Het Nederlandse Uitvoeringsinstituut Werknemersverzekeringen moet een schadevergoeding van 500 euro betalen aan een vrouw die schade ondervond vanwege een datalek. Het is een van de weinige schadevergoedingen die ooit zijn uitgedeeld voor dat feit.
De schadevergoeding werd eerder deze maand opgelegd door de rechtbank in Den Haag. Het gaat om een bedrag van 500 euro dat voor rekening komt van het UWV, het Uitvoeringsinstituut Werknemersverzekeringen, dat gaat over onder andere het betalen van uitkeringen.
De boete draait om een datalek waarbij een vrouw slachtoffer werd. Het UWV stuurde in 2021 vijf brieven die bestemd waren voor de vrouw naar een verkeerd adres. Verkeerd geadresseerde brieven komen vaker voor bij het instituut; in de afgelopen jaren bleek dat het meest voorkomende datalek bij het UWV te zijn. Het UWV erkent dat het de brieven verkeerd verstuurde en maakte daar ook melding van bij de Autoriteit Persoonsgegevens.
De vrouw stelde schade te hebben geleden door het datalek en eiste een schadevergoeding van het UWV. Het instituut bood daarop 250 euro vergoeding aan. Volgens de vrouw was dat bij lange na niet genoeg; ze eiste daarop een schadevergoeding van 3000 euro. Toen het UWV dat afwees, stapte de vrouw naar de rechter vanwege de hoogte van het bedrag.
De vrouw stelde dat de 250 euro die het UWV bood 'in geen verhouding staat tot de angsten en depressies die zij heeft moeten doorstaan'. In de brieven stonden onder andere medische gegevens, maar ook 'procedurele aanschrijvingen'. Omdat de vrouw die brieven niet kreeg, overschreed ze bepaalde termijnen, die in het vonnis verder niet worden gespecificeerd. Door die overschrijdingen kreeg de vrouw angstaanvallen. Een psycholoog van de vrouw bevestigde dat zij 'bij oplopende spanning last lijkt te hebben van cognitieve overspoeling, waarbij zij moeite heeft met denken en overzicht houden'.
De rechter stelt in het vonnis dat het duidelijk is dat de vrouw inderdaad immateriële schade leed door het incident. "Het datalek heeft een negatieve invloed gehad op haar gezondheidstoestand en daarmee op het herstel van haar arbeidsongeschiktheid." Daarom is een schadevergoeding van 500 euro 'billijk en passend', aldus de rechter.
De uitspraak is opvallend, omdat het een van de eerste keren is dat er een schadevergoeding wordt uitgekeerd naar aanleiding van een datalek. Onder de AVG hebben slachtoffers daar niet automatisch recht op, maar via de rechter kan zo'n schadevergoeding wel worden afgedwongen. Daarvoor is het echter nodig dat er daadwerkelijk schade is geleden. Dat is ingewikkeld te bewijzen. Het wordt wel steeds makkelijker om zo'n schadevergoeding te eisen door andere uitspraken. Eerder dit jaar deed het Europees Hof van Justitie daar nog een belangrijke uitspraak over. Het Hof stelde dat er geen 'drempelwaarde' nodig is voor een claim voor een schadevergoeding.