Immateriele-schadevergoeding-door-ondoordachte-email

De gedaagde in deze zaak verstuurt per ongeluk een e-mail met Excel bijlage die persoonsgegevens bevat van 1100 personen. De eisers vordert een forse immateriële schadevergoeding. De rechter motiveert dat de aard en ernst van de onrechtmatige verwerking van invloed is op de toewijsbare vergoeding en kent een schadevergoeding van € 250 toe.

Geschatte leestijd: 5 minuten

Excel bestand met persoonsgegevens wordt per e-mail verstuurd

De gedaagde in deze zaak, een uitvoerder van een nieuwbouwproject, beschikt over een Excel bestand met daarin 1100 personen die zich als kandidaat-koper hebben aangemeld. Deze gegevens bestaan uit o.a. NAW-gegevens en financiële gegevens zoals het jaarinkomen en de eigenmiddelen die de kandidaat-koper wil inbrengen.

De gedaagde stuurt een e-mailbericht aan alle personen die hebben ingeschreven voor het project en heeft daarbij onbedoeld het Excel bestand toegevoegd. Dit zonder enige beveiliging of afscherming. De gedaagde probeert de e-mail nog in te trekken maar tevergeefs.

Datalek

De gedaagde stuurt deze personen dezelfde avond een e-mail met uitleg over het ongelukkige voorval en maakt zijn excuses. De gedaagde vraagt de ontvangers om de e-mail te verwijderen. In de mail is aangegeven dat zij dit kenmerken als een datalek waarvan zij melding gaan doen bij de Autoriteit Persoonsgegevens.

Immateriële schadevergoeding

De eiseres in deze zaak heeft bij de gedaagde aanspraak gemaakt op immateriële schadevergoeding. De gedaagde heeft deze schadevergoeding van de hand gewezen.

Het versturen van de Excellijst met persoonsgegevens moet worden aangemerkt als onrechtmatig handelen, namelijk in strijd met art. 6 lid 1 van de AVG, zo stelt de eiseres. Ze stelt € 20.000 aan immateriële schade te lijden. Zij is van mening dat ze is aangetast in haar persoon, want haar (meest) intieme persoonsgegevens zijn nu bekend bij minimaal 1099 anderen. De gedaagde is het hiermee niet eens en stelt dat de eiseres ook niet heeft gespecificeerd dat er van schade sprake is.

Verklaring voor recht

Vaststaat is dat er een aanzienlijke hoeveelheid persoonsgegevens is verspreid onder een grote groep mensen. Het verspreiden van persoonsgegevens is een vorm van verwerking. Op grond van art. 6 AVG is verwerking van persoonsgegevens alleen rechtmatig wanneer sprake is van één van de verwerkingsgrondslagen, zoals genoemd in dat artikel. Dat is niet het geval.

De conclusie van de rechtbank is dan ook is dat de gedaagde de persoonsgegevens van de eiseres onrechtmatig heeft verwerkt en dat er inbreuk is gemaakt op de AVG.

In beginsel is een verklaring voor recht toe te wijzen. Echter heeft de gedaagde betwist dat de eiseres geen belang heeft bij die verklaring. Dit is door de eiseres niet nader onderbouwd. Zonder nadere toelichting valt dit belang niet in te zien. Bij gebrek aan het belang wordt de gevorderde verklaring voor recht afgewezen.

Controle houden over eigen persoonsgegevens

De eiseres vordert een vergoeding van haar immateriële schade. Op de zitting heeft zij verder toegelicht en onderbouwd dat zij zich onveilig voelt nadat de mail is verstuurd. Zij heeft er ook op gewezen dat haar naam helemaal bovenaan de alfabetisch gesorteerde Excellijst staat. Dit zou er volgens haar toe leiden dat haar gegevens nog meer zijn opgevallen. De gedaagde stelt dat dit geen juridisch relevante schade is, in de zin van art. 6:106 lid 1 sub b BW. De kantonrechter legt uit dat art. 82 AVG autonoom dient te worden uitgelegd. Naar oordeel van de kantonrechter kunnen de gevolgen die de onrechtmatige verwerking voor de eiseres hebben gehad wel degelijk schade opleveren zoals wordt bedoeld in art. 82 AVG. Dat de schade op zichzelf niet direct gesubstantieerd kan worden is daarvoor geen belemmering.

Een van de hoofddoelen van de AVG is namelijk dat iedere persoon de controle houdt over zijn eigen persoonsgegevens (overweging 7 AVG). De eiseres, zo stelt de kantonrechter, is deze controle kwijtgeraakt doordat de gedaagde de gegevens heeft doorgestuurd naar een aanzienlijke groep mensen. Zoals de eiseres heeft aangevoerd is niet te achterhalen waar haar gegevens nu circuleren. In het kader van een doeltreffende naleving van de AVG is de kantonrechter van oordeel dat dit dient te worden aangemerkt als schade van de eiseres.

Geen € 20.000 schade

De kantonrechter stelt dat de omvang van de gegevens en de combinatie waarin die verstrekt zijn, risico’s met zich meebrengen voor de eiseres. De aard en ernst van de onrechtmatige verwerking is van invloed op de toewijsbare vergoeding. Daartoe geeft de kantonrechter aan dat het meespeelt dat de gegevens niet openbaar zijn gemaakt aan een algemeen publiek. Verder is van belang dat het toevoegen van de bijlage aan de e-mail een menselijke fout is en dat de gedaagde direct schadebeperkend heeft gehandeld en de inbreuk is gemeld. Ook is van belang dat de persoonsgegevens geen bijzondere persoonsgegevens bevatten, zoals bedoeld in art. 9 AVG.

De kantonrechter wijst op grond hiervan een schadevergoeding toe van € 250.

Hoe werkt immateriële schadevergoeding op grond van de AVG?

Art. 82 AVG bepaalt dat iedereen die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de AVG, het recht heeft om van de verwerker schadevergoeding te ontvangen voor de geleden schade. Uit overweging 85 van de considerans volgt dat daarbij onder meer kan worden gedacht aan: verlies van controle over persoonsgegevens, identiteitsdiefstal of -fraude, reputatieschade, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de persoon in kwestie.

Overweging 146 geeft aan dat het begrip “schade” ruim moet worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Verder volgt uit die overweging dat de betrokkenen volledige en daadwerkelijke vergoeding van door hen geleden schade dienen te ontvangen.

Uitgangspunt hierbij is dat de geleden schade met concrete gegevens onderbouwd dient te worden.