Inbreuk op privacy is nog geen aantasting in de persoon

Commissie: Ziekenhuizen Categorie: Klachtafhandeling / Zorgvuldigheid Jaartal: 2019
Soort uitspraak: bindend advies Uitkomst: ten dele gegrond Referentiecode: 121423

De uitspraak:

Waar gaat de uitspraak over

De door het ziekenhuis erkende verwisseling van brieven is een inbreuk op het recht op privacy, maar is nog geen aantasting in de persoon, zodat er geen reden is voor een schadeloosstelling. Naar aanleiding van de klacht hierover heeft het ziekenhuis een onheuse reactie gestuurd.

Volledige uitspraak

In het geschil tussen
[Klaagster], wonende te [plaats, in haar hoedanigheid van wettelijk vertegenwoordigster van de minderjarige [naam], gemachtigde: [naam jurist], en Stichting Sint Franciscus Vlietland Groep, gevestigd te Rotterdam (verder te noemen: het ziekenhuis).

Behandeling van het geschil
Partijen zijn overeengekomen dit geschil bij bindend advies door de Geschillencommissie Ziekenhuizen (verder te noemen: de commissie) te laten beslechten. Het geschil is ter zitting behandeld op 12 april 2019 te Utrecht. De commissie heeft kennisgenomen van de overgelegde stukken. Partijen zijn tijdig en behoorlijk opgeroepen ter zitting te verschijnen.

Partijen hebben ter zitting hun standpunt toegelicht. Klaagster werd ter zitting vertegenwoordigd door [naam jurist] en [naam kantoorgenoot]. Het ziekenhuis werd ter zitting vertegenwoordigd door [naam bedrijfsjurist], en [naam functionaris gegevensbescherming].

Onderwerp van het geschil
Het geschil betreft de verwisseling door het ziekenhuis van twee afsprakenbrieven, waardoor een oproep voor een voorlichtingsmiddag voor het dochtertje van klaagster bij een andere patiënt terecht is gekomen.

Standpunt van klaagster
Voor het standpunt van klaagster verwijst de commissie naar de overgelegde stukken, in het bijzonder naar het vragenformulier dat op 6 december 2018 is ontvangen. In de kern komt dit standpunt op het volgende neer.

Nadat klaagster op 29 mei 2018 telefonisch contact had opgenomen met het ziekenhuis voor een behandeling van haar dochter op de afdeling KNO, ontving zij van het ziekenhuis een brief die voor een andere patiënt bestemd was. Toen zij contact opnam met de andere patiënt bleek deze de brief voor het dochtertje van klaagster te hebben ontvangen. Deze laatste brief bevatte een vragenlijst voor de KNO operatie van de dochter van klaagster en een op de vragenlijst geplakte patiëntensticker waarop persoonlijke gegevens van haar dochter vermeld waren, zoals naam en adres van klaagster en haar dochter, telefoonnummer van klaagster, patiëntennummer van haar dochter en tevens het Burger Service Nummer (BSN) van haar dochter. Klaagster onderbouwt dit laatste met een screenshot van het WhatsApp bericht van de andere patiënt, waarin door de andere patiënt ook wordt genoemd dat er een BSN in de brief vermeld was.

Na ontvangst van de brief van de andere patiënt heeft klaagster telefonisch contact opgenomen met het ziekenhuis. In dat gesprek werd haar geadviseerd de brief te vernietigen. De andere patiënt heeft klaagster benaderd en zij hebben samen afgesproken de brieven te vernietigen. Het ziekenhuis heeft bij brief van 8 juni 2018 excuses aangeboden en aangegeven dat melding van het datalek is gedaan bij de Autoriteit Persoonsgegevens en voorts dat er maatregelen worden getroffen om dergelijke situaties in de toekomst te voorkomen. Bij brief van 10 augustus 2018 is door het ziekenhuis aan de raadsman van klaagster meegedeeld: “Op 7 juni jl. heeft uw cliënte via de webpagina (…) een klacht ingediend over de omstandigheid dat zij een brief heeft ontvangen die bestemd zou zijn voor een andere patiënt. Diezelfde dag heeft mijn collega (…) daarover telefonisch contact met uw cliënt opgenomen, waarop uw cliënte heeft aangegeven dat zij zelf al contact had opgenomen met deze andere patiënt. Uw cliënte heeft ook aangegeven dat de andere patiënt over de gegevens van uw cliënte, althans die van haar dochter, zou beschikken (…). Aan uw cliënte is telefonisch verzocht om de betreffende brief aan ons te retourneren opdat wij in voorkomend geval de andere betrokkene daarover passend zouden kunnen informeren. Het had namelijk op de weg van het ziekenhuis gelegen om deze andere patiënt te informeren. Uw cliënt heeft er echter voor gekozen om zèlf de litigieuze brief te vernietigen. Daarmee is niet alleen het bewijs van enig beweerdelijk datalek verloren gegaan, ook is het ziekenhuis de mogelijkheid ontnomen om maatregelen te nemen om eventuele gevolgen te adresseren. …”

De klacht bestaat uit de volgende onderdelen:

Klacht over bejegening, omdat blijkens de hiervoor weergegeven brief van 10 augustus 2018 het bestaan van het datalek door het ziekenhuis in het midden wordt gelaten, het ziekenhuis klaagster ten onrechte verwijt dat zij zelf contact met de andere patiënt heeft gezocht terwijl de andere patiënt contact met klaagster had opgenomen en het ziekenhuis klaagster verweet dat zij de brief had vernietigd, terwijl juist het ziekenhuis dit had geadviseerd. Klaagster verzoekt de commissie conform artikel 15 van het Reglement van de commissie (hierna te noemen: het reglement) bij het ziekenhuis inlichtingen in te winnen over het onderzoek naar het datalek en de afhandeling ervan, alsmede naar de klacht van de andere patiënt;
Schending van de privacy, aangezien het datalek een aantasting in de persoon oplevert. Door de ongeoorloofde verstrekking van de brief aan een derde is het recht op eerbiediging van de persoonlijke levenssfeer en bescherming van persoonsgegevens geschonden. Klaagster ziet dit als een aantasting in de persoon als bedoeld in artikel 6:106 lid 1van het Burgerlijk Wetboek (BW), waardoor zij aanspraak kan maken op immateriële schadevergoeding;
Onrechtmatige verwerking, aangezien volgens klaagster ook inbreuk is gemaakt op de vertrouwelijkheid zoals bedoeld in artikel 5 lid 1 sub f Algemene Verordening Gegevensbescherming (AVG), waardoor zij eveneens aanspraak kan maken op immateriële schadevergoeding.

Klaagster vordert een immateriële schadevergoeding van € 475,–. Klaagster meent dat dit bedrag dusdanig laag is, dat het voor het ziekenhuis goedkoper is om het te betalen dan verweer te voeren in deze procedure en dat de weigering om dit bedrag te voldoen, is aan te merken als een onwelwillende en onheuse bejegening omdat het niet oplossingsgericht is.

Klaagster vordert schadevergoeding, naar redelijkheid en billijkheid vastgesteld op € 475,–, ter zake van:

1. immateriële schade naar aanleiding van de inbreuk op het recht op eerbiediging van de persoonlijke levenssfeer, recht op persoonsgegevens, onrechtmatige verwerking en datalek, hetgeen leidde tot onrust en het risico van identiteitsfraude;
2. administratiekosten en kosten opstellen schadestaat;
3. een proceskostenvergoeding van € 262,50.

Standpunt van het ziekenhuis
Voor het standpunt van het ziekenhuis verwijst de commissie naar de overgelegde stukken, in het bijzonder naar het verweerschrift van het ziekenhuis van 28 februari 2019. In de kern komt dit standpunt op het volgende neer.

Het ziekenhuis beroept zich op niet-ontvankelijkheid van klaagster in haar klacht omdat klaagster de klacht bij het ziekenhuis heeft ingediend namens haar dochter, maar de schadeclaim en het klachtenformulier namens zichzelf, zodat de klacht namens klaagster zelf niet eerder aan het ziekenhuis is voorgelegd. Ter zitting heeft het ziekenhuis dit standpunt laten varen omdat de klacht vanaf het begin is aangemerkt als een klacht van klaagster namens haar dochtertje.

Daarnaast beroept het ziekenhuis zich op niet-ontvankelijkheid van klaagster in de bejegeningsklacht omdat deze niet eerder aan het ziekenhuis is voorgelegd.

Inhoudelijk erkent het ziekenhuis dat het datalek zich heeft voorgedaan en zij betreurt dit, maar volgens het ziekenhuis kan klaagster geen aanspraak maken op schadevergoeding aangezien daarvoor een grondslag ontbreekt.

De brieven voor klaagster en de andere patiënt zijn door een medewerkster ten gevolge van onderlinge verwisseling per ongeluk in de verkeerde envelop gedaan. De brief bevatte een uitnodiging voor een voorlichtingsmiddag op de afdeling KNO en een vragenlijst. Op de patiëntensticker stonden de persoonsgegevens van de dochter van klaagster vermeld, namelijk: naam, adres, woonplaats, geboortedatum, huisarts, ziektekostenverzekeraar, apotheek en patiëntennummer, alsmede het telefoonnummer van klaagster, maar geen BSN. Er was op de sticker wel een veld met “BSN” vermeld, maar daarachter was geen nummer ingevuld. Nu geen BSN was vermeld, is er geen sprake geweest van het lekken van ‘gevoelige gegevens’. Er zijn ook geen medische gegevens gelekt over bijvoorbeeld de aard van de behandeling. Het datalek is derhalve in omvang beperkt en klaagster heeft daardoor geen schade geleden.

Op 1 juni 2018 heeft klaagster telefonisch aan het ziekenhuis gemeld had dat zij een uitnodiging met vragenlijst voor een andere patiënt had ontvangen, dat zij telefonisch contact daarmee had gezocht en dat ze hadden afgesproken om de beide brieven te vernietigen. Nadat klaagster op 7 juni 2018 een formele klacht heeft ingediend, heeft het ziekenhuis telefonisch contact opgenomen. Het ziekenhuis heeft per brief bevestigd dat zij de verwisseling van de brieven heeft aangemerkt als datalek, dat dit wordt gemeld bij de Autoriteit Persoonsgegevens, dat maatregelen worden genomen om dit in de toekomst te voorkomen en dat excuses worden aangeboden.

Tevens is klaagster op 12 juni 2018 geïnformeerd dat de procedure voor het verzenden van uitnodigingen is aangepast zodat dit in de toekomst niet meer kan gebeuren. Het ziekenhuis verwachtte dat de fout hiermee afdoende was hersteld. Op 12 juli 2018 heeft klaagster echter een schadeclaim ingediend.

Ten aanzien van de klachtonderdelen brengt het ziekenhuis het volgende naar voren.

De brief van het ziekenhuis van 10 augustus 2018 waarin aansprakelijkheid wordt afgewezen is wellicht scherp van toon, maar geen onheuse bejegening;
Er is geen sprake van aantasting in de persoon van klaagster in de zin van 6:106 aanhef jo. lid 1 sub b, aangezien er geen sprake is van (aantoonbaar) geestelijk letsel en evenmin van een ernstige inbreuk op de fundamentele rechten. Volgens jurisprudentie is psychisch onbehagen of een zich gekwetst voelen onvoldoende om aan te nemen dat er sprake is van geestelijk letsel. Klaagster heeft geen concrete gegevens aangevoerd waaruit zou volgen dat psychische schade is ontstaan bij haarzelf of haar dochter. Evenmin is er sprake van ‘integriteitschade’, aangezien daarvan alleen sprake is bij ernstige schendingen van fundamentele rechten;
Er is geen sprake van een inbreuk als bedoeld in artikel 82 lid 1 AVG. Het ziekenhuis heeft passende beveiligingsmaatregelen genomen in de zin van artikel 5 sub f AVG. Het enkele feit dat twee brieven door een persoonlijke fout van een medewerker aan een verkeerd adres zijn geadresseerd, betekent niet dat er sprake is van onrechtmatige verwerking van persoonsgegevens; ook de beste maatregelen kunnen een incidentele menselijke fout niet uitsluiten. De AVG biedt geen zelfstandige grondslag voor schadevergoeding; ook in het kader van de AVG zijn de regels van onder meer artikel 6:106 lid 1 sub b BW voor immateriële schade van toepassing. Niet iedere normschending leidt per definitie tot schade.

Klaagster heeft derhalve niet aangetoond dat het datalek heeft geleid tot immateriële schade bij haar of haar dochter die voor vergoeding in aanmerking komt. De hoogte van het gevorderde bedrag is gebaseerd op een door de rechtsbijstandverlener zelf opgesteld puntenstelsel, waaraan geen rechten kunnen worden ontleend. Voor aanvullende administratie- en expertisekosten bestaat, buiten het stelsel van artikel 6:96 van het Burgerlijk Wetboek (BW), geen wettelijke grondslag. Nu er geen BSN in de brief is vermeld, is het risico op identiteitsfraude ook niet aan de orde.

Ter zitting heeft het ziekenhuis nog onder meer naar voren gebracht dat op de patiëntensticker wel de tekst ‘BSN’ was vermeld als voorgedrukte regel, maar het BSN zelf niet was ingevuld. In de regel eronder stond de tekst ‘PAT’ vermeld met daarachter het patiëntennummer, dat wel was ingevuld. Het ziekenhuis heeft de patiëntensticker op de betreffende afdeling opnieuw uitgeprint en het bleek onmogelijk te zijn om het BSN in te vullen omdat de medewerkers van die afdeling geen toegang tot het BSN hebben.

Het ziekenhuis stelt zich daarom op het standpunt dat klaagster niet in haar klacht kan worden ontvangen, althans dat de klacht ongegrond moet worden geacht.

Beoordeling
Naar aanleiding van het door partijen over en weer gestelde overweegt de commissie het volgende.

Ten aanzien van de ontvankelijkheid stelt de commissie vast dat het ziekenhuis ter zitting heeft aangegeven dat de klacht vanaf het begin is aangemerkt als een klacht van klaagster namens haar dochtertje, zodat het beroep op niet-ontvankelijkheid dat betrekking heeft op de persoon van indiener, als ingetrokken kan worden beschouwd.

Naar het oordeel van de commissie is de klacht over de bejegening betreffende de brief van 10 augustus 2018 wel eerder bij het ziekenhuis ingediend namelijk in de brief van 20 augustus 2018 – veel eerder kon dit uiteraard niet nu het een klacht over de bejegening tijdens de klachtafhandeling betreft – zodat ook dat niet eraan in de weg staat dat klaagster in haar klacht kan worden ontvangen. Dit brengt mee dat klaagster in haar klacht ontvankelijk dient te worden verklaard.

Inhoudelijk overweegt de commissie ten aanzien van het tweede en derde klachtonderdeel het volgende. Het geschil betreft de verwisseling van twee afsprakenbrieven door het ziekenhuis, waardoor een oproep voor een voorlichtingsmiddag met een vragenlijst voor de dochter van klaagster bij een andere patiënt terecht is gekomen en de brief voor de andere patiënt bij klaagster. Op de patiëntensticker stonden persoonsgegevens van klaagster en haar dochtertje vermeld. Partijen verschillen van mening over de vraag of er ook een BSN op de patiëntensticker was vermeld. Het ziekenhuis stelt dat dit niet het geval is geweest, klaagster stelt van wel. Nu de brieven, naar de commissie aanneemt, zijn vernietigd, is dit achteraf niet meer vast te stellen. Het ziekenhuis heeft ter zitting toegelicht dat wel de tekst ‘BSN’ op de sticker was vermeld, maar dat het BSN zelf niet was ingevuld, alsmede dat in de regel daaronder de tekst ‘PAT’ was vermeld met daarachter een vrij lang nummer, het patiëntennummer, dat wel is ingevuld. Het ziekenhuis heeft ook een uitdraai van een nieuwe sticker, met bovengenoemde indeling (BSN zonder nummer erachter en PAT met het ingevulde patiëntennummer) overgelegd. Tevens heeft het ziekenhuis toegelicht dat het voor de betreffende afdeling niet mogelijk is om het BSN in te vullen omdat het daar niet bekend is. De commissie heeft geen reden te twijfelen aan de verklaring van het ziekenhuis dat alleen een patiëntennummer was ingevuld en dat het BSN in de regel daarboven door de betreffende afdeling niet kon worden ingevuld, doch kan niet uitsluiten dat het in dit geval – mogelijk door een daartoe wel geautoriseerde – toch was ingevuld. De commissie heeft evenmin reden om te twijfelen aan de mededeling van klaagster en de andere patiënt dat het BSN wel vermeld was, al kan ook hier sprake zijn van een misverstand doordat de tekst ‘BSN’ vlak boven het ingevulde patiëntennummer was vermeld, zodat het patiëntnummer mogelijk is aangezien voor het BSN. Volledige uitsluiting valt daarover thans niet meer te geven. De commissie ziet in de omstandigheid dat het veld BSN op de sticker is vermeld, aanleiding erbij de beoordeling vanuit te gaan dat het BSN wel was ingevuld. Klaagster stelt zich op het standpunt dat daarmee sprake is van aantasting in de persoon – van haar dochtertje – op andere wijze als bedoeld in artikel 6:106 lid 1 sub b BW. De commissie overweegt dienaangaand het volgende.

Zoals door de Hoge Raad recentelijk is bevestigd (HR 15 maart 2019, ECLI:NL:HR:2019:376) is van aantasting in de persoon in ieder geval sprake indien de benadeelde geestelijk letsel heeft opgelopen. Dat zich dat in dit geval zou voordoen is noch gesteld, noch anderszins aannemelijk geworden. Daarnaast kunnen volgens de Hoge Raad de aard en ernst van de normschending en van de gevolgen daarvan voor de benadeelde meebrengen dat van de in artikel 6:106 lid 1 sub b BW bedoelde aantasting in zijn persoon op andere wijze sprake is. Degene die zich hierop beroept zal in beginsel de aantasting in zijn persoon met concrete gegevens moeten onderbouwen. Van een aantasting in de persoon op andere wijze als bedoeld in artikel 6:106 lid 1 sub b BW is niet reeds sprake bij de enkele schending van een fundamenteel recht. Deze laatstbedoelde situatie doet zich hier naar het oordeel van de commissie voor.

De door het ziekenhuis erkende verwisseling van brieven levert, aangenomen dat daarmee ook het BSN van het dochtertje van klaagster aan een andere persoon is bekend geworden, een inbreuk op in het recht op privacy en bescherming van persoonsgegevens. Dit is een fundamenteel recht. De aard en de ernst van de inbreuk zijn echter beperkt en over de gevolgen is mede gelet op de nog zeer jonge leeftijd van het dochtertje van klaagster in feite niets bekend, noch zijn er aanwijzingen dat voor gevolgen valt te vrezen.

Daarbij is van belang dat de gegevens naar moet worden aangenomen uitsluitend bij één andere persoon zijn bekend geworden. Dit brengt mee dat het ervoor moet worden gehouden dat van de hier bedoelde aantasting in de persoon geen sprake is en er mitsdien ook geen grond is voor het toekennen van een schadeloosstelling.

Nu er een datalek is, is daarvan door het ziekenhuis terecht melding gemaakt bij de Autoriteit Persoonsgegevens opdat de omvang daarvan en maatregelen daartegen kunnen en zullen worden getoetst. De beoordeling daarvan gaat het kader van de beoordeling van de onderhavige klacht door deze commissie te boven. Nu het door de AVG te beschermen belang geen ander is dan het hiervoor beschreven fundamenteel recht op privacy (inzake persoonsgegevens) leidt een beroep op de AVG niet tot een andere beslissing.

Ten aanzien van het eerste klachtonderdeel over de bejegening van het ziekenhuis overweegt de commissie het volgende. De commissie is, met klaagster, van mening dat de brief van 10 augustus 2018 anders geformuleerd had kunnen en moeten worden. Zo wordt in de brief gesproken over het verloren gegaan bewijs van ‘enig beweerdelijk datalek’, waarmee het bestaan van het datalek ten onrechte in twijfel getrokken lijkt te worden. Voorts wordt door het ziekenhuis ten onrechte aan klaagster verweten dat klaagster zelf contact opnam met de andere patiënt, dat de brief is vernietigd, dat daarmee bewijs van het datalek verloren is gegaan en dat het ziekenhuis de mogelijkheid is ontnomen om maatregelen te nemen. Het komt de commissie echter niet onaannemelijk voor dat tijdens het eerste telefoongesprek door een medewerkster namens het ziekenhuis aan klaagster – uit praktische overweging – inderdaad is aangeraden om de brief te vernietigen. De commissie kan op grond van het voorgaande klaagster dan ook volgen dat de inhoud van de brief van 10 augustus 2018 een onheuse reactie op haar klacht vormt. Dit klachtonderdeel wordt daarom door de commissie gegrond geacht.

Mogelijk ten overvloede merkt de commissie nog op dat klaagster zich ten onrechte op het standpunt stelt dat er sprake is van onheuse bejegening omdat het ziekenhuis weigert het gevorderde bedrag te betalen terwijl dit goedkoper is dan het voeren van verweer. Dit standpunt is onjuist en de daarop gebaseerde klacht ongegrond.

De commissie acht het niet nodig om, zoals klaagster heeft verzocht, conform artikel 15 van het reglement bij het ziekenhuis nadere inlichtingen in te winnen, aangezien hierover bij de commissie na afloop van de mondelinge behandeling geen onduidelijkheden meer bestaan.

Op grond van het voorgaande is de commissie van oordeel dat de klacht deels gegrond is, namelijk voor zover het gaat om het eerste klachtonderdeel ten aanzien van de bejegening.

Zoals hiervoor uiteen is gezet acht de commissie echter geen grondslag aanwezig voor het toekennen van immateriële schadevergoeding. De commissie acht evenmin termen aanwezig voor het toekennen van een vergoeding voor administratie- en expertisekosten. De klachtenbehandeling op grond van de Wet kwaliteit, klachten en geschillen zorg (Wkkgz) is laagdrempelig. Op grond van artikel 22 van het reglement komen de door klaagster ter zake van de behandeling van het geschil gemaakte kosten dan ook voor haar eigen rekening, behoudens bijzondere gevallen. Van bijzondere omstandigheden is de commissie niet gebleken, zodat de proceskostenvergoeding wordt afgewezen. Wel zal de commissie, nu de klacht van klaagster ten aanzien van het eerste klachtonderdeel gedeeltelijk gegrond wordt geacht, conform het reglement bepalen dat het ziekenhuis aan klaagster het door haar betaalde klachtengeld dient te vergoeden.

Dit brengt mee dat als volgt dient te worden beslist.

Beslissing
De commissie:

verklaart de klacht van klaagster deels gegrond, namelijk voor zover het gaat om de bejegeningklacht inzake de brief van 10 augustus 2018;
verklaart de klacht voor het overige ongegrond;
wijst de door klaagster gevorderde schadevergoeding, alsmede het meer of anders gevorderde af;
bepaalt dat het ziekenhuis overeenkomstig het reglement van de commissie aan klaagster het klachtengeld van € 52,50 dient te vergoeden.

Aldus beslist op 12 april 2019 door de Geschillencommissie Ziekenhuizen, bestaande uit mevrouw mr. C.M.E. van der Hoeven, voorzitter, de heer prof. dr. G.J. Wesseling en mevrouw mr. T.H. Disselkoen-van Raalte, leden, waarbij mevrouw mr. M.E. Taams-van Hoeken als plaatsvervangend secretaris fungeerde.