Wie schade heeft ondervonden nadat een bestuursorgaan persoonsgegevens heeft verwerkt in strijd met de privacyregels, kan voortaan ook terecht bij de bestuursrechter. Tot voor kort kon alleen de burgerlijke rechter beslissen over zo’n schadevergoeding. Die ‘ommekeer’ blijkt uit vier uitspraken van de Afdeling bestuursrechtspraak van 1 april 2020.
Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) en de bijbehorende Uitvoeringswet is de privacywetgeving ingrijpend veranderd. Overtrad voor die tijd (mei 2018) een bestuursorgaan de privacyregels, dan was een gang naar de burgerlijke rechter bijna altijd noodzakelijk om een schadevergoeding te kunnen krijgen. Uit de nieuwe privacywetgeving leidt de Afdeling bestuursrechtspraak van de Raad van State af dat het mogelijk moet zijn om zowel bij de bestuursrechter als bij de burgerlijke rechter aan te kloppen. Gedupeerden kunnen dus kiezen. Wel moet de bestuursrechter voor de schadevergoeding de criteria uit het Burgerlijk Wetboek toepassen en de rechtspraak van de Hoge Raad volgen. Voor schadevergoedingen van meer dan 25.000 euro is alleen de burgerlijke rechter bevoegd.
Medische gegevens
De Afdeling bestuursrechtspraak komt tot dit oordeel in vier verschillende zaken. Bij een daarvan waren van een man ten onrechte medische gegevens verstrekt aan een tuchtcollege voor de gezondheidszorg. Hij had daar geen toestemming voor gegeven. De andere drie zaken gingen over personen van wie gegevens waren geplaatst op een internetforum van de Vereniging Nederlandse Gemeenten. Dit forum is bedoeld om gegevens uit te wisselen tussen gemeenten om misbruik van de Wet openbaarheid van bestuur te voorkomen. Daarvoor hadden de betrokkenen geen toestemming gegeven.
‘Aantasting in de persoon’
In deze zaken concludeert de Afdeling bestuursrechtspraak dat alleen de man van wie medische gegevens onterecht zijn verwerkt, recht heeft op een schadevergoeding. Zijn persoonlijke levenssfeer is geschonden – de Afdeling spreekt van een ‘aantasting in de persoon’ en kent een schadevergoeding van 500 euro toe. Bij de hoogte van dat bedrag is rekening gehouden met het feit dat die gegevens alleen zijn terechtgekomen bij een kleine groep professionals met een beroepsgeheim. De andere drie personen krijgen geen schadevergoeding. De manier waarop met hun persoonsgegevens is omgegaan, is niet zodanig dat het een ‘aantasting in de persoon’ is als bedoeld in de wet.
