Schadevergoeding bij de bestuursrechter op grond van de AVG voor feitelijk handelen van een bestuursorgaan?

De eerste zaak draaide om een man van wie ten onrechte medische gegevens waren verstrekt aan een tuchtcollege voor de gezondheidszorg, zonder dat hij voor deze verwerking toestemming had gegeven. De andere drie zaken zagen op de verwerking van persoonsgegevens op een internetforum van de Vereniging Nederlandse Gemeenten. Dit internetforum is bedoeld om gegevens uit te wisselen tussen gemeenten om misbruik van de Wet openbaarheid van bestuur te voorkomen. Betrokkenen hebben voor deze verwerking evenmin toestemming gegeven. Alleen bij de eerste zaak neemt de Afdeling aan dat de persoonlijke levenssfeer van de betreffende persoon zodanig is geschonden dat er sprake is van een ‘aantasting in de persoon’ en daarmee recht op een schadevergoeding.

In dit blogbericht nemen we de eerste uitspraak nader onder de loep. We zullen allereerst beknopt de casus beschrijven. Vervolgens zullen we de materiële aspecten beschrijven die ertoe leiden dat de Afdeling tot haar conclusie komt om schadevergoeding toe te wijzen. Daarna gaan wij in op de, niet minder interessante, procesrechtelijke bevoegdheidskwestie. Onder het regime van de Wet bescherming persoonsgegevens was de burgerlijke rechter de gebruikelijke weg om als burger schadevergoeding te krijgen wanneer een bestuursorgaan privacyregels overtrad. De Afdeling legt in deze uitspraak uit dat zij onder de AVG, naast de burgerlijke rechter, óók bevoegd is om kennis te nemen van dit verzoek om schadevergoeding. Zij voorspelt vaker schadevergoeding te gaan geven bij schending van privacywetgeving door bestuursorganen. Wij bespreken enkele vragen die de uitleg van de Afdeling oproept ten aanzien van deze bevoegdheidsverdeling.

Voorgeschiedenis en procesverloop

De directeur van het Pieter Baan Centrum heeft in een tegen hem gerichte klachtprocedure zonder toestemming en buiten medeweten van appellant op 15 januari 2018 stukken met strikt vertrouwelijke persoonsgegevens over appellant verstrekt aan een tuchtcollege. Nadat het tuchtcollege appellant hiervan op de hoogte heeft gesteld en aan hem heeft bericht dat de persoonsgegevens buiten beschouwing worden gelaten in de klachtprocedure tegen de directeur, heeft appellant bij brief van 4 februari 2018 bij de minister voor Rechtsbescherming bezwaar gemaakt tegen het overleggen van de rapportages. Ook heeft hij verzocht om schadevergoeding wegens de overlegde rapportages. Bij besluit van 13 maart 2018 heeft de minister het verzoek om schadevergoeding afgewezen omdat appellant volgens de minister niet in zijn eer of goede naam of anderszins in zijn persoon is aangetast. Bij besluit van 17 mei 2018 heeft de minister het door appellant daartegen gemaakte bezwaar ongegrond verklaard. De rechtbank, afdeling bestuursrecht, heeft vastgesteld dat de verstrekking van de persoonsgegevens wél onrechtmatig was en acht een schadevergoeding van €300,- billijk.

Welke materiële aspecten zijn volgens de Afdeling relevant voor de vaststelling van (de hoogte van) de schadevergoeding?

De Afdeling is eveneens van oordeel dat appellant recht heeft op de toekenning van een vergoeding voor immateriële schade. De minister heeft het recht op eerbiediging van de persoonlijke levenssfeer van appellant geschonden door ten onrechte zijn persoonsgegevens te verwerken. De Afdeling sluit conform haar vaste jurisprudentie (zie bijvoorbeeld de uitspraak van 25 augustus 2010, ECLI:NL:RVS:2010:BN4952) aan bij het civiele schadevergoedingsrecht. De inbreuk op de privacy van appellant kan worden aangemerkt als een aantasting in de persoon als bedoeld in artikel 6:106, eerste lid, onder b, BW, die aanspraak geeft op vergoeding van immateriële schade.

Om de hoogte van de schadevergoeding te bepalen, kijkt de Afdeling naar de omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk. De Afdeling neemt in aanmerking dat de aard van de inbreuk bijzonder gevoelig is. Het gaat namelijk om het, zonder toestemming van appellant, verwerken van bijzondere persoonsgegevens als bedoeld in artikel 9 AVG. Bij verwerking van deze soort persoonsgegevens is een hoger beschermingsniveau vereist dan voor gewone persoonsgegevens. Ook is relevant dat de gegevens zijn verwerkt door de directeur van het Pieter Baan Centrum (waarvoor de minister verantwoordelijk is) in het kader van een tegen hem gerichte klachtprocedure, zonder dat daarvoor een rechtvaardigingsgrond voor bestond. Daar staat tegenover dat wat betreft de duur van de inbreuk van belang is dat het Pieter Baan Centrum snel actie heeft ondernomen om de gegevensverstrekking ongedaan te maken. Het tuchtcollege heeft snel aangegeven dat het de toegezonden gegevens buiten beschouwing zou laten en niet aan het dossier zou toevoegen. Voor wat betreft de ernst van de inbreuk overweegt de Afdeling dat de privacygevoelige persoonsgegevens slechts bij een kleine groep professionals is terecht gekomen, die bovendien uit hoofde van hun functie een geheimhoudingsplicht hebben.

Gelet op deze factoren komt de Afdeling tot de vaststelling van een billijke schadevergoeding van €500,-. De Afdeling geeft geen nadere onderbouwing waarom een vergoeding van €500,- in dit specifieke geval billijk is, en bijvoorbeeld een vergoeding van €300,- (het bedrag waar de rechtbank in eerste aanleg op uitkwam) niet. Het zal voor bestuursorganen dan ook lastig blijven om in te schatten wat kwalificeert als een billijke vergoeding bij een specifieke schending van de normen uit de AVG. Ter vergelijking: bij een overschrijding van de redelijke termijn van de behandeling van een procedure door een rechtbank, heeft een appellant op grond van vaste rechtspraak per half jaar eveneens recht op een immateriële schadevergoeding €500,-. Blijkbaar levert het zonder toestemming van de betrokkene ten onrechte delen van persoonsgegevens een gelijke immateriële schade op.

Bevoegdheidsverdeling: waar volgt de competentie van de Afdeling uit en hoe ver strekt deze bevoegdheid?

Zoals gezegd, oordeelt de Afdeling dat zij, sinds de inwerkingtreding van de AVG, vaker een oordeel kan geven over schadevergoeding bij een schending van privacywetgeving. Zij baseert haar ‘vernieuwde bevoegdheid’ op artikel 82 AVG, in samenhang gelezen met artikel 8:88 Awb en artikel 34 Uitvoeringswet AVG.

Artikel 82 AVG geeft de grondslag voor materiële en immateriële schadevergoeding ten gevolge van een inbreuk op de AVG. De AVG (een Europese verordening) bepaalt echter niet welke gerechten binnen een lidstaat bevoegd zijn over het recht op schadevergoeding te oordelen. Bij gebreke aan Unierechtelijke procedurele voorschriften is het volgens vaste rechtspraak van het Hof van Justitie van de Europese Unie aan de lidstaten zelf om de bevoegde rechtelijke instanties aan te wijzen en om hun nationale procesrecht toe te passen.

Artikel 34 Uitvoeringswet AVG bepaalt dat een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 AVG, voor zover deze is genomen door een bestuursorgaan, geldt als een besluit in de zin van de Awb. Artikel 15 tot en met 22 AVG geven belanghebbenden het recht om te beschikken over hun persoonsgegevens, waardoor de controle op de verwerking van persoonsgegevens wordt gerealiseerd. De brief van appellant van 4 februari 2018, waarin hij bij de minister bezwaar maakt tegen het overleggen van de rapportages en tevens om schadevergoeding verzoekt, is een handeling als bedoeld in de artikelen 15 tot en met 22 AVG. Het besluit van 13 maart 2018 van de minister tot afwijzing van de schadevergoeding wordt aangemerkt als een ‘artikel 34’-beschikking.

In de Memorie van Toelichting bij de Uitvoeringswet AVG is in de implementatietabel bij artikel 82 AVG opgenomen: “Huidige titel 8.4 Awb of civiele rechter”. De Afdeling leidt hieruit af dat het mogelijk moet zijn om zowel bij de bestuursrechter als bij de civiele rechter (via een onrechtmatige daad) een aanspraak op vergoeding van schade als gevolg van een inbreuk op de AVG door een bestuursorgaan aan de orde te stellen. Artikel 8:88 Awb geeft de bestuursrechter de bevoegdheid om een bestuursorgaan te veroordelen tot vergoeding van schade die een belanghebbende lijdt als gevolg van een onrechtmatig besluit (tot een maximum van €25.000,-). De Afdeling leidt uit artikel 8:88 Awb in samenhang gelezen met artikel 34 Uitvoeringswet AVG af dat dezelfde rechter die oordeelt over de onrechtmatigheid van beslissingen van bestuursorganen op een verzoek als bedoeld in artikel 15 tot en met 22 AVG, óók kan worden verzocht om vergoeding van daarmee in verband staande schade.

Kortom: de bestuursrechter is op grond van artikel 82 AVG volgens de Afdeling bevoegd tot het beoordelen van een verzoek tot schadevergoeding ten aanzien van de beschikkingshandelingen ten aanzien van persoonsgegevens als genoemd in artikel 15 tot en met 22 AVG (tot een maximum van €25.000,-).  Dat is een praktisch resultaat dat bijdraagt aan het beperken van versnipperde rechtsbescherming en om die reden steun verdient. Toch zijn er kanttekeningen mogelijk als het om de onderbouwing gaat.

Een minder strikt regime ten aanzien van schadevergoeding?

Het is bijzonder dat de Afdeling de bestuursrechter zonder meer bevoegd acht in gevallen als hier aan de orde. Artikel 8:88 Awb wordt, zo overweegt de Afdeling ook zelf, in deze uitspraak zo uitgelegd dat er voor de bevoegdheid van de bestuursrechter minder strikt wordt vastgehouden aan de eis van een onrechtmatig besluit; het gaat immers om een feitelijk handelen (het verwerken van de gegevens). Er moet volgens de Afdeling wel een verband zijn met een besluit als bedoeld in artikel 34 Uitvoeringswet AVG (lees: ten aanzien van de ‘beschikkingshandelingen’ genoemd in artikel 15 tot en met 22 AVG), maar dit besluit als zodanig hoeft niet onrechtmatig te zijn. Ook bij een rechtmatig besluit mag de Afdeling een oordeel geven over de rechtmatigheid van onderliggende feitelijke handeling: de verwerking van de persoonsgegevens.

Deze ruimere interpretatie van artikel 8:88 Awb roept vragen op: wanneer kunnen burgers nu wel en niet op grond daarvan bij de bestuursrechter schadevergoeding claimen? Kunnen burgers voor al het onrechtmatig feitelijk handelen van een bestuursorgaan een verzoek tot schadevergoeding indienen? Dat zou een behoorlijke verruiming van de bestuursrechtelijke schadevergoeding zijn.

Vooralsnog moet in ieder geval worden aangenomen dat de gekozen benadering alleen voor de AVG geldt. De hier besproken uitspraak lijkt het bestuursrechtelijke schadevergoedingsrecht in AVG-context in ieder geval te versoepelen, maar gaat volgens ons niet zo ver dat al het onrechtmatig feitelijk overheidshandelen zonder meer tot een schadevergoedingsmogelijkheid bij de bestuursrechter zal leiden (vgl. R. Wiekeraad, Gst. 2020/24). Het feitelijk handelen moet nog steeds verband houden met een besluit wil de bestuursrechter bevoegd zijn, zij het dat het besluit zelf niet meer onrechtmatig hoeft te zijn. Deze benadering sluit aan bij een al langer bestaande stroming in de literatuur waarbij de bevoegdheid van de bestuursrechter wordt opgehangen aan een ‘bestuursrechtelijke rechtsbetrekking’, waardoor ook ‘besluitgerelateerde’ feitelijke voorbereidings- en uitvoeringshandeling onder de rechtsmacht van de bestuursrechter vallen (zie VAR-preadviezen 2013). Wij menen dan ook dat voor schadevergoeding door ‘losstaand’ feitelijk handelen door een bestuursorgaan de burgerlijke rechter nog steeds de gebruikelijke route blijft, maar zien in de voorspelling van de Afdeling ook een waarheid: de bestuursrechter zal vaker schadevergoeding geven bij het schenden van privacywetgeving door bestuursorganen.

De gekozen benadering zou ook een opmaat kunnen zijn naar een verruiming van de schadevergoedingsmogelijkheden van de bestuursrechter in brede zin. Ter voorkoming van versnipperde rechtsbescherming zou een dergelijke ontwikkeling toe te juichen zijn. Tegelijk roept deze ingewikkelde rechtsmachtverdelingsvraagstukken op. Dat maakt actie van de wetgever uiteindelijk gewenst, waarbij mogelijk de AVG-aanpak van de Afdeling als proeftuin kan dienen.

Een bewerking van dit blogbericht is verschenen in JG 2020/13.