Wanneer een schadevergoeding na een datalek?

01 okt 2021

Het ROC Mondriaan raakte de gegevens van leerlingen kwijt door een hack en nu staan die gegevens online. Ook de webshop Allekabels.nl werd gehackt en raakte al haar persoonsgegevens kwijt. Het aantal datalekken neemt toe in Nederland, maar wat kan je doen als slachtoffer van een datalek? Heb je recht op schadevergoeding of moet je het doen met de mededeling dat je je wachtwoorden moet veranderen en dat de organisatie ‘doet wat binnen hun bereik ligt om de eventuele negatieve gevolgen te beperken’?

Er zijn in Nederland al meerdere uitspraken geweest waarin de rechter heeft moeten beslissen over een schadevergoeding voor schade door een datalek. De AVG bevat namelijk een recht voor betrokkenen op vergoeding van materiele en immateriële schade door een onrechtmatige verwerking van persoonsgegevens. Wat weten we nu over de eisen die rechters stellen aan een geslaagd beroep op dit artikel? In Nederland zijn de volgende uitspraken gewezen:

1. De Raad van State op 1 april 2020 over de minister voor Rechtsbescherming

In een klachtprocedure zijn buiten het weten van de klager (de eiser) om en zonder diens toestemming medische gegevens over hem verstrekt aan een tuchtcollege. Hierin waren strikt vertrouwelijke persoonsgegevens opgenomen. De eiser is op de hoogte gesteld door het tuchtcollege en de gegevens zijn buiten beschouwing gelaten voor de behandeling van de klacht. Deze verwerking van de persoonsgegevens van de eiser was onrechtmatig. De eiser eist een immateriële schadevergoeding op basis van artikel 6:106 BW en vindt de geboden vergoeding van 300 euro te laag. De Afdeling is het met de eiser eens dat het delen van de gegevens in dit geval onrechtmatig was en een inbreuk op de persoonlijke levenssfeer van de eiser vormde. De persoon tegen wie de klacht was ingediend, heeft de gegevens ook gedeeld. Aan de andere kant kwam de informatie alleen bij een kleine groep medische professionals terecht. Verder was de inbreuk van korte duur. Op basis van deze factoren, de aard, ernst en duur van de inbreuk oordeelt de Afdeling dat een schadevergoeding van 500 euro passend is.

2. De Rechtbank Noord-Nederland op 12 januari 2021 over de gemeente Oldambt

De gemeente Oldambt heeft bij het publiceren van een vergunningsaanvraag het BSN-nummer, achternaam, voorletter, adresgegevens, telefoonnummer en e-mailadres van de aanvrager van de vergunning (de eiser) gepubliceerd. Voor de publicatie van een deel van deze gegevens had de eiser toestemming gegeven, maar niet voor zijn BSN-nummer, e-mailadres of telefoonnummer. Deze zijn door een fout van een ambtenaar meerdere malen openbaargemaakt. Nadat een journalist de eiser op het datalek had gewezen, heeft de eiser een verzoek ingediend tot het verwijderen van zijn gegevens. Daarnaast vordert hij materiele en immateriële schadevergoeding van de gemeente.

De gelekte gegevens geven voor de rechter geen aanleiding tot de materiele schadevergoeding die de eiser vordert, maar de rechter wijst wel een immateriële schadevergoeding toe op basis van artikel 6:106 BW. Hoewel de eiser geen psychisch letsel kon aantonen, is de rechter wel van oordeel dat de persoonlijke levenssfeer van de eiser meerdere keren is geschonden door het – in strijd met de AVG – delen van gevoelige gegevens. Hierdoor is de eiser ‘anderszins in zijn persoon aangetast.’ De rechter erkent de nadelige gevolgen van het lekken van bijzondere persoonsgegevens. Hierbij heeft de rechter naar de omstandigheden gekeken en in afwezigheid van concrete negatieve gevolgen een schadevergoeding van 500 euro toegewezen, op basis van mogelijke gevolgen zoals fraudepogingen.

3. De Rechtbank Gelderland op 7 april 2021 over NederWoon

Een hacker heeft in mei 2019 toegang gekregen tot de servers van NederWoon en hierbij persoonsgegevens van gebruikers buitgemaakt. De hacker is in Nederland veroordeeld voor het binnendringen van de servers van NederWoon. NederWoon verwerkte de gegevens van woningzoekenden, waaronder kopieën van legitimatiebewijzen, naam, adres en BSN-nummers. PrivacyPunt heeft namens een van de getroffene woningzoekende (de eiser) NederWoon aansprakelijk gesteld voor de schade doordat NederWoon vermoedelijk in strijd met de AVG heeft gehandeld. De rechter oordeelt dat het aan de eiser is om te bewijzen dat NederWoon niet genoeg maatregelen heeft getroffen om een hacker buiten te houden. Het feit dat er een hacker binnen is gekomen is niet genoeg. Voor de eis van immateriële schadevergoeding oordeelt de rechter dat, omdat de gegevens niet zijn gelekt door de hacker, er geen sprake is van (mogelijk) misbruik. De eiser heeft ook geen psychisch letsel aan kunnen tonen. Daarom wordt de vordering afgewezen en dus krijgt de eiser geen schadevergoeding.

Kenmerken voor schadevergoeding

Bij deze drie zaken zijn er verschillende redenen waarom er wel of geen schadevergoeding is toegekend. Ondanks dat de zaken verschillen zijn er wel een aantal kenmerken te ontdekken die de kans op toewijzing van een immateriële schadevergoeding kunnen verhogen.

  1. Het soort gelekte gegevens
    Hoewel de gegevens in zaak 1 niet openbaar waren en ook snel weer zijn vernietigd, is er door de gevoeligheid van de gegevens wel een schadevergoeding toegekend. Hoe gevoeliger de gegevens, hoe groter de kans op immateriële schadevergoeding.
  2. De openbaarheid van het lek
    In zaak 1 waren er persoonsgegevens gelekt naar een kleine groep medische professionals en in zaak 3 heeft alleen de hacker de gegevens gezien, maar in zaak 2 stonden de persoonsgegevens van de eiser inclusief naam en adres in een officiële publicatie van de overheid. Hoe openbaarder de gegevens zijn geweest, hoe groter de kans op schadevergoeding.
  3. Onrechtmatigheid
    In zaak 1 en 2 oordeelt de rechter dat de verwerking onrechtmatig was omdat er sprake is van een duidelijk schending van de AVG/Wbp terwijl de eiser dat bij NederWoon niet kon bewijzen.Voor een succesvolle vordering tot schadevergoeding op basis van de AVG moet sprake zijn van een inbreuk op de AVG. De verwerkingsverantwoordelijke moet dus gehandeld hebben in strijd met de AVG, bijvoobeeld doorgeen passende beveiligingsmaatregelen te nemen.
  4. Schade
    In alle drie de zaken is er geen materiele schade toegekend omdat er geen materiele schade bewezen kon worden. Wel oordeelde de rechter in alle drie de zaken dat er sprake was van een inbreuk op de persoonlijke levenssfeer van de eiser. Alleen een schending van een fundamenteel recht is echter niet genoeg, de eiser moet ook nadelige gevolgen aan kunnen tonen. In zaak 1 was dit het onrechtmatig delen van de gegevens in een klachtenprocedure door een betrokkene in die procedure. In zaak 2 was dit het openbaren van identiteitsinformatie waardoor er een kans op identiteitsfraude ontstond. In zaak 3 waren er volgens de rechter geen noemenswaardige nadelige gevolgen voor de eiser.
    Hoe groter de nadelige gevolgen, hoe hoger de kans op schadevergoeding.
  5. Hoogte van de schadevergoeding
    In twee van de drie zaken is er een schadevergoeding toegekend, telkens 500 euro. Dit bedrag is niet echt hard onderbouwd en lijkt gewoon een keuze van de rechter te zijn. Er is nu ook een procedure tegen de gemeente Rotterdam gevoerd, waarin de gemeente bijna 10 jaar lang onrechtmatig medische gegevens heeft verwerkt. Als gevolg daarvan waren die gegevens onnodig beschikbaar. De rechtbank heeft in die zaak een schadevergoeding van 2.500 euro toegekend, mede wijzend op de 500 euro die in zaak 1 werd toegekend.

Conclusie

Hoewel de individuele schadevergoeding bij een datalek niet hoog zal zijn als er geen directe schade aangetoond kan worden, is het succesvol vorderen van een dergelijke schadevergoeding niet onmogelijk en bij een groot genoeg aantal getroffenen kan dit ook resulteren in een serieuze kostenpost voor een organisatie. Als uw persoonsgegevens zijn gelekt en de organisatie haar beveiliging niet op orde had, hoeft alleen nog maar te worden aangetoond er een mogelijkheid bestaat tot nadelige gevolgen. In dat geval bestaat er een goede kans dat u in aanmerking komt voor immateriële schadevergoeding.

Voor meer informatie over dit onderwerp kunt u contact opnemen met Jos van der Wijst (wijst@bg.legal).

Jos van der Wijst

    Zakelijke e-mail en privacy: wanneer mag je de mailbox van een werknemer controleren?
    Lees meer
    Alles over detachering en uitlenen van zelfstandigen (zzp’ers) en opdrachtnemers
    Lees meer
    Wat is trademark squatting?
    Lees meer
    Alles over detachering en uitlenen van werknemers
    Lees meer
    Handelsnaamgeschillen: Kunnen we het nog volgen?
    Lees meer
    Digitale nieuwsbrieven en privacy: wat kan wel en niet?
    Lees meer
    ABRvS stelt AP in het ongelijk: boete VoetbalTV van tafel
    Lees meer
    Oorsprongsbenamingen op producten voor derde landen ook verboden
    Lees meer
    Merkhouder aansprakelijk voor schade ook wanneer hij niet betrokken is bij productie van het product
    Lees meer
    Gemeenschappelijk auteursrecht op software, wie heeft aanspraak op welk deel?
    Lees meer
    Maakt de handelsnaam Mr. Jobs inbreuk op de handelsnaam Mister Jobs?
    Lees meer
    DUO lanceert synthetische dataset
    Lees meer
    Nietigverklaring modelaanvraag, wat nu?
    Lees meer
    Het belang van merkbewaking
    Lees meer
    Het belang van een merkonderzoek
    Lees meer
    Impact Assessment Mensenrechten en Algoritmes (IAMA)
    Lees meer
    AI Risk Assessment
    Lees meer
    Impact Assessment Mensenrechten en Algoritmes
    Lees meer
    Ingrijpende wijziging regels voor distributieovereenkomsten per 1 juni 2022
    Lees meer
    Geen auteursrechtelijke bescherming op ontwerp
    Lees meer
    Zorg om inzet AI in de zorg
    Lees meer
    Zijn beschrijvende handelsnamen beschermd?
    Lees meer
    Handelsnaam niet beschermd
    Lees meer
    De AI Act en medische apparaten: een moeilijke relatie
    Lees meer
    Wat is het verschil tussen een merk en een handelsnaam?
    Lees meer
    Is mijn gekozen bedrijfsnaam beschikbaar?
    Lees meer
    Merkbewaking
    Lees meer
    Uitgebreid Merkonderzoek
    Lees meer
    Modelregistratie
    Lees meer
    Merkregistratie
    Lees meer
    Moet ik mijn bedrijfsnaam vastleggen?
    Lees meer
    Afwijkende prijzen in Google Shopping: is dat misleidende reclame?
    Lees meer
    Boete voor Italiaanse Deliveroo vanwege slechte gegevensbescherming
    Lees meer
    BG.legal Marketing Brainstormsessies
    Lees meer
    BG.legal Marketinghulplijn
    Lees meer
    Cybersecurity as a Service (CaaS)
    Lees meer
    Cybersecurity checks
    Lees meer
    AVG-compliance check
    Lees meer
    Belang van een modelregistratie
    Lees meer
    AVG-startpakket
    Lees meer
    Strengere regels voor invloedrijke influencers
    Lees meer
    De strijd om de beschrijvende handelsnamen: Trainingskampen.nl en Trainingskamp.nl
    Lees meer
    Rechter roept dance-programmering van Q-music halt toe: hoe zit het?
    Lees meer
    Modelrecht op friet
    Lees meer
    Nederlandse woningcorporaties getroffen door datalek
    Lees meer
    Inschrijfformulier datalekken
    Lees meer
    Advocaat Jos van der Wijst over Mensgerichte AI
    Lees meer
    Bescherming merken in de virtuele wereld
    Lees meer
    EU en VS bereiken principeakkoord over het uitwisselen van data
    Lees meer
    Foto's van gezichten verzamelen
    Lees meer
    Wanneer is een ICT-leverancier verantwoordelijk voor adequate back-ups?
    Lees meer
    Student stagiaire Cybersecurity, Privacy en IT-recht
    Lees meer
    AI regulatory sandboxes en data
    Lees meer
    Is de vormgeving van een website auteursrechtelijk beschermd?
    Lees meer
    Juridische aspecten van Artificial Intelligence
    Lees meer
    Europese Commissie komt met voorstel nieuwe dataregels
    Lees meer
    Korting advocaatkosten voor MKB-ondernemers bij juridisch advies in 2022
    Lees meer
    Gebruik Google Analytics mogelijk in strijd met de AVG
    Lees meer
    European Data Protection Day: wat te doen bij een datalek?
    Lees meer
    Kortingsactie merk- en modelregistratie 2022
    Lees meer
    Wie heeft auteursrecht op software/vormgeving app/website?
    Lees meer
    Champagne en het intellectueel eigendomsrecht
    Lees meer
    AI: Toezicht en Toolbox
    Lees meer
    Wie is aansprakelijk voor de schade na een ransomware-aanval?
    Lees meer
    Cybersecurity en datalekken
    Lees meer
    Silhouet sinterklaas: auteursrechtinbreuk met inpakpapier
    Lees meer
    Financiële tegemoetkoming voor Juridisch advies
    Lees meer
    (Senior) Medewerker IE/IT/Privacy
    Lees meer
    Wanneer mag je software decompileren?
    Lees meer
    Keuzes bij cloud services
    Lees meer
    Er zijn al regels voor AI toepassingen
    Lees meer
    Restvoorraad bij einde distributieovereenkomst
    Lees meer
    Model moet nieuw zijn bij aanvraag modelregistratie
    Lees meer
    Inbreuk beschrijvende handelsnaam tóch mogelijk
    Lees meer
    Fake factuur na een merk- of modelregistratie, pas op!
    Lees meer
    Legal AIR
    Lees meer
    Het decoderen van producten kan onrechtmatig zijn
    Lees meer
    Uber-chauffeurs nu ook werknemers
    Lees meer
    Merken op verzenddozen: mag dat wel?
    Lees meer
    Kortingsperiode op merk- en modelregistraties verlengd
    Lees meer
    Nieuwsbrief voor datascience ondernemingen
    Lees meer
    Kun je een auteursrecht krijgen op een algoritme?
    Lees meer
    Financiële mogelijkheden voor groei van een onderneming
    Lees meer
    Wie is aansprakelijk bij een ransomaanval?
    Lees meer
    Paralympier aangereden door zelfrijdende bus
    Lees meer
    Wapenen tegen copycats? Registreer je merk!
    Lees meer
    Recept en foto’s gekopieerd door Sonja Bakker: plagiaat of auteursrechtinbreuk?
    Lees meer
    Inwerkingtreding van EU Open Data richtlijn
    Lees meer
    Risico check voor AI toepassingen
    Lees meer
    AI-systeem als uitvinder?
    Lees meer
    Een AI-systeem als baas?
    Lees meer
    IE in de holding
    Lees meer
    Ook het verwerken van voertuigdata is begrensd
    Lees meer
    Online oplichting en zakelijke identiteitsfraude: wat te doen?
    Lees meer
    Succesvol webinar Fashion & Law deel 2
    Lees meer
    Gebruik van cookies in jouw webshop: Aan welke regels moet ik mij houden?
    Lees meer
    EK-gekte losgebarsten: KNVB vs. Jumbo
    Lees meer
    Belangrijke wijzigingen auteursrecht: makers en exploitanten
    Lees meer
    Jouw eigen gezicht als merkregistratie: kan dat?
    Lees meer
    De Juridische Afdeling: Legal as-a-Service
    Lees meer
    Misleidende duurzaamheidsclaims in de modebranche: Waar moet ik op letten?
    Lees meer
    Nieuwe gezondheidsclaim: wetenschappelijk bewijs vereist
    Lees meer
    Er is ruimte voor onderhandeling bij Arbitvoorwaarden
    Lees meer
    Succesvol webinar legal voor AI startups/scale-ups
    Lees meer
    Schadevergoeding na hack persoonsgegevens?
    Lees meer
    Software as a Service: grip op data
    Lees meer
    Succesvol webinar Praktijkvoorbeelden van AI, E-Health en contractering in de zorg
    Lees meer
    Nieuwe Europese regels voor artificial intelligence
    Lees meer
    Successful webinar NDA, secrecy and cooperation
    Lees meer
    Het delen van data en vertrouwelijkheid
    Lees meer
    Nooit geschoten is altijd mis: Tommy Hilfiger vs. Facebook uiteengezet
    Lees meer
    Intellectueel eigendom en Tech: waar moet je op letten?
    Lees meer
    Reclame maken voor corona zelftesten
    Lees meer
    Wilt u weten of uw merk nog vrij is?
    Lees meer
    Later als ik groot ben..
    Lees meer
    Het gebruik van (framed) hyperlinks vs. het auteursrecht
    Lees meer
    Nieuwsgierig en creatief meedenken, Jos van der Wijst
    Lees meer
    Succesvol webinar beschermingsmogelijkheden van AI
    Lees meer
    Exclusiviteitsafspraak in een samenwerkingsovereenkomst
    Lees meer
    Succesvol webinar Fashion & Law deel 1
    Lees meer
    Een geschil/discussie kan ook snel en voor redelijke kosten worden opgelost
    Lees meer
    SyRI wetgeving in strijd met EVRM
    Lees meer
    Google verwijdert (onterechte?) negatieve recensie niet
    Lees meer
    Succesvol webinar AI in de Zorg
    Lees meer
    Hoezo kan ik geen eigenaar zijn van (zorg)data?
    Lees meer
    Functie van cosmetische producten verplicht op verpakking
    Lees meer
    Modelrecht en auteursrecht op inwerpzuil
    Lees meer
    Merkonderzoek: Hoe voorkom je merkinbreuk?
    Lees meer
    Doorhaling van een merkregistratie
    Lees meer
    Een webshop: mag alles zomaar of gelden er regels?
    Lees meer
    Een merk moet ook daadwerkelijk gebruikt worden
    Lees meer
    Mag je foto's van werknemers gebruiken?
    Lees meer
    Sinterklaas is toch gewoon sinterklaas?
    Lees meer
    Aanbevelingen aansprakelijkheid bij AI
    Lees meer
    Het nieuwe algoritmeregister van de gemeente Amsterdam
    Lees meer
    Algoritme via Detachering
    Lees meer
    Algoritme als Software
    Lees meer
    Mensgerichte Artificiële Intelligentie sessie van NL AI coalitie
    Lees meer
    Auteursrechten & Artificial Intelligence
    Lees meer
    Is nieuwe wet- of regelgeving nodig voor AI?
    Lees meer
    Positiemerk: kan je dat beschermen?
    Lees meer
    Algoritme als een Dienst
    Lees meer
    Van wie is het model?
    Lees meer
    Who owns an algorithm? How do you share data? What are legal aspects of AI?
    Lees meer
    Beperkingen in licentieovereenkomst door mededingingsrecht
    Lees meer
    Is een registratiedossier beschermd door auteursrecht?
    Lees meer
    Wees de copycats voor!
    Lees meer
    AI & Privacy in de zorg, een gelukkig huwelijk?
    Lees meer
    Wie is verantwoordelijk voor de analyse door een algoritme?
    Lees meer
    Hoe om te gaan met de inkoopvoorwaarden AI van gemeenten?
    Lees meer
    Mag ik een zelftest voor corona verkopen?
    Lees meer
    Inspiratie in de fashion industrie: wat zijn de grenzen?
    Lees meer
    Gaia-X biedt Europese landen oplossing voor beheer en gebruik van data
    Lees meer
    Er komt een nieuwe rechtsvorm: de maatschappelijke BV
    Lees meer
    Hulp bij verwijderen van vervelende YouTube video’s: een stappenplan
    Lees meer
    Agentuur- en bemiddelingsovereenkomst, wat is het verschil?
    Lees meer
    Merkgebruik bij import producten en doorverkoop
    Lees meer
    BG.legal ontvangt subsidie voor AI kennisplatform
    Lees meer
    Software / data overeenkomsten
    Lees meer
    NVM is niet verplicht om VBO-leden toegang tot data te geven
    Lees meer
    Bescherming merkrecht: hoe ver gaat dat?
    Lees meer
    Vernietiging van een ingeschreven merk: hoe dan?
    Lees meer
    Een toelichting op de ‘visie op datadeling tussen bedrijven’
    Lees meer
    Nieuwsbrief Tech - meld je aan
    Lees meer
    NL Digital voorwaarden 2020: verbetering positie IT leverancier
    Lees meer
    Een kritische blik op de Corona-apps van de overheid
    Lees meer
    De roep om het vrijgeven van voertuigdata
    Lees meer
    Domeinnamen
    Lees meer
    Voorbeeld tijdelijke licentie voor productie hulpmiddelen tijdens Corona crisis
    Lees meer
    Nieuwsbrief BG Tech: de uitdagingen voor IP en Technologie & gratis webinar corona
    Lees meer
    Tekort materialen corona bestrijding. Is 3D printing of dwanglicentie oplossing?
    Lees meer
    Europese perspectieven op AI medische hulpmiddelen
    Lees meer
    Databankenrecht
    Lees meer
    Checklist data sharing agreement
    Lees meer
    De verkoop en verpanding van data
    Lees meer
    Data en ethiek
    Lees meer
    Het delen van data
    Lees meer
    De bescherming van data
    Lees meer
    Het eigendom van data
    Lees meer
    Data
    Lees meer
    Wanneer kan een IT overeenkomst worden ontbonden?
    Lees meer
    De octrooigemachtigde en het faillissement (deel 3)
    Lees meer
    Wie heeft recht op de domeinnaam?
    Lees meer
    De octrooigemachtigde en het faillissement (Deel 2)
    Lees meer
    Geslaagde bijeenkomst Blockchain & Food tijdens Den Bosch Data Week
    Lees meer
    Seminar 19 november: Investeren en financieren 2.0
    Lees meer
    De octrooigemachtigde en het faillissement (deel 1)
    Lees meer
    Kartelverbod ook bij (Tech-)licenties en samenwerkingscontracten aanwezig
    Lees meer
    Den Bosch Data Week: Practical experiences Blockchain and Food
    Lees meer
    Productomschrijving op een website. Auteursrecht mogelijk?
    Lees meer
    Nieuw Intellectueel Eigendomsrecht/ IT recht advocatenkantoor in Eindhoven
    Lees meer
    Tips voor het verkrijgen van auteursrechten
    Lees meer
    Auteursrecht op website(teksten)
    Lees meer
    Het beëindigen van de onderneming bij een inbreuk op IE-rechten
    Lees meer
    Is de vormgeving van een industrieel product beschermd?
    Lees meer
    Doordacht samenwerken geeft meer macht
    Lees meer
    Privacyrecht
    Lees meer
    BG.legal participeert in onderzoek naar gebruik van big data en AI door zorginstellingen
    Lees meer
    BG.tech
    Lees meer
    Vacatures
    Lees meer