ABRvS, 02-02-2022, nr. 202004314/1/A3

202004314/1/A3.

Datum uitspraak: 2 februari 2022

AFDELING

BESTUURSRECHTSPRAAK

Uitspraak op de hoger beroepen van:

1.       Yards Deurwaardersdiensten B.V., gevestigd te Almere, [appellant sub 1A] en [appellant sub 1B] (hierna tezamen: Yards en anderen),

2.       Bureau Financieel Toezicht (hierna: het BFT), gevestigd te Utrecht,

appellanten,

tegen de uitspraak van de voorzieningenrechter van de rechtbank Midden­-Nederland (hierna: de rechtbank) van 23 juni 2020 in zaken nrs. 19/5568 en 20/1027 in het geding tussen:

Yards en anderen

en

het BFT.

Procesverloop

Bij brief van 12 december 2019 heeft het BFT aan Yards en anderen bericht dat geen aanleiding bestaat om een datalek te melden bij de Autoriteit Persoonsgegevens of andere maatregelen te treffen.

Bij besluit van 28 januari 2020 heeft het BFT het door Yards en anderen daartegen gemaakte bezwaar niet-ontvankelijk verklaard.

Bij uitspraak van 23 juni 2020 heeft de rechtbank, voor zover van belang, het van rechtswege ontstane beroep tegen het besluit van 28 januari 2020 gegrond verklaard, het besluit van 28 januari 2020 vernietigd en het BFT opgedragen een nieuw besluit op bezwaar te nemen. De rechtbank heeft zich bij die uitspraak onbevoegd verklaard om van het verzoek om schadevergoeding kennis te nemen. Deze uitspraak is aangehecht.

Tegen deze uitspraak hebben Yards en anderen hoger beroep ingesteld.

Het BFT heeft een schriftelijke uiteenzetting gegeven en incidenteel hoger beroep ingesteld.

Yards en anderen hebben een zienswijze op het incidenteel hoger beroep ingediend.

Bij besluit van 16 juli 2020 heeft het BFT opnieuw beslissend het bezwaar van Yards en anderen gegrond verklaard.

Yards en anderen hebben gronden ingediend tegen het besluit van 16 juli 2020.

Yards en anderen en het BFT hebben nadere stukken ingediend.

De Afdeling heeft de zaak ter zitting behandeld op 1 oktober 2021, waar Yards en anderen, vertegenwoordigd door mr. C.N. van der Sluis en mr. J.E. van der Holst, advocaten te Rotterdam, en [appellant sub 1A], en het BFT, vertegenwoordigd door mr. I.W. van der Heijden en mr T. Gillhaus, advocaten te Den Haag, en mr. E.B. Vernooij-Kruimel, zijn verschenen.

Overwegingen

Inleiding

1.       De tekst van de in deze uitspraak aangehaalde regelgeving is opgenomen in de bijlage. Die bijlage maakt deel uit van de uitspraak.

2.       Het BFT heeft aan een journalist de niet-geanonimiseerde versie van een beslissing van de kamer voor gerechtsdeurwaarders en de daarbij behorende aanbiedingsbrief gegeven. Deze beslissing is genomen naar aanleiding van een door het BFT ingediende klacht tegen Yards en anderen. Zij vinden dat het BFT de beslissing niet aan de journalist had mogen geven. Door dat wel te doen, is volgens Yards en anderen sprake van een datalek. Zij hebben daardoor schade geleden. In bezwaar hebben Yards en anderen daaraan toegevoegd dat de verstrekking van de beslissing in strijd is met meerdere regelingen.

Niet meer in geschil is dat het BFT de beslissing en de aanbiedingsbrief niet zo had mogen geven aan de journalist.

De vraag die in deze uitspraak wordt beantwoord, is hoe het verzoek van Yards en anderen moet worden geduid en of de reactie van het BFT daarop een besluit is waartegen rechtsmiddelen open staan. Verder komt aan de orde of de bestuursrechter bevoegd is te oordelen over hun verzoek om schadevergoeding.

Voordat aan deze inhoudelijke punten wordt toegekomen, oordeelt de Afdeling eerst over het verzoek voor zover dat is ingediend door Yards Deurwaardersdiensten B.V.

Vooraf

Kan Yards Deurwaardersdiensten B.V. de AVG inroepen?

3.       Het antwoord op deze vraag is nee. De reden daarvoor is dat Yards Deurwaardersdiensten B.V. geen natuurlijke persoon is. Alleen natuurlijke personen kunnen een verzoek op grond van de AVG, zoals in dit geval is gedaan, indienen. De Afdeling leidt dit af uit de definitie van het begrip ‘persoonsgegevens’ van artikel 4, aanhef en onder 1, van de AVG. Daarin staat dat een persoonsgegeven alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene") is. Alleen de betrokkene kan de rechten, genoemd in Hoofdstuk III van de AVG, inroepen. Dit wordt bevestigd in overweging 14 van de preambule bij de AVG. Dat luidt: "De bescherming die door deze verordening wordt geboden, heeft betrekking op natuurlijke personen, ongeacht hun nationaliteit of verblijfplaats, in verband met de verwerking van hun persoonsgegevens. Deze verordening heeft geen betrekking op de verwerking van gegevens over rechtspersonen en met name als rechtspersonen gevestigde ondernemingen, zoals de naam en de rechtsvorm van de rechtspersoon en de contactgegevens van de rechtspersoon." Ook alleen een natuurlijke persoon kan op grond van de AVG vervolgens verzoeken om schadevergoeding als sprake is van een inbreuk op de AVG.

Het BFT had dus Yards Deurwaardersdiensten B.V. moeten laten weten dat om die reden geen gehoor zal worden gegeven aan haar verzoek. Omdat het verzoek mede door de natuurlijke personen [appellant sub 1A] en [appellant sub 1B] (hierna: [appellanten sub 1]) is ingediend en zij wel een beroep kunnen doen op de AVG, zal de Afdeling in dit geval hieraan geen gevolgen verbinden.

Aangevallen uitspraak

4.       De rechtbank heeft geoordeeld dat het BFT de gegevens van [appellanten sub 1] onrechtmatig heeft verwerkt door de aanbiedingsbrief en de niet-geanonimiseerde beslissing van de kamer voor gerechtsdeurwaarders aan de journalist te geven. Het besluit op het door [appellanten sub 1] daartegen gemaakte bezwaar is volgens de rechtbank een besluit als bedoeld in artikel 21, eerste lid, van de Algemene Verordening Gegevensverwerking (EU) 2016/679 (hierna: de AVG). Gelet op artikel 34 van de Uitvoeringswet AVG is dat een besluit in de zin van artikel 1:3 van de Algemene wet bestuursrecht (hierna: de Awb) waartegen bezwaar kan worden gemaakt. Het BFT heeft dus ten onrechte het bezwaar van [appellanten sub 1] niet-ontvankelijk verklaard, aldus de rechtbank.

Over het verzoek om schadevergoeding heeft de rechtbank geoordeeld dat zij niet bevoegd is daarover te oordelen omdat de gevorderde schade in totaal meer is dan € 25.000,00.

Incidenteel hoger beroep van het BFT

Is de reactie van het BFT een besluit?

5.       Het BFT heeft incidenteel hoger beroep ingesteld. Het BFT betwist dat zijn reactie op het verzoek van [appellanten sub 1] om bij de AP het gestelde datalek te melden een besluit is als bedoeld in de Awb. Als de reactie van het BFT geen besluit is als bedoeld in artikel 1:3 van de Awb, kunnen daartegen geen bestuursrechtelijke rechtsmiddelen worden aangewend. Omdat dit over een aspect van de ontvankelijkheid gaat, zal de Afdeling het incidenteel hoger beroep eerst bespreken.

6.       Het BFT betoogt dat de rechtbank ten onrechte heeft geoordeeld dat het bezwaar van [appellanten sub 1] ontvankelijk had moeten worden verklaard omdat het bezwaarschrift als een bezwaar in de zin van artikel 21, eerste lid, van de AVG moet worden aangemerkt. Het BFT voert aan dat dat artikellid niet van toepassing is omdat de verstrekking van de beslissing van de gegevens aan de journalist niet is gebaseerd op één van de verwerkingsgrondslagen van artikel 6, eerste lid, aanhef en onder e of f, van de AVG.

De reactie van het BFT is volgens hem ook geen besluit op grond van de Wet openbaarheid van bestuur (hierna: de Wob). Het BFT heeft niet uit eigen beweging de gegevens verstrekt en de journalist heeft ook geen verzoek op grond van de Wob gedaan.

Tot slot betoogt het BFT dat zijn reactie ook geen besluit als bedoeld in de Awb is in verband met het verzoek om schadevergoeding. De gestelde schade wordt namelijk niet veroorzaakt door een besluit als bedoeld in de artikelen 15 tot en met 22 van de AVG. Daarom is niet de bestuursrechter bevoegd maar de civiele rechter.

- de AVG

7.       Wat de AVG betreft is de reactie van het BFT alleen een besluit, waartegen bij de bestuursrechter kan worden opgekomen, als die kan worden aangemerkt als een beslissing op een verzoek als bedoeld in artikel 15 tot en met 22 van de AVG. Dat volgt uit artikel 34 van de Uitvoeringswet AVG.

Artikel 21 van de AVG heeft als titel recht op bezwaar. Dat recht op bezwaar moet worden onderscheiden van het maken van bezwaar als bedoeld in artikel 6:4, eerste lid, van de Awb. Een beslissing van de verwerkingsverantwoordelijke op een verzoek om toepassing van artikel 21, eerste lid, van de AVG is een besluit waartegen bezwaar als bedoeld in de Awb openstaat. Artikel 21 van de AVG bevat het recht van een betrokkene om te verzoeken een verwerking gebaseerd op artikel 6, eerste lid, aanhef en onder e of f, van de AVG te staken in verband met hem betreffende bijzondere omstandigheden.

Zoals het BFT terecht betoogt kan alleen een beroep op artikel 21 van de AVG worden gedaan in het geval de verwerking plaatsvindt op grond van de genoemde onderdelen van artikel 6 van de AVG. Onbestreden is dat dat niet de grondslag is geweest voor het geven van de beslissing en de aanbiedingsbrief aan de journalist. In dit geval is namelijk niet meer in geschil dat voor de verwerking geen grondslag was.

7.1.    [appellanten sub 1] betogen dat hun verzoek als een verzoek om inzage, als bedoeld in artikel 15, eerste lid, van de AVG, moet worden aangemerkt. Zij wijzen daarbij in het bijzonder op onderdeel e van dat artikel. Ingevolge artikel 15, eerste lid, aanhef, van de AVG heeft de betrokkene kortgezegd het recht om te weten of hem betreffende persoonsgegevens worden verwerkt. Het verzoek van [appellanten sub 1] houdt in dat het BFT ervoor zorg moet dragen het datalek te melden aan de AP en dat het BFT ervoor moet zorgen dat de journalist of andere betrokkenen niet langer gebruik kunnen of zullen maken van de gelekte informatie. Gezien deze bewoordingen kan dit verzoek niet als een verzoek om inzage worden geduid. Ook niet voor zover in artikel 15, eerste lid, aanhef en onder e, van de AVG het recht op bezwaar wordt genoemd. Dit artikeldeel houdt slechts in dat de verwerkingsverantwoordelijke niet alleen inzicht moet verschaffen in de persoonsgegevens die hij van de betrokkene verwerkt, maar ook de betrokkene informatie moet geven over onder meer zijn recht op bezwaar als bedoeld in artikel 21 AVG. Het artikeldeel bevat dus niet een zelfstandige grondslag voor het nemen van een besluit.

De rechtbank heeft ten onrechte overwogen dat het besluit op bezwaar van 28 januari 2020 een besluit is als bedoeld in artikel 21, eerste lid, van de AVG.

[appellanten sub 1] hebben ter zitting in hoger beroep bevestigd dat hun verzoek om rectificatie van de onrechtmatig openbaargemaakte informatie niet een verzoek om rectificatie als bedoeld in artikel 16 van de AVG is. De Afdeling volgt hen in dat standpunt. Dat artikel voorziet in de mogelijkheid om onjuiste of onvolledige persoonsgegevens te rectificeren of aan te vullen. Niet in geschil is dat de verstrekte persoonsgegevens in dit geval juist zijn.

Naar het oordeel van de Afdeling bestaat geen grond voor het oordeel dat één van de overige relevante artikelen van de AVG in dit geval van toepassing is. Nu [appellanten sub 1] geen beroep hebben gedaan op deze artikelen, zal de Afdeling ze niet afzonderlijk behandelen.

8.       Naar aanleiding van wat [appellanten sub 1] hebben aangevoerd, zal de Afdeling beoordelen of de reactie van het BFT op het verzoek van [appellanten sub 1] op grond van een andere wet een besluit is waartegen bezwaar en beroep bij de bestuursrechter openstaat.

- de Wob

9.       De Afdeling is van oordeel dat het BFT aannemelijk heeft gemaakt dat de journalist geen verzoek op grond van de Wob heeft ingediend en dat daarom geen sprake is van zogenoemde passieve openbaarmaking. De reden daarvoor is dat de journalist om de beslissing heeft gevraagd bij het BFT om de informatie daaruit te gebruiken voor het artikel dat hij schreef. Niet aannemelijk is dat de journalist de beslissing zelf openbaar wilde maken voor een ieder.

De informatie is naar het oordeel van de Afdeling ook niet uit eigen beweging door het BFT openbaar gemaakt voor een ieder.

De Afdeling is van oordeel dat er dus geen besluit op grond van de Wob is.

- de Wet bescherming bedrijfsgeheimen

10.     De Wet bescherming bedrijfsgeheimen is bedoeld om bedrijfsgeheimen beter te beschermen tegen concurrenten en ziet niet op publiekrechtelijke rechtshandelingen. Voor zover [appellanten sub 1] een beroep hebben gedaan op deze wet, slaagt dat betoog al om die reden niet.

- Conclusie incidenteel hoger beroep

11.     Anders dan de rechtbank is de Afdeling van oordeel dat de reactie van het BFT op het verzoek van [appellanten sub 1] om het datalek te melden geen besluit is. Het BFT heeft het daartegen gemaakte bezwaar van [appellanten sub 1] daarom terecht niet-ontvankelijk verklaard.

12.     Het incidenteel hoger beroep is gegrond. De aangevallen uitspraak moet worden vernietigd voor zover de rechtbank het beroep gegrond heeft verklaard, het besluit op bezwaar heeft vernietigd en het BFT heeft opgedragen een nieuw besluit te nemen op het bezwaar. Doende hetgeen de rechtbank zou behoren te doen, zal de Afdeling het beroep van [appellanten sub 1] tegen de niet-ontvankelijkverklaring van hun bezwaar alsnog ongegrond verklaren.

Hoger beroep van [appellanten sub 1]

13.     Aan de bespreking van het hoger beroep van [appellanten sub 1] wordt niet toegekomen voor zover het niet om hun verzoek om schadevergoeding gaat.

Is de bestuursrechter bevoegd om over de schadevergoeding te oordelen?

14.     Anders dan de rechtbank is de Afdeling van oordeel dat de bestuursrechter in dit geval bevoegd is te oordelen over het verzoek om schadevergoeding.

14.1.  In het verlengde van de uitspraak van 1 april 2020, ECLI:NL:RVS:2020:898, overweegt de Afdeling dat degene die op grond van artikel 82 van de AVG aanspraak stelt te maken op vergoeding van schade die het gevolg is van het onrechtmatig verwerken van persoonsgegevens door een bestuursorgaan, overeenkomstig artikel 8:88 van de Awb, keuzevrijheid heeft om zijn verzoek aan de bestuursrechter voor te leggen dan wel zijn aanspraak op schadevergoeding via de civielrechtelijke weg te realiseren. Voor indiening van zo’n verzoek is het niet nodig dat de betrokkene eerst een beroep heeft gedaan op zijn rechten genoemd in hoofdstuk III van de AVG. De Afdeling merkt daarbij op dat als het verzoek een hoger bedrag dan € 25.000,00 betreft, toepassing van artikel 8:88 Awb met zich brengt dat in dat geval de burgerlijke rechter exclusief bevoegd is om van een dergelijk verzoek kennis te nemen.

14.2.  Het BFT is een bestuursorgaan. Niet in geschil is dat het BFT de niet-geanonimiseerde versie van een beslissing van de kamer voor gerechtsdeurwaarders en de daarbij behorende aanbiedingsbrief niet had mogen geven aan de journalist. Deze handeling van het BFT is een inbreuk op de bescherming van de persoonsgegevens van [appellanten sub 1].

De hoogte van de schadevergoeding die [appellanten sub 1] hebben gevraagd, is volgens de Afdeling niet boven de bevoegdheidsgrens voor de bestuursrechter. Voor de bevoegdheidsgrens is namelijk van belang wat de hoogte van de vordering per persoon is. [appellanten sub 1] hebben gesteld dat zij € 151.489,00 respectievelijk € 9.880,00 aan materiële schade en ieder € 15.000,00 aan immateriële schade hebben geleden, maar hun vorderingen uitdrukkelijk beperkt tot € 25.000,00 per persoon. In een nadere brief aan de rechtbank hebben zij de immateriële schade nader gemotiveerd naar aanleiding van de hiervoor genoemde uitspraak van de Afdeling van 1 april 2020. Zij hebben daarin de eerdere beperking van de vordering tot € 25.000,00 per persoon niet ingetrokken. De rechtbank heeft ten onrechte de vorderingen van [appellanten sub 1] bij elkaar opgeteld en geoordeeld dat de totaal gevorderde schade boven de bevoegdheidsgrens uitstijgt. Anders dan de rechtsbank heeft overwogen, is de bestuursrechter in dit geval wel bevoegd om over het verzoek om schadevergoeding te oordelen.

Conclusie hoger beroep

15.     Het hoger beroep van [appellanten sub 1] is gegrond. De aangevallen uitspraak moet ook worden vernietigd voor zover de rechtbank zich onbevoegd heeft verklaard om te oordelen over de schadevergoeding. Doende hetgeen de rechtbank zou behoren te doen, zal de Afdeling de beroepsgronden van [appellanten sub 1] beoordelen tegen de afwijzing van het verzoek om schadevergoeding.

Moet het verzoek om schadevergoeding worden toegewezen?

16.     De door [appellanten sub 1] gestelde materiële schade bestaat uit kosten voor externe bijstand in verband met het beoordelen van het conceptartikel van de journalist en communicatie met de AP en het BFT, de tijd van [appellanten sub 1] en anderen van het bedrijf en gederfde inkomsten van de aandeelhouders vanwege de misgelopen verkoop van Yards Deurwaardersdiensten B.V. als gevolg van het artikel van de journalist. Naar het oordeel van de Afdeling hebben [appellanten sub 1] niet aannemelijk gemaakt dat deze kosten het gevolg zijn van de onrechtmatige verwerking van hun namen. Het BFT heeft zich dus terecht op het standpunt gesteld dat deze materiële schade niet voor vergoeding in aanmerking komt.

17.     Voor de beoordeling van een verzoek om vergoeding van immateriële schade wordt, volgens vaste jurisprudentie van de Afdeling (zie bijvoorbeeld de uitspraak van 25 augustus 2010, ECLI:NL:RVS:2010:BN4952), aansluiting gezocht bij het civiele schadevergoedingsrecht. Zoals de Afdeling in de eerder genoemde uitspraak van 1 april 2020 heeft overwogen, is dat ook zo voor de beoordeling van de immateriële schade op basis van artikel 82 van de AVG. Van deze aantasting is in ieder geval sprake indien de benadeelde partij geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Ook als het bestaan van geestelijk letsel niet kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van aantasting in zijn persoon ‘op andere wijze’ als bedoeld in artikel 6:106, aanhef en onder b, BW sprake is. In dat geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon ‘op andere wijze’ als bedoeld in artikel 6:106, aanhef en onder b, BW is niet reeds sprake bij de enkele schending van een fundamenteel recht. (Zie de arresten van de Hoge Raad van 15 maart 2019, ECLI:NL:HR:2019:376, r.o.4.2.2, van 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5. en van 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.2.).

Het BFT betoogt terecht dat [appellanten sub 1] niet aannemelijk hebben gemaakt dat zij geestelijk letsel hebben opgelopen. Ook hebben [appellanten sub 1] niet met concrete gegevens onderbouwd dat ondanks dat het bestaan van geestelijk letsel niet kan worden aangenomen toch sprake is van aantasting van hun persoon omdat de aard en ernst van de normschending zodanig zijn. Daarvoor is van belang dat de uitspraak van de tuchtrechter geanonimiseerd openbaar is voor een ieder en dat alleen de namen van [appellanten sub 1] en van hun bedrijf ten onrechte zijn verstrekt aan de journalist. Bovendien heeft het BFT de journalist voor publicatie van het artikel verzocht deze persoonsgegevens niet te gebruiken en heeft de journalist hun namen niet vermeld in het gepubliceerde artikel. De aard en de ernst van de normschending brengen ook niet mee dat de nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen dat sprake is van aantasting van de persoon. [appellanten sub 1] hebben dus niet aannemelijk gemaakt dat het doorgeven van de niet-geanonimiseerde versie van de uitspraak en de daarbij behorende aanbiedingsbrief hebben geleid tot de aantasting van hun persoon en dat de gevolgen van de inbreuk hen rechtstreeks hebben getroffen.

Conclusie schadevergoeding

18.     De Afdeling zal het verzoek om schadevergoeding afwijzen.

Beroep van rechtswege

Nieuwe besluit op bezwaar

19.     Het BFT heeft de opdracht van de rechtbank uitgevoerd en op 16 juli 2020 een nieuw besluit op bezwaar genomen. Dit besluit wordt, gelet op artikel 6:24 van de Awb, gelezen in samenhang met artikel 6:19, eerste lid, van de Awb, van rechtswege geacht onderwerp te zijn van dit geding.

Conclusie beroep van rechtswege

20.     Omdat dit besluit stoelt op de aangevallen uitspraak en de aangevallen uitspraak door de Afdeling wordt vernietigd, is de grondslag van dit nieuwe besluit op bezwaar komen te vervallen. Het nieuwe besluit op bezwaar moet worden vernietigd. Aan de behandeling van de door [appellanten sub 1] tegen dit besluit aangevoerde gronden komt de Afdeling niet toe.

Proceskosten

21.     Het BFT moet de proceskosten vergoeden.

22.     [appellanten sub 1] hebben verzocht om vergoeding van de werkelijk gemaakte kosten van het geding.

22.1.  Dit verzoek honoreert de Afdeling niet.

Indien zich bijzondere omstandigheden voordoen, kan op grond van artikel 2, derde lid, van het Besluit proceskosten bestuursrecht van het forfaitaire stelsel worden afgeweken. Dat kan als het gaat om een uitzonderlijk geval, waarin strikte toepassing van het forfaitaire vergoedingsstelsel onrechtvaardig uitpakt, bijvoorbeeld een geval waarin de burger door gebrekkige informatieverstrekking door de overheid op uitzonderlijk hoge kosten voor het verzamelen van het benodigde feitenmateriaal is gejaagd. Daarvan is naar het oordeel van de Afdeling in dit geval geen sprake. De correspondentie die er is geweest met het BFT en de Autoriteit Persoonsgegevens was niet buitensporig. Het feit dat het BFT, naar in beroep is geoordeeld, ten onrechte het bezwaar niet-ontvankelijk heeft verklaard, is geen bijzondere omstandigheid in de zin van artikel 2, derde lid, van het Besluit. Dat het BFT bewust onzorgvuldig heeft gehandeld, hebben [appellanten sub 1] niet aannemelijk gemaakt. Zij hebben ook niet aannemelijk gemaakt dat de handelwijze en besluitvorming van het BFT hen dwongen tot het inroepen van rechtshulp waar een uitzonderlijke tijdsbesteding mee was gemoeid.

Beslissing

De Afdeling bestuursrechtspraak van de Raad van State:

I.        verklaart het incidenteel hoger beroep van het Bureau Financieel Toezicht gegrond;

II.       verklaart het hoger beroep van [appellant sub 1A] en [appellant sub 1B] gegrond;

III.      vernietigt de uitspraak van de rechtbank Midden­Nederland van 23 juni 2020 in zaak nr. 19/5568 en 20/1027;

IV.      verklaart het beroep van [appellant sub 1A] en [appellant sub 1B] tegen het besluit op bezwaar van 28 januari 2020 ongegrond;

V.       vernietigt het besluit op bezwaar van 16 juli 2020;

VI.      wijst het verzoek om schadevergoeding af;

VII.     veroordeelt het Bureau Financieel Toezicht tot vergoeding van bij [appellant sub 1A] en [appellant sub 1B] in verband met de behandeling van het hoger beroep opgekomen proceskosten tot een bedrag van € 1.518,00, geheel toe te rekenen aan door een derde beroepsmatig verleende rechtsbijstand;

VIII.    bepaalt dat het Bureau Financieel Toezicht het door [appellant sub 1A] en [appellant sub 1B] voor de behandeling van het hoger beroep betaalde griffierecht ten bedrage van € 532,00 vergoedt.

Aldus vastgesteld door mr. A.W.M. Bijloos, voorzitter, en mr. C.M. Wissels en mr. J.M.L. Niederer, leden, in tegenwoordigheid van mr. S.C. van Tuyll van Serooskerken, griffier.

De voorzitter is verhinderd de uitspraak te ondertekenen.

De griffier is verhinderd de uitspraak te ondertekenen.

Uitgesproken in het openbaar op 2 februari 2022

BIJLAGE

AVG

Artikel 4

Definities

Voor de toepassing van deze verordening wordt verstaan onder:

1)       „persoonsgegevens": alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

Artikel 15

Recht van inzage van de betrokkene

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

a)       de verwerkingsdoeleinden;

b)       de betrokken categorieën van persoonsgegevens;

c)       de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

d)       indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

e)       dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

f)        dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

g)       wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

h)       het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 16

Recht op rectificatie

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.

Artikel 17

Recht op gegevenswissing („recht op vergetelheid")

1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

a)       de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;

b)       de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;

c)       de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;

d)       de persoonsgegevens zijn onrechtmatig verwerkt;

e)       de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

f)        de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.

2. Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en overeenkomstig lid 1 verplicht is de persoonsgegevens te wissen, neemt hij, rekening houdend met de beschikbare technologie en de uitvoeringskosten, redelijke maatregelen, waaronder technische maatregelen, om verwerkingsverantwoordelijken die de persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene de verwerkingsverantwoordelijken heeft verzocht om iedere koppeling naar, of kopie of reproductie van die persoonsgegevens te wissen.

3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:

a)       voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;

b)       voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;

c)       om redenen van algemeen belang op het gebied van volksgezondheid overeenkomstig artikel 9, lid 2, punten h) en i), en artikel 9, lid 3;

d)       met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen;

e)       voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

Artikel 18

Recht op beperking van de verwerking

1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

a)       de juistheid van de persoonsgegevens wordt betwist door de betrokkene, gedurende een periode die de verwerkingsverantwoordelijke in staat stelt de juistheid van de persoonsgegevens te controleren;

b)       de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;

c)       de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;

d)       de betrokkene heeft overeenkomstig artikel 21, lid 1, bezwaar gemaakt tegen de verwerking, in afwachting van het antwoord op de vraag of de gerechtvaardigde gronden van de verwerkingsverantwoordelijke zwaarder wegen dan die van de betrokkene.

2. Wanneer de verwerking op grond van lid 1 is beperkt, worden persoonsgegevens, met uitzondering van de opslag ervan, slechts verwerkt met toestemming van de betrokkene of voor de instelling, uitoefening of onderbouwing van een rechtsvordering of ter bescherming van de rechten van een andere natuurlijke persoon of rechtspersoon of om gewichtige redenen van algemeen belang voor de Unie of voor een lidstaat.

3. Een betrokkene die overeenkomstig lid 1 een beperking van de verwerking heeft verkregen, wordt door de verwerkingsverantwoordelijke op de hoogte gebracht voordat de beperking van de verwerking wordt opgeheven.

Artikel 19

Kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking

De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, artikel 17, lid 1, en artikel 18, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt.

Artikel 20

Recht op overdraagbaarheid van gegevens

1. De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt, indien:

a)       de verwerking berust op toestemming uit hoofde van artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), of op een overeenkomst uit hoofde van artikel 6, lid 1, punt b); en

b)       de verwerking via geautomatiseerde procedés wordt verricht.

2. Bij de uitoefening van zijn recht op gegevensoverdraagbaarheid uit hoofde van lid 1 heeft de betrokkene het recht dat de persoonsgegevens, indien dit technisch mogelijk is, rechtstreeks van de ene verwerkingsverantwoordelijke naar de andere worden doorgezonden.

3. De uitoefening van het in lid 1 van dit artikel bedoelde recht laat artikel 17 onverlet. Dat recht geldt niet voor de verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend.

4. Het in lid 1 bedoelde recht doet geen afbreuk aan de rechten en vrijheden van anderen.

Artikel 21

Recht van bezwaar

1. De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.

2. Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.

3. Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.

4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

5. In het kader van het gebruik van diensten van de informatiemaatschappij, en niettegenstaande Richtlijn 2002/58/EG, mag de betrokkene zijn recht van bezwaar uitoefenen via geautomatiseerde procedés waarbij wordt gebruikgemaakt van technische specificaties.

6. Wanneer persoonsgegevens overeenkomstig artikel 89, lid 1, met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt, heeft de betrokkene het recht om met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang.

Artikel 22

Geautomatiseerde individuele besluitvorming, waaronder profilering

1. De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2. Lid 1 geldt niet indien het besluit:

a)       noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;

b)       is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of

c)       berust op de uitdrukkelijke toestemming van de betrokkene.

3. In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.

4. De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.

Artikel 82

1. Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

2. Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld.

3. Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.

4. Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en overeenkomstig de leden 2 en 3 verantwoordelijk zijn voor schade die door verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed.

5. Wanneer een verwerkingsverantwoordelijke of verwerker de schade overeenkomstig lid 4 geheel heeft vergoed, kan deze verwerkingsverantwoordelijke of verwerker op andere verwerkingsverantwoordelijken of verwerkers die bij de verwerking waren betrokken, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade, overeenkomstig de in lid 2 gestelde voorwaarden.

6. Gerechtelijke procedures voor het uitoefenen van het recht op schadevergoeding worden gevoerd voor de in artikel 79, lid 2, bedoelde lidstaatrechtelijk bevoegde gerechten.

UAVG

Artikel 34

Een schriftelijke beslissing op een verzoek als bedoeld in de artikelen 15 tot en met 22 van de verordening wordt genomen binnen de in artikel 12, derde lid, van de verordening genoemde termijnen en geldt, voor zover deze is genomen door een bestuursorgaan, als een besluit in de zin van de Algemene wet bestuursrecht.

Burgerlijk Wetboek

Artikel 6:106

Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:

a. […];

b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;

c. […].