ECLI:NL:RBMNE:2026:6338

1. De procedure

Het verloop van de procedure blijkt uit:

- de dagvaarding van 10 juni 2025 met 9 producties- de conclusie van antwoord met 9 producties

- de conclusie van repliek tevens wijziging van eis met producties 10 tot en met 13

- de conclusie van dupliek met producties 10 tot en met 14

- de akte uitlating producties met producties 14 en 15 van [eiser]

- de nadere akte met productie 16 van [eiser]- de brief waarin is meegedeeld dat een mondelinge behandeling is bepaald

- het proces-verbaal van de mondelinge behandeling van 9 juli 2026.

Ten slotte is bepaald dat een vonnis wordt uitgesproken.

2. De feiten

Infomedics ondersteunt zorgaanbieders met administratieve diensten zoals factoring en het versturen van rekeningen aan zorgconsumenten en diens zorgverzekeraars. De klanten van Infomedics bestaan onder andere uit medisch specialisten, tandartsen, mondhygiënisten, orthodontisten, fysiotherapeuten, opticiens en apothekers, waaronder [onderneming 1] . In het kader van haar dienstverlening sluit Infomedics met iedere zorgaanbieder aan wie ze haar diensten verleend (waaronder [onderneming 1] ) een Factoring- en Clearingovereenkomst en een verwerkersovereenkomst. De Factoring- en Clearingovereenkomst is een driepartijen-overeenkomst tussen de zorgaanbieder, Infomedics en [onderneming 2] B.V.

[eiser] krijgt medische zorg van een medisch specialist verbonden aan [onderneming 1] B.V., (hierna: [onderneming 1] ). [onderneming 1] is een fysiotherapiepraktijk in [plaats] .

Op grond van artikel 1 van de Factoring- en Clearingovereenkomst tussen Infomedics en [onderneming 1] , draagt [onderneming 1] haar vorderingen in verband met het verrichten van medische behandelingen over aan [onderneming 2] (hierna: [onderneming 2] ). Als voorwaarde voor deze overdracht geldt dat [onderneming 1] aan Infomedics de opdracht geeft om de gecedeerde vorderingen "administratief te verwerken en betaald te krijgen", welke opdracht wordt verleend in artikel 2 van de Factoring- en Clearingovereenkomst. Om Infomedics daartoe in staat te stellen.

Artikel 9 van de Factoring- en Clearingovereenkomst bepaalt, voor zover van belang, het volgende:

“(..) Artikel 9 van de Overeenkomst:

"9. Persoonsgegevens:

Opdrachtgever verwerkt persoonsgegevens van haar patiënten ("Persoonsgegevens"). Opdrachtgever maakt daarbij gebruik van Opdrachtnemer. Om Opdrachtnemer daartoe in staat te stellen, verschaft Opdrachtgever aan Opdrachtnemer die Persoonsgegevens (en andere gegevens die Opdrachtnemer behoeft) die voor de Werkzaamheden noodzakelijk zijn. Opdrachtnemer zal die Persoonsgegevens onder verantwoordelijkheid van en in opdracht van Opdrachtgever verwerken, waarbij Opdrachtgever kwalificeert als "verwerkingsverantwoordelijke ” en Opdrachtnemer als "verwerker". Opdrachtnemer heeft zelf geen enkele

zeggenschap ter zake de Persoonsgegevens en is volledig en uitsluitend gebonden aan de instructies van Opdrachtgever zoals vastgelegd in de Overeenkomst en de Algemene Voorwaarden.(..)”

Daarnaast maakt onderdeel van de overeenkomst uit de verwerkingsovereenkomst. Daarin is onder meer opgenomen:

'' [onderneming 2] B.V. neemt in de driepartijen-overeenkomst de vorderingen via cessie over van de zorgaanbieder en verwerkt geen persoonsgegevens. Zij is Verwerkingsverantwoordelijke noch Verwerker of sub Verwerker en is om die reden geen partij bij deze Verwerkersovereenkomst.

De zorgaanbieder is in de driepartijen-overeenkomst de Opdrachtgever en vanuit privacywetgeving de Verwerkingsverantwoordelijke. InfomedicsB.V. is in de driepartijen-overeenkomst de Opdrachtnemer en vanuit

privacywetgeving de Verwerker.(..)”

“(..) 2 Sub Verwerkers

Opdrachtnemer maakt gebruik van leveranciers voor het faciliteren van de dienstverlening. Indien deze leveranciers Persoonsgegevens verwerken, is sprake van een sub verwerker. Opdrachtnemer zal ervoor zorgen dat de subverwerkers voldoen aan de eisen die zijn vermeld in Bijlage A. (..)”

(..)”7 Beveiligingsincidenten en datalekken

Opdrachtnemer zal procedures in stand houden die er op gericht zijn om Beveiligingsincidenten en Datalekken redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel.

Bij ontdekking van een (potentieel) Beveiligingsincident of een (potentieel) Datalek zal Opdrachtnemer:

(1) Opdrachtgever binnen 24 uur na ontdekking van een (potentieel) Beveiligingsincident of een (potentieel) Datalek informeren via de door Opdrachtgever opgegeven (vervangende) contactpersoon en telefoonnummers; en

(2) Opdrachtgever feedback verstrekken en adviseren over de eventuele impact die het (potentiële) Beveiligingsincident of de (potentiële) Datalek heeft of kan hebben voor Opdrachtgever, en de (mogelijk) getroffen Betrokkenen. De feedback omvat tenminste (i) een beschrijving van het Beveiligingsincident of Datalek; (ii) aanbevolen maatregelen ter beperking van de schade, daaronder begrepen een noodplan; (iii) de verwachte oplossingstijd; en (iv) de contactgegevens van de bevoegde vertegenwoordiger van Opdrachtnemer, bij wie Opdrachtgever onmiddellijk updates kan verkrijgen van de status van het Beveiligingsincident of Datalek.

Tenzij de Opdrachtgever Opdrachtnemer schriftelijk binnen 48 uur na ontdekking van een (potentieel) Beveiligingsincident of een (potentieel) Datalek informeert dat hij zelfde noodzakelijk geachte meldingen verzorgt, zal Opdrachtnemer als Verwerker in diens opdracht de Betrokkenen die (mogelijk) getroffen zijn door het Beveiligingsincident of Datalek en/of de toezichthouder die bevoegd is te oordelen over de verwerking van de

Persoonsgegevens informeren over een Beveiligingsincident en/of Datalek. Opdrachtnemer zorgt er in dit geval voor dat Betrokkenen en/of toezichthouder binnen 72 uur na ontdekking van een (potentieel) Beveiligingsincident of een (potentieel) Datalek geïnformeerd worden.

In geval zich een Beveiligingsincident of een Datalek voordoet en ongeacht welke partij de noodzakelijk geachte meldingen verzorgt, zal Opdrachtnemer in opdracht en ten behoeve van Opdrachtgever, tenzij

Partijen daar afwijkende afspraken over maken:

(1) de Betrokkenen die (mogelijk) getroffen zijn en welke Persoonsgegevens van deze Betrokkenen gecompromitteerd (kunnen) zijn identificeren;

(2) vragen van Betrokkenen afhandelen om eventuele verzoeken van Betrokkenen in goede banen te leiden;

(3) adequate assistentie verlenen aan Betrokkenen die (mogelijk) getroffen zijn, zoals redelijkerwijs verzocht wordt door Opdrachtgever of vereist is op grond van toepasselijke wet- en regelgeving;

(4) een onderzoek instellen teneinde gepaste herstel- en correctiemaatregelen vast te stellen en in te voeren ter voorkoming van (herhaling van) een vergelijkbare situatie, waarna Opdrachtnemer Opdrachtgever in kennis zal

stellen van de genomen herstel- en correctiemaatregelen en alle aanvullende maatregelen zal nemen die Opdrachtgever redelijkerwijs verlangt.(..)”

Infomedics heeft met Addcomm een Sub-verwerkingsovereenkomst gesloten. Daarin is onder meer opgenomen:

“(..) 6 Beveiligingsincidenten persoonsgegevens)en Datalekken(Inbreuken in verband met persoonsgegevens

Opdrachtnemer zal procedures in stand houden die er op gericht zijn om Beveiligingsincidenten en Datalekken redelijkerwijs te detecteren en daarop actie te ondernemen, daaronder begrepen maatregelen tot herstel.

Bij ontdekking van een (potentieel) Beveiligingsincident of een (potentieel) Datalek (inbreuk in verband met persoonsgegevens) zal Opdrachtnemer:

Infomedics zo spoedig mogelijk, doch uiterlijk binnen 24 uur, hierover telefonisch en schriftelijk informeren, via de door Infomedics opgegeven (vervangende) contactpersoon en telefoonnummers; en

Infomedics feedback verstrekken óver de eventuele impact die het (potentiële) Beveiligingsincident of het (potentiële) Datalek heeft of kan hebben voor Infomedics, en de (mogelijk) getroffen Betrokkenen. De

Feedback omvat tenminste (i) een beschrijving van het Beveiligingsincident of Datalek; (ii) aanbevolen maatregelen ter beperking van de schade, daaronder begrepen een noodplan; (iii) de verwachte oplossingstijd; en (iv) de contactgegevens van de bevoegde vertegenwoordiger van Opdrachtnemer, bij wie Infomedics onmiddellijk updates kan verkrijgen van de status van het Beveiligingsincident of Datalek.

Tevens verleent Opdrachtnemer Infomedics volledige medewerking aan het voldoen aan de meldplicht van artikel 33 en 34 van de AVG aan de AP en de Betrokkene(n). Afspraken over hoe Opdrachtnemer Infomedics gaat informeren zijn opgenomen in Bijlage C.(..)”

Op 29 mei 2024 publiceert NOS onder meer:

“Steeds meer bedrijven melden datalek bij klantcommunicatiebureau AddComm.

(…)

Het lek bij AddComm, een bedrijf dat voor bedrijven, instellingen en overheden brieven en mails naar klanten stuurt, wordt steeds zorgwekkender. Een week geleden meldde AddComm dat cybercriminelen in de systemen met klantgegevens waren gekomen.

(…)

Medewerkers van AddComm merkten dat criminelen in de systemen hadden ingebroken toen hun computers op slot bleken te zijn gezet in ruil voor losgeld. De criminelen bleken erin geslaagd om al anderhalve week eerder gijzelsoftware op de systemen te hebben gezet.

Hoeveel informatie er is gestolen, blijft gissen. AddComm spreekt van gegevens van een "selecte groep klanten". (…)

Het bedrijf zegt 'afspraken' te hebben gemaakt met de cybercriminelen om buitgemaakte klantdata niet te publiceren en te verwijderen.”

Bij brief van 13 september 2024 heeft Infomedics, voor zover van belang, het volgende aan [eiser] bericht over het datalek bij AddComm:

“Namens uw zorgaanbieder [onderneming 1] B.V. vragen wij uw aandacht voor een vervelende, maar belangrijke mededeling over een gebeurtenis bij onze leverancier AddComm Direct B.V. Zoals u mogelijk al uit de pers heeft kunnen vernemen is AddComm in mei het doelwit geworden van cybercriminaliteit. AddComm verstuurt onder andere namens ons papieren en digitale rekeningen aan zorgconsumenten.

(…)

Wat is er gebeurd?

Zoals hierboven aangegeven is AddComm het doelwit geworden van cybercriminaliteit, waarbij criminelen gegevens uit het computersysteem van AddComm hebben gekopieerd. Op dat computersysteem waren ook uw gegevens opgeslagen. AddComm heeft laten weten dat zij niet met zekerheid heeft kunnen vaststellen dat uw gegevens niet zijn gekopieerd. Tegelijkertijd zijn er ook geen concrete aanwijzingen dat uw gegevens wel zijn gekopieerd. In geval van een dergelijke onzekerheid gaan wij er in het kader van dit bericht voorzichtigheidshalve vanuit dat uw gegevens wel zijn getroffen.

(…)

Overzicht (mogelijk) betrokken categorieën persoonsgegevens

De persoonsgegevens van u die zich op het getroffen systeem van AddComm bevonden, zijn de gegevens die staan vermeld op een (digitale) rekening of overige berichtgeving die u van Infomedics namens uw zorgaanbieder heeft ontvangen. Dat zijn:

Naam

Adres

Geboortedatum

Informatie over medische behandeling(en)

(…)

Wat hebben wij verder gedaan?

AddComm, maar ook Infomedics zelf, heeft na de ontdekking van het incident de hulp van externe experts ingeschakeld. Deze experts hebben geholpen bij het treffen van maatregelen om nadelige gevolgen van dit incident zoveel mogelijk te beperken. Deze maatregelen waren er onder andere op gericht om te voorkomen dat mogelijk gekopieerde gegevens zullen worden misbruikt of verspreid.

Het voorkomen en beperken van de negatieve gevolgen voor u heeft daarbij de hoogste prioriteit gehad. Het incident is ook gemeld bij de Autoriteit Persoonsgegevens (AP). De AP heeft onderzoek gedaan en over het vervolg is ook overleg met de AP geweest.”

Bij brief van 11 oktober 2024 stelt mr. De Lugt Infomedics namens [eiser] aansprakelijk voor de ten gevolge van het aan Infomedics toe te rekenen onrechtmatig delen van de persoonsgegevens van [eiser] met AddComm en geleden en nog te lijden schade.

Bij brief van 16 oktober 2024 wijst Infomedics de aansprakelijkheid af. Infomedics bericht onder meer:

“Allereerst stelt u dat sprake is van inbreuk van (bijzondere) persoonsgegevens. Als toelichting geeft u aan dat AddComm heeft toegelaten dat een of meerdere onbekenden (bijzondere) persoonsgegevens van uw cliënt hebben gekopieerd. Daarbij geeft u ook aan dat Infomedics uw cliënt te laat over het incident heeft geïnformeerd.

Uw conclusies zijn niet correct. AddComm concludeerde op basis van contact met de aanvaller en technische informatie dat data van klanten van Infomedics niet was weggenomen. Met de informatie dat destijds voorhanden was en verstrekt door AddComm en haar IT experts, was dat risico niet dusdanig, dat wij tot informeren van individuele betrokkenen zijn overgegaan. Desalniettemin hebben wij uit zorgvuldigheid de hack wel gemeld aan onze klanten. Daarnaast hebben wij namens onze klanten melding van het incident gedaan bij de Autoriteit Persoonsgegevens (AP). De AP is na onderzoek bij AddComm van oordeel dat niet met voldoende zekerheid kan worden vastgesteld dat data van de klanten van AddComm niet is weggenomen (wij hebben dit bericht 31 juli ontvangen). Uit het onderzoek van de AP blijkt ook niet dat data van klanten van Infomedics wel is weggenomen. De AP stelt enkel dat het risico niet kan worden uitgesloten. In die gevallen is het standpunt van de AP dat zekerheidshalve ook betrokkenen (individuele zorgconsumenten) moeten worden geïnformeerd. Infomedics heeft besloten om haar klanten hierin te ondersteunen. En voor het informeren van betrokkenen hebben we eerst de opdracht van de zorgaanbieders nodig en dat kost tijd. Op basis van de informatie die wij van AddComm en haar externe IT experts hebben ontvangen, achten wij het overigens zelf zeer aannemelijk dat de persoonsgegevens niet zijn weggenomen. We kunnen het echter niet volledig sluitend bevestigen, vandaar het risico waarover we hebben geïnformeerd.

Daarnaast geeft u aan dat sprake is van onrechtmatige verwerking. De onrechtmatigheid zit er volgens u vooral in het feit dat de persoonsgegevens van uw cliënt, zonder voorafgaande toestemming, zijn overgedragen aan

AddComm.

In uw redenatie kunnen wij u niet helemaal volgen. Infomedics heeft met haar klanten (zorgaanbieders) een overeenkomst gesloten met betrekking tot het verwerken van declaratiebestanden en het innen van rekeningen.

Onder deze overeenkomst is de zorgaanbieder te kwalificeren als verwerkingsverantwoordelijke (diegene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt) en Infomedics is te kwalificeren als verwerker (diegene die in opdracht en ten behoeve van de verwerkingsverantwoordelijke en onder diens verantwoordelijkheid persoonsgegevens verwerkt). Op grond van de Wet op de geneeskundige behandelovereenkomst (artikel 7: 446 e.v. Burgerlijk Wetboek), de Wet marktordening gezondheidszorg (artikelen 38 leden 2 en 3 Wmg) en de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg, beschikt de zorgaanbieder over een wettelijke basis om (medische) persoonsgegevens te verwerken (conform artikel 9 lid 2 sub h AVG). Als verwerker van persoonsgegevens namens de zorgaanbieder en op grond van de verplichting zoals opgenomen in artikel 44 Wmg mag Infomedics persoonsgegevens verwerken voor het incasseren van de rekening. Welke persoonsgegevens zij van de zorgaanbieder ontvangen, met welk doel Infomedics deze gebruikt en hoelang wij deze bewaren, kunt u lezen in het privacy statement op onze website. En op grond van de tussen de zorgaanbieder en Infomedics gesloten verwerkersovereenkomst, mag Infomedics bij de uitvoering van haar werkzaamheden derden (sub-verwerkers) inschakelen. En AddComm dient te worden gekwalificeerd als sub-verwerker voor Infomedics. Voor de verwerking van de persoonsgegevens van uw cliënt door Infomedics en AddComm is dus geen voorafgaande toestemming dus niet vereist.

(…)

Met alle hierboven vermelde partijen heeft Infomedics een verwerkersovereenkomst afgesloten. Hierin zijn de technische en organisatorische maatregelen ter bescherming van persoonsgegevens gedetailleerd vastgelegd.

Persoonsgegevens worden niet buiten de EER verwerkt.

Infomedics verwerkt de persoonsgegevens van zorgconsumenten zolang als noodzakelijk is voor het innen van de vordering en het afhandelen van eventuele geschillen met betrekking tot vorderingen dan wel zoveel langer als nodig is gelet op een wettelijke bewaarplicht. Na afloop van de voornoemde termijn kunnen de persoonsgegevens voor onbepaalde tijd worden gearchiveerd ten behoeve van geschillenbeslechting, statistisch of historisch onderzoek of archiefbeheer. De wettelijke bewaartermijn voor het bewaren van een debiteurenadministratie is 7 jaar.

Zoals hierboven al aangegeven, is de zorgaanbieder de opdrachtgever voor Infomedics. De zorgaanbieder bepaalt welke vorderingen zij overdraagt aan Infomedics en welke (contact)gegevens daarmee worden meegegeven. Indien uw cliënt geen nota's meer van Infomedics wenst te ontvangen, dan verzoeken wij hem dit met de betreffende zorgaanbieder te bespreken. Indien de zorgaanbieder hiermee akkoord gaat, zal hij geen vorderingen voor uw cliënt meer aan Infomedics overdragen.

3. Het geschil

[eiser] vordert – na vermeerdering van eis – bij vonnis uitvoerbaar bij voorraad:

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door de (bijzondere) persoonsgegevens van [eiser] te verwerken, dan wel de (bijzondere) persoonsgegevens van [eiser] te verwerken zonder zich vóór de verwerking van het ontbreken van diens toestemming te vergewissen, en te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door de (bijzondere) persoonsgegevens zonder toestemming van [eiser] met derden te delen, althans subsidiair een verklaring voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door meer (bijzondere) persoonsgegevens van [eiser] met derden c.q. Addcomm te delen dan noodzakelijk;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door niet te melden dat zij de (bijzondere) persoonsgegevens van [eiser] met derden heeft gedeeld;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door niet te waarborgen dat de door haar met Addomm en andere derden gedeelde (bijzondere) persoonsgegevens door passende technische of organisatorische maatregelen om de persoonsgegevens worden beschermd tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door de (bijzondere) persoonsgegevens van [eiser] met Addcomm te delen terwijl Addcomm geen DPIA heeft uitgevoerd;

Infomedics te verbieden om met onmiddellijke ingang de (bijzondere) persoonsgegevens van [eiser] met derden te delen, op verbeurte van een dwangsom van ineens € 5.000,00, en verder € 5.000,00 voor iedere kalenderdag, een deel van een dag voor een hele gerekend, dat Infomedics in gebreke blijft;

Infomedics te veroordelen om het delen van de (bijzondere) persoonsgegevens van [eiser] met onmiddellijke ingang te staken en gestaakt te houden, op verbeurte van een dwangsom van ineens € 5.000,00, en verder € 5.000,00 voor iedere kalenderdag, een deel van een dag voor een hele gerekend, dat Infomedics in gebreke blijft;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door te weigeren om (desgevraagd) aan [eiser] een lijst te verstrekken met de namen van de (rechts)personen met wie zij de (bijzondere) persoonsgegevens van [eiser] heeft gedeeld;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door te weigeren om (desgevraagd) de grondslag voor verwerking kenbaar te maken;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW, nu als gevolg van de datainbraak de (bijzondere) persoonsgegevens van [eiser] door onbekende derden c.q. cybercriminelen zijn gesloten en/of gekopieerd;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door de beveiliging van de (bijzondere) persoonsgegevens van [eiser] niet, althans onvoldoende, te waarborgen;

te verklaren voor recht dat Infomedics onrechtmatig handelt in de zin van artikel 6:162 BW door de datainbraak (zo nodig ex artikel 34 lid 1 AVG) niet onverwijld bij [eiser] te melden, althans zodanige maatregelen te treffen ter voorkoming dat [eiser] wordt blootgesteld aan de uit de datainbraak voortvloeiende risico’s, waaronder moet worden begrepen het melden van de datainbraak bij [eiser] ;

te verklaren voor recht dat Infomedics aansprakelijk is voor de door schade die [eiser] lijdt als gevolg van het niet naleven van (wettelijke) verplichtingen, (zorgvuldigheids)normen en/of met hetgeen volgens ongeschreven recht in het maatschappelijke verkeer betaamt;

Infomedics te veroordelen om aan [eiser] te betalen een bedrag ad € 2.250,00 aan schadevergoeding, te vermeerderen met de wettelijke rente vanaf het moment van de datainbraak, althans het moment dat Infomedics op de hoogte raakte van de datainbraak, althans 72 uur na het moment dat Infomedics op de hoogte raakte van de datainbraak, althans het moment dat Infomedics de datainbraak aan Infomedics meldde, althans vanaf 13 september 2024, althans vanaf de datum van de dagvaarding, dan wel een in goede justitie te bepalen bedrag aan schadevergoeding en/of datum vanaf waarvan wettelijke rente moet worden betaald;

Infomedics te veroordelen om aan eiser te betalen een bedrag ad € 337,50 aan buitengerechtelijke incassokosten, te vermeerderen met de wettelijke rente vanaf 13 september 2024, althans vanaf de datum van de dagvaarding, tot aan de dag der algehele voldoening, dan wel een in goede justitie te bepalen bedrag aan schadevergoeding en/of datum vanaf waarvan wettelijke rente moet worden betaald;

Infomedics te veroordelen in de kosten van deze procedure, te vermeerderen met de kosten van het betekeningsexploot ingeval betekening van het in dezen te wijzen vonnis plaatsvindt, een en ander te vermeerderen met de wettelijke rente.

Ter onderbouwing van zijn vordering stelt [eiser] dat hij een medische behandeling heeft ondergaan bij [onderneming 1] B.V. [onderneming 1] maakt voor het factureren en incasseren van medische behandelingen gebruik van de diensten van Infomedics, die op haar beurt gebruik maakt van de diensten van AddComm B.V. (hierna: AddComm). [eiser] vindt dat Infomedics zijn (bijzondere) persoonsgegevens onrechtmatig verwerkt, mede gelet op een datalek bij AddComm. [eiser] vordert in deze procedure dat voor recht wordt verklaard dat Infomedics onrechtmatig jegens hem handelt door de bepalingen van de AVG te schenden, dat Infomedics wordt veroordeeld tot betaling van een schadevergoeding en dat Infomedics de verwerking van zijn (bijzondere) persoonsgegevens moet staken.

Infomedics heeft gemotiveerd verweer gevoerd tegen de vordering met als conclusie dat de kantonrechter deze zal afwijzen, met veroordeling van [eiser] in de proceskosten.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

4. De beoordeling

De kantonrechter wijst de vorderingen van [eiser] af. Van onrechtmatig handelen door Infomedics is geen sprake en ook niet van het schenden van de privacy van [eiser] . De kantonrechter legt hieronder uit hoe hij tot dit oordeel komt.

Inleiding

In deze procedure moet in de eerste plaats de vraag worden beantwoord hoe de betrokken partijen in het kader van de Algemene Verordening Gegevensbescherming (EU) 2016/679 (hierna: de AVG) moeten worden gekwalificeerd. Een kwalificatie als verwerkingsverantwoordelijke of verwerker schept immers verschillende verplichtingen uit hoofde van de AVG. De in dit verband te onderscheiden partijen zijn [onderneming 1] , Infomedics, AddComm en [eiser] . In de tweede plaats moet de vraag worden beantwoord of [eiser] als gevolg van een eventuele schending van de bepalingen van de AVG door Infomedics materiële of immateriële schade heeft geleden die voor vergoeding in aanmerking komt. In de derde plaats moet de vraag worden beantwoord of Infomedics de verwerking van de (bijzondere) persoonsgegevens van [eiser] moet staken.

Kwalificatie betrokkenen

Voor de beoordeling van de vraag in hoeverre Infomedics jegens [eiser] onrechtmatig heeft gehandeld dient allereerst te worden vastgesteld hoe de betrokken partijen in het kader van de AVG dienen te worden gekwalificeerd.

[onderneming 1] moet naar het oordeel van de kantonrechter worden gekwalificeerd als verwerkingsverantwoordelijke in de zin van de AVG. Daartoe wordt het volgende overwogen. Een verwerkingsverantwoordelijke wordt in artikel 4, lid 7, van de AVG gedefinieerd als: “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen.”

Het is [onderneming 1] die het doel en de middelen vaststelt voor de verwerking van de persoonsgegevens van in dit geval [eiser] . De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de in artikel 5, lid 1 van de AVG vastgestelde beginselen.

In artikel 2 van de Factoring- en Clearingovereenkomst is bepaald dat [onderneming 1] aan Infomedics de opdracht geeft om haar vorderingen administratief te verwerken en betaald te krijgen. In artikel 5 van de Factoring- en Clearingovereenkomst is bepaald dat [onderneming 1] aan Infomedics de persoonsgegevens verschaft die voor de uitvoering van de werkzaamheden van Infomedics noodzakelijk zijn, dat Infomedics geen enkele zeggenschap heeft ter zake van de persoonsgegevens en volledig en uitsluitend is gebonden aan de instructies van [onderneming 1] en dat de zeggenschap over de wijze waarop Infomedics de persoonsgegevens verwerkt uitsluitend berust bij [onderneming 1] .

Infomedics moet naar het oordeel van de kantonrechter worden gekwalificeerd als verwerker in de zin van de AVG. Daartoe wordt het volgende overwogen. Een verwerker wordt in artikel 4, lid 8 AVG gedefinieerd als: “een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt”. Uit de Factoring- en Clearingovereenkomst volgt dat Infomedics (in juridische zin) onbevoegd is om zelfstandig te bepalen voor welk doel en met welke middelen de gegevens worden verwerkt en dat zij de gegevens verwerkt voor het administratief verwerken en betaald krijgen van de medische behandelingen die [onderneming 1] verstrekt. Om Infomedics daartoe in staat te stellen is ook een verwerkersovereenkomst (als bijlage bij Factoring- en Clearingovereenkomst) gesloten. [onderneming 1] verstrekt aan Infomedics de persoonsgegevens die noodzakelijk zijn voor de uitvoering van de Opdracht.

Voor zover [eiser] zich op het standpunt stelt dat Infomedics als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG moet worden aangemerkt, (zie daarvoor overweging 2.65 bij conclusie van repliek) heeft [eiser] dat standpunt niet, althans onvoldoende onderbouwd, ook niet voorzover [eiser] meent dat sprake zou zijn van gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG. In artikel 26 van de AVG, waarin de definitie in artikel 4, lid 7, van de AVG wordt weerspiegeld, wordt bepaald: “wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij gezamenlijke verwerkingsverantwoordelijken.” (zie echter overweging 4.3.2). Uit het voorgaande volgt dat Infomedics in juridische zin onbevoegd is om zelfstandig te bepalen voor welk doel en met welke middelen de gegevens worden verwerkt.

Een verwerkingsverantwoordelijke kan ook besluiten één verwerker aan te stellen, die op zijn beurt — met toestemming van de verwerkingsverantwoordelijke — een of meer andere verwerkers (“subverwerker (s)”) aanstelt. Daar is in het onderhavige geval sprake van. Infomedics heeft Addcomm als sub-verwerker aangesteld.

[eiser] is een zorgconsument. [eiser] ontvangt sinds 11 januari 2023 via Infomedics facturen voor behandelingen bij [onderneming 1] . In het kader van deze facturaties worden de

persoonsgegevens van [eiser] verwerkt door partijen die betrokken zijn bij het

facturatieproces, waaronder Infomedics. Dit maakt [eiser] een 'betrokkene' in

de zin van de AVG, omdat het om zijn persoonsgegevens (“alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”) gaat (artikel 4 lid 1 AVG).

Voor de beoordeling van de vorderingen van [eiser] moet in de eerste plaats de vraag worden beantwoord of sprake is van een onrechtmatige verwerking van de (bijzondere) persoonsgegevens van [eiser] door Infomedics. Als daarvan sprake is, moet vervolgens de vraag worden beantwoord of dit moet leiden tot de toekenning van een schadevergoeding. Dat sprake is geweest van onrechtmatige gegevensverwerking is op zichzelf namelijk niet voldoende om aanspraak te maken op schadevergoeding. De verwijten die [eiser] aan zijn vorderingen ten grondslag legt worden hieronder puntsgewijs besproken.

Infomedics handelt in strijd met de AVG door zonder toestemming van [eiser] zijn bijzondere persoonsgegevens te verwerken (randnr. 3.25 Dv)?

De verplichtingen van verwerkers zijn beperkt tot de verantwoordelijkheden die de AVG hen nadrukkelijk oplegt. Artikel 82 lid 2 AVG bepaalt dat een verwerker alleen aansprakelijk is voor de schade die door verwerking is veroorzaakt wanneer 1) bij de verwerking niet is voldaan aan de specifiek tot verwerkers gerichte verplichtingen van deze verordening of 2) buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke is gehandeld.

Uit de prestatieomschrijving op de facturen die Infomedics verzendt, blijken gegevens over de gezondheid van [eiser] . Artikel 4 lid 15 AVG definieert gegevens over gezondheid als persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven.

Artikel 9 lid 1 AVG bepaalt dat verwerking van gegevens over de gezondheid van een betrokkene verboden is. Gegevens over gezondheid zijn gedefinieerd als persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven (art. 4 onderdeel 15 AVG). Artikel 9 lid 2, aanhef en onder a tot en met j AVG voorziet in een uitputtende lijst met uitzonderingen op het beginsel van het verbod op de verwerking van gegevens over gezondheid. In het bijzonder staat artikel 9, lid 2, onder h, AVG een dergelijke verwerking toe indien zij ‘noodzakelijk [is met name] voor het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten […] op grond van Unierecht of lidstatelijk recht, of uit hoofde van een overeenkomst met een gezondheidswerker’. Deze bepaling preciseert dat elke daarop gebaseerde verwerking bovendien specifiek aan ‘de in lid 3 genoemde voorwaarden en waarborgen’ van dat artikel 9 onderworpen is. Lid 3 bepaalt, kort samengevat, dat gegevens over gezondheid alleen worden verwerkt door of onder de verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim is gebonden of door een andere persoon die tot geheimhouding is gehouden.

Artikel 30 UAVG geeft invulling aan de ruimte die artikel 9 lid 2 onder h AVG laat om uitzonderingen op het verwerkingsverbod van gegevens over gezondheid te creëren. Het betreft een ontheffing van het verbod op verwerking van gezondheidsgegevens door bepaalde instellingen en onder bepaalde voorwaarden. In het bijzonder bepaalt artikel 30 lid 3 onder a UAVG dat ‘het verbod om gegevens over gezondheid te verwerken niet van toepassing [is] indien de verwerking geschiedt door hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk.’ Onder beheer valt het waarborgen van de kwaliteit van de verleende zorg, intercollegiale toetsing door hulpverleners onderling (kwaliteitsbeheer) en de betaling van rekeningen voor medische behandeling (Kamerstukken II 1997/98, 25892, 3, p. 110). Artikel 30 lid 4 UAVG bepaalt dat de gegevens alleen worden verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht.

Uit het voorgaande volgt in ieder geval dat de toestemming van [eiser] niet de enige uitzondering vormt op het verbod van de verwerking van gegevens over de gezondheid. Als de verwerking van deze gegevens noodzakelijk is met het oog op het beheer van een zorginstelling of beroepspraktijk, wat het geval is bij het waarborgen van de betaling van rekeningen voor medische behandeling, dan vormt dat ook een uitzondering op het verbod van verwerking van gezondheidsgegevens, mits de gegevens worden verwerkt door personen die uit hoofde van ambt, beroep of wettelijk voorschrift dan wel krachtens een overeenkomst tot geheimhouding zijn verplicht. Zie voor dit laatste artikel 7 van de overeenkomst tussen [onderneming 1] B.V. en Infomedics (productie 11 CvD), waarin Infomedics zich tot geheimhouding verplicht, en de toelichting bij randnummer 78 CvA, waarin Infomedics aanvoert dat zij geheimhouding betracht met betrekking tot gegevens over gezondheid waarover zij beschikt. [eiser] legt niet uit waarom artikel 29 AVG zou zijn geschonden.

[eiser] voert nog aan dat op Infomedics de verplichting rust zich ervan te vergewissen dat toestemming van [eiser] voor het delen van persoonsgegevens ontbreekt. Dit standpunt is onjuist, gelet op bovenstaande overwegingen. Uit de AVG, de UAVG noch enige andere wetgeving volgt enige verplichting voor (sub) verwerkers om zich te vergewissen van het ontbreken van een grondslag (artikel 6 AVG) of een uitzonderingsgrond (artikel 9AVG). Maar ook al zou moeten worden aangenomen dat toestemming van [eiser] wel zou zijn vereist diende deze toestemming te worden verkregen door [onderneming 1] en niet door Infomedics of Addcom.

Dit alles leidt tot de conclusie dat Infomedics niet handelt in strijd met de AVG door zonder toestemming van [eiser] zijn bijzondere persoonsgegevens te verwerken.

Infomedics handelt in strijd met het beginsel van doelbinding door de (bijzondere) persoonsgegevens van [eiser] te delen met AddComm (randnr. 3.29 Dv); in strijd met het beginsel van minimale gegevensverwerking door meer gegevens met AddComm te delen dan nodig is (randnr. 3.30 Dv); handelt in strijd met het transparantiebeginsel (randnrs. 3.26, 3.28 en 3.33 Dv) en in strijd met het beginsel van opslagbeperking uit de AVG (randnr. 3.16 en 3.18 Dv)?

Artikel 5 lid 2 AVG bepaalt dat de verwerkingsverantwoordelijke (niet de verwerker) verantwoordelijk is voor de naleving van de in artikel 5 lid 1 AVG genoemde beginselen (waaronder het beginsel van doelbinding, het beginsel van minimale gegevensverwerking, het transparantiebeginsel en het beginsel van opslagbeperking). Van een specifiek tot Infomedics als verwerker gerichte verplichting is dan ook geen sprake, zodat in geval van niet-naleving van deze beginselen Infomedics niet kan worden aangesproken, maar wel de verwerkingsverantwoordelijke [onderneming 1] .

Infomedics handelt onrechtmatig door de (bijzondere) persoonsgegevens van [eiser] te delen met AddComm en andere derden, wetende dat Addcomm de beveiliging van de persoonsgegevens van [eiser] niet waarborgt door passende technische en organisatorische maatregelen en door weigering een lijst met derden te verstrekken met wie persoonsgegevens zijn gedeeld (randnr 3.20, 3.31 en 3.32 Dv)?

Wat betreft de inschakeling van subverwerkers is het uitgangspunt volgens artikel 28 lid 2 AVG dat het inschakelen alleen is toegestaan met voorafgaande schriftelijke instemming van de verwerkingsverantwoordelijke. Als de verwerkingsverantwoordelijke met de inschakeling van een subverwerker instemt, bepaalt artikel 28 lid 4 AVG dat de verwerker door middel van een overeenkomst of andere rechtshandeling de subverwerker moet binden aan dezelfde verplichtingen inzake gegevensbescherming als die waaraan de verwerker zelf gebonden is jegens de verwerkingsverantwoordelijke als bedoeld in artikel 28 lid 3 AVG. Daarvan is in het onderhavige geval sprake. Als de subverwerker zijn verplichtingen inzake de gegevensbescherming niet nakomt, is de verwerker enkel ten aanzien van de verwerkingsverantwoordelijke aansprakelijk voor het nakomen van de verplichtingen van de subverwerker.

Niet is komen vast te staan dat AddComm de beveiliging van de (bijzondere) persoonsgegevens van [eiser] al dan niet voldoende heeft gewaarborgd door passende technische en organisatorische maatregelen te nemen en, als dat niet het geval is, dat Infomedics dat wist. In dit verband is relevant dat het Hof van Justitie van de Europese Unie (hierna: HvJ EU) heeft overwogen dat het enkele feit dat ongeoorloofde verstrekking van of ongeoorloofde toegang tot persoonsgegevens heeft plaatsgevonden door een derde in de zin van artikel 4, lid 10, AVG, op zich niet volstaat om aan te nemen dat getroffen technische en organisatorische maatregelen niet “passend” zijn in de zin van de artikelen 24 en 32 AVG (HvJ EU 14 december 2023, C-340/21, ECLI:EU:C:2023:986, punt 31.).

Voor zover AddComm de beveiliging van de gegevens onvoldoende heeft gewaarborgd, geldt dat [eiser] onvoldoende heeft toegelicht waarom dat volgens hem ertoe leidt dat Infomedics de bepalingen van de AVG schendt. Op grond van de overeenkomst heeft Infomedics toestemming van [onderneming 1] om subverwerkers in te schakelen in de zin van artikel 28 lid 2 AVG. Infomedics heeft met AddComm een overeenkomst gesloten als bedoeld in artikel 28 lid 4 AVG. Als [eiser] van mening is dat AddComm op enige wijze niet voldaan zou hebben aan haar verplichting overeenkomstig artikel 32 AVG om een adequate beveiliging van zijn (bijzondere) persoonsgegevens te waarborgen door het nemen van passende technische en organisatorische maatregelen, waaronder het uitvoeren van een ‘data protection impact assessment’ (DPIA) dient hij AddComm (en niet Infomedics) daarop aan te spreken. Dat heeft [eiser] kennelijk ook gedaan in een afzonderlijke procedure jegens Addcomm.

Infomedics heeft aldus voldaan aan haar verplichtingen onder de AVG door AddComm middels de Sub-Verwerkersovereenkomst te verplichten om verschillende beveiligingsmaatregelen te nemen.

Het verwijt dat Infomedics heeft geweigerd een lijst met derden ter beschikking te stellen aan wie zij de persoonsgegevens heeft verstrekt gaat ook niet op. Bij brief van 16 oktober 2024 heeft Infomedics onder meer aangegeven met wie Infomedics ‘mogelijk’ de persoonsgegevens heeft gedeeld:

“(..)Het gaat om de volgende partijen:

• De facturen welke worden verzonden aan zorgconsumenten worden opgemaakt door AddComm te Amersfoort;

• PostNL draagt zorg voor de verzending van de facturen aan zorgconsumenten;

• Infomedics heeft haar ICT infrastructuur ondergebracht in een beveiligde omgeving bij 2 externe datacenters NorthC en Equinix;

• De Servicedesk Patiënten van Infomedics maakt voor de contactcenteractiviteiten gebruik van Yource Operations B.V.;

• Ter incassering van de facturen maakt Infomedics gebruik van incassobureau CMIB, te Almere;

• Bij de KBvG aangesloten gerechtsdeurwaarder Yards Deurwaardersdiensten B.V. te Almere of [onderneming 3] , indien vorderingen niet zijn voldaan na het doorlopen van het incasseringstraject door Infomedics en/of CMIB.(..)”

Daarmee heeft Infomedics voldaan aan het transparantiebeginsel en informatieplicht, waarbij nog zij opgemerkt dat het beroep van [eiser] op artikel 13 lid 1 sub c en artikel 14 lid 1 sub e ziet op de verplichting van de verwerkingsverantwoordelijke en niet op die van de verwerker.

Infomedics handelt onrechtmatig door het datalek bij AddComm niet onverwijld aan [eiser] te melden (randnr. 3.22 Dv)?

Artikel 33 lid 1 AVG bepaalt dat op de verwerkingsverantwoordelijke (en niet de verwerker) de verplichting rust om, zodra hij weet dat een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, de toezichthoudende autoriteit daarvan in kennis te stellen. De melding moet onverwijld worden gedaan en zo mogelijk binnen 72 uur nadat de verwerkingsverantwoordelijke daarvan kennis heeft genomen. Artikel 34 lid 1 bepaalt dat de verwerkingsverantwoordelijke (en niet de verwerker) gehouden is de inbreuk in verband met persoonsgegevens ook te melden aan betrokkenen, wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden. Als de beveiligingsinbreuk gegevens van gevoelige aard betreft, zoals gegevens over gezondheid, zal eerder sprake zijn van een hoog risico. De melding moet zonder onredelijke vertraging worden gedaan, dat wil zeggen: zo snel als redelijkerwijs mogelijk. Artikel 33 lid 2 AVG bepaalt dat de verwerker zonder onredelijke vertraging de verwerkingsverantwoordelijke moet informeren zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens..

In artikel 4, onder 12 wordt ‘een inbreuk in verband met persoonsgegevens’ gedefinieerd als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. Dat het datalek bij Addcomm als inbreuk in verband met persoonsgegevens kan worden gekwalificeerd staat tussen partijen niet ter discussie, zodat daarvan kan worden uitgegaan.

Een inbreuk in verband met persoonsgegevens hoeft niet te worden gemeld als de verwerkingsverantwoordelijke conform het verantwoordingsbeginsel kan aantonen dat het onwaarschijnlijk is dat deze inbreuk risico’s voor de rechten en vrijheden van natuurlijke personen met zich brengt (artikel 86 AVG). Infomedics acht dit op basis van het onderzoek bij Addcomm waarschijnlijk, zodat geen enkele aanleiding bestaat om te veronderstellen dat de facturatiebestanden daadwerkelijk zijn getroffen door het datalek maar kan dat ook niet met absolute zekerheid uitsluiten.

Infomedics heeft aangevoerd dat zij op 17 mei 2024 op de hoogte is geraakt van het datalek bij AddComm en vervolgens op 19 mei 2024, met instemming van [onderneming 1] , mede namens [onderneming 1] een melding heeft gedaan van het datalek bij AddComm bij de Autoriteit Persoonsgegevens (hierna: AP). Volgens Infomedics heeft AddComm op 31 juli 2024 laten weten dat de AP van oordeel is dat niet voldoende vastgesteld kon worden dat de gegevens van klanten van AddComm niet geëxfiltreerd zijn geweest. Infomedics stelt dat zij daarom op 14 augustus 2024 overleg heeft gevoerd met de AP en dat de AP tijdens het overleg heeft aangegeven dat de zorgconsumenten zekerheidshalve geïnformeerd moeten worden over het datalek. Infomedics heeft op 19 augustus 2024 aan onder meer [onderneming 1] aangeboden om de betrokkenen namens haar te informeren over het datalek. Infomedics heeft het over een opdracht ‘om het informeren van betrokkenen te verzorgen’. Uiteindelijk is [eiser] op 13 september 2024 op de hoogte gebracht van het datalek.

Voor zover het datalek bij AddComm niet onverwijld is gemeld bij de AP en/of niet zonder onredelijke vertraging is gemeld aan [eiser] , heeft [eiser] onvoldoende toegelicht waarom dat volgens hem ertoe leidt dat Infomedics de bepalingen van de AVG schendt. Dat Infomedics [onderneming 1] heeft geholpen om te voldoen aan haar verplichtingen op grond van artikel 33 lid 1 en artikel 34 lid 1 AVG, betekent niet dat zij de verantwoordelijkheid voor de naleving van deze verplichtingen heeft overgenomen. Infomedics heeft slechts, uit hoofde van haar rol als verwerker, [onderneming 1] bijgestaan bij de uitvoering van haar verplichtingen als bedoeld in overweging 95 van de AVG.

Ervan uitgaande dat Infomedics op 19 mei 2024 melding heeft gedaan bij de AP van het datalek, geldt dat de melding aan de toezichthoudende autoriteit op tijd is gedaan. Ten aanzien van de melding aan [eiser] geldt dat deze mogelijk niet ‘zo snel als redelijkerwijs’ mogelijk is gedaan. De AP heeft immers reeds op 31 juli 2024 laten weten dat zij van oordeel is dat [eiser] moet worden geïnformeerd over de datalek. Door tussenkomst van Infomedics heeft de melding door / namens [onderneming 1] aan [eiser] anderhalf maand op zich laten wachten. Dit, terwijl [onderneming 1] de melding ook zelf had kunnen doen aan de betrokkenen. Of de melding aan [eiser] ‘tijdig ’is gedaan, hangt af van alle omstandigheden van het geval, waaronder de duur van het forensisch onderzoek bij Addcomm, het contact met de aanvaller en het contact met AP. Dit behoeft hier echter niet te worden beantwoord. Omdat een tijdige melding aan betrokkenen de verantwoordelijkheid is van [onderneming 1] , moet [eiser] , zo nodig, [onderneming 1] op dit punt aanspreken en niet Infomedics.

Infomedics handelt onrechtmatig omdat als gevolg van de datainbraak de (bijzondere persoongegevens van [eiser] zijn gestolen of gekopieerd?

Dat als gevolg van de datainbraak de bijzondere persoonsgegevens zijn gestolen of gekopieerd is niet komen vast te staan. Uit het forensisch onderzoek bij Addcomm volgt dat niet aannemelijk is geworden dat via de systemen van Addcomm, toegang tot of besmetting van IT omgevingen van kanten heeft plaatsgevonden. Naar aanleiding van dit onderzoek heeft de AP op 31 juli 2024 aan Infomedics laten weten dat zij van oordeel is dat niet met voldoende zekerheid kan worden vastgesteld dat de gegevens van klanten van Addcomm niet geexfiltreerd zijn geweest. De door [eiser] aangevoerde feiten en omstandigheden kunnen niet de conclusie rechtvaardigen dat Infomedics op dit punt de bepalingen van de AVG schendt.

Infomedics dient de verwerking en het delen van de persoonsgegevens van [eiser] te staken?

Artikel 12 lid 2 AVG bepaalt dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22 AVG faciliteert (waaronder de inzage- en verbeteringsrechten van artikelen 15 en 16 AVG, het gegevenswissingsrecht van artikel 17 AVG, het recht op beperking van verwerking artikel 18 AVG, het recht op gegevensoverdraagbaarheid van artikel 20 AVG, het recht op bezwaar van artikel 21 AVG en het recht om niet te worden onderworpen aan geautomatiseerde besluitvorming van artikel 22 AVG). Artikel 12 leden 3 en 4 AVG bepalen dat een inzage-, verbeterings- of andersoortig verzoek door de verwerkingsverantwoordelijke onverwijld moet worden behandeld en, als een verwerkingsverantwoordelijke niet voldoet aan het verzoek, dat de verwerkingsverantwoordelijke de redenen waarom aan de verzoeker moet mededelen. Voor zover [eiser] een van deze rechten wil uitoefenen, moet hij zich tot [onderneming 1] (en niet tot Infomedics) wenden.

Tussenconclusie

Gelet op het voorgaande, is niet gebleken dat Infomedics niet heeft voldaan aan een specifiek tot haar gerichte verplichting van de AVG of buiten dan wel in strijd met de rechtmatige instructie van [onderneming 1] B.V. heeft gehandeld. Alle vorderingen van [eiser] onder 1 tot en met 11 en 13 ten aanzien van vermeend onrechtmatig handelen van de zijde van Infomedics zullen worden afgewezen.

Schade

[eiser] vordert een verklaring voor recht dat Infomedics aansprakelijk is voor

de door hem geleden schade en vordert een schadevergoeding ter

hoogte van EUR 2.250. Hij baseert zijn vorderingen enerzijds op

onrechtmatige daad ex artikel 6:162 BW en anderzijds op artikel 82 AVG.

Artikel 6:162 jo artikel 6:106 BW

Op grond van artikel 6:162 lid 1 BW is degene die tegenover een ander een onrechtmatige daad pleegt, welke hem kan worden toegerekend, verplicht de schade die de ander daardoor lijdt, te vergoeden. Volgens lid 2 worden als onrechtmatige daad aangemerkt een inbreuk op een recht en een doen of nalaten in strijd met een wettelijke plicht of met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt, een en ander behoudens de aanwezigheid van een rechtvaardigingsgrond. Volgens lid 3 kan een onrechtmatige daad aan de dader worden toegerekend indien zij te wijten is aan zijn schuld of aan een oorzaak welke krachtens de wet of de in het verkeer geldende opvatting voor zijn rekening komt.

Omdat van een schending van de bepalingen van de AVG geen sprake is en [eiser] geen feiten en omstandigheden heeft aangevoerd die de conclusie kunnen rechtvaardigen dat Infomedics op enige andere wijze onrechtmatig heeft gehandeld tegenover hem, is niet komen vast te staan dat Infomedics een onrechtmatige daad heeft gepleegd jegens [eiser] . Dat betekent dat de vordering tot schadevergoeding op grond van artikel 6:162 BW (vordering 12) reeds om die reden moet worden afgewezen, afgezien nog van het feit dat aan de vereisten van artikel 6:106 BW ook niet is voldaan.. De standpunten van partijen daarover behoeven dan ook geen verdere bespreking.

Artikel 82 AVG

Artikel 82 lid 1 AVG bepaalt dat eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de AVG, het recht heeft om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade. Volgens vaste rechtspraak van het HvJ EU gelden drie cumulatieve voorwaarden voor een recht op schadevergoeding op grond van de AVG, te weten (1) het bestaan van een schending van de bepalingen van de AVG, (2) het bestaan van ‘geleden’ materiële of immateriële schade en (3) een causaal verband tussen die schending en die schade. (Zie HvJ EU 4 mei 2023, C-300/21, EU:C:2023:370, punten 32, 33, 37 en 47 & HvJ EU 4 oktober 2024, C-200/23, EU:C:2024:827, punten 140‑142 & HvJ EU 4 oktober 2024, C‑507/23, EU:C:2024:854, punten 24 en 25 & HvJ EU 4 september 2025, C-655/23, ECLI:EU:C:2025:655, punten 54-56.) De betrokkene die krachtens artikel 82 lid 1 van de AVG verzoekt om vergoeding van schade, moet dus niet alleen aantonen dat sprake is van een inbreuk van de AVG, maar ook dat hij daardoor daadwerkelijk dergelijke schade heeft geleden.

Artikel 82 lid 2 AVG bepaalt dat een verwerker alleen aansprakelijk is als de verwerker bij de verwerking niet heeft voldaan aan de specifiek tot verwerkers gerichte verplichtingen van de AVG of buiten dan wel in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke heeft gehandeld.

De kantonrechter heeft in dit vonnis overwogen dat niet is komen vast te staan dat Infomedics de bepalingen van de AVG heeft geschonden. Dat Infomedics buiten dan wel in strijd met de rechtmatige instructies van [onderneming 1] heeft gehandeld is door [eiser] niet, althans onvoldoende gesteld en anderszins ook niet gebleken. Dat betekent dat één van de drie cumulatieve voorwaarden voor het recht op schadevergoeding op grond van de AVG niet is vervuld, zodat de vordering tot schadevergoeding op grond van artikel 82 AVG (vordering 12) reeds om die reden moet worden afgewezen.

De kantonrechter overweegt ten overvloede het volgende. [eiser] stelt dat hij door de datalek emotionele en psychische schade heeft geleden. [eiser] licht toe dat hij sinds de melding van de datalek angst, stress en onzekerheid over misbruik van zijn (bijzondere) persoonsgegevens ervaart. Hoewel de vrees die bij een betrokkene na een inbreuk op de AVG ontstaat voor mogelijk misbruik van zijn persoonsgegevens door derden op zich immateriële schade in de zin van artikel 82 AVG kan vormen die voor vergoeding in aanmerking komt, geldt dat de betrokkene moet aantonen dat hij daadwerkelijk dergelijke schade heeft geleden (HvJ EU 14 december 2023, C-340/21, ECLI:EU:C:2023:986, punten 76, 77, 78, 80). [eiser] is naar het oordeel van de kantonrechter er niet in geslaagd zijn schade ook maar enigszins aan te tonen. [eiser] volstaat ter onderbouwing van de door hem gestelde schade met de overlegging van een tweetal verklaringen, te weten een verklaring van zijn moeder en een verklaring van een kennis. Uit deze verklaringen volgt dat [eiser] is gesteld op zijn privacy en dat bij hem sprake zou zijn van geïrriteerdheid, kortaf zijn en een lichte mate van neerslachtigheid. Dat is voor het aannemen van schade onvoldoende. Tijdens de zitting heeft [eiser] desgevraagd de door hem gevorderde schade en het schadebedrag niet kunnen onderbouwen. Dat betekent dat ook de resterende twee cumulatieve voorwaarden voor het recht op schadevergoeding op grond van de AVG niet zijn vervuld.

Aan het ter zitting nog gedane bewijsaanbod komt de kantonrechter gelet op bovenstaande overwegingen niet meer toe.

[eiser] moet de proceskosten betalen

[eiser] is in het ongelijk gesteld en moet daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van Infomedics worden begroot op:

- salaris gemachtigde

€

759,00

(3 punten × € 253,00)

- nakosten

€

126,50

(plus de kosten van betekening zoals vermeld in de beslissing)

Totaal

€

885,50

De gevorderde wettelijke rente over de proceskosten wordt toegewezen zoals vermeld in de beslissing.

5. De beslissing

wijst de vorderingen van [eiser] af,

veroordeelt [eiser] in de proceskosten van € 885,50, te betalen binnen veertien dagen na aanschrijving daartoe, te vermeerderen met de kosten van betekening als [eiser] niet tijdig aan de veroordelingen voldoet en het vonnis daarna wordt betekend,

veroordeelt [eiser] tot betaling van de wettelijke rente als bedoeld in artikel 6:119 BW over de proceskosten als deze niet binnen veertien dagen na aanschrijving zijn betaald,

verklaart dit vonnis wat betreft de proceskostenveroordeling uitvoerbaar bij voorraad,

wijst het meer of anders gevorderde af.

Dit vonnis is gewezen door mr. R.M. Berendsen en in het openbaar uitgesproken op 19 augustus 2026