ECLI:NL:RBNHO:2024:7868 text/xml public 2024-09-27T10:43:10 2024-08-01 Raad voor de Rechtspraak nl Rechtbank Noord-Holland 2024-06-18 23-3358 Uitspraak Eerste aanleg - meervoudig NL Haarlem Bestuursrecht
Rechtspraak.nl
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBNHO:2024:7868 text/html public 2024-08-09T10:24:33 2024-08-09 Raad voor de Rechtspraak nl ECLI:NL:RBNHO:2024:7868 Rechtbank Noord-Holland , 18-06-2024 / 23-3358
AVG, verzoek om inzage, verzoek om schadevergoeding, rechtmatigheid verwerken (delen) van (bijzondere) persoonsgegevens van een vreemdeling tussen de IND en het COA en de DT&V.
RECHTBANK NOORD-HOLLAND
Zittingsplaats Haarlem
Bestuursrecht
zaaknummer: HAA 23/3358
uitspraak van de meervoudige kamer van 18 juni 2024 in de zaak tussen
[eiseres] , uit [plaats] , eiseres
(gemachtigde: mr. I.J.M. Oomen),
en
de staatssecretaris van Justitie en Veiligheid, verweerder
(gemachtigde: mr. M.M.C. van Graafeiland).
Als derde-partij neemt aan de zaak deel: het bestuur van het Centraal Orgaan uit Den Haag (het COA)
(gemachtigde: mr. M.M.C. van Graafeiland).
Inleiding
1.1 In deze uitspraak beoordeelt de rechtbank het beroep van eiseres tegen het besluit op haar verzoek om inzage in haar persoonsgegevens op grond van de Algemene verordening gegevensbescherming (AVG) en een in beroep gedaan verzoek om schadevergoeding in verband met het delen van (bijzondere) persoonsgegevens met het COA en de Dienst Terugkeer en Vertrek (DT&V).
1.2 Verweerder heeft op het beroep en het in het beroepschrift gedane verzoek om schadevergoeding gereageerd met een verweerschrift. Derde-partij heeft ook schriftelijk gereageerd.
1.3 De rechtbank heeft het beroep op 5 maart 2024 op zitting behandeld samen met de zaak HAA 22/2169. Hieraan hebben deelgenomen: de gemachtigde van eiseres en de gemachtigde in de zaak HAA 22/2169 mr. B.J.P.N. Ficq, namens verweerder: [naam 3] , [naam 4] , werkzaam bij de Immigratie en Naturalisatiedienst (IND), [naam 5] en [naam 6] , werkzaam bij de DT&V, met mr. [naam 7] en de gemachtigde van verweerder, tevens gemachtigde van derde-partij, vergezeld door [naam 1] .
Beoordeling door de rechtbank
2. De rechtbank beoordeelt het beroep en verzoek om schadevergoeding aan de hand van de gronden die eiseres naar voren heeft gebracht. De rechtbank komt tot het oordeel dat het beroep ongegrond is, maar dat er aanleiding bestaat voor het toekennen van een schadevergoeding. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.
3.1
De rechtbank gaat uit van de volgende feiten. Eiseres heeft de Iraanse nationaliteit. In 2016 is door eiseres een asielvergunning aangevraagd. Verweerder heeft deze aanvraag afgewezen. Het daartegen ingestelde beroep en hoger beroep zijn ongegrond verklaard. In 2019 is door eiseres opnieuw een aanvraag ingediend. Nadat deze aanvraag wederom is afgewezen, is het daartegen ingestelde beroep gegrond verklaard. Dat heeft er toe geleid dat verweerder bij besluit van 25 augustus 2021 de aanvraag om een asielvergunning heeft ingewilligd en aan eiseres een verblijfsvergunning asiel voor bepaalde tijd heeft verleend.
Eiseres heeft op 22 september 2021 aan verweerder verzocht (hierna: het AVG-verzoek) om opgave van de ‘andere persoons- en verwijsgegevens’ die verweerder op grond van artikel 107, eerste lid, onder v, van de Vreemdelingenwet (Vw) met betrekking tot haar bijhoudt/heeft geregistreerd en worden verwerkt. Zij heeft daarbij gevraagd om een zo compleet mogelijk overzicht, waarbij per gegeven wordt aangegeven met welke instantie dat gegeven is/wordt gedeeld.
3.2 Met het besluit van 22 oktober 2021 (primaire besluit) heeft verweerder het AVG-verzoek ingewilligd en de persoonsgegevens van eiseres verstrekt. Ook is een overzicht gegeven van de verstrekkingen van de persoonsgegevens van eiseres. Uit dit overzicht blijkt dat verweerder de persoonsgegevens van eiseres onder meer verstrekt heeft aan het COA en de DT&V.
3.3 Eiseres heeft bezwaar gemaakt naar aanleiding van het primaire besluit en daarbij aangegeven dat zij bezwaar heeft tegen de verwerking van haar (bijzondere) persoonsgegevens door verweerder, te weten het delen van die gegevens met het COA en de DT&V.
3.4 Verweerder heeft dit bezwaar opgevat als te zijn gericht tegen het primaire besluit en bij besluit van 7 december 2021 (het bestreden besluit) het bezwaar ongegrond verklaard.
3.5 Eiseres heeft beroep ingesteld tegen het bestreden besluit en in haar beroepschrift tevens verzocht om de toekenning van een schadevergoeding wegens onrechtmatige verwerking van haar (bijzondere) persoonsgegevens.
Het COA als derde-partij
4. Op verzoek van verweerder en het COA heeft de rechtbank het COA als derde-partij aangemerkt. Bij brief van 15 februari 2023 heeft de rechtbank gemachtigde van eiseres ervan in kennis gesteld dat het COA als derde-partij aan deze procedure deelneemt. In de brief van 17 februari 2023 verzet de gemachtigde van eiseres zich tegen de deelname van het COA als derde-partij. De rechtbank heeft kennisgenomen van de argumenten die eiseres zowel in die brief als ter zitting heeft gegeven waarom zij vindt dat het COA niet als derde-partij zou moeten worden toegelaten, maar de rechtbank ziet daarin geen aanleiding om terug te komen op de beslissing om het COA als derde-partij in deze procedure toe te laten. Verweerder heeft voldoende toegelicht dat het COA als zelfstandig bestuursorgaan rechtstreeks in haar belang zou worden geraakt, als de rechtbank zou oordelen dat het delen van (bijzondere) persoonsgegevens door de IND met het COA onrechtmatig is.
Het beroep tegen het bestreden besluit
5. De rechtbank stelt vast dat de door eiseres aangevoerde beroepsgronden uitsluitend betrekking hebben op de gestelde onrechtmatigheid van het delen van (bijzondere) persoonsgegevens door verweerder met het COA en de DT&V. Die beroepsgronden raken niet het bestreden besluit, dat ziet op de beslissing die is genomen op het inzageverzoek van eiseres. Desgevraagd heeft de gemachtigde van eiseres ter zitting aangegeven dat zij geen bezwaar heeft tegen het overzicht dat is verstrekt naar aanleiding van het inzageverzoek, maar dat het uitsluitend gaat om de -in de ogen van eiseres- onrechtmatige verwerking van (bijzondere) persoonsgegevens door verweerder. Dit punt komt aan de orde bij de beoordeling van het verzoek om schadevergoeding. Omdat er geen gronden zijn aangevoerd tegen het bestreden besluit, is het daartegen ingestelde beroep ongegrond.
Het verzoek om schadevergoeding
6. De rechtbank stelt voorop dat zij bevoegd is kennis te nemen van het verzoek om schadevergoeding. Dit baseert de rechtbank op de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (Afdeling) van 1 april 2020 en in het bijzonder op de rechtsoverwegingen 16 tot en met 22 van die uitspraak.
7. De voor de beoordeling van het verzoek belangrijke wet- en regelgeving is te vinden in de bijlage bij deze uitspraak.
8. Eiseres stelt dat haar (bijzondere) persoonsgegevens onrechtmatig zijn gedeeld en zij daarvan schade heeft geleden.
De (on)rechtmatige verwerking van (bijzondere) persoonsgegevens
9. Voor de beantwoording van de vraag of er aanleiding bestaat voor de toekenning van een schadevergoeding, dient eerst te worden beoordeeld of het verwerken van de (bijzondere) persoonsgegevens van eiseres door verweerder -te weten het integraal delen van documenten met daarin (bijzondere) persoonsgegevens van eiseres met het COA en de DT&V- rechtmatig heeft plaatsgevonden.
10. Verweerder heeft in het bestreden besluit, toegelicht in het verweerschrift en ter zitting, het volgende standpunt ingenomen. Van onrechtmatige verwerking van (bijzondere) persoonsgegevens is geen sprake geweest. Voor de verwerking van persoonsgegevens vormt de taakuitoefening van het COA de verwerkingsgrondslag als bedoeld in artikel 6, eerste lid, onderdeel e, van de AVG. Uit artikel 3 van de Wet COA en de daarop gebaseerde Regeling verstrekkingen asielzoekers en andere categorieën vreemdelingen 2005 (Rva 2005) volgt dat de verwerking van persoonsgegevens noodzakelijk is voor de vervulling van een publieke taak van algemeen belang of uitoefening van openbaar gezag. Het COA is op grond daarvan belast met het bieden van onderdak aan asielzoekers gedurende het gehele asielproces en heeft daarnaast een begeleidingstaak. Daarbij moet rekening worden gehouden met de individuele behoeften van de vreemdeling, medewerkers en omwonenden. Het COA streeft bij de opvang van vreemdelingen naar een veilige en beheersbare opvang en dient rekening te houden met onder meer de kwetsbaarheid of anderszins bijzondere omstandigheid van een vreemdeling. Voor die taakuitoefening is het tevens noodzakelijk om bijzondere persoonsgegevens te verwerken, om in een zo vroeg mogelijk stadium te kunnen vaststellen of de asielzoeker een kwetsbaar persoon is en behoefte heeft aan specifieke steun en begeleiding. Ook voor de veiligheid van de bewoners en medewerkers van het COA is het noodzakelijk dat het COA beschikt over voldoende informatie om een volledig beeld te vormen van de vreemdelingen die zij huisvest. Gelet hierop is de zorgvuldige opvang van asielzoekers en de daarmee gepaard gaande zorg voor hun fysieke en mentale gezondheid een zwaarwegend algemeen belang als bedoeld in artikel 9, tweede lid, onder g, van de AVG, gelezen in samenhang met artikel 23, onder a, van de AVG en het Verdrag betreffende de status van vluchtelingen en de Opvangrichtlijn van de Europese Unie , de Wet COA en de Rva 2005.
Ook voor de verwerking van persoonsgegevens door de DT&V is de grondslag volgens verweerder gelegen in artikel 6, eerste lid, onder e, van de AVG. Verweerder stelt dat de noodzaak voor het verwerken van persoonsgegevens volgt uit de taakuitoefening van de DT&V, te weten de uitvoering van het terugkeerbeleid, zoals dat is vastgelegd in de Vw, het Voorschrift Vreemdelingen 2000 en de Europese Terugkeerrichtlijn . Die taakuitoefening wordt gekenmerkt door maatwerk en een zorgvuldige en humane vertrekstrategie. Het is volgens verweerder daarom van groot belang dat de DT&V in een zo vroeg mogelijk stadium wordt betrokken en daarbij zoveel mogelijk (volledige en controleerbare) informatie krijgt over de vreemdeling. Ieder stukje informatie kan in het terugkeerproces van belang zijn of worden. Ook de verwerking van bijzondere persoonsgegevens is noodzakelijk voor een doelmatige en doeltreffende uitvoering van de taken door de DT&V bij het uitzetten van vreemdelingen volgens verweerder. Het is van belang dat de DT&V de belangen en achterliggende overwegingen van de vreemdeling kent, in Nederland, maar zeker ook in het land van herkomst. De daarvoor benodigde informatie wordt in de procedure van verweerder en door andere ketenpartners geregistreerd en staat in het bijzonder in beschikkingen over de geloofwaardigheid van de identiteit en nationaliteit en verslagen van gehoren. Voor de DT&V bestaat een noodzaak voor de verwerking van (bijzondere) persoonsgegevens op het moment dat voor betrokkene een verplichting ontstaat om Nederland te verlaten. De afwijzing van een aanvraag van een verblijfsvergunning is een indicator voor de DT&V om een aanvang te maken met (voorbereidende) handelingen voor een vertrek uit Nederland. Gedurende de asielprocedure van eiseres is een dergelijke vertrekverplichting ontstaan en dus ook de noodzaak bij de DT&V om bijzondere persoonsgegevens betreffende eiseres te verwerken. Dat de verblijfsstatus van eiseres gedurende de asielprocedure is gewijzigd doet daar niet aan af. Het verwerken van de bijzondere persoonsgegevens vindt zijn grondslag in artikel 107, eerste lid, van de Vw, gelezen in samenhang met artikel 6, eerste lid, onder e, van de AVG, artikel 107a, eerste lid van de Vw, artikel 7.1a, eerste lid, onder i, van het Voorschrift vreemdelingen en artikel 9 tweede lid, onder g, van de AVG.
11. Eiseres erkent dat het COA informatie nodig heeft voor het uitoefenen van haar taak, maar stelt dat verweerder veel meer (bijzondere) persoonsgegevens met het COA heeft gedeeld dan noodzakelijk is. Het integraal delen van onder meer rapporten van gehoor, (voornemens tot) beschikkingen en rechterlijke uitspraken, waarin bijzondere persoonsgegevens van eiseres zijn opgenomen, is volgens eiseres in strijd met het beginsel van minimale gegevensverwerking, zoals neergelegd in artikel 5, eerste lid, onder c, van de AVG. Daarbij komt dat verweerder lijkt te veronderstellen dat toestemming van eiseres voor het delen van haar persoonsgegevens niet nodig is, omdat artikel 6, eerste lid, onder c en e, van de AVG van toepassing zijn, maar dan ligt het op de weg van verweerder om aan te tonen dat uit wet- of regelgeving volgt welke categorieën persoonsgegevens op welke wijze met het COA mogen worden gedeeld. Bovendien is het op grond van artikel 9 van de AVG verboden om bijzondere persoonsgegevens te verwerken, tenzij sprake is van een zwaarwegend algemeen belang en indien wordt voldaan aan evenredigheid met passende en specifieke maatregelen ter bescherming van de grondrechten en fundamentele belangen van eiseres. Eiseres meent dat voor het bieden van ‘passende steun’ het COA geen kennis hoeft te hebben van haar bijzondere persoonsgegevens of asielmotieven. Verweerder had kunnen volstaan met de vermelding dat in het geval van eiseres mogelijk passende steun moet worden geboden en dan had het COA bij eiseres kunnen informeren welke steun passend en gewenst is, waarbij eiseres zelf de controle had kunnen houden over welke informatie zij wel en niet met het COA wil delen. Eiseres concludeert dat er geen (noodzakelijkheids)grondslag is voor het delen van integrale documenten met het COA en dat, voor zover de bijzondere persoonsgegevens al onder artikel 107, vierde lid, van de Vw zouden vallen, verweerder het proportionaliteitsbeginsel heeft geschonden door het integraal delen van documenten, gehoren, beschikkingen en rechterlijke uitspraken. Het verstrekken van noodzakelijke informatie aan het COA ten behoeve van diens taakuitoefening kon ook worden bereikt door geen of minder persoonsgegevens met het COA te delen, aldus eiseres.
Eiseres stelt voorts dat het voorgaande ook geldt voor het delen van (bijzondere) persoonsgegevens door verweerder met de DT&V. Eiseres acht het delen van (bijzondere) persoonsgegevens met de DT&V nog voor het onherroepelijk worden van een afwijzend besluit onnodig en prematuur. Verder is nog van belang dat alle gegevens die verweerder heeft gedeeld met de DT&V na 20 maart 2019 -de datum dat de asielaanvraag van eiseres uiteindelijk is ingewilligd- ten onrechte zijn gedeeld, aangezien de DT&V vanaf dat moment niets meer met eiseres te maken had, omdat er geen vertrekplicht meer op haar rustte. Omdat zij de verwerking (het delen) van voornoemde gegevens onrechtmatig acht, heeft eiseres in beroep verzocht om een schadevergoeding.
12.1 Bij de beoordeling van de rechtmatigheid van het verwerken van de (bijzondere) persoonsgegevens van eiseres door verweerder betrekt de rechtbank de conclusie van de procureur-generaal van de Hoge Raad van 15 september 2021. Daarin is het volgende overwogen.
12.2 Artikel 6, eerste lid, van de AVG behelst een limitatieve opsomming van de gronden waarop persoonsgegevens rechtmatig kunnen worden verwerkt. In dit artikellid is, voor zover hier van belang, onder e, bepaald dat de verwerking van persoonsgegevens alleen rechtmatig is, indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
12.3 Het limitatieve karakter van de opsomming blijkt uit het woord ‘alleen’ . De woorden ‘voor zover’ bevestigen het beginsel van minimale gegevensverwerking (artikel 5, eerste lid, onder c, van de AVG): indien slechts een gedeelte van de verwerking of slechts een gedeelte van de verwerkte gegevens onder het bereik van de toepasselijke verwerkingsgrond(en) valt, is de verwerking slechts in zoverre rechtmatig, en voor het overige verboden. De woorden ‘ten minste’ maken duidelijk dat één en dezelfde verwerking onder het bereik van meer dan één verwerkingsgrond kan vallen. De verwerkingsgronden kunnen elkaar in die zin overlappen, maar de toepasselijkheid van één verwerkingsgrond volstaat voor het aannemen van rechtmatigheid.
12.4 De verwerkingsgronden worden in de literatuur aangemerkt als equivalent, oftewel als gelijkwaardige alternatieven. Hierbij is van belang dat het toepassingsbereik en de rechtsgevolgen van de verwerkingsgronden verschillen. Een toestemming (de a-grond) kan bijvoorbeeld te allen tijde worden ingetrokken (artikel 7, derde lid, van de AVG), terwijl tegen een gegevensverwerking uit hoofde van een taak van algemeen belang (de e-grond) of de behartiging van gerechtvaardigde belangen (de f-grond) te allen tijde bezwaar kan worden gemaakt (artikel 21, eerste lid, van de AVG). Deze voorbehouden gelden niet als de gegevensverwerking berust op een wettelijke verplichting (de c-grond), maar daarvoor is een basis in het Unierecht of het nationale recht vereist, die aan bepaalde randvoorwaarden voldoet (artikel 6, derde lid, van de AVG). Gezien deze verschillen is het van belang om de verwerkingsgronden van elkaar te onderscheiden, ook al geldt uiteindelijk dat elke gegevensverwerking moet voldoen aan de basisvereisten van artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en artikel 8 Handvest van de grondrechten van de Europese Unie.
12.5 De verwerkingsgronden b tot en met f hebben gemeen dat zij de gegevensverwerking slechts toestaan indien en voor zover die ‘noodzakelijk’ is met het oog op de genoemde doeleinden. Dit vereiste van noodzakelijkheid correspondeert met de beginselen van proportionaliteit en subsidiariteit. Uit de rechtspraak van het Hof van Justitie van de Europese Unie (HvJEU) blijkt dat het begrip ‘noodzakelijk’ in deze context een autonome Unierechtelijke betekenis heeft.
13. Naast de gegevensverwerking van persoonsgegevens in de zin van artikel 6 van de AVG is hier sprake van de verwerking van bijzondere persoonsgegevens als bedoeld in artikel 9, eerste lid, van de AVG. Het gaat in dit geval om de verwerking van persoonsgegevens met betrekking tot ras/etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen en gegevens over de gezondheid van eiseres. De verwerking van bijzondere persoonsgegevens is verboden, tenzij wordt voldaan aan één van de in het tweede lid van artikel 9 van de AVG gestelde voorwaarden. In dit geval dient de vraag te worden beantwoord of wordt voldaan aan de uitzondering van artikel 9, tweede lid, onder g, van de AVG, waaruit volgt dat het verbod op de verwerking van bijzondere persoonsgegevens niet geldt, indien de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.
14.1 De rechtbank stelt vast dat verweerder een grote hoeveelheid documenten, waarin zowel ‘gewone’ als bijzondere persoonsgegevens van eiseres zijn opgenomen, integraal heeft gedeeld met het COA en de DT&V. Het gaat hierbij onder meer om beschikkingen, rechterlijke uitspraken, een medisch advies en verslagen van gehoren. Dat de taakstellingen die het COA en de DT&V hebben, kunnen worden aangemerkt als een taak van (zwaarwegend) algemeen belang als bedoeld in artikel 6, eerste lid, onder e, van de AVG en artikel 9, tweede lid, onder g, van de AVG, kan de rechtbank op zich volgen. Verweerder heeft dit genoegzaam toegelicht. Dit is ook niet in geschil. Echter, dat het ter vervulling van die taken noodzakelijk is om bovengenoemde documenten met de daarin opgenomen (bijzondere) persoonsgegevens integraal te delen met het COA en de DT&V, volgt de rechtbank niet. Naar het oordeel van de rechtbank valt niet in te zien dat het doel waarvoor de (bijzondere) persoonsgegevens van eiseres worden verwerkt in redelijkheid niet op een andere, minder nadelige wijze kan worden verwezenlijkt. Dit doel is voor wat betreft het COA gelegen in de zorgvuldige opvang van asielzoekers en voor wat betreft de DT&V in het realiseren van het vertrek van vreemdelingen die niet in aanmerking komen voor een verblijfsvergunning. Verweerder heeft mede in het licht van het beginsel van minimale gegevensverwerking (artikel 5, eerste lid, onder c, van de AVG) nagelaten te onderbouwen waarom die doelen uitsluitend kunnen worden bereikt door het integraal delen van de documenten met daarin (bijzondere) persoonsgegevens van eiseres. Wat betreft het delen van persoonsgegevens met DT&V geldt bovendien dat onvoldoende is onderbouwd waarom het delen van al die gegevens al noodzakelijk is nog voordat onherroepelijk vast is komen te staan dat een vreemdeling Nederland dient te verlaten. Ten aanzien van het delen van de bijzondere persoonsgegevens komt daar bij dat nergens uit blijkt dat verweerder heeft afgewogen of het delen van die gegevens evenredig is in verhouding tot het met het delen van die gegevens nagestreefde doel, of de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en of het nodig is om passende en specifieke maatregelen te treffen ter bescherming van de grondrechten en de fundamentele belangen van eiseres, zoals wel is vereist op grond van artikel 9, tweede lid, onder g, van de AVG.
14.2 De rechtbank concludeert dan ook dat verweerder de waarborgen voor de gegevensverwerking van zowel de ‘gewone’ (artikel 6 van de AVG) als de bijzondere persoonsgegevens (artikel 9 van de AVG) onvoldoende in acht heeft genomen. Het door verweerder met het COA en de DT&V integraal delen van de grote hoeveelheid documenten waarin de (bijzondere) persoonsgegevens van eiseres zijn opgenomen, acht de rechtbank dan ook onrechtmatig, nu hiervoor onvoldoende grondslag (noodzaak) bestond. Hiermee wordt tevens afbreuk gedaan aan het in artikel 5, eerste lid, onder c, van de AVG neergelegde beginsel van minimale gegevensverwerking.
De toekenning van een schadevergoeding
15. Hiervoor heeft de rechtbank geconcludeerd dat de verwerking van (bijzondere) persoonsgegevens van eiseres onrechtmatig is geweest. Het is vervolgens de vraag of dit moet leiden tot de toekenning van een schadevergoeding. Bij de beoordeling hiervan neemt de rechtbank het volgende in overweging.
16. Dat sprake is geweest van onrechtmatige gegevensverwerking is op zichzelf niet voldoende om aanspraak te maken op schadevergoeding. Dit blijkt uit een arrest van het HvJEU van 4 mei 2023 , waarin is bepaald dat een inbreuk op de bepalingen van de AVG op zich niet volstaat voor de toekenning van een recht op schadevergoeding. Het HvJEU heeft in dit arrest allereerst bepaald dat het intreden van schade in het kader van een verwerking van persoonsgegevens slechts potentieel is en, ten tweede, dat een inbreuk op de AVG niet noodzakelijkerwijs tot schade leidt en, ten derde, dat een causaal verband moet bestaan tussen de betrokken inbreuk en de door de betrokkene geleden schade om een recht op schadevergoeding te kunnen doen ontstaan. In dit arrest heeft het HvJEU verder overwogen dat een persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, moet bewijzen dat die gevolgen immateriële schade in de zin van artikel 82 van de AVG opleveren.
17.1 Voor de beoordeling van een verzoek om vergoeding van immateriële schade wordt, volgens vaste jurisprudentie van de Afdeling aansluiting gezocht bij het civiele schadevergoedingsrecht.
17.2 Artikel 6:106 van het Burgerlijk Wetboek (BW) luidt:
Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:
(…)
b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;
(…).
17.3 Van de in artikel 6:106, eerste lid, aanhef en onder b, van het BW bedoelde aantasting in persoon ‘op andere wijze’ is in ieder geval sprake indien de benadeelde partij geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld. Ook als het bestaan van geestelijk letsel in voornoemde zin niet kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in artikel 6:106, aanhef en onder b, van het BW bedoelde aantasting in zijn persoon ‘op andere wijze’ sprake is. In zo een geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon ‘op andere wijze’ als bedoeld in artikel 6:106, aanhef en onder b, van het BW is niet reeds sprake bij de enkele schending van een fundamenteel recht.
17.4 Met het in 17.3 geschetste kader kan volgens de eerdergenoemde Afdelingsuitspraak van 1 april 2020 worden voldaan aan de eisen van de AVG en aan de rechtspraak van het HvJEU, waarin is geoordeeld dat het bij gebrek aan communautaire regelgeving een aangelegenheid van de interne rechtsorde van elke lidstaat is om de regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen.
17.5 De rechtbank stelt vast dat eiseres niet heeft gesteld dat zij als gevolg van het onrechtmatig handelen van verweerder geestelijk letsel heeft opgelopen, dat op objectieve gronden kan worden vastgesteld.
17.6 Eiseres stelt dat zij in haar persoon is aangetast. Zij stelt dat haar privacy is geschonden, omdat de door verweerder gedeelde gegevens strikt vertrouwelijke en gevoelige persoonsgegevens bevatten en zij geen toestemming heeft gegeven voor het delen van die gegevens met het COA en de DT&V. Het gaat om zeer persoonlijke, intieme en privé informatie, waaronder informatie over haar politieke mening, geloofsovertuiging, medische informatie en zeer traumatische ervaringen en de psychische gevolgen daarvan, waarvan verweerder vertrouwelijke behandeling had beloofd. Eiseres is erg verdrietig en ontdaan dat haar meest intieme en persoonlijke gegevens zijn gedeeld met onbekenden. Een groot aantal COA-medewerkers heeft toegang gehad tot die gegevens. Zij vraagt daarom om de toekenning van een schadevergoeding van tenminste € 20.000,-, maar niet meer dan € 24.999,-, waarbij zij erop wijst dat de verwerking van haar gegevens zeer verstrekkend en onnodig is en dat het gaat om heel veel gegevens van zeer persoonlijke aard.
17.7 De rechtbank is van oordeel dat eiseres recht heeft op toekenning van een vergoeding voor immateriële schade. Verweerder heeft gehandeld in strijd met de artikelen 5, 6 en 9 van de AVG en heeft daardoor het recht op eerbiediging van de persoonlijke levenssfeer van eiseres geschonden. Een inbreuk op de persoonlijke levenssfeer van eiseres kan worden aangemerkt als een aantasting in de persoon als bedoeld in artikel 6:106, eerste lid en onder b, van het BW, die aanspraak geeft op vergoeding van immateriële schade. Eiseres heeft de hoogte van de gevraagde schadevergoeding echter in het geheel niet onderbouwd. Gelet op de omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk, zal de rechtbank deze schade naar billijkheid vaststellen op € 500,-. De rechtbank sluit hiermee aan bij jurisprudentie van de Afdeling . Daarbij neemt de rechtbank in aanmerking de bijzondere gevoeligheid van de aard van de persoonsgegevens die in dit geval zonder toestemming van eiseres zijn verwerkt. Voor de verwerking van bijzondere (gevoelige) persoonsgegevens als bedoeld in artikel 9 van de AVG, is in de AVG een hoger beschermingsniveau is neergelegd dan voor gewone persoonsgegevens. De nadelige gevolgen van de verstrekking van de gevoelige persoonsgegevens liggen voor de hand. De rechtbank ziet in dit geval gezien het feit dat de privacygevoelige persoonsgegevens bij een groep professionals terecht zijn gekomen, die uit hoofde van hun functie een geheimhoudingsplicht hebben en de duur van de inbreuk geen aanleiding een hoger bedrag toe te kennen.
Conclusie en gevolgen
18.1 Gelet op hetgeen is overwogen onder 5. is het beroep ongegrond. Dat betekent dat het bestreden besluit in stand blijft.
18.2 Het verzoek om de toekenning van een schadevergoeding wegens het onrechtmatig verwerken van (bijzondere) persoonsgegevens van eiseres wordt toegewezen tot een bedrag van € 500,-.
18.3 Gelet hierop ziet de rechtbank aanleiding om verweerder te veroordelen in de door eiseres gemaakte proceskosten. Verweerder moet deze vergoeding betalen. Deze vergoeding bedraagt € 1.750,- omdat de gemachtigde van eiseres een beroepschrift heeft ingediend en aan de zitting heeft deelgenomen. Verder zijn er geen kosten gemaakt die vergoed kunnen worden.
18.4 Omdat eiseres vrijgesteld is van betaling van griffierecht, hoeft aan haar geen griffierecht te worden vergoed.
Beslissing
De rechtbank:
- verklaart het beroep ongegrond;
- wijst het verzoek tot toekenning van een schadevergoeding toe en veroordeelt verweerder tot het betalen van € 500,- aan schadevergoeding aan eiseres;
- veroordeelt verweerder tot betaling van € 1.750,- aan proceskosten aan eiseres.
Deze uitspraak is gedaan door mr. D.M. de Feijter, voorzitter, en mr. drs. J.H.A.C. Everaerts en mr. J. de Wit, leden, in aanwezigheid van R.I. ten Cate, griffier. De uitspraak is uitgesproken in het openbaar op 18 juni 2024.
griffier
voorzitter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Informatie over hoger beroep
Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.
Bijlage: voor deze uitspraak belangrijke wet- en regelgeving
Algemene verordening gegevensbescherming
Artikel 4
Voor de toepassing van deze verordening wordt verstaan onder:
1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
(…)
Artikel 5
1. Persoonsgegevens moeten:
(…)
toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);
(…)
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).
Artikel 6
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.
Artikel 9
1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;
de verwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven;
e verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt;
de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
de verwerking is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid;
de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene;
de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen;
de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim;
de verwerking is noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de belangen van de betrokkene.
3. De in lid 1 bedoelde persoonsgegevens mogen worden verwerkt voor de in lid 2, punt h), genoemde doeleinden wanneer die gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels tot geheimhouding is gehouden.
4. De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren.
Artikel 15
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
de verwerkingsdoeleinden;
de betrokken categorieën van persoonsgegevens;
de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
et bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.
4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen
Artikel 82
1. Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.
2. Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld.
3. Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.
4. Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en overeenkomstig de leden 2 en 3 verantwoordelijk zijn voor schade die door verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed.
5. Wanneer een verwerkingsverantwoordelijke of verwerker de schade overeenkomstig lid 4 geheel heeft vergoed, kan deze verwerkingsverantwoordelijke of verwerker op andere verwerkingsverantwoordelijken of verwerkers die bij de verwerking waren betrokken, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade, overeenkomstig de in lid 2 gestelde voorwaarden.
6. Gerechtelijke procedures voor het uitoefenen van het recht op schadevergoeding worden gevoerd voor de in artikel 79, lid 2, bedoelde lidstaatrechtelijk bevoegde gerechten.
ECLI:NL:RVS:2020:898
Richtlijn 2013/33/EU van 26 juni 2013 tot vaststelling van normen voor de opvang van verzoeken om internationale bescherming
Richtlijn 2008/115/EG
ECLI:NL:PHR:2021:831
Zie over het limitatieve karakter van artikel 8 van de Wet bescherming persoonsgegevens (Wbp) en artikel 6, eerste lid, AVG respectievelijk MvT (Wbp), Kamerstukken II 1997/98, 25 892, nr. 3, p. 80 e.v. en MvT (UAVG), Kamerstukken II 2017/18, 34 851, nr. 3, p. 33 e.v. Zie ook Kranenborg en Verhey, De AVG in Europees en Nederlands perspectief, 2018, p. 141 e.v.
Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 71
Zie Krzysztofek, GDPR: General Data Protection Regulation (EU) 2016/679, 2019, p. 71. Vgl. ook p. 13 van de hierna besproken Legitimate interest opinion van de Artikel 29-Groep, waar wordt opgemerkt dat de tekst van artikel 7 van de Richtlijn geen ‘hiërarchie tussen de gronden’ suggereert. Vgl. ook alinea 2.30 hierna, over de kwalificatie van de f-grond als ‘restgrond’.
Zie W. Kotschy, ‘Article 6: Lawfulness of Processing’, in: C. Kuner e.a. (red.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press 2020, p. 339-340.
Zie Kranenborg en Verhey, De AVG in Europees en Nederlands perspectief, 2018, p. 144.
Zie HvJEG 16 december 2008, C-524/06, ECLI:EU:C:2008:724, EHRC 2009/23, m.nt. E. Brems (Huber/Duitsland), rov. 47-52.
UI tegen Österreichische Post AG, C-300/21, ECLI:EU:C:2023:370
Zie de eerder genoemde uitspraak van de Afdeling van 1 april 2020 (ECLI:NL:RVS:2020:898)
Zie de arresten van de Hoge Raad van 15 maart 2019, ECLI:NL:HR:2019:376, r.o.4.2.2, van 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5. en van 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.2.
zie het arrest Manfredi, punt 64.
Zie de uitspraak van 1 april 2020, ECLI:NL:RVS:2020:898