ECLI:NL:RVS:2025:1812

202400273/1/A2. Datum uitspraak: 23 april 2025 AFDELING BESTUURSRECHTSPRAAK Uitspraak op het hoger beroep van: [appellant], wonend in Rotterdam, appellant, tegen de uitspraak van de rechtbank Rotterdam van 30 november 2023 in zaak nr. 23/2230 op een verzoek van [appellant] om het college van burgemeester en wethouders van Rotterdam te veroordelen tot het betalen van schadevergoeding als bedoeld in artikel 8:88, eerste lid, van de Algemene wet bestuursrecht (hierna: Awb).

Bij uitspraak van 30 november 2023 heeft de rechtbank het verzoek van [appellant] om het college van burgemeester en wethouders van Rotterdam (hierna: het college) te veroordelen tot vergoeding van schade afgewezen. Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld. Het college heeft een schriftelijke uiteenzetting gegeven. De Afdeling heeft de zaak op een zitting behandeld op 17 maart 2025, waar [appellant] en het college, vertegenwoordigd door mr. J.C. Avedissian en mr. R.J.M. Codrington, vergezeld door D. Meijers en A. Okué, zijn verschenen.

1.       In geschil is of [appellant] recht heeft op een schadevergoeding, omdat de GGD Rotterdam-Rijnmond (hierna: de GGD) zijn persoonsgegevens uit de systemen heeft gewist en de GGD een belhistorie bijhoudt waarin zijn persoonsgegevens zijn verwerkt. Achtergrond van het geschil 2.       Naar aanleiding van een bij hem af te nemen coronatest heeft [appellant] op 21 maart 2021 via het contactformulier de GGD te kennen gegeven dat hij na ontvangst van de uitslag daarvan wenst dat zijn persoonsgegevens worden verwijderd. Hiermee wilde hij voorkomen dat zijn persoonsgegevens verhandeld zouden worden. 3.       Bij e-mail van 24 maart 2021 heeft [appellant] onder verwijzing naar artikel 17 van de Algemene Verordening Gegevensbescherming (hierna: AVG) verzocht dat zijn persoonsgegevens met betrekking tot de coronatest (hierna ook: coronatestgegevens) worden verwijderd. 4.       Bij e-mail van 29 maart 2021 heeft [appellant] de GGD wederom te kennen gegeven dat hij wenst dat zijn persoonsgegevens na het ontvangen van de uitslag van de door hem ingeplande coronatest worden verwijderd, zodat deze niet verhandeld kunnen worden. 5.       Bij e-mail van 20 april 2021 heeft de GGD [appellant] geïnformeerd over de gevolgen van de verwijdering. Over vaccinaties is daarin vermeld dat indien [appellant] een eerste of tweede vaccinatieafspraak heeft gemaakt, maar het vaccin nog niet heeft ontvangen, bij verwijdering van de gegevens ook de afspraak zal worden verwijderd. In dat geval kan [appellant] een nieuwe afspraak maken. Verder is vermeld dat afhankelijk van de situatie verwijdering geheel of gedeeltelijk mogelijk is. Daaronder is vermeld dat als de testuitslag negatief is, de gegevens die voor het maken van de afspraak zijn gebruikt en de testuitslag kunnen worden verwijderd. Bij een positieve test is de GGD wettelijk verplicht de positieve uitslagen in ieder geval voor de duur van de pandemie te bewaren, zodat slechts gedeeltelijk aan het verzoek kan worden voldaan. Ook staat erin vermeld dat [appellant] kan laten weten of hij de afhandeling van het verwijderingsverzoek wil voortzetten dan wel eerst alle vaccinaties wil ontvangen. 6.       Bij e-mail van 26 april 2021 heeft [appellant] onder verwijzing naar zijn e-mail van 29 maart 2021 te kennen gegeven dat hij slechts wenst dat zijn gegevens van de op 29 maart 2021 afgenomen coronatest, waarvan de uitslag negatief was, worden verwijderd. Verder heeft hij daarin vermeld dat hij destijds geen afspraak had staan voor een vaccinatie. 7.       Bij e-mail van 11 mei 2021 heeft de GGD [appellant] laten weten dat zijn verzoek in behandeling is en dat hij daarover op korte termijn een besluit zal ontvangen. Verder staat daarin vermeld dat de medewerker naar aanleiding van [appellant]s e-mail van 26 april 2021 begrijpt dat er bij hem wat onduidelijkheid is ontstaan. Indien hij daarover wil overleggen, dan kan hij met de behandelend medewerker telefonisch contact opnemen. 8.       Bij besluit van 28 mei 2021 heeft de directeur van de GGD het verzoek van [appellant] om verwijdering van zijn persoonsgegevens ingewilligd. Omdat de uitslag van de coronatest negatief was, konden de gegevens volledig worden verwijderd. Verder was er voor de GGD geen belang meer om de gegevens over de negatieve testuitslag te bewaren. Bij het besluit van 28 mei 2021 is een bijlage gevoegd met de verwerkte persoonsgegevens die verwijderd zullen worden. 9.       Bij e-mail van 27 mei 2021 (in reactie op de ontvangst van het besluit) heeft [appellant] vermeld dat hij aanneemt dat de GGD met het besluit alleen de gegevens van de op 29 maart 2021 afgenomen coronatest heeft verwijderd. 10.     Bij e-mail van 7 september 2021 heeft [appellant] aan de GGD te kennen gegeven dat hij bij het halen van zijn tweede vaccinatie heeft achterhaald dat al zijn gegevens waren verwijderd. Omdat zijn privacy daardoor is geschonden, heeft hij verzocht om een schadevergoeding. 11.     Bij e-mail van 27 september 2021 heeft hij nader gespecificeerd dat hij een schadevergoeding van € 5.000,- verzoekt voor de onrechtmatige gegevensverwerking. 12.     Bij besluit van 17 november 2021 heeft het college het verzoek om schadevergoeding afgewezen. In het besluit is toegelicht dat [appellant] zowel schriftelijk als telefonisch is geïnformeerd over de mogelijke gevolgen van het doorzetten van zijn verzoek om verwijdering van persoonsgegevens uit het CoronIT-systeem, waaronder de mogelijke verwijdering van (toekomstige) registraties binnen het systeem. Daarom is aan [appellant] een mogelijkheid geboden om het verzoek in te trekken tot na de vaccinaties. Niettemin heeft [appellant] zijn verzoek gehandhaafd. De verwerking is daarom rechtmatig. Daarnaast is in de brief vermeld dat [appellant] de gestelde schade niet heeft onderbouwd. 13.     Op 29 maart 2023 heeft [appellant] de rechtbank verzocht om schadevergoeding op grond van artikel 82 van de AVG, omdat zijn gegevens volgens hem onrechtmatig zijn verwerkt door de verwijdering van zijn vaccinatieafspraak en vanwege de belhistorie die de GGD bijhoudt. Voor de vermeende onrechtmatige gegevensverwerking van de vaccinatieafspraak stelt [appellant] € 28.929,- schade te hebben geleden en voor het bijhouden van de belhistorie kan het schadebedrag volgens hem oplopen tot € 102.500,-. Evenwel heeft [appellant] zijn verzoek om schadevergoeding bij de bestuursrechter beperkt tot € 25.000,-. Uitspraak van de rechtbank 14.     De rechtbank heeft geoordeeld dat de GGD op juiste gronden de persoonsgegevens van [appellant] heeft verwijderd, zodat zijn beroep op artikel 82 van de AVG niet kan slagen. Daartoe heeft zij overwogen dat de GGD bij e-mail van 20 april 2021 aan [appellant] kenbaar heeft gemaakt dat bij een verzoek om verwijdering van persoonsgegevens, in geval van een negatieve testuitslag, alle gegevens worden verwijderd, waaronder ingeplande vaccinatieafspraken. Voor zover die e-mail voor [appellant] onduidelijk was, is de rechtbank niet gebleken dat hij daarna telefonisch contact heeft opgenomen met de GGD om te controleren of alleen de gegevens die hij verwijderd wenst te hebben zullen worden verwijderd. Ook uit de e-mail van [appellant] van 26 april 2021 volgt niet duidelijk (genoeg) dat hij zijn persoonsgegevens niet verwijderd wilde hebben. Daarbij komt dat in de bijlage bij het besluit van 28 mei 2021 alle gegevens staan vermeld die zouden worden verwijderd. Ook daarna heeft [appellant] niet aan de bel getrokken. Dat de na het besluit van 28 mei 2021 ingeplande afspraak voor een vaccinatie is verwijderd, kan verklaard worden doordat na het besluit, het 6 tot 8 weken duurt voordat de gegevens zijn verwijderd. De rechtbank heeft verder geoordeeld dat ook de gegevensverwerking die heeft plaatsgevonden na telefonisch contact, de zogenoemde belhistorie, rechtmatig was. Daartoe heeft zij overwogen dat op grond van artikel 6, eerste lid, aanhef en onder f, van de AVG de verwerking van persoonsgegevens alleen rechtmatig is, indien en voor zover de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is. Sub f geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. De GGD heeft er op gewezen dat wanneer contact wordt opgenomen met de Back Office van de GGD om gegevens te controleren voor het verkrijgen van een vaccinatiebewijs, het gesprek wordt opgenomen om eventuele klachten goed af te kunnen handelen.

18.     Het hoger beroep is ongegrond. De aangevallen uitspraak moet worden bevestigd, met aanvulling van de gronden waarop deze rust. 19.     Het college hoeft geen proceskosten te vergoeden.

De Afdeling bestuursrechtspraak van de Raad van State: bevestigt de aangevallen uitspraak. Aldus vastgesteld door mr. J.F. de Groot, lid van de enkelvoudige kamer, in tegenwoordigheid van mr. C. Kouidar, griffier. w.g. De Groot lid van de enkelvoudige kamer w.g. Kouidar griffier Uitgesproken in het openbaar op 23 april 2025 1120

Mede gelet hierop acht de rechtbank de verwerking van de betreffende gegevens rechtmatig. Oordeel van de Afdeling Omvang van het geding 15.     In deze procedure gaat het over het verzoek van [appellant] om schadevergoeding, omdat de GGD onrechtmatig zijn gegevens zou hebben verwerkt door zijn vaccinatiegegevens uit het systeem te wissen en door een belhistorie bij te houden waarin zijn persoonsgegevens voorkomen. Zijn verzoek in het hogerberoepschrift om een dwangsom vast te stellen vanwege het niet tijdig nemen van een besluit op zijn verzoek om verwijdering van de coronatestgegevens en vanwege het niet tijdig beslissen op zijn bezwaar, valt buiten de omvang van dit geding. Ook zijn verzoek om schadevergoeding, omdat de uitspraak van de rechtbank aan de verkeerde persoon is verzonden, valt buiten de omvang van dit geding. Wissen vaccinatieafspraak 16.     [appellant] betoogt dat de rechtbank ten onrechte het college niet heeft veroordeeld tot schadevergoeding, omdat de GGD zijn persoonsgegevens in relatie tot de ingeplande en verrichte vaccinatie (hierna: vaccinatiegegevens) heeft gewist. Volgens hem was deze gegevensverwerking onrechtmatig. Onder verwijzing naar de correspondentie tussen hem en de GGD betoogt hij dat er geen onduidelijkheid over kon bestaan dat zijn verzoek slechts zag op het wissen van de coronatestgegevens. Uit de correspondentie heeft hij ook afgeleid dat het mogelijk was slechts de coronatestgegevens te wissen. Gelet op de aard, ernst en duur van de onrechtmatige verwerking stelt hij een schade te hebben geleden van € 28.929,-. 16.1.  Niet in geschil is dat het ten onrechte wissen van persoonsgegevens leidt tot een onrechtmatige gegevensverwerking. 16.2.  Het college heeft op de zitting bij de Afdeling toegelicht dat bij de GGD tijdens de coronapandemie in een kort tijdsbestek een aanzienlijk aantal verzoeken om verwijdering van coronatestgegevens werd ingediend. Daarbij heeft het college erkend dat het aanvankelijk de bedoeling was om deze verzoeken op een zodanige wijze af te handelen dat slechts de coronatestgegevens werden verwijderd, maar dat uit ervaringen van de GGD in andere regio’s daarna bleek dat het gebruikte CoronIT-systeem dit niet toeliet en dat ook de vaccinatiegegevens werden gewist. 16.3.  De Afdeling leidt hieruit af dat het niet een wettelijke beperking was die in de weg stond aan de mogelijkheid om slechts de coronatestgegevens te wissen, maar een beperking die voortvloeide uit het gebruikte systeem. De GGD heeft, ook nadat dit bekend werd, ondanks de uitdrukkelijke wens van [appellant] om slechts de coronatestgegevens te wissen, het verzoek toch zonder meer doorgezet. Bij deze stand van zaken heeft de rechtbank onvoldoende gemotiveerd dat het wissen van de vaccinatiegegevens van [appellant] niet onrechtmatig was. 16.4.  Dat neemt niet weg dat als al moet worden aangenomen dat het wissen van de vaccinatiegegevens onrechtmatig was, volgens vaste rechtspraak van de Afdeling de bewijslast van de schade, de omvang daarvan en het oorzakelijk verband tussen de schade en de gestelde oorzaak in beginsel liggen bij degene die stelt dat hij schade heeft geleden. Dit betekent dat [appellant] aannemelijk moet maken dat hij schade als gevolg van de onrechtmatige gegevensverwerking heeft geleden. Hierin is hij niet geslaagd. De Afdeling zal hierna toelichten hoe zij tot dit oordeel is gekomen. 16.5.  Zoals de Afdeling heeft overwogen in haar uitspraak van 5 juni 2024, ECLI:NL:RVS:2024:2311, leidt een inbreuk op de AVG niet zonder meer tot vergoedbare schade. De persoon die verzoekt om immateriële schade moet de aantasting in zijn persoon aannemelijk maken en de gestelde schade met concrete gegevens onderbouwen. Daartoe is vereist dat naar objectieve maatstaven het bestaan van geestelijk letsel kan worden vastgesteld (zie het overzichtsarrest van de Hoge Raad van 28 mei 2019, ECLI:NL:HR:2019:793, onder 2.4.5). Dit vereiste houdt niet in dat het moet gaan om een in de psychiatrie erkend ziektebeeld, en evenmin dat dit geestelijk letsel slechts door een psychiater of psycholoog kan worden vastgesteld (zie het arrest van de Hoge Raad van 29 juni 2021, ECLI:NL:HR:2021:1024, onder 2.6.1). 16.6.  Onder verwijzing naar de uitspraak van de Afdeling van 1 april 2020, ECLI:NL:RVS:2020:898, betoogt [appellant] dat de aard en de ernst van de onrechtmatige gegevensverwerking meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor hem zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen. Daarbij wijst hij erop dat, indien hij in de tussentijd gezondheidsklachten had ondervonden, zorgverleners zijn medische status niet hadden kunnen achterhalen. Ook wijst hij op het oponthoud bij het halen van zijn tweede vaccinatie. 16.7.  Naar het oordeel van de Afdeling heeft [appellant] onvoldoende onderbouwd dat hij schade heeft geleden als gevolg van het verwijderen van de vaccinatiegegevens. [appellant] wijst slechts op mogelijke schade die had kunnen optreden doordat zijn vaccinatiegegevens waren gewist, maar die (im)materiële schade heeft hij dus niet daadwerkelijk geleden. Daarbij heeft [appellant] bij het halen van zijn tweede vaccinatie pas achterhaald dat de vaccinatieafspraak was gewist, waarna de GGD-medewerkers op locatie alsnog de gegevens hebben ingevoerd in het computersysteem en hij - na enig oponthoud - de vaccinatie heeft gekregen. De nadelige gevolgen hiervan zijn niet zo voor de hand liggend, dat een aantasting in de persoon kan worden aangenomen. 16.8.  De verwijzing van [appellant] op de zitting naar de uitspraak van het Hof van Justitie van 20 juni 2024, ECLI:EU:C:2024:536, gaat in dit geval niet op, omdat het in die zaak ging om persoonsgegevens waarvoor de vrees bestond dat deze aan derden zijn doorgegeven. Die situatie doet zich hier niet voor, omdat het hier ging om verwijderde gegevens. 16.9.  Het betoog slaagt niet. Bijhouden van belgegevens 17.     [appellant] heeft zich erover beklaagd dat de rechtbank, ondanks dat zij tijdens de zitting had vermeld dat een besluit vereist was voor een oordeel over het verzoek om schadevergoeding op grond van artikel 82 van de AVG, heeft geoordeeld dat het bijhouden van telefonische contacten rechtmatig is. [appellant] wijst erop dat tot op heden geen besluit is genomen over de belhistorie. [appellant] betoogt verder dat de rechtbank ten onrechte het college niet heeft veroordeeld tot betaling van schadevergoeding, omdat de GGD gegevens van telefonische contacten bijhoudt. Volgens hem is de door de rechtbank aangehaalde grondslag van gerechtvaardigd belang niet van toepassing, omdat de toepassing daarvan op overheidsinstanties in dezelfde bepaling wordt uitgesloten. [appellant] stelt verder dat de hoogte van de schade inmiddels is opgelopen tot € 1.512.588,-. 17.1.  De Afdeling stelt voorop dat het op de zitting pas voor het eerst opgeworpen betoog dat de grondslag van gerechtvaardigd belang niet van toepassing is, omdat het gaat om verwerking van bijzondere persoonsgegevens, waarvan verwerking pas is toegestaan indien aan één van de vereisten op grond van artikel 9, tweede lid, van de AVG is voldaan, in strijd is met de goede procesorde. Deze grond blijft daarom verder buiten beschouwing. 17.2.  In de uitspraak van 2 februari 2022, ECLI:NL:RVS:2022:319, onder 14.1, heeft de Afdeling overwogen dat degene die op grond van artikel 82 van de AVG aanspraak stelt te maken op vergoeding van schade die het gevolg is van het onrechtmatig verwerken van persoonsgegevens door een bestuursorgaan, overeenkomstig artikel 8:88 van de Awb, keuzevrijheid heeft om zijn verzoek aan de bestuursrechter voor te leggen dan wel zijn aanspraak op schadevergoeding via de civielrechtelijke weg te realiseren. Voor indiening van zo’n verzoek is het niet nodig dat de betrokkene eerst een beroep heeft gedaan op zijn rechten genoemd in hoofdstuk III van de AVG.