Het blijft een moeilijke kwestie. Je gegevens zijn gelekt door de overheid, zoals laatst in Eindhoven, maar wat voor schade heb je daar dan van? En kun je dat aantonen? In het Nederlandse recht is het moeilijk om schade te claimen, zegt advocaat Stephan Mulders. Maar het Europese Hof geeft volgens hem hoop. Als je bang bent geworden omdat je gegevens zijn gelekt en je hebt daar stress van, kan dat al genoeg zijn om een vergoeding te krijgen.

De gemeente Eindhoven meldde onlangs een ernstig datalek. Ambtenaren hebben gevoelige informatie over inwoners en medewerkers ingevoerd bij openbare AI-tools zoals ChatGPT. Het gaat om bijvoorbeeld jeugdwetdocumenten, interne verslagen of cv’s. Het gaat volgens de gemeente om veel bestanden, maar hoeveel precies is niet duidelijk. De gemeente heeft de Autoriteit Persoonsgegevens ingelicht en aan OpenAI gevraagd om de gegevens te verwijderen.

Advocaat Stephan Mulders is aan het promoveren op het onderwerp ‘schade na een datalek’. Inmiddels zijn er wel uitspraken van de rechter geweest waarin een schadevergoeding na een datalek of hacken wordt toegekend. Maar dat zijn geen grote bedragen. “Daar kun je de advocaat nog niet eens van betalen.”

Een massaclaim geeft meer kans. In Nederland lopen er nu twaalf, waarin volgens een persoonlijke schatting van Mulders 80 miljard wordt gevorderd. Maar in Eindhoven lijken er nog te weinig mensen te zijn voor een grote massaclaim en het is een lang proces. "De eerste AVG-claims zijn vijf jaar geleden ingesteld en worden nu inhoudelijk behandeld." Een massaclaim die nog in de lucht hangt, is het datalek waarbij de gegevens van vrouwen die meededen aan het bevolkingsonderzoek voor baarmoederhalskanker werden gehackt. 

De gemeente Eindhoven zou gewoon zelf over de boeg moeten komen, vindt Mulders. “Het zou de gemeente sieren, in plaats van kwetsbare mensen eindeloos te laten spartelen.” Want het invoeren van persoonlijke gegevens van inwoners in openbare AI-tools is natuurlijk niet de bedoeling. “Het is heel onhandig, de ambtenaren hadden dat niet moeten doen, maar het is druk en je wilt een moeilijke kwestie sneller oplossen. Organisatorisch is het dan ook niet goed geregeld.”

Maar hoe toon je aan dat je angst of stress hebt door een datalek bij de overheid? Dat is geen makkelijke vraag. Een slimme advocaat kan er al gehakt van maken. “Misschien ben je bang geworden omdat er veel over het lek op social media is gepost bijvoorbeeld”, zegt Mulders. “Maar dan komt het dus niet door het datalek zelf.”

Toch is er ruimte voor een vergoeding, denkt Mulders. “Als het gaat om gevoelige gegevens over kwetsbare personen bijvoorbeeld." Dat moet je dan wel goed aantonen: "Je moet beginnen over je fundamentele rechten en het risico dat je loopt door een datalek. Bijvoorbeeld: de gegevens over mijn geloof zijn gedeeld en daarom loop ik het risico om gediscrimineerd te worden.”  

Volgens Mulders kunnen mensen die bang zijn dat ze gevaar lopen contact opnemen met de gemeente en inzage eisen in hun dossier. Als de IT bij de gemeente goed geregeld is, worden acties in een dossier gelogd. Mensen zouden dan moeten kunnen zien wie erin hebben gekeken en wat er is gedeeld.

De gemeente Eindhoven heeft laten weten mensen niet persoonlijk te kunnen informeren. Een deel van de mensen zou wel achterhaald kunnen worden, maar de gemeente zegt dat dat een 'onevenredige inspanning' zou zijn.  Volgens de gemeente hebben twee inwoners om verwijdering of inzage gevraagd. 

Intussen zou de gemeente kunnen afstevenen op een forse boete van de Autoriteit Persoonsgegevens (AP), denkt Mulders. “In de eerste jaren na de nieuwe privacywet, de AVG, moest de AP zelf nog wennen aan de nieuwe rol. Maar nu zijn ze zeker strenger geworden. Het zou me niks verbazen als de gemeente een flinke boete krijgt.”