Rechtbank Gelderland, 04-10-2023, ECLI:NL:RBGEL:2023:5435, 10357013 \ CV EXPL 23-1488
Rechtbank Gelderland, 04-10-2023, ECLI:NL:RBGEL:2023:5435, 10357013 \ CV EXPL 23-1488
Gegevens
- Instantie
- Rechtbank Gelderland
- Datum uitspraak
- 4 oktober 2023
- Datum publicatie
- 4 oktober 2023
- ECLI
- ECLI:NL:RBGEL:2023:5435
- Zaaknummer
- 10357013 \ CV EXPL 23-1488
Inhoudsindicatie
Een hacker stal persoonsgegevens van diverse (oud) studenten van de hogeschool. Een oud-student vroeg om schadevergoeding. De kantonrechter wijst de schadevergoeding gedeeltelijk toe.
Uitspraak
Civiel recht
Kantonrechter
Zittingsplaats Arnhem
Zaaknummer: 10357013 \ CV EXPL 23-1488
Vonnis van 4 oktober 2023
in de zaak van
[eiser] ,
te [woonplaats] ,
eisende partij,
hierna te noemen: [eiser] ,
gemachtigde: De vereniging Studentenvakbond AKKU,
tegen
STICHTING HOGESCHOOL VAN ARNHEM EN NIJMEGEN,
te Arnhem,
gedaagde partij,
hierna te noemen: de hogeschool,
gemachtigde: mr. S.Y. Wakker.
1 De procedure
Het verloop van de procedure blijkt uit:
- het tussenvonnis van 10 mei 2023;
- de akte houdende producties ten behoeve van de mondelinge behandeling van [eiser] ;
- de mondelinge behandeling van 7 september 2023, waarvan door de griffier aantekeningen zijn gemaakt. Op deze mondelinge behandeling hebben beide partijen spreekaantekeningen overgelegd.
Ten slotte is vonnis bepaald.
2 De feiten
[eiser] is alumnus van de hogeschool. In februari 2021 heeft hij zijn opleiding afgerond, met enige studievertraging vanwege persoonlijke omstandigheden.
Op 1 september 2022 heeft een hacker een deel van de persoonsgegevens, die zich op de server van de hogeschool bevonden, buit gemaakt.
[eiser] heeft op 5 oktober 2022 bericht van de hogeschool ontvangen dat mogelijk ook enkele van zijn persoonsgegevens bij de hack zijn gestolen. De hogeschool schreef in een e-mail: “Daarbij gaat het om algemene persoonsgegevens zoals naam, adres, woonplaats, e-mailadres, telefoonnummer, maar in jouw geval ook om je melding van de reden van studievertraging.
Dat weten we omdat deze gegevens waren opgeslagen op de plek waar de hacker heeft ingebroken. We weten niet of hij daadwerkelijk al deze gegevens in handen en/of gepubliceerd heeft.”
Op 9 december 2022 heeft [eiser] de hogeschool verzocht om een schadevergoeding vanwege de diefstal van zijn (bijzondere) persoonsgegevens (het datalek). De hogeschool heeft op 19 januari 2023 aan [eiser] laten weten geen schadevergoeding te zullen betalen.
3 Het geschil
[eiser] vordert, voor zover mogelijk uitvoerbaar bij voorraad:
I. een verklaring voor recht dat de hogeschool heeft gehandeld in strijd met primair de artikelen 5 lid 1 onder f en art. 32 AVG, subsidiair de artikelen 6:162 BW en 6:163 BW en meer subsidiair artikel 6:74 BW;
II. de hogeschool te veroordelen tot betaling van € 1.000,00 aan schadevergoeding aan [eiser] dan wel een in goede justitie vast te stellen bedrag aan schadevergoeding, te vermeerderen met de wettelijke rente vanaf de datum van het vonnis tot aan de dag van de algehele voldoening, althans verwijzing naar de schadestaat;
met veroordeling van de hogeschool in de proceskosten en de nakosten, te vermeerderen met de wettelijke rente over deze kosten.
Voorwaardelijk, indien en voor zover de feiten en omstandigheden zoals in de dagvaarding gesteld de kantonrechter onvoldoende aanleiding geven tot (gedeeltelijke) toewijzing van de vorderingen, heeft [eiser] gevorderd de beslissing aan te houden en de hogeschool te bevelen tot vrijgave aan [eiser] van:
1) het rapport van beveiligingsbedrijf Fox-IT over de oorzaak en toedracht van het datalek;
2) de notulen van het interne (crisis)overleg van de CERT van de hogeschool naar aanleiding van het beveiligingsincident in september 2021.
Aan zijn vorderingen legt [eiser] primair ten grondslag dat de hogeschool, als verwerkingsverantwoordelijke, inbreuk heeft gemaakt op de AVG en dat hij daardoor immateriële schade heeft geleden (art. 82 AVG). De hogeschool heeft namelijk zijn gegevens niet op een dusdanige manier verwerkt dat een passende beveiliging ervan gewaarborgd is door het nemen van passende technische of organisatorische maatregelen en dat die gegevens beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (art. 5 lid 1 onder f AVG) en ze heeft nagelaten passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen (art. 32 lid 1 aanhef en onder a, b en d AVG). Daardoor heeft [eiser] schade geleden.
Aan zijn subsidiaire vordering legt [eiser] ten grondslag dat de door de hogeschool begane schendingen van de AVG een onrechtmatige daad vormen, die de hogeschool kan worden toegerekend, dat [eiser] als gevolg daarvan schade heeft geleden en dat voldaan is aan de relativiteitseis. Aan zijn meer subsidiaire vordering legt [eiser] ten grondslag dat tussen hem en de hogeschool sprake is van een verbintenis. Als ingeschreven student heeft [eiser] destijds zijn persoonsgegevens ter beschikking van de hogeschool gesteld en werd de hogeschool verwerkingsverantwoordelijke. De verbintenis tot het dusdanig verwerken van persoonsgegevens dat een passende beveiliging ervan gewaarborgd is, is door de hogeschool geschonden. Deze tekortkoming in de nakoming heeft schade opgeleverd, aldus [eiser] .
De voorwaardelijke vordering heeft [eiser] gebaseerd op art. 843a Rv. Hij stelt dat hij een rechtmatig belang heeft bij inzage, afschrift of uittreksel van de twee genoemde bescheiden. Hij heeft informatie nodig over de oorzaak en toedracht van het datalek om zijn stellingen nader te kunnen onderbouwen.
De hogeschool voert verweer. Zij concludeert tot niet-ontvankelijkheid van [eiser] , dan wel tot afwijzing van de vorderingen van [eiser] , met uitvoerbaar bij voorraad te verklaren veroordeling van [eiser] in de kosten van deze procedure te vermeerderen met de wettelijke rente. Voor wat betreft de op art. 843a Rv gebaseerde vordering wil de hogeschool primair dat deze wordt afgewezen en subsidiair dat de kantonrechter bepaalt dat de stukken eerst alleen onder berusting bij/ter inzage van de kantonrechter worden gebracht, om daarna pas te beslissen over de vraag of en zo ja, onder welke voorwaarden de inzagevordering kan worden toegewezen. Voor het geval de inzagevordering (gedeeltelijk) wordt toegewezen wil de hogeschool dat er een of meer voorwaarden aan de toewijzende veroordeling worden verbonden.
Op de stellingen van partijen wordt hierna, voor zover nodig, nader ingegaan.