ECLI:NL:RBAMS:2025:5787

RECHTBANK AMSTERDAM Bestuursrecht zaaknummer: AMS 22/3746 uitspraak van de meervoudige kamer van 4 maart 2025 in de zaak tussen [eiseres], uit [woonplaats], eiseres (gemachtigde: mr. S.W. Stapel), en de Autoriteit Persoonsgegevens, verweerder (gemachtigde: mr. E. Nijhof) en de Staat der Nederlanden (de minister van Justitie en Veiligheid), de Staat. Als derde-partij neemt aan de zaak deel: [bedrijf 1] en [bedrijf 2], uit Amsterdam (hierna gezamenlijk en in enkelvoud: [bedrijf 1]) (gemachtigde: mr. O.A. Sleeking). Inleiding

1. In deze uitspraak beoordeelt de rechtbank het beroep van eiseres tegen de afwijzing van haar klacht over verwerking van persoonsgegevens door [bedrijf 1] in strijd met de Algemene Verordening Gegevensbescherming (AVG). 1.
2. Verweerder heeft deze klacht met het besluit van 16 november 2021 (het primaire besluit) afgewezen. Met een besluit van 23 juni 2022 (het bestreden besluit) op het bezwaar van eiseres is verweerder bij de afwijzing van de klacht gebleven. 1.
3. Verweerder heeft op het beroep gereageerd met een verweerschrift. Eiseres heeft schriftelijk gereageerd op het verweerschrift. [bedrijf 1] heeft een schriftelijke uiteenzetting gegeven. 1.
4. De rechtbank heeft het beroep op 20 januari 2025 op zitting behandeld. Hieraan hebben deelgenomen: eiseres, de gemachtigde van eiseres, bijgestaan door mr. J. van de Velde, de gemachtigde van verweerder, bijgestaan door mr. W. van Steenbergen, en de gemachtigde van [bedrijf 1], vergezeld door mr. S. Baris, mr. D.A. Hollard en mr. F. van Geuns. Totstandkoming van het bestreden besluit De klacht en afhandeling daarvan
5. Eiseres was sinds 2008 werkzaam bij [bedrijf 2], onderdeel van [bedrijf 1]. Zij werkte eerst als gedetacheerd medewerker bij verschillende opdrachtgevers en vanaf 2015 intern op het hoofdkantoor van [bedrijf 1]. Zij heeft sinds 2011 bij [bedrijf 1] meerdere meldingen gedaan van de onrechtmatige wijze van verwerking van persoonsgegevens in het personeelsadministratiesysteem [systeem], zonder een voor haar bevredigend resultaat. Binnen [bedrijf 1] werd dit systeem tot juli 2020 gebruikt voor verschillende taken en werkzaamheden in het kader van het facturatie- en payrollproces van door [bedrijf 1] actieve en inactieve gedetacheerde medewerkers. 2.
6. Op 1 juli 2019 heeft eiseres een klacht ingediend bij verweerder, omdat volgens haar sprake was van een enorm datalek bij [bedrijf 1] met betrekking tot [systeem]. Volgens eiseres konden daardoor zeer veel persoonsgegevens – ook van gevoelige aard zoals salarisstroken en gegevens met betrekking tot ziekteverzuim, loonbeslagen en functioneren – door iedereen die op het kantoor van [bedrijf 1] werkte worden ingezien, ongeacht diens taken of functie. Zowel werknemers van de interne organisatie van [bedrijf 1] als gedetacheerde werknemers hadden toegang tot deze (bijzondere) persoonsgegevens. Bij haar klacht heeft eiseres onder andere screenshots gevoegd vanuit [systeem], waaruit blijkt welke persoonsgegevens van eiseres daarin waren opgenomen. 2.
7. Eiseres heeft nadien op verschillende momenten aanvullende documenten naar verweerder gestuurd ter onderbouwing van haar klacht. Ook is er veelvuldig telefonisch contact geweest tussen eiseres en verweerder over de afhandeling van haar klacht. 2.
8. Naar aanleiding van één van deze telefoontjes waarin besproken is dat een mediationtraject tussen eiseres en [bedrijf 1] gaande was waardoor op eiseres een geheimhoudingsplicht rust, heeft verweerder van eiseres bij brief van 2 juli 2020 inlichtingen en bescheiden gevorderd. Daarmee heeft verweerder eiseres gevraagd informatie te verstrekken over de maatregelen die [bedrijf 1] heeft genomen of voornemens is te nemen om de beveiliging van [systeem] te verbeteren en aan te passen. Verweerder heeft eiseres daarnaast gevraagd om bewijsstukken waaruit blijkt dat sprake is van onbevoegde inzage bij [bedrijf 1] in de persoonsgegevens van eiseres dan wel andere medewerkers. Eiseres heeft hierop gereageerd op 18 juli 2020 en 22 juli 2020 en nadere stukken overgelegd. 2.
9. Verweerder heeft [bedrijf 1] bij brief van 9 september 2021 verzocht om te reageren op de klacht van eiseres en om een twaalftal vragen te beantwoorden met betrekking tot het gebruik van [systeem], eventuele aanpassingen en maatregelen naar aanleiding van de klacht van eiseres, de persoonsgegevens die in [systeem] toegankelijk zijn, de meest recente handleiding en beveiligingsbeleid. Ook heeft verweerder een aantal vragen gesteld in het geval [bedrijf 1] [systeem] heeft vervangen door een ander systeem. [bedrijf 1] heeft hier bij brief van 21 oktober 2021 op gereageerd. De bestreden besluitvorming
10. Met het primaire besluit heeft verweerder de klacht van eiseres afgewezen. Verweerder heeft de klacht opgevat als een verzoek tot corrigerende maatregelen jegens [bedrijf 1], omdat [bedrijf 1] geen passende technische en organisatorische beveiligingsmaatregelen heeft getroffen om een afgestemd beveiligingsniveau te waarborgen met betrekking tot [systeem]. Verweerder heeft geconcludeerd dat het op grond van de bekende informatie mogelijk is dat [bedrijf 1] de AVG of daaraan gerelateerde wet- en regelgeving overtreedt of heeft overtreden, maar dat nader onderzoek nodig is voor het daadwerkelijk vaststellen daarvan. Verweerder heeft vervolgens aan de hand van haar ‘Beleidsregels prioritering klachtenonderzoek AP’ (hierna: de prioriteringscriteria) getoetst of de klacht van eiseres in aanmerking komt voor dit nadere onderzoek en besloten hier niet toe over te gaan. Verweerder concludeert dat zij de inhoud van de klacht zodoende heeft onderzocht in de mate waarin dat gepast is, als bedoeld in artikel 57, eerste lid, onder f, van de AVG. 3.
11. Verweerder heeft naar aanleiding van de klacht wel besloten om met [bedrijf 1] een zogeheten normoverdragend gesprek te voeren. Dit gesprek heeft plaatsgevonden op 16 december
13. Met het bestreden besluit heeft verweerder het bezwaar van eiseres tegen het primaire besluit ongegrond verklaard. Daarbij is verweerder gebleven bij de afwijzing van de klacht van eiseres. Beoordeling door de rechtbank Procesbelang
14. Alvorens de rechtbank toekomt aan de inhoudelijke beoordeling van deze zaak moet zij ambtshalve beoordelen of eiseres procesbelang heeft bij haar beroep. In dat kader is de vraag of eiseres met het beroep kan bereiken wat zij met de klacht heeft beoogd en of dat voor haar feitelijk van betekenis is. 5.
15. Op de zitting is besproken dat de situatie ten opzichte van het moment van de klacht van eiseres in zoverre is gewijzigd dat [bedrijf 1] [systeem] niet meer gebruikt als systeem voor haar personeelsadministratie. [systeem] wordt sinds juli 2020 slechts gebruikt als archiefsysteem, waartoe volgens [bedrijf 1] 15 personen toegang hebben. De rechtbank heeft op de zitting aan eiseres voorgelegd wat zij met haar beroep wenst te bereiken. Volgens eiseres is het van belang dat komt vast te staan dat [bedrijf 1] destijds in strijd met de AVG heeft gehandeld en dat verweerder daartegen handhavend had moeten optreden. Bovendien zijn de data uit [systeem] nog steeds opgeslagen en toegankelijk en dus bestaat er nog steeds toegang tot de persoonsgegevens. De rechtbank vindt daarmee dat eiseres voldoende procesbelang heeft en gaat over tot een inhoudelijk beoordeling. Inhoudelijke beoordeling door de rechtbank
16. De rechtbank beoordeelt of verweerder – na toetsing aan de prioriteringscriteria – op goede gronden geen nader onderzoek heeft gedaan en handhavend optreden achterwege heeft gelaten naar aanleiding van de klacht van eiseres. Daarbij is van belang wat de omvang van het geding en de reikwijdte van de klacht van eiseres is. De rechtbank maakt haar beoordeling aan de hand van de beroepsgronden van eiseres.
17. De rechtbank is van oordeel dat het beroep ongegrond is. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft. 7.
18. De voor de beoordeling van het beroep belangrijke wet- en regelgeving is te vinden in de bijlage bij deze uitspraak.Het standpunt van eiseres
19. Eiseres voert aan dat verweerder de klacht niet heeft onderzocht in de mate waarin dat gepast is. Haar klacht heeft een bredere reikwijdte dan waarvan verweerder is uitgegaan. Verweerder heeft ten onrechte besloten om geen nader onderzoek in te stellen naar aanleiding van haar klacht en de prioriteringscriteria niet juist toegepast. Bovendien stond op basis van wat eiseres zelf had aangevoerd al vast dat sprake was van een overtreding en had verweerder handhavend moeten optreden. Eiseres voert verder aan dat verweerder heeft gehandeld in strijd met diverse algemene beginselen van behoorlijk bestuur. De reikwijdte van de klacht en de omvang van het geding in beroep
20. Eiseres voert aan dat verweerder de klacht te beperkt geïnterpreteerd heeft. Volgens haar blijkt uit de klacht en de bijlagen daarbij dat zij klaagt over een inbreuk op het dataminimalisatie- en rechtmatigheidsbeginsel en een inbreuk op het verbod om bijzondere persoonsgegevens te verwerken. Daarnaast stelt eiseres dat ook het veelvuldige contact met verweerder en de verstrekte stukken na deze klacht bij de beoordeling daarvan betrokken hadden moeten worden, gelet op de rechtspraak en het doel en de aard van het klachtrecht. Eiseres heeft daarin uiteengezet dat [bedrijf 1] ten onrechte een overvloed aan persoonsgegevens verwerkt. Eiseres stelt zich op het standpunt dat in beroep daarom niet alleen voorligt of de wijze waarop [bedrijf 1] persoonsgegevens verwerkt in strijd is met artikel 32 van de AVG, maar ook of de verwerking in strijd is met onder meer het beginsel van integriteit en vertrouwelijkheid, het beginsel van dataminimalisatie, het verbod op verwerking van categorieën van bijzondere persoonsgegevens en de rechten van betrokkenen uit artikel 12, 16 tot en met 18 van de AVG. 9.
21. Verweerder stelt zich op het standpunt dat de klacht, gelet op de bewoordingen daarvan, alleen ziet op de vraag wie (onterecht) toegang hadden tot persoonsgegevens in [systeem]. Verweerder heeft dit alleen opgevat als een klacht over een mogelijke overtreding van artikel 32 van de AVG.
22. Naar het oordeel van de rechtbank heeft verweerder uit de initiële klacht en de stukken die eiseres (tot aan het primaire besluit) aan verweerder heeft overgelegd, mogen opmaken dat het eiseres alleen te doen was om een datalek en niet om de rechtmatigheid van de verwerking van (bijzondere) persoonsgegevens. 10.
23. De rechtbank acht daarvoor de bewoordingen en de context van de initiële klacht en daarop volgende stukken van eiseres van belang. Zo heeft eiseres in haar klacht opgenomen: “Dit betreft een enorm datalek van [[bedrijf 1]]. Het systeem [systeem] is zo lek als een zeef. Het is ongelooflijk veel data dat voor iedereen op kantoor beschikbaar is ter inzage.” In de bijlage bij de klacht heeft eiseres onder andere geschreven: “In [systeem] worden een overvloed van gegevens opgenomen die voor iedereen op kantoor zichtbaar zijn. De regel zou moeten zijn dat gegevens alleen zichtbaar voor collega's moeten zijn als deze functie gerelateerd is. (…) [systeem] is zichtbaar voor alle bovengenoemde afdelingen en daarom ook voor collega’s die deze gegevens niet horen in te zien. In de bovenstaande mail benoemde ik dat ik het in dit geval ook heb over alle landelijk inactieve gedetacheerde die voor [bedrijf 1] gewerkt (…) ter inzage zijn door deze afdelingen. Het is onbeschrijfelijk om te doen beseffen dat alle collega's werkzaam op deze afdelingen persoonlijke gegevens kunnen inzien, van simpelweg adresgegevens, salarisstroken, medische gegevens tot bonus/beoordelingsgesprekken.” 10.
24. Ter zitting heeft verweerder ook gewezen op haar brief aan eiseres van 2 juli 2020 en de reactie daarop van eiseres van 18 juli
25. In deze brief heeft verweerder opgenomen: “Uw klacht ziet op de toegang tot het systeem en is op dat punt tweeledig: allereerst hebben de werknemers van de interne organisatie toegang tot alles in [systeem]. Er is geen rolverdeling met beperkte toegang tot bepaalde informatie (…); daarnaast ziet de klacht op toegang door gedetacheerde medewerkers (…). Ook hier geldt dat inzage betekent dat alle gegevens open staan.” Eiseres heeft in haar reactie van 18 juli 2020 de weergave door verweerder van haar klacht niet weersproken. Zij heeft (nogmaals) te kennen gegeven dat haar vraagstelling altijd is geweest of haar privacy gewaarborgd is geweest vanaf haar indiensttreding en “wie en welke afdelingen toegang hebben gehad tot haar gegevens waar het niet tot hun rol of recht behoorde.” Volgens de rechtbank volgt ook hieruit dat verweerder de klacht zo heeft mogen opvatten als een klacht over een te ruime toegang tot persoonsgegevens in [systeem]. Het is de rechtbank dan ook niet gebleken dat verweerder de reikwijdte van de klacht onjuist heeft opgevat.
26. De rechtbank beperkt de behandeling van het beroep daarom ook tot de beroepsgronden die eiseres heeft aangevoerd over de afwijzing van haar klacht voor zover deze ziet op de overtreding van artikel 32 van de AVG. Vaststelling van een overtreding van de AVG
27. Verweerder heeft zich op het standpunt gesteld dat het mogelijk is dat [bedrijf 1] de AVG of daaraan gerelateerde wetgeving overtreedt of heeft overtreden, maar dat nader (complex) onderzoek noodzakelijk is om een overtreding daadwerkelijk vast te stellen.
28. Eiseres stelt dat verweerder op basis van de bekende informatie al een overtreding van de AVG door [bedrijf 1] had kunnen vaststellen en daarom verplicht was handhavend op te treden. Zij beroept zich daarbij op het arrest Land Hessen van het Hof van Justitie van de Europese Unie (HvJEU). Volgens eiseres heeft verweerder de klacht niet met de nodige voortvarendheid en zorgvuldigheid afgehandeld, nu verweerder de klacht te lang heeft laten liggen. Ook heeft verweerder niet op gepaste wijze gereageerd op de inbreuk op de AVG, omdat is nagelaten [bedrijf 1] een sanctie op te leggen en geen herstelmaatregelen zijn genomen. Eiseres beroept zich daarbij op de beginselplicht tot handhaving. Volgens eiseres is de onbevoegde toegang tot de gegevens in [systeem] niet stopgezet en is niet gebleken dat de autorisatieproblemen bij [bedrijf 1] zijn opgelost.
29. Deze beroepsgrond slaagt niet. De rechtbank is het eens met de conclusie van verweerder dat op grond van het door eiseres samengestelde dossier nog geen overtreding van een of meer specifieke bepalingen (en de omvang daarvan) kan worden vastgesteld. Voor zover eiseres heeft gewezen op het feit dat zij in [systeem] haar eigen persoonsgegevens kon raadplegen, volgt de rechtbank het standpunt van verweerder dat met dit enkele feit niet aannemelijk is gemaakt dat er ten tijde van haar klacht sprake was van een te brede toegang van andere medewerkers tot haar persoonsgegevens. Verweerder heeft daarbij de verklaring van [bedrijf 1] in aanmerking mogen nemen dat eiseres gewerkt heeft op de contract- en verloningsadministratie van [bedrijf 1] en op grond daarvan toegang had tot persoonsgegevens in [systeem]. Ook overigens acht de rechtbank navolgbaar dat het voor verweerder ten tijde van de klacht of ten tijde van de bestreden besluitvorming zonder nader onderzoek niet vast te stellen was in hoeverre sprake was van een overtreding.
30. De rechtbank overweegt verder dat het beroep van eiseres op het arrest Land Hessen evenmin slaagt. In die zaak was namelijk al een overtreding van de AVG vastgesteld, waarna nog in geschil was of de toezichthoudende autoriteit dan altijd verplicht is om handhavend op te treden. Daarvan is in onderhavige zaak geen sprake. De rechtbank is het overigens wel met eiseres eens dat verweerder niet voortvarend heeft gehandeld in de afhandeling van de klacht. Verweerder heeft dit ook erkend en daarvoor meerdere keren excuses gemaakt. In het verweerschrift en op de zitting heeft verweerder de omstandigheden geschetst die hieraan hebben bijgedragen; het grote aantal aan ontvangen klachten, de beperkte capaciteit, de uitbraak van het coronavirus en een vacaturestop in
31. Deze omstandigheden zijn begrijpelijk en ook is het begrijpelijk dat het voor eiseres heel frustrerend is geweest dat zij zo lang op het primaire besluit heeft moeten wachten. Opgemerkt moet worden dat het maar de vraag is of meer voortvarend handelen van verweerder tot een voor eiseres gewenste uitkomst had geleid, nu zij haar klacht bij verweerder heeft ingediend op 1 juli 2019 en [bedrijf 1] de gegevens uit [systeem] sinds juli 2020 enkel als archief heeft opgeslagen.
32. De rechtbank is van oordeel dat verweerder na de eerste beoordeling tot de conclusie mocht komen dat mogelijk sprake was van een overtreding maar dat deze nog niet kon worden vastgesteld. Verweerder is daarom op grond van haar beleidsregels terecht overgegaan tot toetsing van de klacht aan de daarin genoemde prioriteringscriteria. Daarbij wijst de rechtbank erop dat de Afdeling bestuursrechtspraak de toetsing aan het prioriteringsbeleid akkoord heeft bevonden. De rechtbank beoordeelt hierna of verweerder aan de hand van de prioriteringscriteria op goede gronden heeft mogen afzien van een nader onderzoek naar klacht van eiseres. Toepassing van de prioriteringscriteria De mate waarin verweerder in staat is om doeltreffend en doelmatig op te treden
33. De rechtbank maakt uit de bestreden besluitvorming op dat verweerder bij de afwijzing van de klacht van eiseres het meeste gewicht heeft toegekend aan dit criterium. Daarom bespreekt de rechtbank dit criterium als eerste.
34. Verweerder heeft – kort gezegd – geconcludeerd dat zij niet in staat was om doelmatig en doeltreffend op te treden. In de toelichting op de prioriteringscriteria staat over doeltreffendheid opgenomen dat verweerder een inschatting maakt welk handhavingsinstrument geschikt is om op korte termijn het gewenste effect te bereiken. Bij doelmatigheid staat in de toelichting opgenomen dat verweerder een afweging maakt of nader onderzoek mogelijk is met de beschikbare menskracht en de toegekende financiële middelen. Volgens verweerder was het normoverdragend gesprek met [bedrijf 1] op 16 december 2021 geschikt om het gewenste effect te bereiken, gelet op de verschillende door [bedrijf 1] getroffen maatregelen en de vervanging van [systeem] door MySolution als personeelssysteem in juli
35. Nader onderzoek was niet meer doeltreffend en doelmatig omdat [systeem] op dat moment al twee jaar uit de lucht was. Om in dit geval een overtreding van de AVG vast te stellen zal verweerder bovendien vergaande toezichtsbevoegdheden moeten inzetten: er is technisch onderzoek ter plaatse nodig naar [systeem], maar daarnaast ook organisatorisch onderzoek naar bijvoorbeeld de interne werkafspraken die [bedrijf 1] heeft genomen ten behoeve van het passend beveiligen van dit systeem. Het is volgens verweerder met de vervanging van [systeem] door MySolution onwaarschijnlijk dat een overtreding in het kader van [systeem] nog voortduurt. De maatregelen die [bedrijf 1] inmiddels getroffen had, bemoeilijken daarnaast een reconstructie van de feiten en maakt dat deze op essentiële mogelijke onderdelen mogelijk niet meer (volledig) kan plaatsvinden. De kans dat niet voldoende feiten kunnen worden vastgesteld om een overtreding te kunnen bewijzen is daarbij groot.
36. Eiseres betwist dit. Zij stelt dat verweerder voor het vaststellen van een overtreding niet veel onderzoek hoeft te doen, gelet op het uitgebreide door haar samengestelde dossier. Daarbij heeft zij aangeboden haar klachten en de stukken verder toe te lichten zonder dat verweerder hiervan gebruik heeft gemaakt. Dat het om een complexe zaak gaat waarvoor verder onderzoek nodig zou zijn om een overtreding vast te stellen, betekent ook niet dat verweerder niet doeltreffend of doelmatig kan optreden. Dit wordt bevestigd in een uitspraak van de rechtbank Rotterdam. Eiseres betwist verder dat het onderzoek zou worden bemoeilijkt door de vervanging van [systeem] door MySolution. [systeem] is nog steeds in gebruik en dus is onderzoek nog steeds mogelijk.
37. De rechtbank is van oordeel dat verweerder heeft mogen afzien van nader onderzoek, omdat dit niet zou bijdragen aan een doeltreffend en doelmatig optreden tegen het door eiseres gestelde gebruik van [systeem]. Verweerder heeft daarbij in aanmerking mogen nemen dat met nader onderzoek niet meer bereikt kan worden dan met het normoverdragend gesprek, nu [systeem] als personeelsadministratiesysteem ten tijde van het bestreden besluit al twee jaar niet meer als zodanig in gebruik was en het niet onwaarschijnlijk was dat de overtreding daarmee al was beëindigd. Daarbij heeft verweerder ook zijn beperkte beschikbare capaciteit en beperkte financiële middelen mogen meewegen. De rechtbank kan verweerder daarbij volgen in het standpunt dat het maar de vraag is of nader onderzoek doelmatig zou zijn nu onduidelijk is of dit voldoende informatie had opgeleverd om een overtreding vast te stellen. Met verweerder is de rechtbank van oordeel dat het normoverdragend gesprek een geschikt middel was om op korte termijn normconform gedrag te realiseren, ook omdat [bedrijf 1] al de nodige maatregelen had getroffen. De mate waarin de betrokkene wordt geraakt door de vermeende overtreding
38. Verweerder is met de bestreden besluitvorming verder tot de conclusie gekomen dat ook de schadelijkheid van de vermeende overtreding voor eiseres en andere betrokkenen niet noopt tot het uitvoeren van een nader onderzoek naar de klacht.
39. Eiseres stelt dat de overtreding zeer schadelijk is voor zowel haar als alle overige betrokkenen. Schade als gevolg van onrechtmatige gegevensverwerking moet ruim worden uitgelegd, ‘op een wijze die ten volle recht doet aan de doelstellingen van de AVG.’ Volgens eiseres is evident dat zij schade heeft geleden, omdat er jarenlang onbevoegd toegang is geweest tot al haar HR-gerelateerde persoonsgegevens door al haar collega’s. Het aankaarten van deze kwestie bij haar werkgever heeft nadelige gevolgen gehad voor haar carrière en haar gezondheid. Zij is haar baan kwijtgeraakt en is arbeidsongeschikt geraakt. Schade is volgens eiseres verder evident wegens de ernst van de normschending, gelet op de bijzondere en gevoelige aard van de gegevens, de ernst en duur van de inbreuk, het aantal betrokkenen en de onomkeerbaarheid van de schade.
40. Ook deze beroepsgrond slaagt naar het oordeel van de rechtbank niet. De rechtbank onderkent dat alleen al het idee dat haar persoonsgegevens in [systeem] mogelijk toegankelijk waren voor collega’s en afdelingen die daartoe niet geautoriseerd waren voor eiseres pijnlijk moet zijn geweest en nog altijd is; nog daargelaten dat zij jarenlang tegen haar oud-werkgever heeft gestreden om dit aan te kaarten en hierover duidelijkheid te verkrijgen. Met de toetsing aan dit criterium uit de Beleidsregels gaat het echter om de schadelijkheid van de vermeende overtreding voor eiseres in het licht van de bescherming van haar persoonsgegevens. De rechtbank acht in dat kader de motivering van verweerder niet onbegrijpelijk: uit het dossier is niet gebleken dat de persoonsgegevens van eiseres ook daadwerkelijk zijn ingezien door daartoe niet bevoegde medewerkers van [bedrijf 1] en, voor zover dat wel het geval zou zijn geweest, ook niet dat daardoor schade is ontstaan. De rechtbank komt daarom tot het oordeel dat verweerder zich op het standpunt heeft mogen stellen dat de schade die eiseres stelt te hebben geleden door een mogelijke overtreding van de AVG onvoldoende gewicht in de schaal legt ten opzichte van het hierboven besproken criterium over de doelmatigheid en doeltreffendheid van nader onderzoek. De bredere maatschappelijke betekenis van een handhavend optreden van verweerder mede bezien vanuit de periodiek bekendgemaakte aandachtspunten van verweerder
41. Verweerder heeft zich tot slot ook op het standpunt gesteld dat handhavend optreden naar aanleiding van de klacht van eiseres geen bredere maatschappelijke betekenis heeft. De klacht van eiseres valt niet binnen een focusgebied van verweerder en de klacht heeft geen grensoverschrijdend karakter. Dat meerdere betrokkenen geraakt kunnen worden door het gestelde datalek, betekent volgens verweerder niet dat handhavend optreden door verweerder een bredere maatschappelijke betekenis heeft.
42. Eiseres voert hiertegen aan dat het handhavend optreden van verweerder wel een brede maatschappelijke betekenis heeft, gezien de positie van [bedrijf 1] als welbekende HR-organisatie en marktleider met vele duizenden werknemers. Het betreft verder een verwerking die elk bedrijf in Nederland uitvoert, namelijk verwerking van persoonsgegevens van werknemers door een werkgever. Handhavend optreden tegen [bedrijf 1] is daarom de uitgelezen mogelijkheid voor verweerder om maatschappelijke impact te bewerkstelligen. Verweerder heeft ten onrechte een beeld geschetst van een klein, geïsoleerd incident. Bovendien hebben nog vijf medewerkers een klacht ingediend. Daarnaast is ook onbekend of de inbreuk nog voortduurt. Volgens eiseres is aannemelijk dat [bedrijf 1] nog steeds te veel en op onrechtmatige wijze gegevens van (voormalig) medewerkers verwerkt.
43. De rechtbank is van oordeel dat verweerder zich op het standpunt heeft mogen stellen dat handhavend optreden geen bredere maatschappelijke betekenis heeft. [bedrijf 1] betreft weliswaar een grote organisatie die niet alleen in Nederland maar wereldwijd actief is, maar handhavend optreden van verweerder zou beperkt blijven tot één organisatie. Verweerder heeft voldoende toegelicht dat de vaststelling of al dan niet sprake is van een overtreding van de AVG ook afhankelijk is van het specifiek door [bedrijf 1] toegepaste autorisatiebeleid. Navolgbaar is dan ook de stelling dat handhavend optreden tegen [bedrijf 1] van beperkte invloed is op andere grote (HR-) organisaties met eigen regels over de toegang tot en de verwerking van persoonsgegevens van personeel. Dit heeft geen bredere uitstraling. Dat meerdere medewerkers van [bedrijf 1] bij verweerder klachten hebben ingediend, maakt dit niet anders. De rechtbank weegt daarbij mee dat verweerder op de zitting heeft verklaard dat zij ook bij overtredingen die buiten haar focusgebied vallen handhavend kan optreden, maar dat in dit geval niet aangewezen vindt omdat [systeem] inmiddels een archiefsysteem betreft waar slechts vijftien medewerkers van [bedrijf 1] toegang toe hebben. Conclusie over de toetsing aan de prioriteringscriteria
44. De rechtbank is van oordeel dat verweerder terecht heeft getoetst aan de prioriteringscriteria, zoals die golden ten tijde van belang, en op basis van de uitkomst daarvan heeft mogen afzien van nader onderzoek van de klacht van eiseres. Beroep op algemene beginselen van behoorlijk bestuur
45. Eiseres voert verder aan dat verweerder het bestreden besluit heeft genomen in strijd met diverse algemene beginselen van behoorlijk bestuur. Zij beroept zich daarbij op het zorgvuldigheidsbeginsel, het rechtszekerheids- en doeltreffendheidsbeginsel en het motiveringsbeginsel.
46. De rechtbank ziet in wat eiseres heeft aangevoerd geen grond voor het oordeel dat het zorgvuldigheidsbeginsel is geschonden. De rechtbank is niet gebleken dat verweerder niet alle relevante stukken van eiseres bij het bureauonderzoek dan wel het bestreden besluit heeft betrokken. Verder is de rechtbank evenmin gebleken dat verweerder bij de toetsing aan de prioriteringscriteria de aard van de persoonsgegevens, de ontwikkelingen bij [bedrijf 1] en de klachten van andere medewerkers van [bedrijf 1] onvoldoende heeft meegewogen. Dat de klacht van eiseres niet met de benodigde voortvarendheid en binnen een redelijke termijn is afgehandeld, maakt het bestreden besluit op zichzelf bezien niet onzorgvuldig.
47. Ook ziet de rechtbank geen grond om te oordelen dat het bestreden besluit in strijd is met het rechtszekerheidsbeginsel. De rechtbank volgt eiseres niet in haar stelling dat de kans dat een ingediende klacht ook daadwerkelijk leidt tot handhavend optreden zo klein is dat het klachtrecht feitelijk non-existent is. Verweerder heeft de klacht van eiseres in behandeling genomen en een bureauonderzoek uitgevoerd naar een mogelijke overtreding van de AVG door [bedrijf 1]. Zoals hierboven al is overwogen, heeft verweerder vervolgens, zoals ook blijkt uit vaste rechtspraak, mogen toetsen aan de prioriteringscriteria. Daarbij heeft verweerder naar aanleiding van de klacht een normoverdragend gesprek met [bedrijf 1] gevoerd, zodat ook daarom niet kan worden gesteld dat het klachtrecht illusoir is.
48. De rechtbank acht het bestreden besluit tot slot ook voldoende gemotiveerd. Verweerder heeft de afwijzing van de klacht niet alleen onderbouwd met een verwijzing naar de prioriteringscriteria uit haar beleidsregels, maar heeft deze criteria getoetst aan de klacht van eiseres en gemotiveerd waarom hij niet overgaat tot nader onderzoek. Schadevergoeding wegens overschrijding van de redelijke termijn
49. Eiseres verzoekt de rechtbank tot slot een schadevergoeding toe te kennen in verband met overschrijding van de redelijke termijn als bedoeld in artikel 6 van het EVRM.
50. Volgens vaste rechtspraak mag in procedures als deze, waarin sprake is van een bezwaar- en beroepsprocedure, de behandeling van het bezwaar hoogstens een half jaar en de behandeling van het beroep bij de rechtbank hoogstens anderhalf jaar duren. Doorgaans zal geen sprake zijn van een overschrijding van de redelijke termijn, indien de fase van bezwaar en beroep gezamenlijk niet langer dan twee jaar heeft geduurd, tenzij er omstandigheden zijn die een langere behandelduur rechtvaardigen. In beginsel is een vergoeding van immateriële schade gepast van € 500,- per half jaar of een gedeelte daarvan, waarmee de redelijke termijn is overschreden. De rechtbank moet beoordelen op welke manier de termijnoverschrijding moet worden toegerekend aan de bezwaar- en aan de beroepsfase. De veroordeling tot vergoeding van die schade moet naar evenredigheid worden uitgesproken ten laste van het bestuursorgaan of, als de overschrijding van de termijn heeft plaatsgevonden in beroep, ten laste van de Staat der Nederlanden (de Staat).
51. De vraag of de zaak binnen een redelijke termijn is behandeld, moet worden beantwoord in het licht van de omstandigheden van het geval. Daarbij zijn van betekenis de ingewikkeldheid van de zaak, de wijze waarop de zaak door het bestuursorgaan en de rechter is behandeld, het processuele gedrag van de betrokkene gedurende de hele procesgang en de aard van de maatregel en het daardoor getroffen belang van betrokkene.
52. Eiseres heeft op 29 november 2021 een bezwaarschrift ingediend tegen het primaire besluit. Verweerder heeft het bestreden besluit genomen op 23 juni
53. De bezwaarfase heeft daarmee bijna zeven maanden geduurd. De rechtbank doet op uiterlijk 4 maart 2025 uitspraak in deze zaak. Dit betekent dat de bezwaar- en beroepsprocedure in totaal drie jaar en ruim drie maanden heeft geduurd.
54. In deze zaak is dus sprake van een overschrijding van de redelijke termijn van afgerond anderhalf jaar. Dit betekent dat eiseres recht heeft op een vergoeding van immateriële schade van € 1.500,-. Deze overschrijding is te wijten aan de te lange duur van de beroepsprocedure. De rechtbank veroordeelt de Staat tot betaling van een schadevergoeding voor het bedrag van € 1.500,-.
55. Als een verzoek om schadevergoeding zoals hier aan de orde wordt toegewezen, dan moet in principe ook een veroordeling in de daarvoor gemaakte proceskosten plaatsvinden. De rechtbank veroordeelt de Staat daarom in de door eiseres gemaakte proceskosten ten aanzien van het verzoek om schadevergoeding in verband met de overschrijding van de redelijke termijn. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 907,- (1 punt voor het indienen van het verzoek en 1 punt voor de zitting, met een waarde per punt van € 907,- en een wegingsfactor 0,50). Conclusie en gevolgen
56. Het beroep is ongegrond. Dit betekent dat eiseres geen gelijk krijgt.
57. Er bestaat geen aanleiding om te bepalen dat verweerder het griffierecht aan eiseres moet vergoeden.
58. In verband met de overschrijding van de redelijke termijn met afgerond anderhalf jaar wordt een schadevergoeding toegekend van € 1.500,-, te betalen door de Staat. Verder wordt de Staat veroordeeld in de proceskosten van eiseres in verband met haar verzoek om schadevergoeding. Beslissing De rechtbank: - verklaart het beroep ongegrond;- veroordeelt de Staat der Nederlanden tot het betalen van een schadevergoeding aan eiseres van € 1.500,-; - veroordeelt de Staat der Nederlanden tot vergoeding van de proceskosten in verband met de behandeling van het verzoek om schadevergoeding wegens overschrijding van de redelijke termijn tot een bedrag van € 907,-. Deze uitspraak is gedaan door mr. K.S. Man, voorzitter, en mr. J.A.W. Jansen en mr. M.F. Zaagsma, leden, in aanwezigheid van mr.N. Galjee-Melehi, griffier. De uitspraak is uitgesproken in het openbaar op 4 maart
59. griffier voorzitter de griffier is verhinderd de uitspraak te ondertekenen Een afschrift van deze uitspraak is verzonden aan partijen op: Informatie over hoger beroep Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen. Bijlage: voor deze uitspraak belangrijke wet- en regelgeving Algemene Verordening Gegevensbescherming Artikel 32 van de AVG bepaalt, voor zo ver relevant: 1.Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten: de pseudonimisering en versleuteling van persoonsgegevens; het vermogen om op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten te garanderen; het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen; een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de technische en organisatorische maatregelen ter beveiliging van de verwerking.
60. Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig. Het aansluiten bij een goedgekeurde gedragscode als bedoeld in artikel 40 of een goedgekeurd certificeringsmechanisme als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat dat[lees: dat] de in lid 1 van dit artikel bedoelde vereisten worden nageleefd. Artikel 57 van de AVG luidt, voor zover relevant:
61. Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken: (…)f. zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is (…). Artikel 77 van de AVG luidt:
62. Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.
63. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte overeenkomstig artikel
64. Beleidsregels prioritering klachtenonderzoek Autoriteit Persoonsgegevens Artikel 2 van de Beleidsregels luidde:
65. De AP onderzoekt de inhoud van een klacht in de mate waarin dat gepast is.
66. De AP beoordeelt eerst op basis van de inhoud van de klacht of het gaat om een verwerking van persoonsgegevens die de klager betreft en of er al dan niet sprake is van een overtreding van de AVG.
67. Indien uit de eerste beoordeling volgt dat mogelijk sprake is van een overtreding, maar deze nog niet kan worden vastgesteld, maakt de AP een afweging of er aanleiding is voor een nader onderzoek. Daarbij hanteert de AP de volgende, niet cumulatieve, factoren: a) De mate waarin de betrokkene wordt geraakt door de vermeende overtreding; b) De bredere maatschappelijke betekenis van een eventueel optreden van de AP, mede bezien vanuit de aandachtspunten die de AP op periodieke basis bekend maakt; c) De mate waarin de AP in staat is doeltreffend en doelmatig op te treden. Op grond van artikel 5:17 jo. 5:18 van de Algemene wet bestuursrecht (Awb). Als bedoeld in artikel 32 van de AVG. Zie bijvoorbeeld de uitspraak van de Afdeling Bestuursrechtspraak van de Raad van State (de Afdeling) van 20 september 2023, ECLI:NL:RVS:2023:3557, r.o.
68. Zoals bedoeld in artikel 57, eerste lid, aanhef en onder f, van de AVG. Eiseres verwijst onder andere naar de uitspraak van de Afdeling van 13 december 2023, ECLI:NL:RVS:2023:4634, r.o. 8.
69. Als bedoeld in artikel 5, eerste lid, aanhef en onder f, van de AVG. Artikel 5, eerste lid, aanhef en onder c, van de AVG. Artikel 9, eerste lid, van de AVG Een e-mail van 22 juni 2019 aan Deloitte, de accountant van [bedrijf 1]. Het arrest van het HvJEU van 26 september 2024, ECLI:EU:C:2024:
70. Eiseres verwijst specifiek naar rechtsoverwegingen 33, 37-38, 42-43, 47-
71. Eiseres verwijst naar het arrest van het HvJEU van 7 december 2023, ECLI:EU:C:2023:958, r.o.
72. Zie bijvoorbeeld de uitspraak van de Afdeling van 19 april 2023, ECLI:NL:RVS:2023:1535, r.o. 5.1 en 5.
73. Eiseres verwijst naar de uitspraak van 29 maart 2022, ECLI:NL:RBROT:2022:2572, r.o. 5.4.1.. Eiseres verwijst daarbij naar overweging 146 van de AVG, naar rechtspraak van het HvJEU (arrest van het HvJEU van 4 april 2017, C-337/15, ECLI:EU:C:2017:256, r.o. 127-128) en uitspraken van de Afdeling bestuursrechtspraak van 1 april 2020, ECLI:NL:RVS:2020:898, r.o.
74. En de uitspraken van de rechtbank Noord-Nederland van 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.107, en de rechtbank Amsterdam van 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o.
75. Zoals opgenomen in het Toezichtskader ‘Focus AP 2020-2023’, waarin nadruk wordt gelegd op focusgebieden datahandel, digitale overheid en AI en algoritmes. Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. Zie bijvoorbeeld de uitspraak van de Afdeling van 23 februari 2022, ECLI:NL:RVS:2022:
76. Zie bijvoorbeeld de uitspraak van de Afdeling van 24 februari 2021, ECLI:NL:RVS:2021:369.