In februari schreven we over een gemeente die werd veroordeeld tot het betalen van € 500,- aan immateriële schadevergoeding (smartengeld). De schadevergoeding werd toegekend vanwege het onrechtmatig publiceren van persoonsgegevens (waaronder het BSN) op een publiek deel van de gemeentelijke website. Hier konden we lezen dat je niet zomaar immateriële schadevergoeding krijgt toegewezen en dat deze bedragen relatief laag uitvallen. In een andere zaak van 12 juli 2021 [1] volgde de rechter een afwijkende redenatie en werd een hoger bedrag toegewezen dan tot nu toe het geval was.
Recht op volledige en daadwerkelijke schadevergoeding onder AVG
Zoals in februari beschreven heb je op grond van de Algemene Verordening Gegevensbescherming (AVG) recht op volledige en daadwerkelijke schadevergoeding in het geval van onrechtmatige verwerking van je persoonsgegevens. Verder dient de te vergoeden schade reëel en zeker te zijn. Voor wat betreft de immateriële schadevergoeding wordt er aansluiting gezocht bij ons civiele schadevergoedingsrecht. Hierin is kort gezegd bepaald dat je de schade met concrete gegevens moet onderbouwen en aannemelijk moet maken, tenzij de nadelige gevolgen zó duidelijk zijn, dat de schending op voorhand kan worden aangenomen.
Beslissing rechtbank: Schending AVG geeft recht op vergoeding
In de uitspraak van 12 juli 2021 heeft de rechtbank bepaald dat verzoekster recht heeft op immateriële schadevergoeding, omdat haar medische gegevens onrechtmatig zijn bewaard en verwerkt. Alleen hanteert de rechter in zijn oordeel in deze nieuwe kwestie niet de overwegingen zoals deze tot nu toe voor de toewijzing van immateriële schadevergoeding werden toegepast. Deze rechter vindt de enkele omstandigheid dat er medische gegevens onrechtmatig zijn verwerkt voldoende voor de toewijzing van immateriële schadevergoeding.
Immateriële schadevergoeding valt relatief hoog uit
Verzoekster stelt door het handelen van verweerder voor ten minste € 25.000,- aan schade te hebben geleden. Voor het bepalen van de hoogte van de immateriële schadevergoeding baseert de rechtbank zich op uitspraak van de Afdeling Bestuursrechtsspraak van 1 april 2020 [2]: Het gaat om “de omstandigheden van het geval, waaronder de aard, duur en ernst van de inbreuk”. Hieronder rekent de rechtbank mee dat a) het medische en daarmee bijzondere persoonsgegevens zijn; b) dat er geen rechtmatige grond was om de gegevens de bewaren; c) dat verschillende personen en instanties kennis hebben kunnen nemen ervan d) dat de gegevens voor zeker een periode van 10 jaar zijn bewaard, en e) dat ondanks meerdere verzoeken van verzoekster om de gegevens te vernietigen, daar geen gehoor aan is gegeven. De rechtbank wijst daarom een schadebedrag toe van € 2.500,-.
Wat betekent de uitspraak voor jou?
De rechter heeft in zijn uitleg – in tegenstelling tot andere gerechtelijke uitspraken – bepaald dat de enkele schending van de AVG recht geeft op immateriële schadevergoeding. De hoogte wordt afgewogen aan de hand van een aantal factoren, zoals het soort schending en hoe lang de schending heeft voortgeduurd. Omdat rechters in eerdere uitspraken in het geval van een AVG-schending niet zonder meer immateriële schadevergoeding toewijzen, lijkt deze uitspraak uitzondering op de regel.
Gelet op de omstandigheden was de uitspraak wellicht terecht. Desondanks kun (en moet) je zelf al veel doen om schade te voorkomen. Voor jou is het belangrijk dat je een goed beleid hebt over gegevensverwerking, maar nog belangrijker is dat je het beleid ook daadwerkelijk naleeft. Laat jouw privacybeleid in ieder geval geen papieren tijger worden!
Hulp nodig?
Meer weten over het AVG-compliant inrichten van je organisatie en het opstellen van protocollen voor rechtmatige verwerking, beveiliging en opvolging van datalekken? Neem dan contact met ons op via info@it-jurist.nl of 050 534 4574!