Hoe realistisch is een schadevergoeding voor dataroof bij GGD?

Stichting ICAM eist van het ministerie van Volksgezondheid een schadevergoeding van ruim 3 miljard euro wegens een grote dataroof bij de GGD. Maar heeft zo'n collectieve schadeclaim eigenlijk kans van slagen?

Enkele GGD-medewerkers haalden eerder dit jaar privégegevens van mensen die zich op het coronavirus lieten testen uit de systemen. Vervolgens verkochten ze die online op de zwarte markt.

Tot nu toe is vastgesteld dat de gegevens van zeker 1.250 personen zijn gestolen, maar volgens ICAM staat niet vast dat de gegevens van 6,5 miljoen anderen niet gestolen en verkocht zijn. De stichting wil nu een schadevergoeding van 1.500 euro voor mensen van wie zeker is dat hun gegevens zijn gestolen en een bedrag van 500 euro voor mensen van wie de gegevens in de GGD-systemen stonden.

Die schadebedragen komen niet uit de lucht vallen, legt advocaat Douwe Linders uit. Hij staat de stichting bij tijdens de zaak. "De hoogte van de bedragen is gebaseerd op eerdere Nederlandse privacyzaken waarbij een schadevergoeding werd toegekend. We hebben verschillende uitspraken bekeken en op basis daarvan een gemiddelde berekend."

Of de rechtszaak kans van slagen heeft, is nog de vraag. De eerdergenoemde uitspraken werden gedaan in individuele zaken. Nog niet eerder is er in Nederland een dergelijke collectieve zaak van deze omgang geweest. Ook heeft nog nooit een Nederlandse rechter zo'n groot bedrag toegekend in een collectieve zaak met betrekking tot privacy.

Schadebedrag is 'aan de hoge kant'
Pieter Wolters, hoofddocent burgerlijk recht aan de Radboud Universiteit, noemt de schadebedragen bovendien "aan de hoge kant". Daarnaast is lastig vast te stellen of de gedupeerden daadwerkelijk schade hebben geleden.

"Een schadevergoeding van 500 euro puur en alleen omdat je gegevens mogelijk zijn gestolen, is stevig. Maar ook de schadevergoeding van 1.500 euro lijkt me vrij hoog. Hoewel de bedragen niet sterk afwijken van eerdere zaken, ging het daar steeds om betrokkenen die individueel getroffen waren. Dat is in deze zaak niet het geval."

Volgens Wolters zal de grote meerderheid van de slachtoffers geen concrete schade hebben geleden. "Dat geldt zowel voor de slachtoffers wiens gegevens zijn gestolen als de slachtoffers wiens gegevens mogelijk zijn verspreid. Enkele personen zullen te maken hebben gehad met phishing of identiteitsfraude. Zij zouden recht moeten hebben op een schadevergoeding."

'Een ernstige schending van de privacy'
Wat volgens Wolters wel duidelijk is, is dat in deze zaak de AVG is geschonden. "De GGD heeft onvoldoende maatregelen genomen om de verspreiding van persoonsgegevens te voorkomen. Dat is een ernstige schending van de privacy."

Daar is advocaat Linders, die denkt dat de zaak wel kans van slagen heeft, het mee eens. "De GGD is slordig omgegaan met belangrijke gegevens van burgers, zoals burgerservicenummers en gezondheidsgegevens. De basismaatregelen om dit soort data voldoende te beveiligen, zijn niet nagekomen. Dat is een ernstige schending van de AVG."

De stichting gaat eerst nog met het ministerie in gesprek. "Zij moeten ervoor zorgen dat dit soort gegevens beter worden beveiligd en meer transparantie bieden."