Rb. Noord-Nederland, 12-01-2021, nr. 8187989 / CV EXPL 19-11402

In deze procedure staat de vraag centraal of [eiser] in verband met een aantal datalekken op de gemeentelijke website, waarbij zijn BSN-nummer, e-mailadres en telefoonnummer zijn gepubliceerd, tegenover de gemeente aanspraak kan maken op betaling van een vergoeding voor de door hem gestelde materiële en immateriële schade. De kantonrechter zal hierna concluderen dat de gemeente met het ontstaan van genoemde datalekken de AVG heeft geschonden en daarom schadeplichtig is jegens [eiser]. In de gegeven omstandigheden bestaat geen aanleiding voor toewijzing van een bedrag aan materiële schadevergoeding, maar wel voor toekenning van een (beperkte) immateriële schadevergoeding aan [eiser]. De kantonrechter zal dit oordeel hierna toelichten.

Op grond van artikel 21 Rv zijn partijen verplicht om de voor de beslissing van belang zijnde feiten volledig en naar waarheid aan te voeren. Wordt deze verplichting niet nageleefd, dan kan de kantonrechter daaruit de gevolgtrekking maken die zij geraden geacht.

Aan een civiele procedure is eigen dat beide partijen ter onderbouwing van de vordering c.q. het verweer met name op die feiten wijzen die zij van belang achten voor de onderbouwing van hun eigen standpunten. Dat de eisende partij daarbij naar de mening van de gedaagde partij niet alle feiten noemt die de gedaagde partij voor de zaak relevant acht, betekent op zichzelf nog niet dat de eisende partij daarmee in strijd met artikel 21 Rv handelt. Naar het oordeel van de kantonrechter is in deze procedure niet gebleken dat [eiser] bewust heeft getracht om feiten die — naar objectieve maatstaven — van belang zijn voor de te nemen beslissing te verdoezelen. Daar komt nog bij dat de gemeente op haar beurt een zeer uitgebreid feitenexposé heeft gegeven. Al met al acht de kantonrechter zich dan ook ruim voldoende voorgelicht over de relevante feiten. Bovendien, zelfs al zou [eiser] niet alle relevante feiten hebben genoemd, dan leidt die omstandigheid — anders dan de gemeente klaarblijkelijk bepleit — niet automatisch tot de gevolgtrekking dat [eiser] op voorhand al niet in zijn vorderingen kan worden ontvangen, of dat de vorderingen op voorhand al moeten worden afgewezen.

Ook het verweer van de gemeente dat [eiser] met het instellen van zijn vorderingen misbruik van bevoegdheid maakt, kan naar het oordeel van de kantonrechter geen doel treffen.

Het instellen van een rechtsvordering kan slechts in uitzonderlijke gevallen misbruik van bevoegdheid als bedoeld in artikel 3:13 BW opleveren. Daarvoor is nodig dat het instellen van de vordering, gelet op de evidente ongegrondheid daarvan, in verband met de betrokken belangen van de wederpartij, achterwege had moeten blijven. Hiervan is pas sprake als eiser de vordering heeft gebaseerd op feiten en omstandigheden waarvan hij de onjuistheid had behoren kende dan wel behoorde te kennen of op stellingen waarvan hij op voorhand moest begrijpen dat deze geen kans van slagen hadden.3. De rechter moet, mede gelet op het door artikel 6 EVRM4. gewaarborgde recht op toegang tot de rechter, terughoudend zijn om een dergelijke situatie aanwezig te achten.

Nu vast staat dat er meerdere datalekken van persoonsgegevens van [eiser] op de gemeentelijke website zijn geweest, stond het [eiser] naar het oordeel van de kantonrechter vrij om vervolgens het geschil tussen partijen over de aansprakelijkheid van de gemeente voor deze datalekken aan de rechter voor te leggen. De hiermee verband houdende vorderingen van [eiser] kunnen, anders dan de gemeente meent, op voorhand zeker niet als zodanig evident ongegrond worden beschouwd, dat [eiser] in redelijkheid niet tot dagvaarding van de gemeente kon overgaan.

De kantonrechter komt daarmee toe aan de inhoudelijke beoordeling van de vorderingen van [eiser]. Allereerst zal de kantonrechter daartoe het juridische kader van een schadevergoedingsvordering uit hoofde van de AVG uiteenzetten.

In artikel 6 lid 1 van de AVG is bepaald dat verwerking van persoonsgegevens alleen rechtmatig is indien aan ten minste een van de aldaar onder a t/m f genoemde voorwaarden is voldaan. Een niet-geoorloofde verwerking van persoonsgegevens van een betrokkene moet naar civielrechtelijke maatstaven als onrechtmatig handelen van de verwerkingsverantwoordelijke jegens de betrokkene worden beschouwd.

Daarnaast luidt artikel 82 van de AVG, voor zover hier van belang:

De AVG is rechtstreeks toepasselijk in elke EU-lidstaat (artikel 99 lid 3 AVG). De aanspraak op schadevergoeding in geval van handelen in strijd met de AVG vloeit rechtstreeks uit de AVG voort. De AVG bepaalt echter niet welke rechter in een lidstaat bevoegd is om over het recht op schadevergoeding te oordelen wanneer de inbreuk, zoals hier, is begaan door een bestuursorgaan. De kantonrechter acht zich in dit geval, gelet op de civiele grondslag van de vorderingen van [eiser] en de hoogte van het gevorderde bedrag, bevoegd om van het geschil kennis te nemen.

Hoewel uit artikel 82 AVG voortvloeit dat er volledige vergoeding van de daadwerkelijke schade als gevolg van de inbreuk(en) op de AVG moet plaatsvinden op een wijze die recht doet aan de doelstellingen van deze verordening, is in de AVG niet bepaald op welke wijze de schade van betrokkene moet worden vastgesteld en berekend. Volgens vaste rechtspraak van het Hof van Justitie is het bij gebrek aan communautaire regelgeving een aangelegenheid van de interne rechtsorde van iedere lidstaat om de regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen.5. Niettemin dient bij de uitoefening van het recht op schadevergoeding zoals neergelegd in artikel 82 AVG, rekening te worden gehouden met overweging 146 van de considerans van de AVG. Daarin is, onder meer, vermeld dat de verwerkingsverantwoordelijke alle schade moet vergoeden die iemand kan lijden ten gevolge van een verwerking die een inbreuk maakt op deze verordening. Het begrip schade moet in het licht van de rechtspraak van het Hof ruim worden uitgelegd, op een wijze die ten volle recht doet aan de doelstellingen van de AVG. Ook is vermeld dat betrokkenen een volledige en daadwerkelijke vergoeding van door hen geleden schade dienen te verkrijgen. Het enkele feit dat schade niet precies gepreciseerd kan worden en mogelijk gering van omvang is, is geen grond om elke aanspraak daarop af te wijzen.6.

Het Hof heeft nog geen uitleg gegeven aan het schadebegrip of over de vergoedbare (materiële en immateriële) schade bij een onrechtmatige verwerking van persoonsgegevens. Volgens vaste rechtspraak van het Hof leidt een normschending niet per definitie tot schade.7. Verder moet de te vergoeden schade reëel en zeker zijn.8.

De kantonrechter komt aldus tot de conclusie dat, met inachtneming van de hiervoor genoemde jurisprudentie van het Hof en artikel 146 van de considerans van de AVG, het nationale recht bepalend is bij de beantwoording van de vraag of gestelde schade voor vergoeding in aanmerking komt.9.

De rechtbank is, met partijen, van oordeel dat de herhaalde datalekken op de website van de gemeente, waarbij bepaalde persoonsgegevens van [eiser] zonder diens (voorafgaande) toestemming zijn gepubliceerd, te weten diens e-mailadres, BSN-nummer en telefoonnummer, als inbreuken op de privacy van [eiser] als bedoeld in artikel 4 lid 12 AVG moeten worden aangemerkt. De in verband daarmee door [eiser] gevorderde verklaring voor recht is dan ook toewijsbaar, zoals als hierna bij de beslissing te melden. Ook al zou sprake zijn van een incident, zoals de gemeente betoogt, dan nog heeft [eiser] naar het oordeel van de kantonrechter voldoende belang bij deze vordering.

Voornoemde inbreuken maken dat [eiser] op grond van artikel 82 AVG in beginsel jegens de gemeente recht heeft op betaling van schadevergoeding. In dat verband maakt [eiser] aanspraak op vergoeding van zowel materiële als immateriële schade. Deze schadeposten moeten, zoals hiervoor vastgesteld, aan de hand van het Nederlandse civiele recht worden beoordeeld.

Artikel 6:95 BW bepaalt dat de schade die op grond van een wettelijke verplichting tot schadevergoeding moet worden vergoed, bestaat in vermogensschade (artikel 6:96 BW) en ander nadeel, dit laatste voor zover de wet op vergoeding hiervan recht geeft. Met dat laatste wordt gedoeld op immateriële schade (artikel 6:106 BW).

De kantonrechter stelt vast dat [eiser] zijn aanspraak op vergoeding van materiële schade op artikel 6:96 lid 2 onder a BW heeft gebaseerd, waar is bepaald dat als vermogensschade ook voor vergoeding in aanmerking komen de redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mochten worden verwacht. Tegen deze achtergrond vordert [eiser] , kort gezegd, vergoeding van de kosten van de maatregelen hij naar eigen zeggen na het voorvallen van de datalekken heeft getroffen voor de beveiliging van zijn huis, bestaande uit het aanbrengen van beveiligingscamera's, alarmsystemen en rolluiken.

De in voornoemd wetsartikel bedoelde kosten moeten aan een ‘dubbele redelijkheidstoets’ voldoen. Zowel het nemen van de betreffende maatregelen op zichzelf als de daaraan verbonden kosten moeten redelijk zijn. Het moet concreet gaan om maatregelen die, in het licht van alle omstandigheden, verantwoord waren. Daarbij valt te denken aan factoren als: was er voldoende dreiging van een dergelijke gebeurtenis; was er een redelijke verhouding tussen de omvang van de te verwachten kosten van de maatregelen en de hoogte van de als gevolg van de gebeurtenis te verwachten schade? Er moet ten minste een serieuze kans op schade als gevolg van de betreffende gebeurtenis(sen) zijn om deze kosten voor vergoeding in aanmerking te laten komen.10.

De kantonrechter is van oordeel dat de in het onderhavige geval door [eiser] getroffen beveiligingsmaatregelen aan zijn woning niet als redelijke kosten ter voorkoming of beperking van schade als gevolg van de gebeurtenissen waarop in dit geval de aansprakelijkheid berust, de datalekken, kunnen worden aangemerkt. Daartoe is het volgende van belang.

Wat hier concreet is gebeurd, is dat het BSN-nummer, het e-mailadres en het telefoonnummer van [eiser] als gevolg van enkele datalekken bij de gemeente zijn geopenbaard op de gemeentelijke website, waardoor anderen van deze persoonsgegevens kennis hebben kunnen nemen. Dat is het verwijt dat de gemeente naar het oordeel van de rechtbank kan worden gemaakt. Niet meer, niet minder. Met gebruikmaking van deze persoonsgegevens hadden kwaadwillende personen hun voordeel kunnen doen, zoals identiteitsfraude. Dat [eiser] door deze datalekken onaangenaam is getroffen en heeft gevreesd voor het (verhoogde) risico dat anderen met deze persoonsgegevens aan de haal zouden kunnen gaan waarbij hem nadeel zou kunnen worden berokkend, acht de kantonrechter begrijpelijk. Gesteld noch gebleken is echter dat zich in dit geval enige concrete dreiging van zodanig nadeel heeft voorgedaan. De gemeente heeft de datalekken, na melding hiervan, ook snel ‘gedicht’ door de betreffende persoonsgegevens van de gemeentelijke website te verwijderen. Daarnaast moet worden bedacht dat [eiser] , die had gekozen voor een openbare aanvraag van een omgevingsvergunning ten behoeve van de schietbaan, daarmee sowieso al zijn eigen naam en woonadres — vrijwillig — aan de openbaarheid prijsgaf ten behoeve van publicatie van de aanvraag door de gemeente. Daarmee wist [eiser] , althans had hij redelijkerwijs kunnen weten, dat zijn woonadres en de door hem gewenste opening van een schietbaan in Winschoten door derden met elkaar in verband konden worden gebracht. Hoe ernstig de onderhavige datalekken ook waren, de kantonrechter acht in de gegeven omstandigheden niet aannemelijk dat er een serieuze kans was dat deze datalekken als zodanig tot persoonlijk gevaar voor [eiser] , althans voor diens goederen, zouden kunnen leiden. Tegen deze achtergrond valt niet in te zien dat [eiser] als gevolg van de datalekken genoodzaakt was om zijn woning te beveiligen om zichzelf, zijn gezin en zijn goederen te beschermen. Er is aldus geen sprake van redelijke maatregelen ter voorkoming of beperking van schade als gevolg van de datalekken.

Het is de kantonrechter niet ontgaan dat [eiser] met de schietsport in verband kan worden gebracht. Die omstandigheid kan de gemeente echter bezwaarlijk worden toegerekend. Zoals hiervoor reeds overwogen, [eiser] heeft er allereerst zelf bewust aan meegewerkt dat zijn adresgegevens zouden worden gepubliceerd in verband met de aanvraag van een omgevingsvergunning voor de schietbaan. Daar komt nog bij dat [eiser] bewust heeft meegewerkt aan publicatie van een artikel in het Dagblad van het Noorden over de komst van de schietbaan, waarin hij duidelijk in verband wordt gebracht met deze schietbaan. Dit alles zo zijnde, heeft [eiser] naar het oordeel van de kantonrechter zelf bewerkstelligd dat derden hem met de schietbaan c.q. de schietsport zouden kunnen associëren. Zijn vrees dat kwaadwillende personen het om die reden op hem gemunt zouden (kunnen) hebben, ligt daarmee in zijn eigen risicosfeer. Hier staat de gemeente buiten. Het ligt voor de hand dat [eiser] gelet op zijn — door hemzelf kenbaar gemaakte — bezit van wapens sowieso tot beveiliging van zijn woning zou zijn overgegaan.

Gelet op het vorenstaande moet de door [eiser] gevorderde vergoeding van materiële schade worden afgewezen.

Op grond van artikel 6:106 BW heeft een benadeelde, voor zover hier relevant, voor nadeel dat niet in vermogensschade bestaat recht op een naar billijkheid vast te stellen schadevergoeding, indien (sub b) de benadeelde ‘op andere wijze in zijn persoon’ is aangetast.

Van de hiervoor genoemde ‘aantasting in de persoon’ is in elk geval schade indien de benadeelde partij als gevolg van de schadeveroorzakende gebeurtenis geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld. Ook als het bestaan van geestelijk letsel in voornoemde zin niet kan worden aangenomen, is niet uitgesloten dat de aard van de normschending en de gevolgen daarvan voor de benadeelde, meebrengen dat van de in artikel 6:106 aanhef en onder b BW bedoelde aantasting in zijn persoon ‘op andere wijze’ sprake is. In een dergelijk geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon ‘op andere wijze’ als bedoeld in artikel 6:106. aanhef en onder b BW, is niet reeds sprake bij de enkele schending van een fundamenteel recht.11.

De kantonrechter is van oordeel dat met het hiervoor geschetste kader kan worden voldaan aan de eisen van de AVG en de rechtspraak van het Hof, zoals hiervoor uiteengezet onder 4.11. en 4.12., bij de beoordeling van een verzoek om immateriële schadevergoeding krachtens artikel 82 AVG.

De kantonrechter overweegt vervolgens dat een inbreuk op de AVG niet zonder meer een aantasting van de integriteit van een persoon impliceert en daarmee tot vergoedbare immateriële schade leidt. De benadeelde moet de aantasting van zijn persoon aannemelijk maken en de gestelde schade met concrete gegevens onderbouwen.12.

[eiser] heeft naar het oordeel van de kantonrechter niet, althans onvoldoende, gesteld dat hij als gevolg van het onrechtmatig handelen van de gemeente op objectieve gronden vastgesteld psychisch letsel heeft opgelopen, in de zin van een in de psychiatrie erkend ziektebeeld13.. Gegevens waaruit blijkt dat hij een psychische beschadiging heeft opgelopen in verband met de omstandigheden zijn niet aangeleverd. Enkel een meer of minder sterk psychisch onbehagen, zoals tijdelijke stress- of angstgevoelens, is ontoereikend voor vergoeding van immateriële schade.14.

De kantonrechter is wél van oordeel dat [eiser] anderszins in zijn persoon is aangetast. De persoonlijke levenssfeer van [eiser] is bij herhaling door de gemeente geschonden vanwege het — in strijd met de AVG — meermalen publiceren van het BSN-nummer, het e-mailadres en het telefoonnummer van [eiser] op de gemeentelijke website, zonder dat [eiser] daarvoor toestemming aan de gemeente had verleend (vgl. r.o. 36 van de uitspraak van de Afdeling). Het gaat hierbij ook om naar hun aard gevoelige gegevens, zeker waar het betreft het BSN-nummer van [eiser]. De nadelige gevolgen van het lekken daarvan, zoals identiteitsfraude, liggen voor de hand. Daarom heeft [eiser] naar het oordeel van de kantonrechter recht op toekenning van een naar billijkheid vast te stellen vergoeding voor geleden immateriële schade. Gelet op de omstandigheden van het onderhavige geval, waaronder de aard, duur, frequentie en ernst van de inbreuk, afgezet tegen de omstandigheid dat niet is gebleken dat de datalekken tot concrete negatieve gevolgen hebben geleid, zal de kantonrechter deze schadevergoeding naar billijkheid vaststellen op een bedrag van € 500,00. Dit bedrag zal hierna worden toegewezen.

Gelet op de uitkomst van deze procedure, ziet de kantonrechter aanleiding om de proceskosten op de hierna te melden wijze tussen partijen te compenseren.

Slechts de hierna onder 2. genoemde beslissing is naar zijn aard uitvoerbaar bij voorraad. Een verklaring voor recht is dat niet.