Gemeente Heemskerk hoeft geen schadevergoeding wegens datalek te betalen

RvS 5 juni 2024, IT 4566; ECLI:NL:RVS:2024:2311 (Appellante tegen Gemeente Heemskerk). De rechtbank heeft uitspraak gedaan waarbij het verzoek van appellante om het college te veroordelen tot schadevergoeding werd afgewezen. Appellante heeft tegen deze uitspraak hoger beroep aangetekend. Het geschil draait om een datalek waarbij persoonsgegevens van appellante door een fout van het college van burgemeester en wethouders van Heemskerkin handen zijn gekomen van derden. De procesdossiers bevatten onder andere besluiten met daarin naam- en adresgegevens, het burgerservicenummer en medische informatie. Appellante claimt immateriële schade te hebben geleden door het verlies van controle over haar persoonsgegevens en eist een schadevergoeding van € 2.000,-. Het college betwist niet dat het datalek heeft plaatsgevonden door verwijtbaar gedrag, maar stelt dat appellante niet voldoende heeft aangetoond dat zij schade heeft geleden. Apellante stelt in hoger beroep dat zij ernstige psychische schade heeft geleden als gevolg van het datalek. Ze onderbouwt dit met gesprekken met verschillende professionals en verwijzingen naar haar psychische klachten. Echter, ook de Afdeling oordeelt dat appellante haar geclaimde psychische schade onvoldoende heeft onderbouwd met concrete gegevens, waardoor de rechtbank terecht het verzoek om schadevergoeding heeft afgewezen. Het hoger beroep wordt daarom verworpen en de eerdere uitspraak blijft gehandhaafd.

18.     De Afdeling stelt vast dat [appellante] het door haar gestelde geestelijk letsel of aantasting in de persoon ‘op andere wijze’ niet met voldoende concrete gegevens heeft onderbouwd. Zij heeft ter onderbouwing op twee e-mails gewezen. Zowel de e-mail van de maatschappelijk werkster als de e-mail van de huisarts is louter een weergave van de stelling van [appellante] dat zij stress ervaart als gevolg van het handelen van het college/ het datalek. De enkele stelling van [appellante] dat zij ernstig psychisch letsel heeft en dat de huisarts haar heeft doorverwezen naar de GGD, is niet voldoende. Dit leidt niet tot de conclusie dat zij geestelijk letsel, dat kan worden aangemerkt als een aantasting in haar persoon, heeft ondervonden dat kan worden aangemerkt als een gevolg van het datalek/verlies over controle over haar persoonsgegevens. Op de zitting heeft [appellante] aangevoerd dat zij kwetsbaar is en het daardoor aannemelijk is dat zij eerder aantasting in de persoon ervaart door de angst voor mogelijk misbruik van haar persoonsgegevens in de toekomst. Dit betoog laat onverlet dat de gestelde immateriële schade onderbouwd moet worden met voldoende concrete gegevens en leidt dus niet tot een ander oordeel.