Eiseres maakt in juli 2018 een afspraak bij het Bravis ziekenhuis om inzage te krijgen in de logging-gegevens van haar patiëntendossier. Uit deze gegevens blijkt dat haar dossier inderdaad langdurig en meermalen onrechtmatig is ingezien door de nieuwe partner van haar ex die als medisch secretaresse en IC-planner bij het Bravis werkt. Volgens het Bravis kan niet worden vastgesteld dat zij de informatie daadwerkelijk aan de ex heeft verstrekt, maar de medewerkster wordt wel ontslagen.
Na een onsuccesvol kort geding verbiedt het hof Den Bosch in februari 2019 de verdere verspreiding en openbaarmaking van het boek. Eiseres eist nu schadevergoeding van het Bravis. De rechtbank gaat daarin mee. Op grond van art. 6:170 BW is het Bravis ziekenhuis aansprakelijk voor de schade die veroorzaakt is door het onrechtmatige handelen van de medewerkster. Van een privéhandeling zoals het Bravis ziekenhuis betoogde, is geen sprake: de medewerkster had in het kader van haar werkzaamheden met behulp van de aan haar toegekende autorisaties toegang tot patiëntendossiers. De inzage heeft onder werktijd plaatsgevonden. Eiseres meent dat het Bravis ook zelf onrechtmatig heeft gehandeld, onder meer omdat haar medische gegevens niet goed beschermd waren en het Bravis onvoldoende onderzoek heeft gedaan naar het datalek en wat er met de medische gegevens is gebeurd.
De rechtbank oordeelt dat de controle op de logging van de toegang tot de patiëntendossiers niet voldeed aan de eisen van artikel 32 Algemene verordening gegevensbescherming (AVG) (en diens voorganger artikel 13 van de Wet bescherming persoonsgegevens) en dat dit een onrechtmatige daad oplevert jegens eiseres. Op grond van art. 6:106 onder b BW (aantasting in de persoon) kent de rechtbank een immateriële schadevergoeding van € 2000,- toe.
Het vorderen van schadevergoeding bij privacyschendingen is een hot topic. Eerder zagen we bijvoorbeeld de rechtbank Den Haag al een schadevergoeding van € 10.000,- toekennen. Het onderwerp is zeker nog niet uitgekristalliseerd. Momenteel zijn diverse prejudiciële vragen aanhangig over de uitleg van het (immateriële) schadebegrip van art. 82 AVG (zie onder meer zaak C-189/22, SO/ Scalable Capital GmbH en zaak C- 456/22, VX en AT / Gemeinde Ummendorf). Ook adviseerde AG Sánchez-Bordona recentelijk in zaak C-300/21 (UI v Österreichische Post AG) dat de enkele schending van de AVG onvoldoende is om tot een schadevergoeding te komen. Er moet ook daadwerkelijk materiële of immateriële schade zijn. Daarbij merkte hij het volgende op: “De in verordening 2016/679 geregelde vergoeding van immateriële schade strekt zich niet uit tot de loutere ergernis die de benadeelde kan ondervinden als gevolg van de inbreuk op de bepalingen van die verordening. Het staat aan de nationale rechter om in elk concreet geval op basis van de kenmerken van het subjectieve gevoel van onbehagen te bepalen wanneer een dergelijk gevoel als immateriële schade kan worden aangemerkt.” Indien deze opinie door het HvJEU wordt overgenomen, is het dus aan de nationale rechter om te beoordelen wanneer er sprake is van dusdanig ‘onbehagen’ dat een vergoeding op zijn plaats is. Deze uitspraak betekent voorlopig het einde van ‘The Ex-files’, maar discussies over schadevergoeding bij privacyschendingen zullen genoeg spin-offs opleveren!
