Miljardenclaim in privacy actie van tafel

De rechtbank Amsterdam deed recentelijk een belangrijke uitspraak in een collectieve privacy actie tegen de GGD. Ten behoeve van 6,5 miljoen mensen verklaarde de rechtbank de schadevergoedingsvorderingen niet-ontvankelijk.

Aanleiding voor de procedure

Tijdens de coronapandemie beschikte de verschillende GGD'en over persoonsgegevens van miljoenen mensen die zich bij hen hadden laten testen en vaccineren, of naar wie bron- en contactonderzoek heeft plaatsgevonden. Een deel van deze persoonsgegevens is door medewerkers van de GGD die rechtmatig toegang hadden tot de IT-systemen buitgemaakt en doorgegeven aan derden (het "datalek").

Stichting ICAM komt op voor de belangen van alle personen van wie de persoonsgegevens zijn verwerkt door de GGD. Binnen deze groep is sprake van personen van wie onzeker is of hun persoonsgegevens als gevolg van het datalek zijn ontvreemd (groep A) en van personen van wie deze ontvreemding vaststaat of zal worden vastgesteld (groep B).  Groep A bestaat uit 6,5 miljoen mensen. Groep B bestaat volgens een politierapport in ieder geval uit 1.373 personen, maar de rechtbank gaat er in haar oordeel veronderstellenderwijs vanuit dat deze groep groter is.

Vorderingen

ICAM heeft de verschillende GGD'en, de Staat en andere organisaties hoofdelijk aansprakelijk gesteld voor het datalek wegens schending van de AVG en op grond van onrechtmatige daad. Voor groep A vordert zij EUR 500 per gedupeerde aan immateriële schadevergoeding en voor groep B EUR 1.500 per gedupeerde. Voor beide groepen vordert zij EUR 500 per gedupeerde aan materiële schadevergoeding. Verder vordert zij verklaringen voor recht met betrekking tot de aansprakelijkheid van gedaagden en beëindiging van de inbreuk.

ICAM voldoet aan vereisten die zien op procesbevoegdheid

De rechtbank Amsterdam toetst eerst of ICAM voldoet aan de ontvankelijkheidsvereisten van art. 3:305a BW en de procedurele WAMCA-vereisten. Ook toetst de rechtbank aan de ontvankelijkheidsvereisten van art. 80 AVG. Daarbij overweegt de rechtbank dat het feit dat ICAM onlangs is aangewezen als 'bevoegde instantie' om grensoverschrijdende vorderingen in te stellen op grond van Richtlijn 2020/1828 inzake representatieve vorderingen, voor de ontvankelijkheidstoets in deze zaak niet van belang is. Van een dergelijke vordering is hier namelijk geen sprake.

De rechtbank concludeert dat ICAM zelf ontvankelijk is. Zij acht ICAM voldoende representatief. Via de website van ICAM hebben zich 117.642 volwassenen en 18.974 minderjarigen aangemeld. Deze absolute aantallen vindt de rechtbank voldoende, ook al is dit een beperkt percentage van het totaal aantal personen ten behoeve van wie de collectieve actie is ingesteld.

ICAM niet ontvankelijk in haar vorderingen tegen aantal gedaagden

De rechtbank toetst vervolgens of ICAM ontvankelijk is in de vorderingen die zij heeft ingesteld in deze collectieve actie. Voor een aantal gedaagden heeft ICAM onvoldoende aangevoerd dat zij verwerkingsverantwoordelijken zijn in de zin van de AVG. Om die reden zijn de vorderingen tegen deze gedaagden summierlijk ondeugdelijk (art. 1018c lid 5 sub c Rv) en kan ICAM daarin niet worden ontvangen. Of de Staat kan worden aangemerkt als verwerkingsverantwoordelijke hangt af van nog in te brengen bewijs waaruit blijkt welke opdracht de Staat aan de GGD'en heeft verstrekt met betrekking tot het registreren van burgers ten behoeve van het testen, vaccineren en bron- en contactonderzoek.

ICAM niet ontvankelijk in haar schadevergoedingsvorderingen

Voor de vraag of ICAM ontvankelijk is in haar schadevergoedingsvorderingen toetst de rechtbank eerst aan de rechtspraak van het Hof van Justitie van de EU. Uit de arresten Österreichische Post, VB/NAP, Krankenversicherung Nordrhein en MediaMarktSaturn volgt volgens de rechtbank dat schadevergoeding kan worden toegekend aan personen die schade hebben geleden door een inbreuk op de AVG. Onder immateriële schade kan de vrees vallen dat derden na een inbreuk misbruik maken van persoonsgegevens. 

Ten aanzien van groep A oordeelt de rechtbank dat niet vaststaat en evenmin wordt onderbouwd dát ten gevolge van het datalek sprake is van een inbreuk op de AVG, wat krachtens genoemde rechtspraak wel noodzakelijk is. Het gaat hierbij immers om mensen die niet weten óf hun gegevens gestolen zijn. De door ICAM gestelde vrees ziet op de vrees "voor een inbreuk", en niet op de vrees van misbruik van gegevens "na een inbreuk". De vorderingen tot immateriële en materiële schadevergoeding voor groep A zijn daarom summierlijk ondeugdelijk. ICAM is niet-ontvankelijk in haar schadevergoedingsvorderingen ten behoeve van groep A.

Voor wat betreft groep B oordeelt de rechtbank als volgt. De 1.373 personen van wie vaststaat dat de gegevens bij onbevoegden terecht zijn gekomen hebben een compensatie van EUR 500 aangeboden gekregen. Deze is door ongeveer 80% van de groep onder finale kwijting aanvaard. Ten aanzien van hen is ICAM dus niet-ontvankelijk. De omvang van de groep personen van wie zal worden vastgesteld dat hun gegevens bij onbevoegden terecht zijn gekomen is onbekend. Volgens persberichten zouden dit er tienduizenden kunnen zijn, maar ICAM heeft slechts zes voorbeelden gegeven van personen die stellen de gevolgen te hebben ondervonden van het datalek. Aangezien ICAM niet aannemelijk kan maken dat voldoende van deze personen de actie ondersteunen, verklaart de rechtbank ICAM niet-ontvankelijk in haar schadevergoedingsvorderingen wegens gebrek aan representativiteit.

Met dit oordeel is de procedure nog niet geëindigd. ICAM is wel ontvankelijk in een aantal vorderingen tot verklaring voor recht met betrekking tot de aansprakelijkheid van gedaagden en tot beëindiging van de inbreuk op de AVG. De vraag is echter of ICAM hierbij nog belang heeft. Partijen kunnen zich hierover nader bij akte uitlaten.