Resterende collectieve vorderingen over coronadatalek afgewezen wegens onvoldoende belang

Rb. Amsterdam 9 juni 2026, IT 5367; ECLI:NL:RBAMS:2026:6299 (ICAM tegen de Staat, GGD GHOR en de GGD’en c.s.). Stichting ICAM voert een collectieve actie tegen onder meer de Staat, GGD GHOR en verschillende GGD’en naar aanleiding van het coronadatalek. Vaststaat dat medewerkers van GGD’en toegang hadden tot de systemen CoronIT en HPZone Lite en persoonsgegevens aan derden hebben verstrekt. In een eerder tussenvonnis had de rechtbank de schadevergoedingsvorderingen al niet-ontvankelijk verklaard. Voor personen van wie niet vaststond dat hun gegevens daadwerkelijk in verkeerde handen waren gekomen, was niet gebleken van schade die voor vergoeding in aanmerking kwam. Voor de groep van wie gegevens wel door onbevoegden waren ingezien of verkregen, hadden de meeste betrokkenen een financiële tegemoetkoming geaccepteerd en afstand gedaan van verdere schadeclaims. Voor de beperkte resterende groep had ICAM onvoldoende aannemelijk gemaakt dat zij representatief was. Na intrekking van de vorderingen tot beëindiging van inbreuken en verbetering van de beveiliging resteerden alleen verklaringen voor recht over de verwerkingsverantwoordelijkheid en gestelde schendingen van onder meer de AVG en artikel 6:162 BW.

De rechtbank oordeelt dat ICAM onvoldoende belang heeft bij deze resterende verklaringen voor recht. Er zijn onvoldoende aanwijzingen dat nog personen bestaan die daadwerkelijk schade hebben geleden en die met behulp van de verklaringen eenvoudiger een individuele schadevergoedingsprocedure zouden kunnen voeren. De pas tijdens de mondelinge behandeling aangevoerde argumenten over de beveiligingskwetsbaarheid, het verlies van controle over persoonsgegevens en artikel 79 AVG laat de rechtbank wegens strijd met de goede procesorde buiten beschouwing. Bovendien komt het beroep op verlies van controle volgens de rechtbank in wezen opnieuw neer op vrees voor een mogelijke inbreuk en niet op schade als gevolg van een vastgestelde inbreuk. Daarom ontbreekt voldoende belang in de zin van artikel 3:303 BW. Ook kan niet concreet worden vastgesteld voor hoeveel personen de vorderingen betekenis hebben en is niet gebleken dat de collectieve procedure efficiënter en effectiever is dan eventuele individuele procedures, zodat evenmin is voldaan aan artikel 1018c lid 5, onder b, Rv. De rechtbank komt daardoor niet toe aan een inhoudelijke beoordeling van de gestelde AVG-schendingen en wijst de vorderingen K.I tot en met K.III af. ICAM wordt in de proceskosten veroordeeld, maar de verhoogde kostenveroordeling van artikel 1018l Rv wordt niet toegepast omdat de vorderingen bij aanvang van de procedure niet evident ondeugdelijk waren.

5.4.

De rechtbank overweegt als volgt.

5.4.1.

De rechtbank stelt op basis van het dossier en het verhandelde ter zitting vast dat er onvoldoende aanwijzingen zijn dat er personen zijn die door het coronadatalek (daadwerkelijk) schade hebben geleden en die met behulp van de in dit geding uit te spreken verklaringen voor recht op eenvoudiger wijze dan zonder deze verklaringen voor recht hun schade zouden kunnen vorderen. Hierbij wordt in aanmerking genomen dat ICAM concreet in de gelegenheid is gesteld te reageren op de stelling van GGD GHOR dat er tot op heden, dus na het verstrijken van een periode van vier jaar, niet is gebleken dat er gegevens van groep A in verkeerde handen zijn gekomen en evenmin dat individuen, die niet financieel zijn gecompenseerd, inmiddels schadevergoedingsvorderingen hebben ingesteld.

5.5.

ICAM heeft vandaag naar voren gebracht dat er niet alleen sprake is van een datalek, maar dat zij ook heeft gewezen op de beveiligingskwetsbaarheid. Die is in het eerste tussenvonnis buiten beschouwing gelaten. Uit die beveiligingskwetsbaarheid vloeit voort dat 6,5 miljoen Nederlanders de controle over hun gegevens zijn verloren en dus moeten vrezen voor misbruik van hun gegevens.

Verder heeft ICAM aangevoerd dat gedupeerden op grond van artikel 79 AVG het recht hebben een voorziening in rechte te vragen. Zij leidt daaruit af dat gedupeerden een immaterieel belang hebben bij het gevorderde onder K.I tot en met K.III.

5.6.

Beide argumenten zijn in relatie tot het belang van ICAM bij de vorderingen K.I tot en met K.III niet eerder aangevoerd, terwijl de rechtbank ICAM bij akte in de gelegenheid had gesteld haar belang bij die vorderingen (en haar vordering onder L.) te onderbouwen. De rechtbank acht het in strijd met de goede procesorde dat ICAM ter onderbouwing van haar belang nu nog met deze grotendeels nieuwe juridisch inhoudelijke argumenten komt en zal deze alleen al daarom buiten beschouwing laten.

Bovendien komt de aangevoerde beveiligingskwetsbaarheid en het daaruit voortvloeiende verlies van controle in wezen (opnieuw) neer op de vrees voor een inbreuk en niet de vrees na een vastgestelde inbreuk. In genoemd tussenvonnis ging het om verlies van controle over persoonsgegevens door het datalek (r.o. 5.20.8); die vrees is niet anders bij verlies van controle over persoonsgegevens door een beveiligingskwetsbaarheid. De rechtbank heeft in het eerste tussenvonnis geoordeeld dat die vrees geen recht geeft op schadevergoeding, zodat ICAM in haar schadevergoedingsvordering met betrekking tot de benadeelden van groep A (6,5 miljoen Nederlanders) niet-ontvankelijk is verklaard. De rechtbank blijft bij dat oordeel. Dat oordeel brengt met zich dat een verklaring voor recht die er op berust dat dat sprake was van een beveiligingskwetsbaarheid ook in een individuele procedure niet leidt tot toewijsbaarheid van schadevergoeding, zodat ook bij een dergelijke verklaring voor recht geen belang bestaat.

5.6.1.

De conclusie is dat bij een toewijzing van het gevorderde onder K.I tot en met K.III onvoldoende is gebleken van een belang als bedoeld in artikel 3:303 BW.

5.6.2.

Overigens stuit het gevorderde om dezelfde redenen ook af op het bepaalde in artikel 1018c lid 5, aanhef en onder b, Rv, waarin is bepaald dat een inhoudelijke behandeling van de collectieve vordering slechts plaatsvindt “indien en nadat de rechter heeft beslist dat de eiser voldoende aannemelijk heeft gemaakt dat het voeren van deze collectieve vordering efficiënter en effectiever is dan het instellen van een individuele vordering doordat de te beantwoorden feitelijke en rechtsvragen in voldoende mate gemeenschappelijk zijn, het aantal personen tot bescherming van wier belangen de vordering strekt, voldoende is en, indien de vordering strekt tot schadevergoeding, dat zij alleen dan wel gezamenlijk een voldoende groot financieel belang hebben.”

5.6.3.

Bij de hiervoor geschetste stand van zaken kan het “aantal personen tot bescherming van wier belangen de vordering strekt” onvoldoende concreet worden vastgesteld en kan overigens evenmin worden vastgesteld dat het beoordelen van de collectieve vorderingen onder K.I tot en met K.III efficiënter en effectiever zal zijn dan de eventuele individuele procedure(s) die mogelijk nog gaat/gaan worden gevoerd. Daarmee kan niet worden overgegaan tot een inhoudelijke behandeling van die vorderingen.

5.7.

Gelet op het voorgaande moeten de vorderingen K.I tot en met K.III worden afgewezen.