ECLI:NL:RBAMS:2025:4192

Uitspraak

vonnis

RECHTBANK AMSTERDAM

afdeling privaatrecht

zaaknummer / rolnummer: C/13/731682 / HA ZA 23-329

Vonnis van 18 juni 2025

in de zaak van

de stichting

STICHTING INITIATIEVEN COLLECTIEVE ACTIES MASSASCHADE ICAM,

gevestigd te Amsterdam,

eiseres in de hoofdzaak, eiseres in het (deels voorwaardelijke) incident,

advocaat mr. K.E.L. van Haastrecht te Amsterdam,

tegen

1. de publiekrechtelijke rechtspersoon

STAAT DER NEDERLANDEN (Ministerie van Volksgezondheid, Welzijn en Sport),

zetelend te Den Haag,

gedaagde in de hoofdzaak, gedaagde in het (deels voorwaardelijke) incident,

advocaat mr. G.J. Zwenne te Den Haag,

2. de vereniging

PUBLIEKE GEZONDHEID EN VEILIGHEID NEDERLAND,

gevestigd te Utrecht,

3. de stichting

STICHTING PROJECTENBUREAU PUBLIEKE GEZONDHEID EN VEILIGHEID NEDERLAND,

gevestigd te Utrecht,

5. de stichting

STICHTING LANDELIJKE COÖRDINATIE COVID-19 BESTRIJDING,

gevestigd te Utrecht,

gedaagden in de hoofdzaak, gedaagden in het (deels voorwaardelijke) incident,

advocaat mr. E.P.M. Thole te Amsterdam,

7. de publiekrechtelijke rechtspersoon

GGD BRABANT-ZUIDOOST,

zetelend te Eindhoven,

8. de publiekrechtelijke rechtspersoon

DIENST GEZONDHEID & JEUGD ZUID-HOLLAND ZUID,

zetelend te Dordrecht,

9. de publiekrechtelijke rechtspersoon

GGD DRENTHE,

zetelend te Assen,

10. de publiekrechtelijke rechtspersoon

GGD FLEVOLAND,

zetelend te Lelystad,

11. de publiekrechtelijke rechtspersoon

VEILIGHEIDSREGIO FRYSLÂN,

zetelend te Leeuwarden,

12. de publiekrechtelijke rechtspersoon

VEILIGHEIDS- EN GEZONDHEIDSREGIO GELDERLAND-MIDDEN (VGGM),

zetelend te Arnhem,

13. de publiekrechtelijke rechtspersoon

GGD GELDERLAND-ZUID,

zetelend te Nijmegen,

15. de publiekrechtelijke rechtspersoon

GGD GRONINGEN,

zetelend te Groningen,

16. de publiekrechtelijke rechtspersoon

GEMEENSCHAPPELIJKE REGELING GEMEENTELIJKE GEZONDHEIDSDIENST EN VEILIG THUIS HAAGLANDEN,

zetelend te Den Haag,

17. de publiekrechtelijke rechtspersoon

GGD HART VOOR BRABANT,

zetelend te 's-Hertogenbosch,

18. de publiekrechtelijke rechtspersoon

REGIONALE DIENST OPENBARE GEZONDHEIDZORG HOLLANDS MIDDEN,

zetelend te Leiden,

19. de publiekrechtelijke rechtspersoon

GEMEENTELIJKE GEZONDHEIDSDIENST HOLLANDS NOORDEN,

zetelend te Alkmaar,

20. de publiekrechtelijke rechtspersoon

GGD IJSSELLAND,

zetelend te Zwolle,

21. de publiekrechtelijke rechtspersoon

VEILIGHEIDSREGIO KENNEMERLAND,

zetelend te Haarlem,

22. de publiekrechtelijke rechtspersoon

VEILIGHEIDSREGIO LIMBURG-NOORD,

zetelend te Venlo,

23. de publiekrechtelijke rechtspersoon

GGD NOORD- EN OOST-GELDERLAND,

zetelend te Apeldoorn,

24. de publiekrechtelijke rechtspersoon

GGD REGIO UTRECHT,

zetelend te Zeist,

25. de publiekrechtelijke rechtspersoon

GGD ROTTERDAM-RIJNMOND,

zetelend te Rotterdam,

26. de publiekrechtelijke rechtspersoon

SAMENTWENTE,

zetelend te Enschede,

27. de publiekrechtelijke rechtspersoon

GGD WEST-BRABANT,

zetelend te Breda,

28. de publiekrechtelijke rechtspersoon

GGD ZAANSTREEK-WATERLAND,

zetelend te Zaandam,

29. de publiekrechtelijke rechtspersoon

GEMEENTELIJKE GEZONDHEIDSDIENST ZEELAND,

zetelend te Goes,

30. de publiekrechtelijke rechtspersoon

GEMEENTELIJKE GEZONDHEIDSDIENST ZUID-LIMBURG,

zetelend te Heerlen,

gedaagden in de hoofdzaak, gedaagden in het (deels voorwaardelijke) incident,

advocaat mr. B.J.P.G. Roozendaal te Breda.

De in de dagvaarding opgenomen nummering van de gedaagden is aangehouden. Zoals uit het voorgaande blijkt, worden de gedaagden jegens wie ICAM in het tussenvonnis van 17 juli 2024, ECLI:NL:RBAMS:2024:4264 (hierna: het tussenvonnis) in haar vorderingen niet-ontvankelijk is verklaard niet langer vermeld.

De oorspronkelijke gedaagde sub 4, Stichting verenigingsbureau publieke gezondheid en veiligheid Nederland, gevestigd te Utrecht, is volgens mededeling van de gedaagden sub 2 tot en met 5 op 1 januari 2025 gefuseerd met de gedaagde sub 2 en wordt daarom niet meer als gedaagde vermeld.

Eiseres zal hierna ICAM genoemd worden. Gedaagde sub 1 zal hierna de Staat genoemd worden. Gedaagden sub 2, 3 en 5 zullen hierna gezamenlijk GGD GHOR genoemd worden. Gedaagden sub 7 tot en met 13 en sub 15 tot en met 30 zullen hierna gezamenlijk de GGD’en c.s. worden genoemd.

1.De procedure

1.1.

Na het tussenvonnis heeft de rechtbank ontvangen:

- een akte uitlating belang, tevens houdende verzoek tot heroverweging, van ICAM;

- een akte houdende overlegging bewijsstukken, met producties, van de Staat;

- een akte uitlating vorderingen onder J. als bedoeld in het tussenvonnis (opt-in/opt-out), van de Staat;

- een akte overlegging nadere producties en uitlating opt-out/opt-in, met producties, van GGD GHOR;

- een akte uitlating opt-out/opt-in, van de GGD’en c.s.

De rechtbank heeft bij rolbeslissing van 19 maart 2025, ECLI:NL:RBAMS:2025:315, het verzoek van ICAM tot heroverweging afgewezen. Vervolgens heeft de rechtbank ontvangen:

- een antwoordakte van ICAM;

- een antwoordakte van de Staat;

- een antwoordakte van GGD GHOR;

- een antwoordakte van de GGD’en c.s.;

- een brief van ICAM van 13 mei 2025 met het verzoek tot het bepalen van een mondelinge behandeling,

- een brief van gedaagden van 13 mei 2025 met een reactie op genoemde brief van ICAM.

1.2.

Ten slotte heeft de rechtbank bepaald dat vandaag vonnis wordt gewezen.

2.De beoordeling

In de hoofdzaak

De gevraagde mondelinge behandeling

2.1.

De rechtbank heeft ICAM in het tussenvonnis ontvankelijk verklaard in de vorderingen K. en L. De rechtbank heeft ICAM bevolen op de voet van artikel 22 Wetboek van Burgerlijke Rechtsvordering (Rv) bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV, inhoudende verklaringen voor recht dat (verwerkingsverantwoordelijke) gedaagden in strijd handel(d)en met onder meer diverse bepalingen uit het EVRM, het Handvest en de AVG en jegens de gedupeerden onrechtmatig handel(d)en op grond van artikel 6:162 BW en dat deze gedaagden op grond van artikel 82 AVG en/of artikel 6:162 BW hoofdelijk aansprakelijk zijn voor alle door het GGD-datalek veroorzaakte schade, en toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waaruit dat blijkt.

2.2.

ICAM heeft in haar akte gesteld dat het belang bij de vorderingen onder K. nog altijd aanwezig is. Gedupeerden kunnen (na opt-out) bij toewijzing van de gevraagde verklaringen voor recht in een eigen procedure tegen de Staat c.s. hun materiële en immateriële schade verhalen en daarbij is het efficiënt als de onrechtmatigheid al in een collectieve procedure is vastgesteld. Daarbij is volgens ICAM voldoende dat de gestelde privacy schendingen onder bepaalde omstandigheden tot materiële en/of immateriële schade (kunnen) hebben geleid.^[1]

ICAM stelt dat zij ook nog belang heeft bij haar vorderingen onder L., omdat GGD GHOR weliswaar stelt dat HPZone Lite inmiddels niet meer in gebruik is, maar dat niet nader onderbouwt. HPZone wordt nog steeds gebruikt voor de algemene infectieziekten bestrijding. Volgens ICAM is er nog altijd een groot (privacy)risico en is dat ook niet automatisch weggenomen door de vervanging van HPZone (Lite) door GGD Contact.

2.3.

Gedaagden betwisten dat ICAM belang heeft bij de vorderingen waarin zij ontvankelijk is verklaard.

De Staat voert daartoe aan dat de aansprakelijkheidsvraag zich niet in algemene zin laat beantwoorden, gezien de brede opzet van de gevraagde verklaringen voor recht.

GGD GHOR stelt dat het gestelde belang van ICAM bij de gevorderde verklaringen voor recht nu is het voor individuen in de toekomst eenvoudiger te maken om alsnog schadevergoeding te vorderen, maar dat de WAMCA-procedure daar niet voor is bedoeld. Ook stelt zij dat GGD Contact pas een tijd na de datadiefstal in gebruik was genomen, dat GGD GHOR daarvan geen verwerkingsverantwoordelijke is geweest en dat de data in GGD Contact al enige tijd geleden is vernietigd en dat dit systeem niet meer in gebruik is. HPZone is een systeem van de GGD’en, dat zij al voor de COVID-19 pandemie in gebruik hadden, GGD GHOR had en heeft geen toegang tot de gegevens in HPZone. Ook meent zij dat hier van een vermeerdering van eis sprake is, waartegen zij zich verzet.

De GGD’en c.s. stellen dat ICAM het belang bij een verklaring voor recht onvoldoende heeft toegelicht, omdat toewijzing van die verklaring voor recht er nog niet toe leidt dat gedupeerden op eenvoudige wijze een recht op schadevergoeding geldend zouden kunnen maken, ICAM heeft geen aandacht besteed aan de relativiteit. Ook is van belang dat de GGD’en beschikken over verschillende taken en bevoegdheden. Wat de gevorderde verklaring voor recht dat gedaagden aansprakelijk zijn betreft, geldt dat ICAM niet heeft toegelicht welk belang zij heeft bij voortzetting van de procedure jegens de GGD’en c.s.. De GGD’en c.s. menen dat dit belang ontbreekt.

2.4.

Bij brief van 13 mei 2025 heeft ICAM verzocht een mondelinge behandeling te bevelen over de vragen waarover partijen een akte hebben genomen, te weten:

- de vraag in hoeverre ICAM nog belang heeft bij haar vorderingen K.II t/m K.IV,

- de vraag of de Staat aangemerkt moet worden als verwerkingsverantwoordelijke,

- de vraag of er een mogelijkheid tot opt-in/opt-out gegeven moet worden.

ICAM heeft haar belang bij een mondelinge behandeling over de vraag of zij belang heeft bij haar vorderingen nader toegelicht.

2.5.

Gedaagden verzetten zich tegen een mondelinge behandeling van genoemde onderwerpen. Zij menen dat het verzoek daartoe rijkelijk laat is gedaan, dat het processuele debat is voltooid en dat ICAM geen recht heeft op een tweede mondelinge behandeling, omdat er al een mondelinge behandeling heeft plaatsgehad.

2.6.

De rechtbank heeft in het tussenvonnis een aantal beslissingen genomen die behoren tot de ontvankelijkheidsfase. Voor zover ICAM ontvankelijk is in haar vorderingen, zal de rechtbank overgaan tot een inhoudelijke behandeling van die vorderingen. Om een inhoudelijke behandeling van vorderingen waarbij ICAM uiteindelijk geen belang meer blijkt te hebben, te voorkomen, heeft de rechtbank ICAM gevraagd haar belang bij de ontvankelijk verklaarde vorderingen toe te lichten.
Omdat ICAM stelt dat zij bij al haar vorderingen (voor zover ontvankelijk) nog belang heeft, zal de beoordeling van die vorderingen en van het gestelde belang bij de inhoudelijke behandeling plaatsvinden. De rechtbank beslist daar nu niet over, zodat daarover ook niet een (afzonderlijke) mondelinge behandeling nodig is.

2.7.

Ook de vraag of de Staat aangemerkt moet worden als verwerkingsverantwoordelijke zal bij de inhoudelijke behandeling aan de orde komen. Ook daarover is een (afzonderlijke) mondelinge behandeling nu niet nodig.

Wat de collectieve vordering precies inhoudt

2.8.

Volgens artikel 1018e lid 2 Rv wordt door de rechter beoordeeld wat de collectieve vordering precies inhoudt. Dat is nog niet gebeurd in het tussenvonnis, omdat de rechtbank eerst aan ICAM heeft bevolen
bij akte toe te lichten welke van de onder vordering L.1 bedoelde inbreuken thans nog aanwezig zijn en waar dat uit blijkten is zij in de gelegenheid gesteld
bij akte toe te lichten welk belang zij nog heeft bij de vorderingen K.II tot en met K.IV.

2.9.

Gezien de in het tussenvonnis genomen beslissingen en de beslissing onder 2.6 in dit vonnis zal de rechtbank bepalen wat de collectieve vordering precies inhoudt, namelijk dat wat wordt gevorderd onder K.I tot en met K.III en L, voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek.

2.10.

ICAM is wel ontvankelijk verklaard in de vordering onder K.IV, omdat deze vordering niet summierlijk ondeugdelijk was, immers ook gedaagden hebben niet betwist dat zij voor de schadelijke gevolgen van het coronadatalek aansprakelijk waren. Zij stellen echter dat de leden van die groep al een schadevergoeding is aangeboden. In de schadevergoedingsvordering voor groep B is ICAM niet ontvankelijk verklaard, kort gezegd omdat die groep klein tot zeer klein is en ICAM niet heeft kunnen aantonen dat een voldoende grote groep de vordering ondersteunt. ICAM was voor deze groep niet representatief. Zie het tussenvonnis onder 5.20.18-5.20.20. Dit leidt tot de conclusie dat het gevorderde onder L.IV geen onderdeel meer dient uit te maken van
wat de collectieve vordering precies inhoudt.

Opt-in en opt-out

2.11.

Alvorens de inhoudelijke behandeling van de vorderingen K. en L. kan plaatsvinden, zal de rechtbank moeten beslissen of zij personen, behorende tot de (in het tussenvonnis vastgestelde) nauw omschreven groep voor wie ICAM optreedt, in de gelegenheid moet stellen zich te kunnen onttrekken aan de collectieve belangenbehartiging (‘opt-out’) en of zij personen, behorende tot de nauw omschreven groep, maar die geen woonplaats of verblijf in Nederland hebben, in de gelegenheid moet stellen zich bij die vorderingen aan te sluiten (‘opt-in’). Die kwestie behoort nog bij de ontvankelijkheidsfase. Dat partijen is verzocht zich daarover uit te laten, komt voort uit de beslissing ICAM niet-ontvankelijk te verklaren in haar schadevergoedingsvorderingen.

2.12.

ICAM stelt dat de rechtbank personen behorende tot de nauw omschreven groep gelegenheid zou moeten geven voor opt-out. Het oordeel dat ICAM niet-ontvankelijk is in haar vorderingen tot vergoeding van schade, omdat deze vorderingen summierlijk ondeugdelijk zijn, zal geen gezag van gewijsde hebben tussen gedaagden en de gedupeerden die gebruik maken van hun recht op opt-out. Gedaagden die van opt-out gebruik maken, kunnen wel profiteren van de in dit geding gevorderde verklaringen voor recht. ICAM stelt dat publicatie in een nieuwsblad achterwege kan blijven, gelet op de daarmee gemoeide kosten, en stelt voor de mededeling over opt-out op haar eigen website te doen. Zij heeft in dit kader een tekstvoorstel gedaan. Zij handhaaft haar verzoek het opt-out-regime ook toe te passen op in het buitenland woonachtige gedupeerden.

2.13.

De Staat heeft zich op het standpunt gesteld dat, nu ICAM niet-ontvankelijk is verklaard in haar schadevergoedingsvorderingen, een opt-out fase niet zal bijdragen aan een efficiënte en effectieve afhandeling van de procedure en daarom moet worden overgeslagen. De Staat stelt dat het hier gaat om ideële en algemene belangen. Gelet op de aard van de resterende collectieve vorderingen, is onttrekking aan de uitspraak moeilijk voorstelbaar. Subsidiair stelt de Staat dat ICAM voor de aankondiging verantwoordelijk zou moeten zijn. Er is geen grond voor het openen van de mogelijkheid van opt-out voor personen buiten Nederland, omdat dit een groep is die ook voor ICAM onbekend is.

2.14.

Ook GGD GHOR verzoekt primair de opt-out mogelijkheid buiten beschouwing te laten, omdat er alleen nog algemene vorderingen resteren en moeilijk voorstelbaar is dat betrokkenen zich zouden kunnen onttrekken aan een uitspraak over die vorderingen. Haar subsidiaire standpunten komen overeen met die van de Staat.

2.15.

De GGD’en c.s. nemen eveneens als primair standpunt in dat geen opt-out mogelijkheid zou moeten worden geboden, omdat de aard van de procedure door het niet-ontvankelijk verklaren van ICAM in haar schadevergoedingsvorderingen is verschoven naar een algemeen belangactie. Bij een toewijzend eindvonnis kan geen sprake zijn van een situatie waarin sommige personen wel en anderen niet gebonden zouden zijn aan de uitspraak, omdat het niet gaat om een uitspraak die een individuele aanspraak oplevert. Wat de gevorderde verklaring voor recht dat onrechtmatig is gehandeld betreft, zou dat in theorie anders kunnen zijn, maar omdat het onrechtmatig handelen niet kan leiden tot schadevergoeding is dat volgens de GGD’en c.s. in dit geval niet zo.

De GGD’en c.s. hebben zich subsidiair uitgelaten over de vorm van een opt-out en hebben evenals de Staat en GGD GHOR bezwaar gemaakt tegen de toepassing van het opt-out regime op in het buitenland woonachtige personen.

2.16.

De rechtbank overweegt als volgt. In het tussenvonnis is ICAM ontvankelijk verklaard in de vorderingen K. en L. Deze vorderingen luiden als volgt:

“K Verklaringen voor recht

K.I Voor recht te verklaren dat de Gedaagden ieder voor zich zelfstandig dan wel gezamenlijk met één of meer andere Gedaagden, in de zin van de AVG moeten worden aangemerkt als verwerkingsverantwoordelijken voor de gegevensverwerkingen in de GGD-systemen CoronIT en/of HPZone Lite.

K.II Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, in strijd handelen met, althans in strijd hebben gehandeld met:

a. a) Artikel 8 EVRM; en/of

b) Artikel 7 Handvest; en/of

c) Artikel 8 Handvest; en/of

d) Artikel 5 AVG; en/of

e) Artikel 24 AVG; en/of

f) Artikel 25 AVG; en/of

g) Artikel 32 AVG; en/of

h) Artikel 34 AVG; en/of

i. i) Artikel 35 AVG; en/of

j) Artikel 7:457 BW; en/of

k) Artikel 10 Wabvpz jo. artikel 2 Regeling gebruik burgerservicenummer in de zorg; en/of

l) Artikel 15j Wabvpz jo. artikel 3 en 5 Begz.

K.III Voor recht te verklaren dat de Gedaagden jegens de Gedupeerden onrechtmatig handelen, althans onrechtmatig hebben gehandeld op grond van artikel 6:162 BW.

K.IV Voor recht te verklaren dat de Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, op grond van artikel 82 AVG en/of artikel 6:162 BW hoofdelijk aansprakelijk zijn voor alle schade die door de Gedupeerden is geleden en nog zal worden geleden ten gevolge van het GGD-datalek.

L Beëindigen van de inbreuk en verbeteren van beveiligingsmaatregelen

L.I Gedaagden, althans de als verwerkingsverantwoordelijken aan te merken Gedaagden, te bevelen om binnen drie maanden na het in deze zaak te wijzen vonnis alle in het lichaam van de dagvaarding omschreven inbreuken op het EVRM, het Handvest, de AVG en specifieke zorgwetgeving en al het in het lichaam van deze Dagvaarding omschreven onrechtmatig handelen, te staken en gestaakt te houden.

L.II De betreffende Gedaagden te bevelen om mee te werken aan beoordeling en controle van alle genomen maatregelen ter uitvoering van het bevel op grond van vordering L.I door een door de rechtbank aan te wijzen deskundige, zulks met opdracht aan de deskundige om binnen zes maanden na het in deze zaak te wijzen vonnis van zijn of haar bevindingen schriftelijk en gedetailleerd verslag te doen aan Stichting ICAM.”

2.17.

De nauw omschreven groep voor wie ICAM optreedt, is in het tussenvonnis onder 8.3 vastgesteld zoals gevorderd:

a. a) alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, met uitzondering van de personen die deel uitmaken van Gedupeerden Categorie B (“Gedupeerden Categorie A”);

b) alle natuurlijke personen van wie persoonsgegevens zijn verwerkt in één van of beide GGD-systemen in de periode tussen ingebruikname daarvan in verband met de bestrijding van corona en 1 februari 2021, bijvoorbeeld omdat zij een afspraak hebben gemaakt bij een GGD om te testen of vaccineren in verband met corona of omdat zij onderdeel zijn geweest van bron- en contactonderzoek in verband met corona, en waarvan vaststaat of zal worden vastgesteld dat hun persoonsgegevens als gevolg van het GGD-datalek door ongeautoriseerde personen zijn ingezien of bij ongeautoriseerde personen in handen zijn gekomen, zoals door het ongeoorloofd inzien, downloaden, exporteren, printen, kopiëren, fotograferen en/of aanbieden, verhandelen, ontvangen of op andere wijze delen van de persoonsgegevens (“Gedupeerden Categorie B”).

2.18.

De rechtbank heeft hiervoor beslist dat de vorderingen K.I-III en L (voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek) zijn
wat de collectieve vordering precies inhoudt.

Dit heeft twee gevolgen. Voor de schadevergoedingsvorderingen waarin ICAM niet ontvankelijk is verklaard, betekent het dat de uitspraak die de rechtbank zal doen niet bindend is voor de leden van de nauw omschreven groep. De leden van de nauw omschreven groep zijn immers alleen gebonden aan de beslissingen die de rechtbank neemt over
wat de collectieve vordering precies inhoudt.Dat heeft tot gevolg dat geen opt-out nodig is om een vordering tot schadevergoeding tegen een gedaagde in te kunnen stellen.

Het andere gevolg is dat beoordeeld moet worden of de leden van de nauw omschreven groep de mogelijkheid moet worden geboden om zich van de gebondenheid aan de uitspraak over
wat de collectieve vordering precies inhoudtte bevrijden (‘opt-out’), dan wel of niet in Nederland wonende of verblijvende leden van de nauw omschreven groep de gelegenheid moet worden geboden om aan de collectieve actie deel te nemen (‘opt-in’).

2.19.

In verschillende uitspraken is beslist dat de aard van de vorderingen kan meebrengen dat opt-in en opt-out niet zinvol is.^[2]Dat kan het geval zijn bij ideële vorderingen waarbij een belangenorganisatie niet optreedt voor de belangen van een identificeerbare groep van personen, maar voor een algemeen belang.

2.20.

De strekking van de onder 2.16 weergegeven vordering onder K.I is dat de rechtbank één of meer van gedaagden als verwerkingsverantwoordelijken aanmerkt. Deze aanwijzing moet echter in verband worden gezien met de daarop volgende vorderingen K.II en K.III, waarin verklaringen voor recht zijn gevorderd dat (verwerkingsverantwoordelijke) gedaagden in strijd handel(d)en met onder meer diverse bepalingen uit het EVRM, het Handvest en de AVG en jegens de gedupeerden onrechtmatig handel(d)en op grond van artikel 6:162 BW.

Omdat de schadevergoedingsvorderingen niet ontvankelijk zijn verklaard, zijn de resterende vorderingen nog slechts relevant voor zover zij zien op andere gedragingen dan verband houdend met het coronadatalek en ook alleen in zoverre zijn deze krachtens de bovenstaande bepaling van
wat de collectieve vordering precies inhoudtnog relevant.

ICAM doelt hierbij, naar blijkt uit de dagvaarding, op tekortschietende beveiligingsmaatregelen en het daaruit voortvloeiende risico op nieuwe datalekken. De vorderingen onder L. zijn ingesteld ter beëindiging van de inbreuk en het verbeteren van beveiligingsmaatregelen. Leden van de nauw omschreven groep hebben in relatie tot die vorderingen echter geen belang bij opt-in, omdat uit de toewijzing van deze vordering voor hen geen persoonlijke aanspraak jegens een van gedaagden kan voortvloeien. Evenmin is er belang bij opt-out, omdat zij geen nadeel kunnen ondervinden van de toe- of afwijzing van het gevorderde. Het gaat hier om een algemeen belang. Er is daarom geen belang bij de nauw omschreven groep bij ‘opt-out’ dan wel ‘opt-in’. De rechtbank zal daartoe dan ook geen gelegenheid geven.

In het (deels voorwaardelijke) incident

Het inzageverzoek in de zin van artikel 843a Rv (oud)

2.21.

ICAM heeft een verzoek tot inzage gedaan op grond van het in dit geding nog toepasselijke artikel 843a Rv (oud).

2.22.

De rechtbank heeft in het tussenvonnis daarover het volgende overwogen:

“6.2. ICAM is in vordering B niet ontvankelijk op grond van artikel 70 lid 1 Rv voor zover tegen de afwijzende beschikking van het bestuursorgaan bezwaar kon worden gemaakt, administratief beroep kon worden ingesteld of beroep bij een bestuursrechter kon worden ingesteld. Dit lijkt op basis van de voetnoten bij de in de dagvaarding onder 10.2.1 vermelde bescheiden te gelden voor de stukken genummerd 9 tot en met 27. ICAM zal moeten toelichten of dit juist is. Van de overige bescheiden is vermeld dat deze zich in het domein van de Staat c.s. bevinden. Dat volstaat niet; ICAM zal moeten aangeven welk van de gedaagden over deze stukken beschikt en of dit stuk al dan niet in het kader van de Wet open overheid is opgevraagd of opgevraagd kon worden en indien het is opgevraagd met welk resultaat. Gedaagden mogen daarop reageren. De zaak zal daartoe naar de rol worden verwezen; iedere beslissing op dit punt wordt aangehouden.”

2.23.

Volgens ICAM is voornoemd oordeel onjuist, omdat een procedure op grond van de Wet open overheid (hierna: Woo) en een exhibitievordering volgens vaste rechtspraak naast elkaar kunnen bestaan.^[3]De Woo heeft geen exclusief karakter.

ICAM heeft in haar akte een overzicht opgenomen van welke stukken ICAM inmiddels via bestuursrechtelijke weg heeft verkregen en welke nog niet. Alle stukken die nog niet zijn verkregen, zijn in het bezit van GGD GHOR. De “Rapportage functionele beveiligingstest uitgevoerd door Fox-IT” is tevens in het bezit van de Staat (het ministerie van VWS). Volgens ICAM stelt GGD GHOR zich op het standpunt dat zij geen bestuursorgaan is. Ten aanzien van deze stukken is dus in het geheel geen sprake van een bestuursrechtelijke weg, aldus ICAM.

2.24.

De Staat (het ministerie van VWS) verzet zich tegen de gevraagde inzage van het FOX-IT rapport. Volgens de Staat verzetten gewichtige redenen in de zin van artikel 843a, vierde lid, Rv zich tegen het verstrekken van dit rapport. Het FOX-IT rapport bevat gedetailleerde informatie over de aard en omvang van de datadiefstal bij de GGD'en, evenals specifieke details over de beveiligingsmaatregelen en kwetsbaarheden binnen deze organisaties. Openbaarmaking van dergelijke informatie zou aanvullende risico 's voor de GGD'en kunnen creëren, omdat kwaadwillenden kennis kunnen nemen van specifieke zwakke plekken of gebruikte technologieën.

Daarnaast loopt er momenteel een procedure op grond van de Woo betreffende het verzoek van ICAM om openbaarmaking van het FOX-IT rapport. De Woo voorziet in een specifieke bestuursrechtelijke procedure voor de beoordeling van dergelijke verzoeken, inclusief de mogelijkheid voor belanghebbenden om bezwaar en beroep in te stellen tegen beslissingen.

Gelet op het bovenstaande verzoekt de Staat de rechtbank de vordering van ICAM tot inzage in en afschrift van het FOX-IT rapport af te wijzen, op grond van de aanwezigheid van gewichtige redenen, zoals bedoeld in artikel 843a lid 4 Rv, en vanwege de lopende Woo-procedure die een passend kader biedt voor de beoordeling van het verzoek tot openbaarmaking van het rapport.

2.25.

GGD GHOR voert aan dat ICAM buiten de instructie van de rechtbank is getreden, omdat zij de rechtbank in feite verzoekt om terug te komen op een eerdere, niet in een einduitspraak vervatte, bindende eindbeslissing te weten rechtsoverweging 6.2 van het tussenvonnis. De drempel om terug te komen op een bindende eindbeslissing ligt hoog. ICAM heeft geen bijzondere omstandigheden gesteld die het onaanvaardbaar zouden maken dat de rechtbank aan de betreffende eindbeslissing zou zijn gebonden.

ICAM heeft de mogelijkheid gehad om in hoger beroep te gaan, maar heeft uiteindelijk hiervan afgezien door het hoger beroep al snel weer in te trekken. Ten overvloede merkt ook GGD GHOR op dat niet van haar kan worden verlangd om de opgevraagde documenten te verstrekken op grond van artikel 843a Rv, omdat ICAM deze documenten al heeft opgevraagd in Woo-procedures. Zij wijst op artikel 194 lid 3 Rv (nieuw). De goede procesorde is niet gebaat bij het verstrekken van documenten voor zover een partij daar op grond van de Woo niet toe gehouden is. Ook voor derden gaat een zekere reflexwerking uit van de weigeringsgronden op grond van de Woo.

Volgens GGD GHOR heeft ICAM in de verschillende Woo-procedures al inzage gekregen in substantieel meer documenten dan de zes die op de lijst van ICAM staan vermeld. ICAM heeft onvoldoend concrete feiten en omstandigheden gesteld waaruit haar belang bij inzage, uittreksel of afschrift van de overige documenten blijkt. De vordering van ICAM is bovendien zodanig ruim geformuleerd, dat deze moet worden beschouwd als “fishing expedition”.

Bovendien beroept GGD GHOR zich op gewichtige redenen om niet aan de 843a-vordering te voldoen. Ook volgens GGD GHOR bevatten de documenten uiterst vertrouwelijke informatie over de beveiliging van systemen en applicaties, die door kwaadwillenden kan worden misbruikt. Daarnaast bevatten sommige documenten, zoals bijvoorbeeld de logbestanden van activiteiten in CoronIT en HPZone Lite, een grote hoeveelheid zeer vertrouwelijke persoonsgegevens van medewerkers die zich hebben ingezet voor de coronabestrijding en ook gevoelige persoonsgegevens van betrokkenen.

In de belangenafweging dient volgens GGD GHOR ook te worden meegewogen dat reeds is tegemoetgekomen aan de vordering van ICAM, nu het overgrote deel van de documenten is opgevraagd in de Woo-procedures en de Staat en GGD'en aan de hand van de uitzonderingsgronden in de Woo een juiste belangenafweging kunnen maken voor de (gedeeltelijke) verstrekking van de documenten. Deze belangenafweging kan bovendien ter toetsing worden voorgelegd aan de bestuursrechter. Ook zonder afgifte van documenten op grond van artikel 843a Rv is een behoorlijke rechtsbedeling daarmee gewaarborgd.

2.26.

De rechtbank is van oordeel dat ICAM terecht stelt dat de weg van artikel 843a Rv open staat naast de weg op grond van de Woo. In deze zaak is artikel 843a Rv (oud) nog van toepassing. In de per 1 januari 2025 in werking getreden nieuwe regeling van het inzagerecht (artikel 194-195a Rv) is over de verhouding tussen beide regelingen bepaald dat een bestuursorgaan, dat geen partij is bij de relevante rechtsbetrekking, niet verplicht is tot verstrekking van gegevens voor zover die op grond van de Woo ook niet hoeven te worden verstrekt. Ook uit die regeling blijkt dat er weliswaar een zekere samenhang is tussen beide regelingen, maar dat deze naast elkaar kunnen worden toegepast.

De rechtbank komt dan ook terug van het oordeel dat ICAM niet-ontvankelijk is in haar vordering onder B. en zal deze, voor zover nu nog relevant, dus alsnog beoordelen. Gelet op hetgeen hierna ten aanzien van vordering B (zie 2.31) wordt overwogen, ziet de rechtbank aanleiding dit te doen zonder partijen in de gelegenheid te stellen zich eerst uit te laten over haar voornemen hiertoe (vergelijk HR 14 februari 2025, ECLI:NL:HR:2025:258).

2.27.

Een vordering op grond van artikel 843a Rv kan worden toegewezen indien aan de volgende cumulatieve voorwaarden is voldaan: (i) de eiser dient een rechtmatig belang te hebben bij afgifte van de bescheiden, (ii) het moet gaan om bepaalde bescheiden (iii) aangaande een rechtsbetrekking waarin de eiser of zijn rechtsvoorganger partij zijn en (iv) de wederpartij moet over de bescheiden beschikken.

2.28.

ICAM heeft in het bijzonder haar belang bij inzage in het Fox-IT rapport, dat zowel bij de Staat als GGD GHOR aanwezig is, benadrukt, omdat juist dit rapport inzicht zou moeten geven in de vraag in welke mate er gegevens door GGD-medewerkers onrechtmatig zijn ingezien of zelfs gestolen, en dus of de omvang van het GGD-Datalek groter is dan vermeld. Ook wanneer uit dit rapport de conclusie volgt dat de omvang van het GGD-Datalek niet kan worden vastgesteld, is dat zeer relevante informatie. Dat betekent namelijk dat de onzekerheid waarin de personen uit Groep A zich bevinden, nooit zal kunnen worden weggenomen, aldus ICAM.

2.29.

De rechtbank stelt echter vast dat het door ICAM gestelde belang de vorderingen betreft waarin zij niet-ontvankelijk is verklaard, namelijk de schadevergoedingsvorderingen. Dat ICAM belang heeft bij inzage in het FOX-IT rapport met het oog op de vorderingen die nu nog aan de orde zijn, blijkt uit haar toelichting niet.

2.30.

Wat de overige alleen onder GGD GHOR berustende bescheiden betreft, oordeelt de rechtbank als volgt. ICAM heeft haar belang bij die bescheiden in randnummer 746 van de dagvaarding toegelicht. Zij noemt daar als belang van de gedupeerden te weten hoe groot het risico is dat hun gegevens zijn ontvreemd. Ook hebben zij er belang bij om vastgesteld te krijgen of hun gegevens al dan niet daadwerkelijk zijn ontvreemd, nu ICAM in deze procedure voor de groep personen van wie kan worden vastgesteld dat gegevens zijn ontvreemd, een hogere schadevergoeding vordert. Op basis van de bescheiden kan ICAM inzicht verkrijgen in het onderzoek dat is gedaan naar de omvang van deze groep personen. Uit de Bescheiden kan ook blijken of en hoe de
loggingin de GGD-systemen heeft plaatsgevonden, aldus ICAM.

2.31.

Voor zover de gestelde belangen betrekking hebben op de vraag of gegevens daadwerkelijk zijn ontvreemd, heeft ICAM daar geen belang meer bij, omdat zij niet ontvankelijk is in de schadevergoedingsvorderingen voor de nauw omschreven groep onder B. Voor zover de gevorderde bescheiden informatie zouden kunnen verschaffen over het risico dat gegevens zijn ontvreemd, heeft ICAM daarbij geen belang, omdat zij dat risico ten grondslag heeft gelegd aan de gestelde schadevergoedingsvorderingen voor de nauw omschreven groep onder A, maar zij in die schadevergoedingsvorderingen niet-ontvankelijk is verklaard.

ICAM stelt dat uit de bescheiden kan blijken of en hoe de
loggingin de GGD-systemen heeft plaatsgevonden. Welk belang zij daarbij heeft, heeft zij niet toegelicht en is ook uit de aard van de nu nog ontvankelijke vorderingen niet af te leiden.

De conclusie moet zijn dat ICAM ook bij inzage in de onder GGD GHOR berustende bescheiden geen rechtmatig belang heeft, zodat de vorderingen op dit punt dienen te worden afgewezen. De vordering onder B. zal dan ook in zijn geheel worden afgewezen.

2.32.

In het tussenvonnis is al beslist dat de vorderingen C, D en E zullen worden afgewezen (en dat vordering A niet zal worden gehonoreerd).

2.33.

Gelet op dit alles moeten ook vorderingen F en G worden afgewezen.

2.34.

Als de in het ongelijk gestelde partij zal ICAM worden veroordeeld in de aan de zijde van ieder van de Staat, GGD GHOR en de GGD’en gevallen kosten in het incident, steeds begroot op EUR 1.228,00 aan salaris advocaat (twee punten, tarief II) en EUR 178,00 aan nakosten, in totaal EUR 1.406,00. De nakosten zullen voor het overige worden toegewezen op de in de beslissing vermelde wijze. Hetzelfde geldt voor de gevorderde wettelijke rente.

In de hoofdzaak

Voortzetting van de procedure

2.35.

De door de Staat en door GGD GHOR in het geding gebrachte producties zullen worden betrokken bij de inhoudelijke behandeling. Voor zover partijen in hun akten zijn ingegaan op de vraag wie als verwerkingsverantwoordelijke moet gelden, is dat eveneens een vraag die bij de inhoudelijke behandeling aan de orde zal komen.

2.36.

De zaak zal naar de rol worden verwezen voor conclusie van antwoord van gedaagden met betrekking tot de vorderingen K. en L. Vervolgens zal een zitting worden bepaald voor de inhoudelijke behandeling van de zaak.

3.De beslissing

De rechtbank:

in het incident

3.1.

wijst de vorderingen af;

3.2.

veroordeelt ICAM in de aan de zijde van de Staat gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00;

3.3.

veroordeelt ICAM in de aan de zijde van de Staat na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis;

3.4.

veroordeelt ICAM in de aan de zijde van GGD GHOR gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na heden;

3.5.

veroordeelt ICAM in de aan de zijde van GGD GHOR na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis, een en ander te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na betekening;

3.6.

veroordeelt ICAM in de aan de zijde van de GGD’en c.s. gevallen kosten van het incident, tot dit vonnis begroot op EUR 1.406,00, te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na heden;

3.7.

veroordeelt ICAM in de aan de zijde van de GGD’en c.s. na dit vonnis ontstane kosten, begroot op EUR 178,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat ICAM niet binnen veertien dagen aan het vonnis heeft voldaan en vervolgens betekening van het vonnis heeft plaatsgevonden, met EUR 92,00 aan salaris advocaat en de explootkosten van betekening van het vonnis, een en ander te vermeerderen met de wettelijke rente als bedoeld in artikel 6:119 BW vanaf veertien dagen na betekening;

3.8.

verklaart de kostenveroordelingen onder 3.4, 3.5, 3.6 en 3.7 uitvoerbaar bij voorraad;

in de hoofdzaak

3.9.

bepaalt wat de collectieve vordering precies inhoudt, namelijk het gevorderde onder K .I, K.II, K.III en L, zoals weergegeven onder 2.16, voor zover deze vorderingen geen betrekking hebben op de schadelijke gevolgen van het coronadatalek,

3.10.

verwijst de zaak naar de rol van
10 september 2025voor conclusie van antwoord van gedaagden met betrekking tot de vorderingen K. en L.,

3.11.

houdt iedere verdere beslissing aan.

Dit vonnis is gewezen door mr. R.H.C. Jongeneel, mr. H.J.H. van Meegen en mr. A.J. Scheijde, rechters, bijgestaan door mr. A.A.J. Wissink, griffier, en in het openbaar uitgesproken op 18 juni 2025.

ECLI:NL:RBAMS:2025:4192

Collectieve vordering inzake datalekken bij GGD's en aansprakelijkheid van verwerkingsverantwoordelijken

Uitspraak

RECHTBANK AMSTERDAM

1.De procedure

2.De beoordeling

In de hoofdzaak

3.De beslissing

Voetnoten