GGD en de Staat zijn geen schadevergoeding verschuldigd aan betrokkenen van de coronadatalek

Rb. Amsterdam 17 juli 2024, IT 4600 ; ECLI:NL:RBAMS:2024:4264 (Stichting ICAM tegen de Staat en de GGD). Deze WAMCA-zaak betreft een massaschadeclaim van Stichting ICAM (hierna: ICAM) jegens de Staat en de GGD (hierna: gedaagden). Dit in verband met het coronadatalek: gedurende de coronapandemie zijn er medewerkers van de GGD geweest die de persoonsgegevens van personen die zich hebben laten testen en/of vaccineren ter beschikking hebben gesteld van ongeautoriseerde derden. In dat kader vordert ICAM onder meer dat gedaagden worden veroordeeld tot het betalen van schadevergoeding aan iedereen die gegevens aan de GGD heeft verstrekt, waaronder de mensen van wie niet vast staat dat hun persoonsgegevens aan derden zijn verstrekt. Het gaat om ruim 6,5 miljoen mensen. ICAM maakt voor de schadevergoeding onderscheid tussen categorie A en B, waarbij categorie A alle bij de GGD geregistreerde personen omvat en categorie B diegenen waarvan zeker is dat hun data is gelekt. Ter onderbouwing voert ICAM aan dat, hoewel tijdens de pandemie bijzonder snel moest worden opgeschaald, gedaagden desondanks beter paraat hadden moeten staan en sneller hadden moeten handelen om het datalek te voorkomen.

De rechtbank toetst allereerst de ontvankelijkheid van ICAM aan de hand van art. 3:305a BW. Hieraan wordt voldaan: ICAM behartigt zonder winstoogmerk de belangen van de betrokkenen in de datalek, wat voortvloeit uit haar statuten. Daarnaast is ICAM voldoende representatief, gelet op het aantal aanmeldingen van betrokkenen die zich achter ICAM scharen. Aangezien ook aan de overige vereisten wordt voldaan, acht de rechter ICAM ontvankelijk. Wat betreft de collectieve vordering wordt deze ten opzichte van een aantal instanties van de GGD echter niet-ontvankelijk verklaard, aangezien de ondeugdelijkheid niet overtuigend blijkt. Voorts oordeelt de rechter dat een immateriële schadevergoeding alleen kan worden toegekend aan personen die daadwerkelijk schade hebben geleden. Alleen al hierdoor komen de mensen in categorie A niet voor een schadevergoeding in aanmerking. De mensen in categorie B in beginsel wel. Echter, het merendeel van hen heeft de GGD finale kwijting verleend, nu zij in het verleden al financiële compensatie van de GGD hebben geaccepteerd. Hoewel het aantal mensen dat overblijft niet precies kan worden vastgesteld, schat de rechter in dat het om een kleine tot zeer kleine groep gaat. Dit brengt mee dat ICAM niet meer voldoet aan het representativiteitsvereiste. Kortom, de vorderingen tot schadevergoeding worden niet-ontvankelijk verklaard.

5.20.16. Uit deze rechtspraak kan worden afgeleid dat alleen een immateriële schadevergoeding kan worden toegekend aan personen jegens wie niet alleen een inbreuk op de AVG is gemaakt, maar die door die inbreuk ook daadwerkelijk schade hebben geleden. De vrees die een betrokkene na een inbreuk op de AVG koestert voor mogelijk misbruik van zijn persoonsgegevens door derden, kan „immateriële schade” vormen.

Vereist is dus dat de benadeelde aantoont dat er bepalingen van de AVG zijn geschonden. Dat is hier nu juist niet het geval, want volgens ICAM gaat het bij groep A over personen die in onzekerheid verkeren of hun gegevens wel of niet gestolen zijn. Alleen al daarom kunnen deze personen geen schadevergoeding vorderen.
Bovendien is de door ICAM gestelde vrees niet de vrees dat derden de persoonsgegevens die zij onrechtmatig hebben verkregen zullen misbruiken, ‘de vrees na een inbreuk’, maar ‘de vrees voor een inbreuk’. Dit is de vrees dat derden mogelijk onrechtmatig persoonsgegevens zouden kunnen hebben verkregen (en die vervolgens zouden kunnen misbruiken). Een dergelijke vrees is te vergelijken met de vrees in de zaak MediaMarktSaturn Hagen-Iserlohn. Het ging daar om de situatie dat een inbreuk mogelijk zou zijn, maar niet was vastgesteld, zodat het gaat om de vrees dat een inbreuk in de toekomst alsnog kan blijken. Het enkele feit dat de betrokkene vreest dat zijn gegevens in de toekomst verspreid of zelfs misbruikt zullen worden (…) levert echter volgens het HvJ EU in genoemd arrest geen „immateriële schade” in de zin van artikel 82 AVG op. De vrees dat in de toekomst een inbreuk op de AVG blijkt is ook niet “de vrees die een betrokkene na een inbreuk op deze verordening koestert” zoals bedoeld in het arrest VB/NAP.
Anders gezegd: voor immateriële schade is vereist dat een inbreuk op de AVG vaststaat. De vrees voor een inbreuk volstaat niet. Omdat ICAM haar vordering wat Groep A betreft op die vrees voor een inbreuk baseert, is op grond van de rechtspraak van het HvJ EU uitgesloten dat hiervoor immateriële schadevergoeding kan worden toegekend. De vordering ten behoeve van groep A is dus summierlijk ondeugdelijk en daarom niet ontvankelijk.

5.20.20. Dit betekent dat ICAM wat de groep van 1.373 bekende benadeelden betreft alleen kan opkomen voor de personen die de tegemoetkoming niet hebben geaccepteerd en dus geen finale kwijting hebben verleend, met uitzondering van de personen die een financiële tegemoetkoming niet nodig vonden. Volgens ICAM bestaat groep B daarnaast uit personen “waarvan vaststaat of zal worden vastgesteld dat hun persoonsgegevens als gevolg van het GGD-datalek door ongeautoriseerde personen zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen”. Van de eerste groep is de omvang onbekend, maar deze kan niet groter zijn dan 376 personen.10 Van de tweede groep (“waarvan vaststaat of zal worden vastgesteld dat hun persoonsgegevens als gevolg van het GGD-datalek door ongeautoriseerde personen zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen”) is de omvang geheel onbekend. ICAM stelt op basis van de berichten van RTL dat het om tienduizenden personen zou gaan. De berichten van RTL kunnen echter niet worden geverifieerd. Uit het feit dat ICAM slechts zes voorbeelden heeft kunnen geven van personen die stellen de gevolgen te hebben ondervonden van het coronadatalek (waarbij de vraag of dat werkelijk zo is niet is onderzocht) moet worden afgeleid dat deze groep, als deze al bestaat, klein tot zeer klein is.
De vraag is nu of voldoende personen uit groep B de door ICAM ten behoeve van hen gevoerde actie ondersteunen. ICAM kan dat niet aannemelijk maken, omdat zij bij de aanmelding niet heeft gevraagd of de betrokkene tot groep A of B behoort. Voor groep A is dat geen bezwaar, omdat deze zeer groot is, voor groep B is dat wel van belang omdat deze groep klein of zeer klein is, zodat van belang is te weten of er benadeelden uit deze groep de vordering steunen. Dat betekent dat ICAM in zoverre niet voldoet aan het representativiteitsvereiste; zie hiervoor onder 5.12.4. Hier komt bij dat ICAM niet, althans niet voldoende, toelicht dat en waarom de belangen van deze groep gelijksoortig zijn en al evenmin dat en waarom haar vorderingen meerwaarde hebben in de zin van artikel 1018c lid 5 onder b Rv.
De conclusie moet zijn dat ICAM in de vorderingen ten behoeve van groep B niet ontvankelijk is.