ECLI:NL:RBNHO:2024:7869

Uitspraak

RECHTBANK NOORD-HOLLAND

Zittingsplaats Haarlem

Bestuursrecht

zaaknummer: HAA 22/2169

uitspraak van de meervoudige kamer van 18 juni 2024 in de zaak tussen

[eiser] , uit [plaats] , eiser

(gemachtigde: mr. B.J.P.M. Ficq),

de staatssecretaris van Justitie en Veiligheid, verweerder

(gemachtigde: mr. M.M.C. van Graafeiland).

Inleiding

1.1

In deze uitspraak beoordeelt de rechtbank het beroep van eiser tegen het besluit op zijn verzoek om inzage in zijn persoonsgegevens op grond van de Algemene verordening gegevensbescherming (AVG) en een verzoek om schadevergoeding in verband met het onrechtmatig verwerken van (bijzondere) persoonsgegevens.

1.2

Verweerder met het besluit van 13 december 2021 op het verzoek beslist (het primaire besluit). Met het bestreden besluit van 11 maart 2022 op het bezwaar van eiser is verweerder bij dat besluit gebleven.

1.3

Voorts heeft verweerder met het besluit van 14 april 2022 het verzoek van eiser van 29 februari 2022 om schadevergoeding wegens het onrechtmatig verwerken van zijn (bijzondere) persoonsgegevens afgewezen.

1.4

Eiser heeft op 13 mei 2022 de rechtbank verzocht verweerder te veroordelen tot vergoeding van de door hem geleden schade door het onrechtmatig verwerken van zijn (bijzondere) persoonsgegevens.

1.5

Verweerder heeft op het beroep en het verzoek om schadevergoeding gereageerd met een verweerschrift. Daar heeft eiser vervolgens op gereageerd.

1.6

De rechtbank heeft het beroep op 5 maart 2024 op zitting behandeld, samen met de soortgelijke zaak HAA 23/3358. Hieraan hebben deelgenomen: de gemachtigde van eiser en de gemachtigde in de zaak HAA 23/3358 mr. I.J.M. Oomen. Namens verweerder zijn verschenen [naam 1] en [naam 2] , werkzaam bij de Immigratie en Naturalisatiedienst (IND), [naam 3] en [naam 4] , werkzaam bij de Dienst Terugkeer en Vertrek (DT&V), vergezeld door mr. L. Groeneveld en de gemachtigde van verweerder, die tevens gemachtigde is van het bestuur van het Centraal Orgaan uit Den Haag (COA) die in de zaak HAA 23/3358 als derde-partij is aangemerkt. Namens het COA is ook [naam 5] aanwezig.

Beoordeling door de rechtbank

2.1

De rechtbank beoordeelt het beroep en het verzoek om schadevergoeding aan de hand van de beroepsgronden die eiser naar voren heeft gebracht. De rechtbank komt tot het oordeel dat het beroep gegrond is, omdat het bestreden besluit onzorgvuldig is voorbereid en onvoldoende is gemotiveerd. Ook ziet de rechtbank aanleiding voor het toekennen van een schadevergoeding. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.

3.1

De rechtbank gaat uit van de volgende feiten. Eiser heeft de Iraakse nationaliteit. In 2018 heeft eiser een asielvergunning aangevraagd. Verweerder heeft deze aanvraag afgewezen. Het daartegen ingestelde beroep is op 7 januari 2021 gegrond verklaard. Dit heeft ertoe geleid dat verweerder op 3 december 2021 de asielaanvraag van eiser heeft ingewilligd en aan eiser een verblijfsvergunning asiel voor bepaalde tijd heeft verleend.

Eiser heeft in zijn fax van 12 november 2021 onder verwijzing naar de AVG aan verweerder en in het bijzonder de IND gevraagd of hij bijzondere persoonsgegevens van hem met de DT&V en het COA heeft gedeeld, en indien dat het geval is, welke bijzondere persoonsgegevens dit zijn geweest. In deze brief wordt verder vermeld dat een medewerker van de DT&V aan de gemachtigde van [eiser] heeft laten weten dat hij in het bezit is van gehoren, voornemen, zienswijze, aanvullingen en correcties bij de gehoren, besluit en uitspraken. Gevraagd is naar de wettelijke basis daarvoor en, als de IND zou menen dat deze er is, in hoeverre dit proportioneel is tot het doel van de uitwisseling de DT&V op de hoogte stellen van het verloop van de procedure. Verweerder heeft dit verzoek opgevat als een inzageverzoek in de zin van artikel 15 van Pro de AVG.

3.2

Met het primaire besluit heeft verweerder het AVG-verzoek ingewilligd. Verweerder heeft bevestigd (bijzondere) persoonsgegevens van eiser met het COA en de DT&V te hebben gedeeld, heeft hiervan een overzicht verstrekt en genoemd wat hiervoor de wettelijke basis is. Op de vraag in hoeverre deze gegevensuitwisseling proportioneel is in relatie tot het doel ervan, zeker gezien de beantwoording van de Kamervragen van 8 juli 2021, heeft verweerder het antwoord op die Kamervraag geciteerd: “Het uitwisselen van integrale beslissingen wordt niet langer beschouwd als proportioneel. Om die reden waren de IND en het COA al gestart met de informatiewisseling te herzien en is besloten dat de IND stopt met het delen van de integrale beschikkingen met het COA. Op dit moment wordt onderzocht welke informatie het COA precies nodig heeft voor de uitvoering van de wettelijke taak en hoe deze informatie gedeeld kan worden, zonder integrale beslissingen met het COA te delen.” Verweerder heeft vervolgens opgemerkt dat dit ook voor de DT&V geldt en dat er nu bezien wordt hoe alleen de informatie kan worden uitgewisseld die nodig is voor de uitoefening van de taken van het COA en de DT&V.

3.3

Eiser heeft in bezwaar de volgende gronden aangevoerd:

1) Niet inzichtelijk is of er meer stukken zijn gedeeld met de DT&V dan in het overzicht zijn gemeld. Een medewerker van de DT&V zou namelijk hebben verteld in bezit te zijn van gehoren, voornemen, zienswijze, aanvullingen en correcties bij de gehoren, besluit en uitspraken. Deze stukken zijn in het overzicht in het primaire besluit niet vermeld.

2) Wat is de wettelijke basis voor deze verwerking?

3) Niet is vermeld voor welke doelen de (bijzondere) persoonsgegevens van eiser aan het COA en de DT&V zijn verstrekt. Uit het besluit blijkt ook dat veel meer gegevens zijn uitgewisseld dan ‘integrale beslissingen’. Er was geen reden voor integrale uitwisseling van het asieldossier van eiser met het COA en de DT&V. Zij konden ook op een andere wijze op de hoogte worden gesteld van de voor de uitoefening van hun taken nodige informatie. Er was zeker geen reden voor uitwisseling van bijzondere persoonsgegevens van eiser. Verweerder erkent enerzijds dat het uitwisselen van integrale beslissingen disproportioneel was, maar heeft deze handelwijze nadien voortgezet door in oktober 2021 een nader gehoor van eiser aan de DT&V te verstrekken zonder dat daartoe een reden was.

4) Verwerking van bijzondere persoonsgegevens van eiser was onrechtmatig.

3.4

Met het bestreden besluit heeft verweerder het bezwaar van eiser ongegrond verklaard. Op de vraag of meer stukken zijn gedeeld met de DT&V dan genoemd in de opsomming in het besluit op het inzageverzoek, antwoordt verweerder dat het overdrachtsdossier met de DT&V is gedeeld. Verder heeft verweerder toegelicht dat het delen van persoonsgegevens met de DT&V grondslag vindt in artikel 6, eerste lid, onder e, van de AVG en artikel 107 en Pro artikel 107a van de Vreemdelingenwet 2000 (Vw). De DT&V heeft de wettelijke taak om het terugkeerbeleid uit te voeren en heeft in dat kader verzocht om het overdrachtsdossier in de wetenschap bij de IND dat daarvoor een wettelijke basis bestaat. Met het COA en de DT&V wordt de noodzakelijke informatiebehoefte gemonitord. Hiermee wordt invulling gegevens aan het proportionaliteitsbeginsel. Dit volgt ook uit de privacyverklaring. Dit geldt ook voor het verwerken van bijzondere persoonsgegevens. Volgens verweerder is verwerking van deze persoonsgegevens noodzakelijk om redenen van zwaarwegend algemeen belang.

Het beroep tegen het bestreden besluit

4. Eiser voert aan dat verweerder niet inzichtelijk heeft gemaakt welke (bijzondere) persoonsgegevens van hem met de DT&V zijn gedeeld, aangezien de lijst in het primaire besluit niet overeenkomt met de door de medewerker van de DT&V aan de gemachtigde gegeven opsomming. Eiser heeft dit in bezwaar naar voren gebracht. Verweerder heeft in het bestreden besluit volstaan met de mededeling dat het overdrachtsdossier met de DT&V is gedeeld. Onduidelijk is gebleven wat in het overdrachtsdossier zit, waardoor niet gezegd kan worden of volledig aan het inzageverzoek van eiser is voldaan.

5.1

De beroepsgrond slaagt. Het bestreden besluit is onzorgvuldig voorbereid en onvoldoende gemotiveerd, omdat het nog steeds onduidelijk is welke (bijzondere) persoonsgegevens van eiser met de DT&V zijn gedeeld. Verweerder heeft ook ter zitting niet kunnen aangeven welke processtukken van het overdrachtsdossier van eiser met de DT&V zijn gedeeld. Zoals ook uit de overwegingen hierna zal blijken, is het integraal delen van een overdrachtsdossier een onrechtmatige verwerking van (bijzondere) persoonsgegevens.

5.2

Reeds hierom is het beroep gegrond en komt het bestreden besluit voor vernietiging in aanmerking. Onder het kopje conclusie en gevolgen zal de rechtbank uitleggen wat dit voor partijen betekent.

Het verzoek om schadevergoeding

6. De rechtbank stelt voorop dat zij bevoegd is kennis te nemen van het verzoek om schadevergoeding. Dit baseert de rechtbank op de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (Afdeling) van 1 april 2020^[1]en in het bijzonder op de rechtsoverwegingen 16 tot en met 22 van die uitspraak.

7. De voor de beoordeling van het beroep belangrijke wet- en regelgeving is te vinden in de bijlage bij deze uitspraak.

8. Eiser stelt immateriële schade te hebben geleden als gevolg van onrechtmatige verwerking van zijn (bijzondere) persoonsgegevens, te weten het integraal delen van zijn overdrachtsdossier met de DT&V. Verweerder heeft in het primaire besluit en in antwoord op de Kamervragen erkend dat het uitwisselen van integrale beslissingen (laat staan integrale dossiers) niet proportioneel is. Onduidelijk is waarom verweerder in het bestreden besluit onverkort volhoudt dat het delen van (bijzondere) persoonsgegevens gerechtvaardigd was. Verweerder heeft nagelaten te beoordelen of deze uitwisseling noodzakelijk is in het kader van de uitvoering van de taken van de DT&V. Gelet op het verloop van de procedure is uitzetting van eiser nooit aan de orde geweest.

De (on)rechtmatige verwerking van (bijzondere) persoonsgegevens

9. Voor de beantwoording van de vraag of aanleiding bestaat voor de toekenning van een schadevergoeding, dient eerst te worden beoordeeld of het verwerken van de (bijzondere) persoonsgegevens van eiser door verweerder - te weten het integraal delen van het overdrachtsdossier van eiser met daarin (bijzondere) persoonsgegevens van eiser met de DT&V - rechtmatig heeft plaatsgevonden.

10. Verweerder heeft in het bestreden besluit, toegelicht in het verweerschrift en ter zitting, het volgende standpunt ingenomen. Van onrechtmatige verwerking van (bijzondere) persoonsgegevens is geen sprake geweest. Voor de verwerking van persoonsgegevens door de DT&V is de grondslag volgens verweerder gelegen in artikel 6, eerste lid, onder e, van de AVG. Verweerder stelt dat de noodzaak voor het verwerken van persoonsgegevens volgt uit de taakuitoefening van de DT&V, te weten de uitvoering van het terugkeerbeleid, zoals is vastgelegd in de Vw, het Voorschrift Vreemdelingen 2000 en de Europese Terugkeerrichtlijn.^[2]Die taakuitoefening wordt gekenmerkt door maatwerk en een zorgvuldige en humane vertrekstrategie. Het is volgens verweerder daarom van groot belang dat de DT&V in een zo vroeg mogelijk stadium wordt betrokken en daarbij zoveel mogelijk (volledige en controleerbare) informatie krijgt over de vreemdeling. Ieder stukje informatie kan in het terugkeerproces van belang zijn of worden. Ook de verwerking van bijzondere persoonsgegevens is noodzakelijk voor een doelmatige en doeltreffende uitvoering van de taken door de DT&V bij het uitzetten van vreemdelingen volgens verweerder. Het is van belang dat de DT&V de belangen en achterliggende overwegingen van de vreemdeling kent, in Nederland, maar zeker ook in het land van herkomst. De daarvoor benodigde informatie wordt in de procedure van verweerder en door andere ketenpartners geregistreerd en staat in het bijzonder in beschikkingen over de geloofwaardigheid van de identiteit en nationaliteit en verslagen van gehoren. Voor de DT&V bestaat een noodzaak voor de verwerking van (bijzondere) persoonsgegevens op het moment dat voor betrokkene een verplichting ontstaat om Nederland te verlaten. De afwijzing van een aanvraag van een verblijfsvergunning is een indicator is voor de DT&V om een aanvang te maken met (voorbereidende) handelingen voor een vertrek uit Nederland. Gedurende de asielprocedure van eiser is een dergelijke vertrekverplichting ontstaan en dus ook de noodzaak bij de DT&V om bijzondere persoonsgegevens betreffende eiser te verwerken. Dat de verblijfsstatus van eiser gedurende de asielprocedure is gewijzigd doet daar niet aan af. Het verwerken van de bijzondere persoonsgegevens vindt zijn grondslag in artikel 107, eerste lid, van de Vw, gelezen in samenhang met artikel 6, eerste lid, onder e, van de AVG, artikel 107a, eerste lid, van de Vw, artikel 7.1a, eerste lid, onder i, van het Voorschrift vreemdelingen en artikel 9, tweede lid, onder g, van de AVG.

Het stopzetten van het delen van integrale beschikkingen ziet op het uitzetten van de standaardinstelling waarbij in alle gevallen de integrale beschikking werd gedeeld en dat specifiek met het COA. Het voorgaande betekent dus niet dat in alle gevallen het integraal delen van beschikking als niet proportioneel moet worden beschouwd. Het is aan het COA (en overigens ook aan de DT&V) om te bepalen aan welke informatie behoefte is voor de

uitvoering van de betreffende taken. Deze behoeftebepaling is een iteratief proces, waarbij binnen de organisatie steeds wordt gepeild hoe zo effectief en efficiënt mogelijk in de bestaande informatiebehoefte kan worden voorzien. Dat daarin veranderingen optreden, zoals is overwogen ten aanzien van het COA, maakt de eerdere gegevensverwerkingen vanzelfsprekend niet onrechtmatig. Daarbij komt dat, voor zover al gegevens worden verwerkt die achteraf niet relevant blijken te zijn voor de taakuitoefening van het COA (of de DT&V), de betreffende inbreuk op de privacy in beginsel evenredig is in verhouding tot de met de verwerking te dienen doelen. Een eventuele inbreuk op de privacy door achteraf vastgesteld, overtollig gedeelde gegevens, dient niet zwaarder te wegen dan de vooraf bestaande belangen bij het delen van beschikkingen, aldus verweerder.^[3]

11. Eiser erkent dat verweerder bevoegd is (bijzondere) persoonsgegevens te delen met de DT&V maar benadrukt dat die bevoegdheid begrensd is door artikelen 5, 6 en 9 van de AVG. Dat het informeren van de DT&V over de verblijfsrechtelijke positie onverkort betekent dat beschikkingen moeten worden gedeeld, is daarmee in strijd. Verweerder had de DT&V kunnen laten weten dat een besluit is genomen op de asielaanvraag van eiser, dat eiser daartegen beroep heeft ingesteld en dat een geldig paspoort voorhanden is. Meer had de DT&V in die fase van procedure niet nodig. Dat verweerder het van belang acht dat na een afwijzend besluit op een asielaanvraag al een begin kan worden gemaakt met (voorbereidende) handelingen voor vertrek uit Nederland, is geen legitiem argument voor het integraal delen van het overdrachtsdossier. Het feit dat na de afwijzende beslissing een aanzienlijk percentage asielzoekers alsnog een verblijfsvergunning krijgt, is al een reden om uiterst terughoudend om te gaan met de verwerking van persoonsgegevens in deze fase van de procedure. Een presentatie bij de autoriteiten waarvoor men stelt te vrezen (voordat onherroepelijk is vastgesteld dat het niet zo is) is dan ook iets wat zelden gebeurt omdat dat een extra risico voor vervolging met zich meebrengt. Dat verwerking van bijzondere persoonsgegevens noodzakelijk zou zijn zodat DT&V de belangen en de achterliggende overwegingen van de vreemdeling kent zowel in Nederland als in het land van herkomst, in het bijzonder de geloofwaardigheid van diens identiteit en nationaliteit, is evenmin een deugdelijk argument. In de beroepsfase staat nog niet vast wat wel en niet geloofwaardig is. Verweerder heeft bovendien niet onderbouwd dat het in deze zaak noodzakelijk was om al deze (bijzondere) persoonsgegevens te delen. Eiser betwist dat verweerder zijn oude werkwijze (het integraal delen van procesdossiers met het COA en de DT&V) heeft aangepast. Verweerder heeft in ieder geval nagelaten te bezien of de informatie die noodzakelijk is ook op een andere manier kan worden verstrekt.

12.1

Bij de beoordeling van de rechtmatigheid van het verwerken van de (bijzondere) persoonsgegevens van eiser door verweerder betrekt de rechtbank de conclusie van de procureur-generaal van de Hoge Raad van 15 september 2021.^[4]Daarin is het volgende overwogen.

12.2

Artikel 6, eerste lid, van de AVG behelst een limitatieve opsomming van de gronden waarop persoonsgegevens rechtmatig kunnen worden verwerkt. In dit artikellid is, voor zover hier van belang, onder e, bepaald dat de verwerking van persoonsgegevens alleen rechtmatig is, indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

12.3

Het limitatieve karakter van de opsomming blijkt uit het woord ‘alleen’.^[5]De woorden ‘voor zover’ bevestigen het beginsel van minimale gegevensverwerking (artikel 5, eerste lid, onder c, van de AVG): indien slechts een gedeelte van de verwerking of slechts een gedeelte van de verwerkte gegevens onder het bereik van de toepasselijke verwerkingsgrond(en) valt, is de verwerking slechts in zoverre rechtmatig, en voor het overige verboden. De woorden ‘ten minste’ maken duidelijk dat één en dezelfde verwerking onder het bereik van meer dan één verwerkingsgrond kan vallen. De verwerkingsgronden kunnen elkaar in die zin overlappen, maar de toepasselijkheid van één verwerkingsgrond volstaat voor het aannemen van rechtmatigheid.^[6]

12.4

De verwerkingsgronden worden in de literatuur aangemerkt als equivalent, oftewel als gelijkwaardige alternatieven.^[7]Hierbij is van belang dat
het toepassingsbereiken de
rechtsgevolgenvan de verwerkingsgronden verschillen. Een toestemming (de a-grond) kan bijvoorbeeld te allen tijde worden ingetrokken (artikel 7, derde lid, van de AVG), terwijl tegen een gegevensverwerking uit hoofde van een taak van algemeen belang (de e-grond) of de behartiging van gerechtvaardigde belangen (de f-grond) te allen tijde bezwaar kan worden gemaakt (artikel 21, eerste lid, van de AVG). Deze voorbehouden gelden niet als de gegevensverwerking berust op een wettelijke verplichting (de c-grond), maar daarvoor is een basis in het Unierecht of het nationale recht vereist, die aan bepaalde randvoorwaarden voldoet (artikel 6, derde lid, van de AVG). Gezien deze verschillen is het van belang om de verwerkingsgronden van elkaar te onderscheiden, ook al geldt uiteindelijk dat elke gegevensverwerking moet voldoen aan de basisvereisten van artikel 8 van Pro het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en artikel 8 Handvest Pro van de grondrechten van de Europese Unie.^[8]

12.5

De verwerkingsgronden b tot en met f hebben gemeen dat zij de gegevensverwerking slechts toestaan indien en voor zover die ‘noodzakelijk’ is met het oog op de genoemde doeleinden. Dit vereiste van noodzakelijkheid correspondeert met de beginselen van proportionaliteit en subsidiariteit.^[9]Uit de rechtspraak van het Hof van Justitie van de Europese Unie (HvJEU) blijkt dat het begrip ‘noodzakelijk’ in deze context een autonome Unierechtelijke betekenis heeft.^[10]

13. Naast de gegevensverwerking van persoonsgegevens in de zin van artikel 6 van Pro de AVG is hier sprake van de verwerking van bijzondere persoonsgegevens als bedoeld in artikel 9, eerste lid, van de AVG. Het gaat in dit geval om de verwerking van persoonsgegevens met betrekking tot ras/etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen en in dat kader gegevens over de tegenwerping van 1F van het Vluchtelingenverdrag van Genève (oorlogsmisdrijven). De verwerking van bijzondere persoonsgegevens is verboden, tenzij wordt voldaan aan één van de in het tweede lid van artikel 9 van Pro de AVG gestelde voorwaarden. In dit geval dient de vraag te worden beantwoord of wordt voldaan aan de uitzondering van artikel 9, tweede lid, onder g, van de AVG, waaruit volgt dat het verbod op de verwerking van bijzondere persoonsgegevens niet geldt, indien de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.

14.1

De rechtbank stelt vast dat verweerder het overdrachtsdossier van eiser, waarin zowel ‘gewone’ als bijzondere persoonsgegevens van eiser zijn opgenomen, integraal heeft gedeeld met de DT&V. Weliswaar is nog niet duidelijk uit welke processtukken het overdrachtsdossier precies bestaat maar voor partijen is niet in geschil dat het overdrachtsdossier in ieder geval beschikkingen, rechterlijke uitspraken, en verslagen van gehoren bevat. Dat met de gegevensverwerking een taak van (zwaarwegend) algemeen belang wordt vervuld als bedoeld in artikel 6, eerste lid, onder e, van de AVG en artikel 9, tweede lid, onder g, van de AVG, kan de rechtbank op zich volgen. Verweerder heeft dit genoegzaam toegelicht. Dit is ook niet in geschil. Echter, dat het ter vervulling van die taken noodzakelijk is om bovengenoemde documenten met de daarin opgenomen (bijzondere) persoonsgegevens integraal te delen met de DT&V, volgt de rechtbank niet. Naar het oordeel van de rechtbank valt niet in te zien dat het doel waarvoor de (bijzondere) persoonsgegevens worden verwerkt in redelijkheid niet op een andere, minder nadelige wijze kan worden verwezenlijkt. Dit doel is voor de DT&V het realiseren van het vertrek van vreemdelingen die niet in aanmerking komen voor een verblijfsvergunning. Verweerder heeft, mede in het licht van het beginsel van minimale gegevensverwerking (artikel 5, eerste lid, onder c, van de AVG), nagelaten te onderbouwen waarom dit doel uitsluitend kan worden bereikt door het integraal delen van het overdrachtsdossier met daarin (bijzondere) persoonsgegevens van eiser. Wat betreft het delen van persoonsgegevens met de DT&V geldt bovendien dat onvoldoende is onderbouwd waarom het delen van al die gegevens al noodzakelijk is nog voordat onherroepelijk vast is komen te staan dat een vreemdeling Nederland dient te verlaten.

Verweerder heeft al in 2021 in antwoord op de Kamervragen erkend dat het integraal delen van beschikkingen met het COA en de DT&V niet langer als proportioneel wordt beschouwd. Zonder een deugdelijke motivering die nu ontbreekt ziet de rechtbank niet in waarom verweerder nu in het verweerschrift het standpunt inneemt dat dit in sommige gevallen wel proportioneel is, en zeker niet in geval van eiser die eerst artikel 1F van het Vluchtelingenverdrag van Genève (oorlogsmisdrijven) tegengeworpen heeft gekregen en dus niet uitzetbaar was. Daarop aansluitend, komt hier ten aanzien van het delen van zulke bijzondere persoonsgegevens nog bij dat nergens uit blijkt dat verweerder heeft afgewogen of het delen van zulke gegevens evenredig is in verhouding tot het met het delen van die gegevens nagestreefde doel, of de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en of het nodig is om passende en specifieke maatregelen te treffen ter bescherming van de grondrechten en de fundamentele belangen van eiser, zoals wel is vereist op grond van artikel 9, tweede lid, onder g, van de AVG.

14.2

De rechtbank concludeert dan ook dat verweerder de waarborgen voor de gegevensverwerking van zowel de ‘gewone’ (artikel 6 van Pro de AVG) als de bijzondere persoonsgegevens (artikel 9 van Pro de AVG) onvoldoende in acht heeft genomen. Het door verweerder met de DT&V integraal delen van het overdrachtsdossier van eiser waarin de (bijzondere) persoonsgegevens van eiser zijn opgenomen, acht de rechtbank dan ook onrechtmatig, nu hiervoor onvoldoende grondslag (noodzaak) bestond. Hiermee wordt tevens afbreuk gedaan aan het in artikel 5, eerste lid, onder c, van de AVG neergelegde beginsel van minimale gegevensverwerking.

De toekenning van een schadevergoeding

15. Hiervoor heeft de rechtbank geconcludeerd dat de verwerking van (bijzondere) persoonsgegevens van eiser onrechtmatig is geweest. Het is vervolgens de vraag of dit moet leiden tot de toekenning van een schadevergoeding. Bij de beoordeling hiervan neemt de rechtbank het volgende in overweging.

16. Dat sprake is geweest van onrechtmatige gegevensverwerking is op zichzelf niet voldoende om aanspraak te maken op schadevergoeding. Dit blijkt uit een arrest van het HvJEU van 4 mei 2023,^[11]waarin is bepaald dat een inbreuk op de bepalingen van de AVG op zich niet volstaat voor de toekenning van een recht op schadevergoeding. Het HvJEU heeft in dit arrest allereerst bepaald dat het intreden van schade in het kader van een verwerking van persoonsgegevens slechts potentieel is en, ten tweede, dat een inbreuk op de AVG niet noodzakelijkerwijs tot schade leidt en, ten derde, dat een causaal verband moet bestaan tussen de betrokken inbreuk en de door de betrokkene geleden schade om een recht op schadevergoeding te kunnen doen ontstaan. In dit arrest heeft het HvJEU verder overwogen dat een persoon die wordt getroffen door een inbreuk op de AVG met negatieve gevolgen voor hem, moet bewijzen dat die gevolgen immateriële schade in de zin van artikel 82 van Pro de AVG opleveren.

17.1

Voor de beoordeling van een verzoek om vergoeding van immateriële schade wordt, volgens vaste jurisprudentie van de Afdeling,^[12]aansluiting gezocht bij het civiele schadevergoedingsrecht.

17.2

Artikel 6:106 van Pro het Burgerlijk Wetboek (BW) luidt:

Voor nadeel dat niet in vermogensschade bestaat, heeft de benadeelde recht op een naar billijkheid vast te stellen schadevergoeding:

(…)

b. indien de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast;

(…).

17.3

Van de in artikel 6:106, eerste lid, aanhef en onder b, van het BW bedoelde aantasting in persoon ‘op andere wijze’ is in ieder geval sprake indien de benadeelde partij geestelijk letsel heeft opgelopen. Degene die zich hierop beroept, zal voldoende concrete gegevens moeten aanvoeren waaruit kan volgen dat in verband met de omstandigheden van het geval psychische schade is ontstaan. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld. Ook als het bestaan van geestelijk letsel in voornoemde zin niet kan worden aangenomen, is niet uitgesloten dat de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde, meebrengen dat van de in artikel 6:106, aanhef en onder b, van het BW bedoelde aantasting in zijn persoon ‘op andere wijze’ sprake is. In zo een geval zal degene die zich hierop beroept de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Dat is slechts anders indien de aard en de ernst van de normschending meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Van een aantasting in de persoon ‘op andere wijze’ als bedoeld in artikel 6:106, aanhef en onder b, van het BW is niet reeds sprake bij de enkele schending van een fundamenteel recht.^[13]

17.4

Met het in 17.3 geschetste kader kan volgens de eerdergenoemde Afdelingsuitspraak van 1 april 2020 worden voldaan aan de eisen van de AVG en aan de rechtspraak van het HvJEU, waarin is geoordeeld dat het bij gebrek aan communautaire regelgeving een aangelegenheid van de interne rechtsorde van elke lidstaat is om de regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen.^[14]

17.5

De rechtbank stelt vast dat eiser niet heeft gesteld dat hij als gevolg van het onrechtmatig handelen van verweerder geestelijk letsel heeft opgelopen, dat op objectieve gronden kan worden vastgesteld.

17.6

Eiser stelt immateriële schade te hebben geleden als gevolg van de onrechtmatige verwerking van zijn persoonsgegevens. In de terugkeergesprekken bij de DT&V is eiser geconfronteerd met uitspraken over zijn dossier door personen die hier geen kennis van hadden mogen dragen. Hij is geconfronteerd met verlies van controle over zijn eigen persoonsgegevens. Juist nu eiser een gehoor heeft gehad op basis artikel 1F van het Vluchtelingenverdrag van Genève (oorlogsmisdrijven) waarin zeer persoonlijke, negatieve informatie over hem was opgenomen, ligt het heel gevoelig dat anderen dit konden lezen. Dit was niet gebeurd, als verweerder deze informatie niet had gedeeld. Eiser stelt dat hij hierdoor in zijn persoon is aangetast. Eiser vraagt om de toekenning van een schadevergoeding van € 500,-.

17.7

De rechtbank is van oordeel dat eiser recht heeft op toekenning van een vergoeding voor immateriële schade. Verweerder heeft gehandeld in strijd met de artikelen 5, 6 en 9 van de AVG en heeft daardoor het recht op eerbiediging van de persoonlijke levenssfeer van eiser geschonden. Een inbreuk op de persoonlijke levenssfeer van eiser kan worden aangemerkt als een aantasting in de persoon als bedoeld in artikel 6:106, eerste lid en onder b, van het BW, die aanspraak geeft op vergoeding van immateriële schade. Gelet op de omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk, zal de rechtbank deze schade naar billijkheid vaststellen op € 500,-. De rechtbank sluit hiermee met eiser aan bij jurisprudentie van de Afdeling.^[15]Daarbij neemt de rechtbank in aanmerking de bijzondere gevoeligheid van de aard van de persoonsgegevens die in dit geval zonder toestemming van eiser zijn verwerkt. Voor de verwerking van bijzondere (gevoelige) persoonsgegevens als bedoeld in artikel 9 van Pro de AVG, is in de AVG een hoger beschermingsniveau neergelegd dan voor gewone persoonsgegevens. De nadelige gevolgen van de verstrekking van de gevoelige persoonsgegevens liggen voor de hand, gelet op de ernstige gevolgen van de tegenwerping van 1F van het Vluchtelingenverdrag van Genève aan eiser. De rechtbank ziet in dit geval, gezien het feit dat de privacygevoelige persoonsgegevens bij een groep professionals terecht zijn gekomen, die uit hoofde van hun functie een geheimhoudingsplicht hebben, en de duur van de inbreuk geen aanleiding een hoger bedrag toe te kennen.

Conclusie en gevolgen

18.1

Gelet op hetgeen is overwogen onder 5.1 en 5.2 is het beroep gegrond, omdat het bestreden besluit is genomen in strijd met de vereiste zorgvuldigheid en niet deugdelijk is gemotiveerd. De rechtbank vernietigt daarom het bestreden besluit. De rechtbank ziet geen reden om de rechtsgevolgen van het besluit in stand te laten of zelf een beslissing over het inzageverzoek te nemen.

18.2

De rechtbank bepaalt met toepassing van artikel 8:72, vierde lid, van de Algemene wet bestuursrecht dat verweerder een nieuw besluit moet nemen op het bezwaar met inachtneming van deze uitspraak. Verweerder dient eiser alsnog een volledig overzicht te geven van wat in zijn overdrachtsdossier zit. De rechtbank geeft verweerder hiervoor zes weken.

18.3

Het verzoek om de toekenning van een schadevergoeding wegens het onrechtmatig verwerken van (bijzondere) persoonsgegevens van eiser wordt toegewezen tot een bedrag van € 500,-.

18.4

De rechtbank ziet aanleiding om verweerder te veroordelen in de door eiser gemaakte proceskosten. Verweerder moet deze vergoeding betalen. Deze vergoeding bedraagt € 1.750,- omdat de gemachtigde van eiser een beroepschrift heeft ingediend en aan de zitting heeft deelgenomen. Verder zijn er geen kosten gemaakt die vergoed kunnen worden.

18.5

Omdat eiser vrijgesteld is van betaling van griffierecht, hoeft aan hem geen griffierecht te worden vergoed.

BeslissingDe rechtbank:- verklaart het beroep gegrond;- vernietigt het besluit van 11 maart 2022;- draagt verweerder op binnen zes weken na de dag van verzending van deze uitspraak een nieuw besluit te nemen op het bezwaar met inachtneming van deze uitspraak;

- wijst het verzoek tot toekenning van een schadevergoeding toe en veroordeelt verweerder tot het betalen van € 500,- aan schadevergoeding aan eiser;

- veroordeelt verweerder tot betaling van € 1.750,- aan proceskosten aan eiser.

Deze uitspraak is gedaan door mr. dr. J.C. de Wit, voorzitter, en mr. drs. J.H.A.C. Everaerts en mr. D.M. de Feijter, leden, in aanwezigheid van mr. S. Pirs, griffier. De uitspraak is uitgesproken in het openbaar op 18 juni 2024.

Griffier

Voorzitter

Een afschrift van deze uitspraak is verzonden aan partijen op:

Informatie over hoger beroep

Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.

Bijlage: voor deze uitspraak belangrijke wet- en regelgeving

Algemene verordening gegevensbescherming

Artikel 4

Voor de toepassing van deze verordening wordt verstaan onder:

1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

(…)

Artikel 5

1. Persoonsgegevens moeten:

(…)

toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”);

(…)

2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).

Artikel 6

1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a. a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

Artikel 9

1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.

2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:

de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;

de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;

de verwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven;

e verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt;

de verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;

de verwerking is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid;

de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene;

de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker en behoudens de in lid 3 genoemde voorwaarden en waarborgen;

de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene, met name van het beroepsgeheim;

de verwerking is noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de belangen van de betrokkene.

3. De in lid 1 bedoelde persoonsgegevens mogen worden verwerkt voor de in lid 2, punt h), genoemde doeleinden wanneer die gegevens worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels aan het beroepsgeheim is gebonden, of door een andere persoon die eveneens krachtens Unierecht of lidstatelijk recht of krachtens door nationale bevoegde instanties vastgestelde regels tot geheimhouding is gehouden.

4. De lidstaten kunnen bijkomende voorwaarden, waaronder beperkingen, met betrekking tot de verwerking van genetische gegevens, biometrische gegevens of gegevens over gezondheid handhaven of invoeren.

Artikel 15

1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

de verwerkingsdoeleinden;

de betrokken categorieën van persoonsgegevens;

de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;

indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;

dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;

dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;

wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;

et bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

2. Wanneer persoonsgegevens worden doorgegeven aan een derde land of een internationale organisatie, heeft de betrokkene het recht in kennis te worden gesteld van de passende waarborgen overeenkomstig artikel 46 inzake Pro de doorgifte.

3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

4. Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen

Artikel 82

1. Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

2. Elke verwerkingsverantwoordelijke die bij verwerking is betrokken, is aansprakelijk voor de schade die wordt veroorzaakt door verwerking die inbreuk maakt op deze verordening. Een verwerker is slechts aansprakelijk voor de schade die door verwerking is veroorzaakt wanneer bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld.

3. Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.

4. Wanneer meerdere verwerkingsverantwoordelijken of verwerkers bij dezelfde verwerking betrokken zijn, en overeenkomstig de leden 2 en 3 verantwoordelijk zijn voor schade die door verwerking is veroorzaakt, wordt elke verwerkingsverantwoordelijke of verwerker voor de gehele schade aansprakelijk gehouden teneinde te garanderen dat de betrokkene daadwerkelijk wordt vergoed.

5. Wanneer een verwerkingsverantwoordelijke of verwerker de schade overeenkomstig lid 4 geheel heeft vergoed, kan deze verwerkingsverantwoordelijke of verwerker op andere verwerkingsverantwoordelijken of verwerkers die bij de verwerking waren betrokken, het deel van de schadevergoeding verhalen dat overeenkomt met hun deel van de aansprakelijkheid voor de schade, overeenkomstig de in lid 2 gestelde voorwaarden.

6. Gerechtelijke procedures voor het uitoefenen van het recht op schadevergoeding worden gevoerd voor de in artikel 79, lid 2, bedoelde lidstaatrechtelijk bevoegde gerechten.

Onrechtmatige verwerking van bijzondere persoonsgegevens en toekenning schadevergoeding