemeen is en een deskundigenonderzoek op dit moment te vroeg komt. Zo is wel denkbaar dat onderzoek wordt gedaan naar de vraag of de persoonsgegevens van burgers in de gegeven omstandigheden voldoende waren beschermd. De rechtbank acht een deskundigenbericht op dit punt echter op dit moment niet aangewezen; pas nadat na een inhoudelijke behandeling op dit punt vragen overblijven die door een deskundige kunnen worden beantwoord is daarvoor aanleiding, maar dan op basis van een specifieke vraagstelling, waarover beide partijen zich hebben kunnen uitlaten en die door de rechtbank vervolgens is vastgesteld. Dat onderzoek moet dan worden uitgevoerd door een door de rechtbank benoemde deskundige, nadat beide partijen zich over de benodigde deskundigheid hebben uitgelaten en gelegenheid hebben gehad deskundigen voor te stellen.

Vordering D moet worden afgewezen, omdat alleen een daadwerkelijke inbreuk volgens artikel 34 lid 1 AVG aan betrokkenen behoeft te worden medegedeeld en niet dat er een mogelijkheid van een inbreuk is. Voor zover bij het politieonderzoek is gebleken dat daadwerkelijk gegevens zijn gestolen zijn betrokkenen reeds op de hoogte gesteld. Een verplichting om anderen te informeren zoals onder D gevorderd kan niet worden aangenomen. Bovendien zou als deze verplichting in dit geval al zou bestaan op grond van artikel 34 lid 3 onder c AVG de uitgebreide informatie op de website van DDG GHOR (weergegeven onder 3.1) in dit geval volstaan.

Vordering E zal worden afgewezen omdat het verzoek onder A zal worden afgewezen en omdat in de hoofdzaak de tot schadevergoeding strekkende vorderingen niet ontvankelijk zijn.

Gelet op de aard van hetgeen hiervoor is overwogen en geoordeeld, zal worden bepaald dat reeds thans hoger beroep openstaat van dit vonnis.

Iedere verdere beslissing zal worden aangehouden.

De rechtbank:

in de hoofdzaak

verklaart ICAM ontvankelijk in haar vorderingen onder K en L;

wijst ICAM aan als exclusieve belangenbehartiger;

bepaalt dat de nauw omschreven groep van personen voor wie ICAM optreedt wordt vastgesteld zoals gevorderd onder I (weergegeven in 4.1);

verklaart ICAM niet-ontvankelijk in haar vorderingen tegen de veiligheidsregio’s (gedaagden sub 31 en 32), de gemeenten (gedaagden sub 33 en 34), de Gemeentelijke Gezondheidsdienst (GGD) Amsterdam-Amstelland (gedaagde sub 6) en de GGD Gooi & Vechtstreek (gedaagde sub 14);

veroordeelt ICAM in de aan de zijde van de onder 8.4 genoemde gedaagden gevallen proceskosten, voor hen samen tot dit vonnis begroot op EUR 3.743,49, te betalen binnen veertien dagen na aanschrijving daartoe;

veroordeelt ICAM, voor het geval zij niet tijdig aan deze veroordeling voldoet, in de extra nakosten van EUR 92,00 plus de kosten van betekening;

veroordeelt ICAM tot betaling van de wettelijke rente als bedoeld in artikel 6:119 BW over deze proceskosten als deze niet binnen veertien dagen na aanschrijving zijn betaald;

verklaart deze kostenveroordelingen uitvoerbaar bij voorraad

verklaart ICAM niet-ontvankelijk in de vorderingen M, N en P;

beveelt ICAM op de voet van artikel 22 Rv bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV;

beveelt ICAM op de voet van artikel 22 Rv bij akte toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waaruit dat blijkt;

beveelt de Staat en GGD GHOR bij akte bewijsstukken in het geding te brengen waaruit blijkt welke opdracht aan GGD GHOR is gegeven met betrekking tot het registreren van burgers ten behoeve van testen, vaccineren en bron- en contactonderzoek met betrekking tot Covid-19;

stelt elk van partijen in de gelegenheid zich uit te laten over opt-out en opt-in, gezien de in dit vonnis gegeven beslissingen;

verwijst de zaak voor het hiervoor onder 8.10 tot en met 8.13 bedoelde doel naar de rol van 14 augustus 2024;

in het (deels voorwaardelijke) incident

verwijst de zaak naar de rol van 14 augustus 2024 opdat ICAM zich kan uitlaten zoals omschreven onder 6.2;

wijst de vorderingen C, D en E af;

in de hoofdzaak en in het (deels voorwaardelijke) incident

bepaalt dat elk van partijen op de op 14 augustus 2024 te nemen akten mag reageren bij antwoordakte,

bepaalt dat reeds thans hoger beroep openstaat van dit vonnis;

verwijst de zaak voor verdere behandeling en beslissing naar de meervoudige kamer;

houdt iedere verdere beslissing aan.

Dit vonnis is gewezen door mr. R.H.C. Jongeneel, rechter, bijgestaan door mr. A.A.J. Wissink, griffier, en in het openbaar uitgesproken op 17 juli 2024.

rolbeslissing

Afdeling privaatrecht

zaaknummer / rolnummer: C/13/731682 / HA ZA 23/329

in de zaak van

de stichting

STICHTING INITIATIEVEN COLLECTIEVE ACTIES MASSASCHADE (ICAM),

gevestigd te Amsterdam,

advocaat mr. D.M. Linders,

e i s e r e s ,

t e g e n :

1. de publiekrechtelijke rechtspersoon

STAAT DER NEDERLANDEN, in het bijzonder het

MINISTERIE VAN VOLKSGEZONDHEID, WELZIJN EN SPORT

waarvan de zetel is gevestigd te 's-Gravenhage,

advocaat mr. G.J. Zwenne,

2.de vereniging met volledige rechtsbevoegdheid

PUBLIEKE GEZONDHEID EN VEILIGHEID NEDERLAND,

gevestigd te Utrecht,

de stichtingen

3. STICHTING PROJECTENBUREAU PUBLIEKE GEZONDHEID EN VEILIGHEIDNEDERLAND,

4. STICHTING VERENIGINGSBUREAU PUBLIEKE GEZONDHEID EN VEILIGHEID NEDERLAND,

5. STICHTING LANDELIJKE COÖRDINATIE COVID-19 BESTRIJDING,

alle gevestigd te Utrecht,

advocaat mr. E.P.M. Thole,

de publiekrechtelijke rechtspersonen (openbare lichamen op basis van gemeenschappelijke regeling)

6. GEMEENTELIJKE GEZONDHEIDSDIENST (GGD) AMSTERDAM-AMSTELLAND,

waarvan de zetel is gevestigd te Amsterdam,

7. GGD BRABANT-ZUIDOOST,

waarvan de zetel is gevestigd te Eindhoven,

8. DIENST GEZONDHEID & JEUGD ZUID-HOLLAND ZUID,

waarvan de zetel is gevestigd te Dordrecht,

9. GGD DRENTHE,

waarvan de zetel is gevestigd te Assen,

10. GGD FLEVOLAND,

waarvan de zetel is gevestigd te Lelystad,

11. VEILIGHEIDSREGIO FRYSLÂN,

waarvan de zetel is gevestigd te Leeuwarden,

12. VEILIGHEIDS- EN GEZONDHEIDSREGIO GELDERLAND-MIDDEN (VGGM),

waarvan de zetel is gevestigd te Arnhem,

13. GGD GELDERLAND-ZUID,

waarvan de zetel is gevestigd te Nijmegen,

14. GGD GOOI & VECHTSTREEK,

waarvan de zetel is gevestigd te Bussum,

15. GGD GRONINGEN,

waarvan de zetel is gevestigd te Groningen,

16. GEMEENSCHAPPELIJKE REGELING GEMEENTELIJKE GEZONDHEIDSDIENSTEN VEILIG THUIS HAAGLANDEN,

waarvan de zetel is gevestigd te 's-Gravenhage,

17. GGD HART VOOR BRABANT,

waarvan de zetel is gevestigd te 's-Hertogenbosch,

18. REGIONALE DIENST OPENBARE GEZONDHEIDZORG HOLLANDS MIDDEN,

waarvan de zetel is gevestigd te Leiden,

19. GEMEENTELIJKE GEZONDHEIDSDIENST HOLLANDS NOORDEN,

waarvan de zetel is gevestigd te Alkmaar,

20. GGD IJSSELLAND,

waarvan de zetel is gevestigd te Zwolle,

21. VEILIGHEIDSREGIO KENNEMERLAND,

waarvan de zetel is gevestigd te Haarlem,

22. VEILIGHEIDSREGIO LIMBURG-NOORD,

waarvan de zetel is gevestigd te Venlo,

23. GGD NOORD- EN OOST GELDERLAND,

waarvan de zetel is gevestigd te Warnsveld,

24. GGD REGIO UTRECHT,

waarvan de zetel is gevestigd te Zeist,

25. GGD ROTTERDAM-RIJNMOND,

waarvan de zetel is gevestigd te Rotterdam,

26. SAMENTWENTE,

waarvan de zetel is gevestigd te Enschede,

27. GGD WEST-BRABANT,

waarvan de zetel is gevestigd te Breda,

28. GGD ZAANSTREEK-WATERLAND,

waarvan de zetel is gevestigd te Zaandam,

29. GEMEENSCHAPPELIJKE GEZONDHEIDSDIENST ZEELAND,

waarvan de zetel is gevestigd te Goes,

30. GENEESKUNDIGE GEZONDHEIDSDIENST ZUID-LIMBURG,

waarvan de zetel is gevestigd te Heerlen,

31. VEILIGHEIDSREGIO AMSTERDAM-AMSTELLAND,

waarvan de zetel is gevestigd te Amsterdam,

32. VEILIGHEIDSREGIO ROTTERDAM-RIJNMOND,

waarvan de zetel is gevestigd te Rotterdam,

33. GEMEENTE AMSTERDAM,

waarvan de zetel is gevestigd te Amsterdam,

34. GEMEENTE ROTTERDAM,

waarvan de zetel is gevestigd te Rotterdam,

advocaat mr. B.J.P.G. Roozendaal,

g e d a a g d e n .

GRONDEN VAN DE BESLISSING

In deze zaak is een mondelinge behandeling bepaald op maandag 22 april 2024 van 9.30 uur tot 12.30 uur. Daarbij is de ontvankelijkheid van ICAM aan de orde.

Uit de dagvaarding (nr. 654) blijkt dat ICAM een overeenkomst heeft gesloten met procesfinancier Liesker procesfinanciering (hierna: de procesfinancieringsovereenkomst).

De rechtbank acht het voor de te nemen beslissingen over de ontvankelijkheid van ICAM van belang dat ICAM deze overeenkomst voorafgaand aan de zitting in het geding brengt. Zij zal ICAM daartoe op grond van het bepaalde in artikel 22 Rv een bevel geven.De procesfinancieringsovereenkomst dient zonder onleesbaar gemaakte delen aan de rechtbank te worden overgelegd, inclusief bijlagen. Daarbij verlangt de rechtbank ook een bevestiging dat de aldus verstrekte stukken alle afspraken bevatten tussen de ICAM en haar procesfinancier.In de aan gedaagden ter beschikking te stellen afschriften van de procesfinancieringsovereenkomst mag ICAM desgewenst het voor haar beschikbare budget onleesbaar maken.

De rechtbank:

Dit vonnis is gewezen door mr. R.H.C. Jongeneel en in het openbaar uitgesproken op

7 februari 2024.