Beroepsaansprakelijkheid voor arbodienst bij datalek door beroepsfout

Kern: wanneer is er sprake van beroepsaansprakelijkheid?

Beroepsaansprakelijkheid voor een arbodienst bij een datalek draait om de vraag of het lek is veroorzaakt door een beroepsfout. Een datalek op zichzelf is dus niet genoeg: er moet ook een toerekenbare fout zijn in het professioneel handelen of nalaten, en er moet een redelijk verband bestaan tussen die fout en de schade of gevolgen.

Bij arbodiensten gaat het vaak om de combinatie van (1) welke zorgplicht je mag verwachten rond de verwerking van (persoons)gegevens, (2) of die zorgplicht is nageleefd, en (3) of het datalek daarvan het gevolg is. Denk daarbij aan fouten in procedures, onvoldoende beveiligingskeuzes, of gebrekkige controle op toegang en overdracht van gegevens.

Als het datalek bijvoorbeeld vooral het gevolg is van een externe, niet-toerekenbare gebeurtenis zonder fout in de uitvoering, verschuift de kans op aansprakelijkheid. Omdat dit sterk afhangt van de feiten, is het belangrijk om het scenario feitelijk te reconstrueren en te beoordelen tegen de relevante normen.

Hoe beoordeel je “beroepsfout” bij een datalek?

Een praktische manier om het begrip beroepsfout te plaatsen is kijken naar drie bouwstenen: de norm, het handelen en de causaliteit.

De norm (wat mocht je verwachten?) Je toetst aan wat in de branche en voor het specifieke proces redelijkerwijs van een arbodienst mag worden verwacht bij gegevensverwerking en beveiliging. Dat omvat zowel organisatorische maatregelen (zoals werkwijzen, autorisaties en controles) als technische maatregelen (zoals toegangsbeheersing en verwerking van gegevensstromen).
Het handelen of nalaten Je onderzoekt of er sprake was van een concrete fout: bijvoorbeeld onjuiste uitvoering van een procedure, het ontbreken van een controle die men redelijkerwijs had moeten inrichten, of het niet correct omgaan met toegang tot systemen en dossiers.
Causaliteit (verband met de gevolgen) Vervolgens kijk je of de fout het lek (of de omvang van het lek) aannemelijk verklaart. Bij aansprakelijkheid is niet alleen de kans op het lek relevant, maar vooral of de fout voldoende verband houdt met de uiteindelijke schade of impact.

Een extra aandachtspunt is rolverdeling: een arbodienst werkt vaak met systemen, partijen of leveranciers. Als een datalek bij een derde partij ontstaat, is de vraag wie precies verantwoordelijk was voor welke gegevensverwerking en welke beveiligingsverplichtingen.

Misverstanden en verschillen die vaak het oordeel veranderen

Misverstand 1: “Datalek = aansprakelijk.” Een datalek kan leiden tot vragen, maar beroepsaansprakelijkheid vereist doorgaans meer: fout + verband met gevolgen. Zonder aantoonbare beroepsfout of zonder voldoende causaal verband wordt aansprakelijkheid minder waarschijnlijk.

Misverstand 2: “Alle schade is automatisch vergoed.” Zelfs als aansprakelijkheid wordt aangenomen, blijft de schadebeoordeling hangen aan concrete onderbouwing. Dat gaat niet alleen over het bestaan van “nadeel”, maar ook over welk deel redelijkerwijs aan de fout is toe te rekenen.

Verschil 1: beveiligingsmaatregelen vs. besluitvorming. Soms ligt het probleem niet bij één techniek, maar bij keuzes in werkwijze of controle. Denk aan het toestaan van toegang zonder passende checks, of het onvoldoende testen van een proces rondom gegevensoverdracht.

Verschil 2: omvang en timing. De impact kan afhangen van hoe lang gegevens onbeschermd zijn geweest en hoe snel er is gehandeld. Dit raakt weer aan het oordeel over professioneel handelen: was de respons en opvolging passend?

Toepassing: controlepunten voor je eigen dossier

Gebruik de volgende controlepunten om een zaak inhoudelijk scherp te krijgen. Dit is bedoeld om feiten te ordenen en vragen te formuleren.

Reconstructie van het incident

Wat is precies gelekt (welke gegevenscategorieën)?
Wanneer is het begonnen en wanneer werd het ontdekt?
Welke systemen en processen waren betrokken?

Onderzoek naar de beroepsfout

Welke beveiligings- en werkafspraken golden vooraf?
Welke daarvan zijn gevolgd, genegeerd of ontbraken?
Is er een concrete afwijking aantoonbaar (procedure, controle, autorisatie)?

Causaal verband met de gevolgen

Hoe verklaart de fout het lek en de impact?
Zijn er alternatieve oorzaken die het verband verzwakken?

Rolverdeling met derden

Welke onderdelen waren uitbesteed of gedelegeerd?
Wie beheerde welke toegang en verantwoordelijkheid?

Contractuele en verzekeringsvoorwaarden Of er (financiële) dekking is, hangt af van definities, uitsluitingen en verplichtingen zoals melding en documentatie. Controleer daarom de relevante polisvoorwaarden of contractafspraken op bepalingen die de dekking kunnen beïnvloeden.

Je kunt hierbij ook intern vastleggen welke documenten nodig zijn voor onderbouwing: incidentrapportage, loggegevens (voor zover beschikbaar), beschrijvingen van processen en genomen maatregelen. Dit maakt het eenvoudiger om het onderscheid te maken tussen pech, beheerfouten en beroepsmatige tekortkomingen.

Wat kan de uitkomst veranderen (belangrijke beperking)

De uitkomst verschilt per situatie omdat aansprakelijkheid afhankelijk is van feiten en van de exacte normtoets. Eén datalek met vergelijkbare uiterlijke kenmerken kan juridisch anders uitpakken als de oorzaak, rolverdeling, beveiligingsniveau en aantoonbare handelswijze verschillend zijn.

Daarnaast geldt dat beoordelingen vaak tijdsgebonden zijn: wat passend was op het moment van handelen (niet achteraf), weegt mee in de vraag of er sprake was van een beroepsfout. Daarom is een consistente feitenreconstructie cruciaal.

Als je het concreet wilt plaatsen, richt je vragen dan op “waarom” het lek ontstond, “welke norm” je daarvoor hanteert en “welk verband” er is met de schade of gevolgen. Zo voorkom je dat je alleen op basis van het feit van een datalek conclusies trekt.