Op 21 september 2023 heeft de rechtbank Den Haag geoordeeld dat het Uitvoeringsinstituut Werknemersverzekeringen (UWV) een schadevergoeding van € 500,- moet betalen vanwege een datalek. Het UWV stuurde brieven naar een verkeerd adres. Deze post bevatte onder andere medische gegevens met betrekking tot de arbeidsongeschiktheid van de betreffende vrouw.
De achtergrond van het geschil
In totaal stuurde het UWV vijf brieven naar het oude adres van de vrouw. De brieven bevatten informatie over haar psychische problemen en termijnen waaraan zij moest voldoen. Omdat ze die brieven niet ontving, overschreed ze de gestelde termijnen. Uiteindelijk ontving het UWV de brieven ongeopend retour.
Voorafgaand aan de rechtszaak hebben de partijen zelf nog geprobeerd een passende oplossing te vinden. Nadat de vrouw door het UWV op de hoogte was gesteld van het datalek vroeg zij het instituut om een schadevergoeding. Het UWV erkende aansprakelijk te zijn en bood een vergoeding van € 250,- aan.
Dat bedrag stond volgens de vrouw niet in verhouding tot de angsten die zij heeft doorstaan vanwege het datalek. Zij deed daarom een tegenvoorstel van € 3.000,- maar daarmee ging het UWV niet akkoord. De vrouw besloot naar de rechter te stappen.
De hoogte van de schadevergoeding
De vrouw onderbouwt haar vordering van € 3.000,- met een rapport van haar psycholoog. Daaruit volgt dat het datalek een belangrijke stressfactor is geweest die haar gezondheidstoestand negatief beïnvloedde en het herstel van haar arbeidsongeschiktheid belemmerde. Het overschrijden van de termijnen uit de brieven zorgde ervoor dat ze spanning en angst ervaarde bovenop haar bestaande psychiatrische klachten.
Volgens het UWV is de aangeboden schadevergoeding hoog genoeg, omdat de brieven ongeopend waren geretourneerd. De medische gegevens van de vrouw konden dus niet door een onbekende zijn ingezien. Ook is niet gebleken dat de gegevens door een onbekende zijn gebruikt.
Die laatstgenoemde omstandigheden wegen volgens de rechter niet zwaar. Dat later blijkt dat de brieven niet zijn geopend, doet namelijk niet af aan de angsten die de vrouw inmiddels al had doorstaan. De rechter oordeelt uiteindelijk dat een schadevergoeding van € 500,- passend is, met name vanwege de impact die het datalek heeft gehad op de psychische problemen van de vrouw.
Datalekken en immateriële schadevergoedingen
Beide partijen in deze zaak waren van mening dat de vrouw immateriële schade had geleden door het datalek en dat het UWV die schade moet vergoeden. De rechter hoefde daarom alleen te oordelen over de hoogte van de schadevergoeding.
Benieuwd naar de omstandigheden waarin een immateriële schadevergoeding kan worden toegekend aan slachtoffers van een datalek? Lees dan ook onze blog over immateriële schadevergoeding naar aanleiding van een datalek bij de Hogeschool Arnhem-Nijmegen.
Juridisch en strategisch advies bij een datalek
Bij een datalek komt veel kijken: denk aan communicatie (intern en/of extern), een melding bij de Autoriteit Persoonsgegevens en de afweging of sprake is van een hoog risico.
Kun je daarbij wel wat juridisch, strategisch en vooral praktisch advies gebruiken? Neem dan contact met ons op.