ASR schendt AVG

Rechtbank Midden-Nederland 24 augustus 2022, IT 4164; ECLI:NL:RBMNE:2022:3438 (verzoeker tegen ASR) Tussen verzoeker en ASR is een geschil gerezen over de vraag of ASR aan haar AVG-verplichtingen heeft voldaan. ASR heeft verzoeker geïnformeerd over de persoonsgegevens die zij van hem heeft bijgehouden. Verzoeker is van mening dat het verstrekte overzicht onjuist en onvolledig is en dat ASR daarbij onrechtmatig heeft gehandeld. De rechtbank oordeelt dat de handelswijze van ASR als niet rechtmatig moet worden gekwalificeerd. Dit omdat ASR ten onrechte het emailadres van verzoeker en het polisnummer bekend heeft gemaakt aan diens ex partner, zonder verzoekers toestemming. Ten tweede heeft ASR in een productie bij het verweerschrift vermeld dat verzoeker “erg reuma” heeft. Dit betreft een bijzondere categorie van persoonsgegevens van verzoeker die niet mogen worden verwerkt. Desondanks worden de vorderingen tot schadevergoeding afgewezen. De vordering tot immateriële schadevergoeding wordt afgewezen omdat verzoeker niet aan zijn stelplicht heeft voldaan. De materiële schadevergoeding wordt afgewezen omdat er geen sprake is van causaal verband.

4.3.7. Inbreuken op AVG door ASR. Tussen partijen is niet in geschil dat ASR ten onrechte het emailadres van [verzoeker] en het polisnummer bekend heeft gemaakt aan diens ex partner [D] . Bij gebreke van toestemming door [verzoeker] of een andere in artikel 6 AVG genoemde verwerkingsgrond moet deze handelwijze van ASR als niet rechtmatig worden gekwalificeerd. [verzoeker] heeft hieraan nog toegevoegd dat ASR eveneens heeft nagelaten voormelde inbreuk op de voet van het bepaalde in artikel 34 AVG onverwijld te melden aan [verzoeker] . De rechtbank oordeelt een dergelijke onverwijlde mededeling niet noodzakelijk omdat niet in voldoende mate is komen vast te staan dat enkel het (abusievelijk) verstrekken van het emailadres van [verzoeker] aan [D] een hoog risico inhoudt voor de rechten en vrijheden van [verzoeker] .

Een tweede AVG-inbreuk betreft het feit dat ASR bijzondere persoonsgegevens (afkomstig van [D] ) van [verzoeker] heeft verwerkt. Verwezen wordt naar productie 6 bij het verweerschrift waarin is vermeld dat [verzoeker] “erg reuma” heeft. Het betreft hier een bijzondere categorie van persoonsgegevens van [verzoeker] die door ASR op grond van artikel 9 AVG niet mogen worden verwerkt. Dat een van de uitzonderingen van lid 2 van voormeld artikel zich voordoet, is gesteld noch gebleken. De rechtbank voegt hier aan toe dat ASR bij de verwerking van voormelde (bijzondere) persoonsgegevens heeft gehandeld in strijd met het proportionaliteits- en subsidiariteitsvereiste zoals nader omschreven in rechtsoverweging 4.2.2. Er bestond voor de uitvoering van de wettelijke verplichting van ASR geen noodzaak het emailadres van [verzoeker] aan [D] te verstrekken noch was zij bevoegd de bijzondere persoonsgegevens omtrent de gezondheid van [verzoeker] te verwerken. Het vorenstaande klemt temeer nu aan ASR bekend was dat [verzoeker] een tussenpersoon/verzekeringsadviseur ( [C] ) had. Op de vraag of en, zo ja, in hoeverre beide inbreuken aanleiding geven tot het toekennen van schadevergoeding wordt in rechtsoverweging 4.5. nader ingegaan.

4.5.6. Hieromtrent wordt het volgende overwogen. Voor het nadeel dat niet in vermogensschade bestaat, heeft [verzoeker] gesteld dat - kort gezegd – het bekend worden van zijn persoonsgegevens bij [D] bij hem tot ernstig geestelijk letsel, en dus een aantasting in de persoon, heeft geleid. De rechtbank is van oordeel dat [verzoeker] op dit punt niet aan zijn stelplicht heeft voldaan. Allereerst: hij heeft weliswaar gesteld dat hij vanwege deze problematiek is verhuisd in Spanje, maar die stelling is op geen enkele wijze onderbouwd. Daarenboven heeft te gelden dat [verzoeker] heeft nagelaten aannemelijk te maken dat er een causaal verband bestaat tussen diens beweerdelijke verhuizing in Spanje en het bekend worden van het emailadres van [verzoeker] en het polisnummer van de verzekering. Dat het bekend worden van de hiervoor genoemde persoonsgegevens bij [D] aan de zijde van [verzoeker] heeft geleid tot een aantasting in zijn persoon is evenmin komen vast te staan. Noch de stellingen van [verzoeker] noch de verklaring van diens huisarts [F] bieden voldoende aanknopingspunten voor de aanname dat het verstrekken van voormelde persoonsgegevens door ASR aan [D] naar objectief vast te stellen maatstaven heeft geleid of heeft kunnen leiden tot een psychische beschadiging of aandoening bij [verzoeker] . Immers, uit de brief van de huisarts blijkt dat [verzoeker] al sinds vele jaren bekend was met reumatoïde artritis en hoge bloeddruk. Van de overige door de huisarts opgesomde klachten (huidproblemen, geheugenproblemen, depressieve gevoelens en recidiverende urineweginfecties) is onduidelijk (gebleven) of en, zo ja, in hoeverre deze (enkel) samenhangen met het verstrekken van het emailadres van [verzoeker] en het polisnummer van de verzekering aan [D] . En indien daartussen al enig causaal verband zou moeten worden aangenomen, voldoet het niet aan de relatief hoge drempel van artikel 6:106 sub b BW. Tenslotte wordt in dit verband overwogen dat ook de overgelegde verklaring van de cardioloog van de huidige partner van [verzoeker] niet tot een ander oordeel kan leiden.

4.5.7. De materiele schadeclaim van [verzoeker] , die € 6.190,08 bedraagt, is nader uitgewerkt in het verzoekschrift (pagina’s 5 en 6). De gestelde schade van [verzoeker] valt uiteen in verhuis-, medische en buitengerechtelijke kosten. Ook tegen de verschuldigdheid hiervan heeft ASR verweer gevoerd. De rechtbank stelt voorop dat voor vergoeding slechts in aanmerking komt schade die in zodanig verband staat met de gebeurtenis waarop de aansprakelijkheid van ASR berust, dat zij haar mede gezien de aard van de aansprakelijkheid en van de schade als een gevolg van deze gebeurtenis kan worden toegerekend. Omtrent de gevorderde verhuiskosten is hierboven al overwogen dat de verhuizing van [verzoeker] in Spanje niet in rechte is komen vast te staan. Maar ook al zou dat wel het geval zijn, dan nog ontbreekt het causaal verband tussen enerzijds de door ASR aan [D] ten onrechte verstrekte persoonsgegevens en anderzijds de gestelde noodzaak om als gevolg daarvan te verhuizen. Tenslotte wordt nog vastgesteld dat de aan de gestelde verhuizing verbonden kosten op geen enkele wijze zijn onderbouwd. Hetzelfde geldt voor de medische en buitengerechtelijke kosten.