UWV moet schadevergoeding betalen na datalek

Rechtbank Amsterdam 2 september 2019, IT 2870; ECLI:NL:RBAMS:2019:6490 (Eiseres tegen UWV) Eiseres stelt dat haar oude werkgever, UWV, via een brief op onrechtmatige wijze persoonlijke en medische gegevens over haar eerdere burn-out aan haar nieuwe werkgever heeft verstrekt. Eiseres liet vervolgens aan UWV weten dit in strijd is met de uit de AVG voortvloeiende verplichtingen, en wees op de noodzaak tot melding van een datalek aan de Autoriteit Persoonsgegevens. Geoordeeld wordt dat UWV onrechtmatig en in strijd met de AVG heeft gehandeld door inbreuk te maken op het recht op eerbiediging van de persoonlijke levenssfeer en het recht op bescherming van persoonsgegevens. Het gaat om een gevoelige mededeling over een langdurige ziekte aan een nieuwe werkgever, welke mededeling voor de betrokkene onder meer economische en maatschappelijke gevolgen kan hebben. De verzending van de brief is gegaan via een geautomatiseerd systeem. UWV had nader onderzoek dienen te doen alvorens te beslissen de attenderingsbrief te verzenden. UVW moet eiseres 250 euro schadevergoeding betalen.

7. Naar aanleiding van het voorgaande wordt overwogen als volgt. Het betreft hier een mededeling dat [eiseres] langdurig ziek is (geweest). Ook zonder dat nadere details of medische gegevens worden verstrekt betreft dit een mededeling van een gevoelig persoonsgegeven. Verlies van controle daarop, in het bijzonder doordat dit persoonsgegeven zonder toestemming van [eiseres] bekend wordt bij derden, kan leiden tot ernstige nadelige gevolgen voor [eiseres] . Dat betekent dat [eiseres] (net als anderen die in een vergelijkbare positie verkeren) groot belang heeft bij een zorgvuldige controle op de juistheid van de mededelingen en op de rechtmatigheid van de ontvangst daarvan door de derde.

10. In plaats daarvan heeft UWV de beslissing om een brief met een dergelijke inhoud te verzenden kennelijk geheel overgelaten aan een geautomatiseerd systeem, dat gebruik maakt van beschikbare adresgegevens van de actuele werkgevers, zonder inhoudelijke toets of verzending van de brief wel opportuun en rechtmatig is. Een controle op de juistheid van de mededeling en/of van de geadresseerde was (zeker in omstandigheden van het onderhavige geval) noodzakelijk en een dergelijke controle was redelijkerwijs ook mogelijk. Door een dergelijke controle achterwege te laten heeft UWV gehandeld in strijd met de in artikel 32 lid 2 AVG (en paragraaf 83 van de Considerans daarvan) gegeven verplichting om redelijke maatregelen te treffen ter voorkoming van een (al dan niet per ongeluk gedane) mededeling van een persoonsgegeven die onjuist is en/of wordt gedaan aan een geadresseerde die deze niet behoort te ontvangen.

18. De onder A. bedoelde schade is blijvend en onherstelbaar, het onder B. bedoelde risico op economische en maatschappelijke schade heeft zich uiteindelijk niet gerealiseerd, maar aangenomen mag worden dat dit risico wel heeft bijgedragen aan de onder C. bedoelde angst en stress gedurende een periode van ongeveer zes weken, tot het moment waarop [werkgever 2] aan [eiseres] mededeelde dat de arbeidsovereenkomst wel zou worden verlengd. UWV heeft nog aangevoerd dat er geen reden was voor enige angst of stress bij [eiseres] als gevolg van het bekend worden van haar ziekte, omdat het voor een werkgever niet geoorloofd is om een arbeidsovereenkomst om die reden niet te verlengen. UWV wordt in die stelling niet gevolgd. Dit omdat in verband met de gezondheid van werknemers voor een werkgever (ook) financiële belangen in het geding zijn, en het enkele feit dat een werkgever iets niet mag doen (niet verlengen wegens ziekte) niet betekent dat deze dat ook niet zal doen, al dan niet onder opgave van een andere reden. Dat [eiseres] als gevolg van de mededeling van UWV aan [werkgever 2] vreesde voor het niet verlengen van haar arbeidsovereenkomst is daarom alleszins begrijpelijk.

18. Bij de beoordeling van de aard en ernst van de schending van de rechten van [eiseres] is met name het volgende van belang. Als gevolg van die schending heeft [eiseres] reële en niet verwaarloosbare nadelen geleden. De belangen waarin zij is getroffen zijn de belangen die de voorschriften van de AVG juist beoogt te beschermen. Artikel 82 AVG bepaalt dat degene die materiële of immateriële schade heeft geleden als gevolg van een inbreuk op deze verordening, het recht heeft om van de verwerkings-verantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade. Alle schade moet worden vergoed en het begrip schade moet – overeenkomstig de doelstellingen van de AVG – ruim worden uitgelegd (paragraaf 146 Considerans), hetgeen betekent dat het enkele feit dat de schade (wel reëel maar) relatief gering van omvang is geen grond kan vormen om elke aanspraak daarop af te wijzen. Een verordening-conforme uitleg van artikel 6:106 lid 1 BW brengt mee dat [eiseres] recht heeft op een (naar billijkheid vast te stellen) vergoeding van haar schade.