9.4.1.De rechtbank is met verweerder van oordeel dat de voorgeschreven en naar aanleiding van het Buncefield-incident aangescherpte maatregelen als bedoeld in PGS 29 er niet op zijn gericht om alleen een Buncefield-scenario te voorkomen, maar dienen ter voorkoming van alle zware ongevallen die door overvullen kunnen ontstaan. De rechtbank kan verweerder evenwel niet volgen in zijn stelling in het verweerschrift dat [eiseressen] niet duidelijk heeft gemaakt welke tanks zij als “niet-Buncefield” tanks kwalificeert. In het geval verweerder meent dat ook voor deze tanks een eis dient te gelden dat tevens een FOIO noodzakelijk is, acht de rechtbank het van belang dat verweerder zich, alvorens deze eis te stellen, verdiept in de specifieke feiten en omstandigheden en dan ook dient te weten met welke tanks hij precies van doen heeft.
De rechtbank merkt op dat [eiseressen] in dit verband kortweg heeft gewezen op haar verzoek van 13 september 2018 aan de DCMR. Daarin heeft zij verzocht om voor de in tabel 1 genoemde tanks geen FOIO te hoeven aanbrengen. In dit verzoek van 13 september 2018 is beschreven op welke tanks binnen de inrichtingen van [eiseressen] geen FOIO aangebracht wordt, gebaseerd op de daarin beschreven aspecten en berekeningen. Dat betreft 24 tanks, onder vermelding van tanknummer en diverse relevante specificaties, aard product, LEL, flow, temperatuur et cetera. Dit acht de rechtbank een specifiek en helder overzicht, waar op zich weinig misverstand over kan bestaan.
Nu naar het oordeel van de rechtbank voldoende vast staat welke 24 tanks het hier betreft dient de vraag te worden beantwoord of bij deze tanks door overvullen een zwaar ongeval kan ontstaan. In het verlengde hiervan is tevens de vraag aan de orde of op deze tanks tevens voorschrift 3.3.12 van PGS 29 van toepassing is, waarbij onder meer een FOIO is voorgeschreven, en zo ja, of [eiseressen] met POM alle maatregelen heeft getroffen om het overvullen van deze tanks te voorkomen, zodat een FOIO niet is vereist.
9.4.2.1. De doelstelling van artikel 5, eerste lid, van het Brzo is dat met het nemen van maatregelen een zwaar ongeval wordt voorkomen en/of de gevolgen daarvan voor de menselijke gezondheid en het milieu worden beperkt.
9.4.2.2. Ter zake van de vraag of bij het overvullen van deze 24 tanks een zwaar ongeval kan ontstaan stelt verweerder zich op het standpunt dat een zwaar ongeval een gebeurtenis is als gevolg van een “loss of control” waardoor ernstig gevaar voor de menselijke gezondheid ontstaat. In tegenstelling tot bijvoorbeeld een arbeidsongeval is er volgens verweerder niet pas sprake van een zwaar ongeval op het moment dat het gevaar wordt verwezenlijkt. Er is naar de mening van verweerder al sprake van een zwaar ongeval als het gevaar ontstaat. Ter zitting heeft verweerder in dit verband een vergelijking gemaakt met het dronken wegrijden van een bestuurder van een voertuig. Reeds op dat moment is er volgens verweerder sprake van de gebeurtenis waardoor het ernstig gevaar ontstaat. Verweerder meent verder dat vast staat dat ook bij niet-Buncefield tanks overvullen kan voorkomen en dat zich dus (onmiddellijk of na verloop van tijd) een zwaar ongeval kan voordoen dat gevaar voor mensen oplevert.
9.4.2.3. [eiseressen] stelt zich op het standpunt dat zich bij de betreffende 24 opslagtanks binnen de inrichting van [eiseressen] geen Buncefieldscenario kan voordoen. Wat betreft blootstelling aan de uitstromende producten bij overvullen van deze tanks is [eiseressen] , kort samengevat, van mening dat dit geen ernstige gevolgen voor de gezondheid heeft. [eiseressen] benadrukt dat met het overvullen van een tank niet al sprake is van een zwaar ongeval.
9.4.2.4. De rechtbank overweegt dat er ingevolge artikel 1, eerste lid, van het Brzo sprake is van een zwaar ongeval, wanneer er sprake is van een gebeurtenis waardoor ernstig gevaar voor de menselijke gezondheid of het milieu binnen of buiten de inrichting ontstaat. In artikel 3 van de Seveso lll-richtlijn worden als voorbeelden van zo'n gebeurtenis een zware emissie, brand of explosie genoemd. Deze voorbeelden zijn ook in de nota van toelichting bij het Brzo (Stb. 2015, 272) aangehaald.
Gelet op de definitie en de voorbeelden kan het enkele feit dat ergens op de terminal onbedoeld benzine of diesel uit een leiding stroomt naar het oordeel van de rechtbank nog niet worden aangemerkt als een zwaar ongeval. Ook de Afdeling heeft in haar uitspraak van 17 juli 2019 (de Vopak-uitspraak) geoordeeld dat, in het geval er benzine of diesel uit een leiding stroomt, dit niet per definitie betekent dat er ernstig gevaar voor de menselijke gezondheid of het milieu ontstaat. Of dergelijk gevaar ontstaat, is mede afhankelijk van de maatregelen die de exploitant voor dergelijke situaties heeft getroffen.
Het standpunt van verweerder dat reeds het overvullen op zich als een zwaar ongeval aangemerkt dient te worden kan, gelet ook op voornoemde overwegingen van de Afdeling, naar het oordeel van de rechtbank niet slagen. Daarbij dient in dit geval tevens beoordeeld te worden of de maatregelen die [eiseressen] ter zake van deze tanks heeft genomen afdoende zijn om een zwaar ongeval te voorkomen. Deze (nadere) motivering van verweerder kan er naar het oordeel van de rechtbank dan ook evenmin toe leiden dat voor wat betreft dit onderdeel de rechtsgevolgen van de bestreden besluiten in stand kunnen worden gelaten.
9.4.3.Ter zake van de vraag of bij het overvullen van de meergenoemde 24 niet-Buncefield tanks sprake zou kunnen zijn van een zwaar ongeval en, zo ja, of [eiseressen] met POM alle maatregelen heeft getroffen om het overvullen van deze tanks te voorkomen, zodat een FOIO niet is vereist, overweegt de rechtbank als volgt.
De rechtbank acht hierbij allereerst van belang dat in het Brzo niet is bepaald op welke manier een exploitant moet voldoen aan de op hem rustende verplichting om maatregelen te nemen ter voorkoming van zware ongevallen of de gevolgen ervan. Het is dus in beginsel aan de exploitant om te bepalen welke maatregelen hij/zij neemt. In die zin ligt bij de exploitant de bewijslast dat hij alle noodzakelijke maatregelen heeft getroffen om zware ongevallen te voorkomen en de gevolgen daarvan voor de menselijke gezondheid en het milieu te beperken. Zo is het ingevolge artikel 7 van het Brzo aan de exploitant om het preventiebeleid voor zware ongevallen vorm te geven en dat beleid uit te voeren met een veiligheidsbeheerssysteem. Dit maakt een eis ter naleving van artikel 5 van het Brzo des te ingrijpender, omdat daarmee de staatssecretaris in plaats van de exploitant bepaalt welke maatregelen moeten worden genomen. Vanwege het ingrijpende karakter moet aan zo'n eis een gedegen motivering ten grondslag liggen, waarin in elk geval wordt ingegaan op de maatregelen die de exploitant al heeft getroffen en op de vraag waarom naast die maatregelen nog andere maatregelen nodig zijn ter voorkoming van zware ongevallen of de gevolgen ervan. Oftewel, anders dan verweerder in de bestreden besluiten stelt, vormt PGS 29 niet het enige toetsingskader. Het enkele feit dat [eiseressen] de maatregel uit de PGS 29 ten aanzien van de niet-Buncefield tanks niet heeft genomen, betekent niet per definitie dat [eiseressen] in dit geval onvoldoende maatregelen heeft genomen. Artikel 5, eerste lid, van het Brzo vormt daarvoor het toetsingskader.
9.4.3.1. Verweerder stelt in het verweerschrift dat hij naar aanleiding van de Vopak-uitspraak dient te beoordelen of met de maatregelen die [eiseressen] al had getroffen ter voorkoming van overvullen, alle noodzakelijke maatregelen zijn getroffen. Hierbij meent verweerder aan te mogen sluiten bij de maatregelen van de PGS 29 in de zin dat als niet alle noodzakelijke maatregelen zijn getroffen hij de maatregelen van PGS 29 mag eisen. Verder is het aan [eiseressen] om aan te tonen dat zij de maatregelen van de PGS 29 niet hoeft te nemen, gelet op de al door haar getroffen maatregelen.
Verweerder stelt zich de vraag of door het aanbrengen van FOIO op de niet Buncefield tanks het overvullen (nog) meer wordt voorkomen dan met de maatregel die [eiseressen] al had getroffen. Verweerder meent dat, ook uitgaande van POM, voor deze tanks het aanbrengen van een FOIO een noodzakelijke maatregel is en dus verplicht is op grond van artikel 5, eerste lid, van het Brzo.
Volgens verweerder is de essentie van POM dat een operator oplet waar hij mee bezig is. Hij houdt het vullen van de tanks in de gaten en stopt verpomping voordat een alarm afgaat.
Een FOIO daarentegen is een technische maatregel die automatisch het vullen stopt als een bepaald niveau gehaald is. Menselijk ingrijpen is niet nodig. Het stoppen van het vullen is niet afhankelijk van het handelen van een mens en ook zit er geen tijd tussen het bereiken van het niveau en het stoppen van het vullen. De technische maatregel van FOIO heeft dus een toegevoegde waarde om overvullen te voorkomen. Het is ook betrouwbaarder dan een organisatorische maatregel. Menselijk handelen kan falen. Veiligheidssystemen die uitsluitend gebaseerd zijn op menselijk ingrijpen zijn kwetsbaarder voor falen dan technische maatregelen die zonder tussenkomst van mensen kunnen functioneren. Tot deze conclusie is ook de Onderzoeksraad voor Veiligheid gekomen.
Meer specifiek voor de situatie van [eiseressen] wijst verweerder nog op een rapport van TNO van 3 mei 2012, waarin TNO overweegt dat uitsluitend vertrouwen op menselijk handelen onvoldoende is. Gelet hierop kan volgens verweerder niet worden volstaan met POM (en hoogniveau-alarmering). Bovendien sluit de maatregel van FOIO aan op de maatregel van de oplettende operator en de maatregel van de aanwezigheid van de niveaumeting en alarmering (de hoogniveau-alarmering van voorschrift 3.3.12 onder a). Als de eerdere menselijke barrières falen, stopt FOIO zonder dat menselijk ingrijpen nodig is de toevoer en voorkomt het dat er gevaarlijke stoffen vrijkomen. POM is in dat opzicht de basis waarop de maatregelen van de PGS 29 (hoogniveau-alarmering en FOIO) voortbouwen. Echter, aangezien POM en hoogniveau-alarmering beide afhankelijk zijn van mensen dient er nog een instrumentele beveiliging te zijn. Dat is FOIO. POM is geen alternatief voor FOIO. FOIO gaat uit van POM. Een technische maatregel kan ook falen, vandaar dat er ook mensen moeten zijn. Juist om die reden wordt in de PGS 29 een combinatie gemaakt van technische en organisatorische maatregelen voor de meest gevaarlijke stoffen. Ook in deze zin is POM volgens verweerder geen alternatief voor FOIO; beide moeten er zijn.
9.4.3.2. [eiseressen] meent dat verweerder de maatregelen die [eiseressen] heeft getroffen om overvullen van de betreffende tanks te voorkomen bagatelliseert en de door haar getroffen maatregelen tekort doet.
Naast POM is op alle tanks sprake van diverse alarmen, conform de voorschriften uit de PGS 29: Hoog niveau alarm en een ‘hoog-hoog niveau alarm’. Wanneer deze alarmen afgaan is nog geen sprake van een overvulsituatie. Daarnaast houdt een paneloperator via het Digitale Controle Systeem meerdere tanks continu in de gaten. Dat is inderdaad een basisvoorziening die elk opslagbedrijf heeft geïmplementeerd. Waar POM zich onderscheidt, is dat gestuurd wordt op het niet meer voorkomen van het aanspreken van deze alarmen. Voordat de wacht aanvangt, wordt geïnventariseerd welke tank gedurende die wacht zijn gewenste vulniveau zal bereiken. Dat hoeft niet hetzelfde als het maximale vulniveau te zijn.
Een tweede onafhankelijke persoon, veelal de wacht-chef, controleert tweemaal per wacht de actuele tankstanden en de (snelheid van de) neer- en opwaartse trends van de vloeistofniveaus in de tanks. Als deze afwijken van de verwachting grijpt de tweede onafhankelijke persoon in. Dat is niet gebruikelijk binnen de industrie.
[eiseressen] wijst in dit verband overigens nog op de publicatie van de PGS 29 Nieuwe Stijl, in concept gepubliceerd in april 2020. In deze versie is expliciet op het onderdeel overvulbeveiliging een door de PGS-programmaraad akkoord bevonden ‘split view’ opgenomen (een overheidsstandpunt en een industriestandpunt), omdat er geen consensus is bereikt over de noodzaak om FOIO aan te brengen, zoals verweerder dat thans voorstaat. De Nederlandse industrie heeft de risico’s met betrekking tot het overvullen van tanks geëvalueerd en een passend maatregelenpakket opgesteld (zie PGS 29 Nieuwe Stijl).
9.4.3.3. De rechtbank overweegt dat uit de nadere motivering van verweerder volgt dat verweerder er (nog steeds zonder meer) van uitgaat dat ingeval bij deze 24 niet-Buncefield tanks overvullen aan de orde is, er dus sprake is van een zwaar ongeval (zodat FOIO – dan wel een gelijkwaardig alternatief – benodigd is). Naar het oordeel van de rechtbank komen de door [eiseressen] getroffen maatregelen in de nadere motivering niet dan wel onvoldoende ter sprake. Verweerder blijft, in afwijking van de Vopak-uitspraak, ook in zijn nadere motivering PGS 29 voorop stellen, zonder eerst te beoordelen of het veiligheidsbeheerssysteem van [eiseressen] voldoende is om een (eventueel) zwaar ongeval te voorkomen. Naar het oordeel van de rechtbank gaat verweerder er ten onrechte al bij voorbaat vanuit dat, omdat POM een niet-geautomatiseerd systeem is, dit een onvoldoende maatregel is om ten aanzien van de betreffende 24 niet-Buncefield tanks een zwaar ongeval te voorkomen, daarbij evenmin aandacht schenkend aan de vraag of er bij overvullen van de 24 tanks al sprake zou kunnen zijn van een zwaar ongeval.
Voor zover in de nadere motivering wel is ingegaan op de door [eiseressen] getroffen maatregelen, doet verweerder daar geringschattend over, zonder afdoende te motiveren dat het gebruik van POM in de specifieke situaties van de 24 tanks kan leiden tot een zwaar ongeval,
terwijl [eiseressen] wel gemotiveerd heeft gesteld dat de door haar getroffen maatregelen ervoor zorgen dat bij het onbedoeld overvullen geen ernstig gevaar voor de menselijke gezondheid of het milieu en dus geen groot ongeval kan ontstaan. Naar het oordeel van de rechtbank kan alleen als toereikend is gemotiveerd dat het gebruik van POM kan leiden tot een zwaar ongeval, van [eiseressen] worden geëist dat zij ter naleving van artikel 5 van het Brzo maatregelen treft die voorkomen dat overvullen in de 24 tanks en zodoende een zwaar ongeval plaatsvindt.
9.4.4.1 Zoals hiervoor overwogen houdt verweerder ook in het verweerschrift vast aan zijn standpunt dat overvullen ook bij de 24 niet-Buncefield tanks tot een zwaar ongeval zal kunnen leiden. Er kan volgens verweerder immers een toxische dampwolk ontstaan die kan leiden tot vergiftiging. Er kan ook een explosieve atmosfeer ontstaan die kan leiden tot een explosie of brand. Of die in of buiten de tankput is, maakt voor verweerder niet uit. In beide gevallen lopen werknemers ernstig gevaar. De explosie als gevolg van het ontsteken van de explosieve atmosfeer in de tankput zal zich bovendien niet beperken tot de tankput. Verder kan er bij werknemers ernstig letsel ontstaan bij het opruimen van vrijgekomen gevaarlijke stoffen.
Verweerder meent, gelet hierop, dat het overvullen bij de 24 niet-Buncefield tanks kan leiden tot ernstig gevaar voor mensen en dat overvullen de gebeurtenis is waarop de maatregelen van [eiseressen] dienen aan te grijpen om een zwaar ongeval te voorkomen.
9.4.4.2. Naar het oordeel van de rechtbank heeft [eiseressen] vooralsnog voldoende aannemelijk gemaakt dat, als deze tanks al zouden (kunnen) overvullen, gelet op de feitelijke situatie bij haar een zwaar ongeval als bedoeld in artikel 1 van het Brzo niet kan plaatsvinden.
[eiseressen] heeft allereerst aannemelijk gemaakt dat zij ook mogelijke dampwolken in de tankput heeft beoordeeld. Dat ook in de PGS 29 bij de beschrijving van het Buncefield-scenario expliciet gekeken is naar de situatie buiten de tankput, komt doordat binnen de tankput de Europese en nationale wettelijke verplichtingen gelden voor het wegnemen van ontstekingsbronnen in tankputten (ATEX eisen) en het werkvergunningen-systeem, waarmee de kans op ontsteking bij aanwezigheid van mensen wordt weggenomen. Daarnaast is er volgens [eiseressen] in de tankput geen sprake van ‘congestion’, waardoor detonatie van een brandbare dampwolk niet mogelijk is. Dat is ook de reden dat er geen (zware) ongevallen bekend zijn die zich hebben voorgedaan in de tankput.
Verder heeft [eiseressen] gemotiveerd bestreden dat de door verweerder beschreven gevaren niet bij de 24 niet-Buncefield tanks passen. Voor K2-stoffen die beneden het vlampunt worden opgeslagen is ontsteking (theoretisch) niet mogelijk. Daarnaast heeft [eiseressen] gewezen op het HSE UK rapport “Vapour Cloud Formation, Experiments and Modelling”. Volgens dit rapport kan er geen sprake zijn van een brandbare dampwolk indien de opslagtemperatuur lager is dan het (vlampunt + (vlampunt -30)/2,33). Deze grens van opslagtemperatuur is door [eiseressen] in eerste instantie gehanteerd. Voor enkele tanks met een vlampunt iets boven deze grens bleek op basis van specifieke berekeningen met het conservatieve HSE UK model een brandbare dampwolk ook niet mogelijk te zijn. Waar dit niet aangetoond kon worden, heeft [eiseressen] , naar zij stelt, alsnog FOIO aangebracht. Er is volgens [eiseressen] dus zeker geen sprake van een kans op explosies bij de betreffende tanks bij een overvulling.
Daarnaast is de rechtbank van oordeel dat verweerder niet heeft onderbouwd dat er ten aanzien van de 24 niet-Buncefield tanks een toxische dampwolk kan ontstaan. [eiseressen] heeft in dit verband verklaard dat in deze opslagtanks geen producten worden opgeslagen met gevaarszinnen H330 en H331(toxische stoffen), zodat er geen dampwolkexplosie kan ontstaan die kan leiden tot vergiftiging. Een acuut toxisch scenario, waarbij een werknemer direct onwel wordt, is daarmee dan ook uitgesloten. Dat een werknemer bij overvulling onmiddellijk in een plas van een product staat en dat er sprake is van een dusdanige dampvorming dat deze werknemer onwel kan worden, waardoor er sprake is van een zwaar ongeval, is door verweerder onvoldoende aangetoond dan wel aannemelijk gemaakt. Alleen tank [nummer], waar methanol wordt opgeslagen, kent volgens [eiseressen] wel een gevaar eigenschap met gevaarszin H331, maar deze kan niet overvullen omdat deze tank de gehele inhoud van de fabriek kan dragen waarvoor deze als opvang heeft te gelden, zoals is bevestigd door de DCMR in het besluit van 15 februari 2019, pagina 3.
Voor de betreffende 24 tanks geldt bovendien dat er nu juist geen dampwolkexplosie (dat is immers een Buncefield-scenario) kan optreden. De rechtbank merkt hierbij op dat de DCMR de berekeningen van [eiseressen] heeft getoetst en daarbij heeft geoordeeld dat er geen sprake is van een dampwolkexplosie. Dit vormt ook de reden dat voor die tanks geen verplichting is opgenomen om FOIO aan te brengen in de omgevingsvergunning van [eiseressen] . Dat dit laatste niet nodig is in het belang van de bescherming van de (fysieke) leefomgeving, maakt niet dat dit dan niet tevens kan gelden voor de bescherming van het leven en gezondheid van werknemers. Voor beiden geldt dezelfde definitie van zwaar ongeval.
Tot slot geldt dat het verwijderen van product en bodemsaneringen onder speciale condities met persoonlijke beschermingsmiddelen dagelijks in heel Nederland met regelmaat plaatsvindt. Dit kan op zichzelf, als voldaan wordt aan de juiste voorzorgsmaatregelen, dan ook niet worden aangemerkt als een zwaar ongeval.
10. Gelet op het in rechtsoverweging 9 overwogene zijn de beroepen gegrond wegens strijd met artikel 7:12 van de Awb. De rechtbank zal dan ook de bestreden besluiten vernietigen.
Gelet op het in de rechtsoverwegingen 9.1 en 9.2. overwogene, kunnen de rechtsgevolgen van de te vernietigen bestreden besluiten, voor zover deze zien op de “Buncefield tanks” en de “tanks voor opslag van klasse 3 onverwarmd en klasse 4 verwarmd”, in stand blijven.
Op grond van hetgeen is overwogen onder rechtsoverwegingen 9.3. t/m 9.4.4.2. geldt dit niet ten aanzien van de “lege tanks” en de “niet-Buncefield tanks”. Ten aanzien van de “lege tanks” zal verweerder zich, opnieuw beslissend op bezwaar, eerst een goed beeld en voldoende kennis dienen te vergaren wat [eiseressen] met deze lege tanks precies beoogt en daarbij de vergunde situatie moeten betrekken. Ten aanzien van de niet-Buncefield tanks zal verweerder nader dienen te motiveren of ter zake van deze tanks bij overvullen een zwaar ongeval kan ontstaan. In het geval verweerder dit kan aantonen dan wel aannemelijk kan maken, zal verweerder aan de hand van het preventiebeleid van [eiseressen] nader moeten motiveren of de specifieke situatie van deze tanks zodanig is dat POM een voldoende dan wel onvoldoende maatregel vormt om een mogelijk zwaar ongeval ook daadwerkelijk te voorkomen.
Nu het bestreden besluit 2 van SNR (Rotterdam-Europoort) slechts ziet op één Klasse 1 tank, betekent het vorenstaande dat verweerder niet opnieuw op het bezwaar van SNR (Rotterdam-Europoort) hoeft te beslissen.
11. Omdat de rechtbank de beroepen gegrond verklaart, bepaalt de rechtbank dat verweerder aan [eiseressen] het betaalde griffierecht vergoedt.
12. De rechtbank veroordeelt verweerder in de door [eiseressen] gemaakte proceskosten.
Deze kosten stelt de rechtbank voor zowel SNR als SNC op grond van het Besluit proceskosten bestuursrecht voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 1.496,- (1 punt voor het indienen van een beroepschrift en 1 punt voor verschijnen ter zitting, met een waarde per punt van € 748,- en wegingsfactor 1).