Een zorgconsument stelde Infomedics aansprakelijk nadat bij subverwerker AddComm een datalek had plaatsgevonden waarbij mogelijk medische gegevens waren betrokken. De rechtbank Midden-Nederland wijst alle vorderingen af. De uitspraak laat zien dat bij een datalek in een keten van verwerkers eerst moet worden vastgesteld welke AVG-verplichting op welke partij rust.
Een zorgconsument ontvangt via Infomedics facturen voor behandelingen bij een fysiotherapiepraktijk. Voor het opmaken en verzenden van die facturen schakelt Infomedics AddComm in als subverwerker. In mei 2024 werd AddComm getroffen door cybercriminaliteit. Daarbij konden gegevens zijn gekopieerd, waaronder naam, adres, geboortedatum en informatie over medische behandelingen. Of de gegevens van deze zorgconsument daadwerkelijk waren buitgemaakt, kon niet met zekerheid worden vastgesteld.
De zorgconsument stelde vervolgens Infomedics aansprakelijk. Volgens hem waren zijn bijzondere persoonsgegevens onder meer zonder toestemming verwerkt en onvoldoende beveiligd. Ook vond hij dat het datalek te laat aan hem was gemeld. Hij eiste uiteindelijk 2.250 euro schadevergoeding.
Voor de rechtbank is eerst van belang welke rol iedere partij onder de AVG heeft. De fysiotherapiepraktijk bepaalt volgens de kantonrechter het doel en de middelen van de verwerking en is daarom verwerkingsverantwoordelijke. Infomedics verwerkt de gegevens in opdracht van de praktijk en is verwerker. AddComm is vervolgens door Infomedics ingeschakeld als subverwerker.
Dat onderscheid bepaalt vervolgens wie op welke AVG-verplichting kan worden aangesproken.
Zo hoefde Infomedics volgens de rechtbank geen toestemming van de patiënt te verkrijgen voor het verwerken van de gezondheidsgegevens. Toestemming is niet de enige mogelijke uitzondering op het verbod om gezondheidsgegevens te verwerken. De verwerking kan ook zijn toegestaan wanneer deze noodzakelijk is voor het beheer van een zorginstelling of beroepspraktijk, waaronder het betalen van medische rekeningen.
Ook het enkele feit dat bij AddComm een datalek heeft plaatsgevonden, betekent volgens de rechtbank niet dat de getroffen beveiligingsmaatregelen daarmee automatisch onvoldoende waren. De rechtbank verwijst daarbij naar eerdere rechtspraak van het Hof van Justitie. Bovendien had Infomedics toestemming om subverwerkers in te schakelen en was met AddComm een subverwerkersovereenkomst gesloten waarin beveiligingsverplichtingen waren vastgelegd.
Ook de mogelijk late melding aan de zorgconsument leidt in deze zaak niet tot aansprakelijkheid van Infomedics. De verplichting om een datalek bij een hoog risico aan betrokkenen te melden rust volgens de rechtbank op de verwerkingsverantwoordelijke. Dat Infomedics de fysiotherapiepraktijk daarbij ondersteunde, maakte Infomedics nog niet verantwoordelijk voor naleving van die verplichting.
De uitspraak maakt duidelijk hoe belangrijk de rolverdeling in een verwerkingsketen is bij incidenten. Een datalek bij een subverwerker betekent niet automatisch dat iedere partij in de keten voor dezelfde AVG-verplichtingen kan worden aangesproken.
Voor verwerkingsverantwoordelijken blijft het daarom belangrijk om niet alleen afspraken met verwerkers vast te leggen, maar ook duidelijk te organiseren wie bij een incident beoordeelt of melding aan de AP en betrokkenen noodzakelijk is. Verwerkers moeten op hun beurt hun eigen AVG-verplichtingen naleven en passende afspraken met eventuele subverwerkers maken.
Ook de schadeclaim strandt. Voor schadevergoeding op grond van artikel 82 AVG zijn een AVG-inbreuk, daadwerkelijk geleden schade en een causaal verband vereist. Volgens de rechtbank was geen AVG-schending door Infomedics vastgesteld en had de zorgconsument zijn gestelde immateriële schade bovendien onvoldoende aangetoond.
