Inleiding

In eerdere artikelen beschreef ik het probleem van ‘schade’ bij de onrechtmatige verwerking van persoonsgegevens.T.F. Walree, ‘De vergoedbare schade bij een onrechtmatige verwerking van persoonsgegevens’, WPNR 2017, afl. 7172, p. 921-930; T.F. Walree, ‘Het Cambridge Analytica-schandaal. Wat kan de Nederlandse Facebook-gebruiker claimen?’, TvIR 2018, afl. 4, p. 134-143. Hieruit volgde dat een schending van het gegevensbeschermingsrecht over het algemeen niet leidt tot vermogensschade, maar vaak alleen leidt tot spanning of emotie bij de ‘betrokkene’De betrokkene is degene waarvan de persoonsgegevens worden verwerkt, oftewel de ‘geïdentificeerde of identificeerbare natuurlijke persoon’ (artikel 4 sub 1 AVG). en/of tot een aantasting van zijn immateriële belangen.Zie bijvoorbeeld ook A. Galetta & P. De Hert, ‘The Proceduralisation of Data Protection Remedies under EU Data Protection Law: Towards a More Effective and Data Subject-oriented Remedial System?’, Review of European Administrative Law 2015, afl. 1, p. 148; P. Voigt & A. von dem Bussche, The EU General Data Protection Regulation (GDPR). A Practical Guide, Cham: Springer International Publishing 2017, p. 205; D.J. Solove & D.K. Citron, ‘Risk and Anxiety: A Theory of Data Breach Harms’, Texas Law Review 2018, afl. 4, p. 755. Daar stond tegenover dat het aansprakelijkheidsrecht voor een schadevergoeding concrete schade verlangt en een hoge drempel stelt voor het vergoeden van immateriële schade. De incompatibiliteit van het aansprakelijkheidsrecht en het gegevensbeschermingsrecht zorgde ervoor dat het voor de betrokkene lastig was om een schadevergoeding te krijgen van de verwerkingsverantwoordelijke, waardoor hij zijn fundamentele recht op de bescherming van persoonsgegevens civielrechtelijk niet effectief kon handhaven.

Recente jurisprudentie biedt een nieuw perspectief op dit probleem. Uit rechtspraak van de Hoge Raad volgt inmiddels dat in bepaalde gevallen de gevolgen van een normschending kunnen worden verondersteld, waardoor een persoonsaantasting in de zin van artikel 6:106 lid 1 sub b BW kan worden aangenomen.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, m.nt. S.D. Lindenbergh (EBI). Zie later ook HR 19 juli 2019, ECLI:NL:HR:2019:1278 (Aardbevingsschade Groningen); HR 15 oktober 2019, ECLI:NL:HR:2019:1465 (Woninginbraak). Daarnaast kenden de rechtbank Overijssel,Rb. Overijssel 28 mei 2019, ECLI:NL:RBOVE:2019:1827 (X/Deventer). de rechtbank AmsterdamRb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490 (X/UWV). en de rechtbank Noord-NederlandRb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247 (X/NDC Mediagroep). betrokkenen een vergoeding toe voor immateriële schade wegens een inbreuk op de Algemene verordening persoonsgegevens (AVG).Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming) (PbEU 2016, L 119/1). Zij betrekken in hun overwegingen artikel 82 lid 1 AVG (het recht op schadevergoeding)Artikel 82 lid 1 AVG luidt: ‘Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.’ en het ‘verlies van controle over persoonsgegevens’. De rechtbankvonnissen wekken de indruk dat een betrokkene niet altijd concrete gevolgen van de onrechtmatige verwerking van persoonsgegevens hoeft aan te tonen en dat meer dan voorheen ruimte bestaat voor schadevergoeding wegens een inbreuk op de AVG.

Tot slot heeft ook de Afdeling bestuursrechtspraak van de Raad van State in vier uitspraken geoordeeld over de vraag wanneer een betrokkene recht heeft op schadevergoeding.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:899 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901 (X/Harderwijk). Uit deze uitspraken volgt echter dat de ABRvS een stuk terughoudender is dan de rechtbanken ten aanzien van de mate waarin de betrokkene zijn schade moet concretiseren. Onduidelijk blijft daarom in hoeverre de betrokkene concrete nadelige gevolgen moet aantonen om in aanmerking te komen voor een vergoeding van immateriële schade wegens een inbreuk op de AVG. Die vraag beantwoord ik in deze bijdrage.

Ik begin met een analyse van de AVG en de rechtspraak van het Hof van Justitie, en bespreek de daaruit voortvloeiende mogelijkheden voor vergoeding van immateriële schade (paragraaf 2). In paragraaf 3 schets ik aan de hand van recente rechtspraak van de Hoge Raad het Nederlandse kader voor vergoeding van immateriële schade. Daarna behandel ik de uitspraken van de rechtbanken en de ABRvS (paragraaf 4). In paragraaf 5 kijk ik naar enige buitenlandse rechtspraak ten aanzien van het recht op schadevergoeding bij een inbreuk op de AVG. Ik sluit af met een synthese en conclusie (paragraaf 6).

In hoeverre vereisen de AVG en het Unierecht concrete gevolgen voor een schadevergoeding?

Artikel 82 lid 1 AVG

Artikel 82 lid 1 AVG geeft de betrokkene een recht op schadevergoeding als hij materiële of immateriële schade lijdt als gevolg van een inbreuk op de AVG. In tegenstelling tot andere Unierechtelijke instrumenten die voorzien in een recht op schadevergoeding,Artikel 35bis lid 4 Verordening (EU) 462/2013 van het Europees Parlement en de Raad van 21 mei 2013 tot wijziging van Verordening (EG) 1060/2009 inzake ratingbureaus (PbEU 2013, L 146). bepaalt artikel 82 AVG niet dat het begrip ‘schade’ aan de hand van het nationale recht moet worden uitgelegd. Integendeel, de Uniewetgever bepaalt in overweging 146 AVG dat het begrip ‘schade’ ruim moet worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit begrip laat ‘eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet’. Bovenal is het vaste rechtspraak van het Hof van Justitie dat begrippen in het Unierecht, voor zover zij niet nadrukkelijk verwijzen naar het recht van de lidstaten, autonoom en uniform moeten worden uitgelegd, ten behoeve van de eenvormige toepassing van het Unierecht en het gelijkheidsbeginsel.HvJ EU 18 oktober 2011, C-34/10, ECLI:EU:C:2011:669, punt 25 (Brüstle/Greenpeace); HvJ EU 14 februari 2012, C-204/09, ECLI:EU:C:2012:71, punt 37 (Flachglas Torgau/Duitsland); HvJ EU 19 december 2013, C-279/12, ECLI:EU:C:2013:853, punt 42 (Fish Legal/Information Commissioner).

De vergoedbare schade van artikel 82 lid 1 AVG moet aldus autonoom worden uitgelegd.Zie uitvoerig over deze (gemeenschaps)autonome uitleg Walree 2017, p. 928-930. Vergelijk T.F.E. Tjong Tjin Tai, ‘Een Europees schadebegrip?’, NTBR 2018/5, afl. 1, p. 31-36; A. Rubí Puig, ‘Daños por infracciones del derecho a la protección de datos personales. El remedio indemnizatorio del artículo 82 RGPD’, Revista de Derecho Civil 2018, afl. 4, p. 73-74; E. Truli, ‘The General Data Protection Regulation and Civil Liability’, in: M. Bakhoum e.a. (red.), Personal Data in Competition, Consumer Protection and Intellectual Property Law. Towards a Holistic Approach?, Berlijn: Springer 2018, p. 319. Zie ook Raad van de Europese Unie, ‘Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) – Preparation of a general approach 9788/15 EN’, consilium.europa.eu 11 juni 2015, p. 244 (voetnoot 592). De Nederlandse regering was in de voorbereiding op de AVG van mening dat het schadebegrip naar nationaal recht dient te worden uitgelegd. De Commissie vond echter dat het schadebegrip door het Hof van Justitie moet worden uitgelegd. Dit is uiteindelijk ook zo opgenomen in overweging 146 AVG. Vergelijk in andere zin E. O’Dell, ‘Compensation for Breach of the General Data Protection Regulation’, Dublin University Law Journal 2017, afl. 1, p. 97-164. Deze autonome uitleg heeft voorrang op een afwijkende nationale interpretatie van het schadebegrip.Zie over de voorrang van het Unierecht en het buiten toepassing verklaren van strijdig nationaal recht: HvJ EG 9 maart 1978, C-106/77, ECLI:EU:C:1978:49, punt 21 (Simmenthal); HvJ EG 19 juni 1990, C-213/89, ECLI:EU:C:1990:257, punt 23 (Factortame e.a.). Vergelijk ook HvJ EG 16 december 1976, 33/76, ECLI:EU:C:1976:188, punt 5-6 (Rewe); HvJ EG 16 december 1976, 45/76, ECLI:EU:C:1976:191, punt 13 (Comet); HvJ EG 13 maart 2007, C-432/05, ECLI:EU:C:2007:163, punt 43 (Unibet/Justitiekanslern); HvJ EU 9 december 2010, C-568/08, ECLI:EU:C:2010:751, punt 91 (Combinatie Spijker/Provincie Drenthe). Evenwel expliceert de tekst van artikel 82 lid 1 AVG niet wat die vergoedbare schade is. Door de recente inwerkingtreding van de AVG (25 mei 2018) bestaat er nog geen rechtspraak van het Hof van Justitie over de toepassing van artikel 82 AVG en de op grond van dit artikel vergoedbare schade. In overweging 146 AVG staat echter wel dat het begrip ‘schade’ ruim moet worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Om die reden bespreek ik de rechtspraak van het Hof van Justitie ten aanzien van immateriële schade (paragraaf 2.2.1) en ten aanzien van het recht op bescherming van persoonsgegevens. Vervolgens behandel ik twee doelstellingen van de AVG: controle over persoonsgegevens door de betrokkene en handhaving (paragraaf 2.3).

Rechtspraak Hof van Justitie

Ten aanzien van immateriële schade

Het Unierecht kent geen algemeen aansprakelijkheidsregime voor private partijen.D. Leczykiewicz, ‘Private Party Liability in EU Law: In search of the general regime’, in: C. Barnard & O. Odudu (red.), Cambridge Yearbook of European Legal Studies, Oxford: Hart Publishing 2010, p. 259; C. Heinze, ‘Common Principles of Damages in EU Private Law’, in: F. Hofmann & F. Kurz (red.), Law of Remedies. A European Perspective, Cambridge: Intersentia 2019, p. 200-206. Wel is er rechtspraak van het Hof van Justitie over de vergoedbaarheid van immateriële schade en over de mate waarin de benadeelde deze moet concretiseren. Hieruit volgt dat een enkele normschending niet genoeg isVergelijk GvEA EG 21 maart 1996, T-230/94, ECLI:EU:T:1996:40, punt 42-46 (Farrugia/Commissie); GvEA EG 28 januari 1999, T-230/95, ECLI:EU:T:1999:11, punt 38 (BAI/Commissie); HvJ EU 6 november 2012, C-199/11, ECLI:EU:C:2012:684, punt 65 (Europese Gemeenschap/Otis e.a.). en dat immateriële schade reëel en zeker geleden moet zijn.GvEA EG 28 januari 1999, T-230/95, ECLI:EU:T:1999:11, punt 38 (BAI/Commissie); HvJ EG 9 november 2006, C-611/12 P, ECLI:EU:C:2006:708, punt 27 (Agraz e.a./Commissie); HvJ EG 21 februari 2008, C-348/06, ECLI:EU:C:2008:107, punt 54 (Commissie/Girardot); Gerecht EU 10 januari 2017, T-577/14, ECLI:EU:T:2017:1, punt 145 (Gascogne/Europese Unie); HvJ EU 4 april 2017, C-337/15 P, ECLI:EU:C:2017:256, punt 91, 127-129 (Europese Ombudsman/Staelen). Louter theoretische schade komt dus niet voor vergoeding in aanmerking.HvJ EG 29 januari 1985, 147/83, ECLI:EU:C:1985:26, punt 20 (Münchener Import/Commissie); GvEA EG 11 juli 1997, T-267/94, ECLI:EU:T:1997:113, punt 73 (Oleifici Italiani/Commissie); GvEA EG 29 oktober 1998, T-13/96, ECLI:EU:T:1998:254, punt 76 (TEAM/Commissie). Zie uitgebreid over schade A. Vaquer, ‘Damage’, in: H. Koziol & R. Schulze (red.), Tort Law of the European Community, Wenen: Springer 2008, p. 27-28; C.C. van Dam, European Tort Law, Oxford: Oxford University Press 2013, p. 359-360. Verder volgt uit de rechtspraak dat immateriële schade niet alleen psychische schade omvat.Vergelijk Gerecht EU 16 december 2015, T-138/14, ECLI:EU:T:2015:981, punt 149-155 (Chart/EDEO); HvJ EU 4 april 2017, C-337/15 P, ECLI:EU:C:2017:256, punt 129 (Europese Ombudsman/Staelen). Zie ook K. Havu, ‘Damages liability for non-material harm in EU case law’, European Law Review 2019, afl. 4, p. 492-514. Ook gederfd vakantiegenotHvJ EG 12 maart 2002, C-168/00, ECLI:EU:C:2002:163, punt 22 (Leitner). en reputatieschadeHvJ EG 7 maart 1995, C-68/93, ECLI:EU:C:1995:61, punt 23 (Shevill/Presse Alliance); GvEA EG 12 september 2007, T-259/03, ECLI:EU:T:2007:254, punt 329-30 (Nikolaou/Commissie); HvJ EU 28 mei 2013, C-239/12 P, ECLI:EU:C:2013:331, punt 83 (Abdulrahim/Raad en Commissie); HvJ EU 30 mei 2017, C-45/15 P, ECLI:EU:C:2017:402 (Safa Nicu Sepahan/Raad van de Europese Unie). kunnen daaronder vallen. Ook kunnen ‘gevoelens van onrust en onbehagen’ of de ‘verlengde staat van onzekerheid’ wegens het schenden van een redelijke procestermijn vallen onder het begrip ‘immateriële schade’.Gerecht EU 10 januari 2017, T-577/14, ECLI:EU:T:2017:1, punt 149, 157-158 (Gascogne/Europese Unie).

Uit de rechtspraak blijkt dat het stellen van immateriële schade zonder enig bewijs in beginsel onvoldoende is.HvJ EG 14 mei 1998, C-259/96 P, ECLI:EU:C:1998:224, punt 25-27 (Raad van de Europese Unie/De Nil); HvJ EU 3 september 2013, C-34/12 P, ECLI:EU:C:2013:552, punt 97 (Idromacchine/Europese Commissie); Gerecht EU 3 december 2015, T-343/15, ECLI:EU:T:2015:926, punt 121 (CN/EDPS); Gerecht EU 1 februari 2017, T-479/14, ECLI:EU:T:2017:48, punt 122-125 (Kendrion/Europese Unie). Vergelijk concl. A-G N. Wahl 26 oktober 2016, ECLI:EU:C:2016:823, punt 108, 109 en 114 (Europese Ombudsman/Staelen). Desalniettemin laat de rechtspraak ook zien dat het voldoende kan zijn dat de eiser aantoont dat het onrechtmatige handelen zo ernstig was dat dit als zodanig immateriële schade kon veroorzaken.HvJ EG 6 februari 1986, gevoegde zaken 173/82, 157/83 en 186/84, ECLI:EU:C:1986:54, punt 35-37 (Castille/Commissie); GvEA EG 17 december 1998, T-203/96, ECLI:EU:T:1998:302, punt 108 (Embassy/Europees Parlement); GvEA EG 28 januari 1999, T-230/95, ECLI:EU:T:1999:11, punt 39 (BAI/Commissie); HvJ EG 16 juli 2009, C-481/07 P, ECLI:EU:C:2009:461, punt 38 (SELEX Sistemi Integrati/Commissie); Gerecht EU 10 januari 2017, T-577/14, ECLI:EU:T:2017:1, punt 151 (Gascogne/Europese Unie). Dit is echter een uitzondering die alleen onder bijzondere omstandigheden geldt.HvJ EG 6 februari 1986, gevoegde zaken 173/82, 157/83 en 186/84, ECLI:EU:C:1986:54, punt 37 (Castille/Commissie). Zie ook Vaquer 2008, p. 29. In beginsel is dus reële en zeker geleden immateriële schade vereist.

Een Unierechtelijke bepaling die niet uitdrukkelijk naar het recht van de lidstaten verwijst, zoals artikel 82 AVG, kan door een rechter ook autonoom worden geïnterpreteerd.Leczykiewicz 2010, p. 282. Vergelijk Heinze 2019, p. 219. Dit betekent dat hij deze bepaling uitlegt aan de hand van de context van de bepaling en het doel van de regeling waarvan de bepaling deel uitmaakt.HvJ EU 14 februari 2012, C-204/09, ECLI:EU:C:2012:71, punt 37 (Flachglas Torgau/Duitsland); HvJ EU 19 december 2013, C-279/12, ECLI:EU:C:2013:853, punt 42 (Fish Legal/Information Commissioner). Vergelijk ook HvJ EG 12 maart 2002, C-168/00, ECLI:EU:C:2002:163 (Leitner); Walree 2017, p. 929. Een autonome en contextafhankelijke uitleg van schade in de zin van artikel 82 AVG zou zich dan kunnen toespitsen op de overwegend immateriële en abstracte aard van de gevolgen van een gegevensverwerking en zou in ogenschouw kunnen nemen wat voor de betrokkene van belang is,HvJ EG 12 maart 2002, C-168/00, ECLI:EU:C:2002:163, punt 22 (Leitner). Vergelijk Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 46, 56 (Lloyd/Google). zoals controle over zijn persoonsgegevens en handhaving van de regels aangaande de verwerking van zijn persoonsgegevens (zie paragraaf 2.3).Overweging 7 AVG. Zie ook Walree 2017, p. 929. Een contextafhankelijke uitleg kan dus met zich brengen dat de betrokkene ook een recht op schadevergoeding heeft zonder dat hij concrete gevolgen hoeft aan te tonen. Een interessant arrest in dit verband is HJ/EMA. In deze zaak was het persoonsdossier van een werknemer van het Europees Geneesmiddelenbureau toegankelijk voor collega’s. Het feit dat zij toegang hadden tot haar dossier, met de daaruit voortvloeiende mogelijkheid dat zij daarin hadden gekeken, was voldoende voor het Gerecht om immateriële schade aan te nemen. De betrokkene hoefde dus niet aan te tonen dat collega’s daadwerkelijk in haar dossier hadden gekeken.GvA EU 15 januari 2019, T-881/16, ECLI:EU:T:2019:5, punt 57 (HJ/EMA). Die schadevergoeding bedroeg uiteindelijk slechts één symbolische euro. Vergelijk EHRM 17 juli 2008, 20511/03, ECLI:CE:ECHR:2008:0717JUD002051103, P&I 2009/60, m.nt. C.C.M. de Raaij (I./Finland).

Ten aanzien van het recht op bescherming van persoonsgegevens

De rechtspraak van het Hof van Justitie is bepalend voor de uitleg van het gegevensbeschermingsrecht. Het heeft inmiddels enkele toonaangevende arresten gewezen.

Het Hof van Justitie oordeelde allereerst dat het begrip ‘verwerkingsverantwoordelijke’ ruim moet worden uitgelegd. Op deze manier kan een ‘doeltreffende en volledige bescherming’ aan de betrokkene worden verzekerd.HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317, punt 34 (Google Spain/Costeja); HvJ EU 5 juni 2018, C-210/16, ECLI:EU:C:2018:388, punt 27-28 (Wirtschaftakademie); HvJ EU 10 juli 2018, C-25/17, ECLI:EU:C:2018:551, punt 66 (Jehovan Todistajat); HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629, punt 65-66 (Fashion ID/Verbraucherzentrale). Ook overwoog het Hof van Justitie dat aan het begrip ‘persoonsgegevens’ een ruime betekenis moet worden gegevenHvJ EU 20 december 2017, C-434/16, ECLI:EU:C:2017:994, punt 34 (Nowak/DPC). en dat een standaard aangevinkt selectievakje geen toestemming constitueert in de zin van artikel 6 lid 1 sub a AVG.HvJ EU 1 oktober 2019, C-673/19, ECLI:EU:C:2019:801, punt 52, 63 (Planet49). Voorts erkende het ‘een recht om vergeten te worden’, terwijl dit recht niet expliciet in de DataprotectierichtlijnRichtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG 1995, L 281). stond.HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317, punt 92 (Google Spain/Costeja). Het in artikel 17 AVG opgenomen ‘recht op vergetelheid’ heeft een andere reikwijdte (met andere uitzonderingen) dan het in dit arrest afgeleide recht. G-J. Zwenne, ‘Het vergeetrecht vijf jaar later’, AA 2019, afl. 7/8, p. 612; P.T.J. Wolters, ‘De territoriale werking van het recht op vergetelheid na Google/CNIL’, TvC 2020, afl. 2, p. 58-59.

Uit de rechtspraak van het Hof van Justitie blijkt dat het gegevensbeschermingsrecht de betrokkene beoogt ‘een doeltreffende en volledige bescherming van zijn fundamentele vrijheden en rechten’ te verzekeren.HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317, punt 58 (Google Spain/Costeja); HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629, punt 50 (Fashion ID/Verbraucherzentrale). Begrippen worden daardoor ruim (‘persoonsgegevens’, ‘verwerkingsverantwoordelijke’ of ‘het recht om vergeten te worden’) óf juist strikt (‘toestemming’) uitgelegd. In zijn rechtspraak geeft het Hof van Justitie er aldus blijk van dat het, net als de Uniewetgever,Overweging 10 AVG. een hoog beschermingsniveau voor de betrokkene nastreeft, en neemt het een progressieve, haast activistische houdingB. van der Sloot, ‘Kroniek privacy en gegevensbescherming’, NTM 2016, afl. 3, p. 350, 354-356. aan ten aanzien van het recht op de bescherming van persoonsgegevens.Vergelijk ook HvJ EU 6 oktober 2015, C-362/14, ECLI:EU:C:2015:650 (Schrems/Data Protection Commissioner); HvJ EU 8 april 2014, gevoegde zaken C‑293/12 en C‑594/12, ECLI:EU:C:2014:238 (Digital Rights Ireland). Het is aannemelijk dat het Hof van Justitie eenzelfde ruimhartige benadering zal volgen ten aanzien van de interpretatie van de vergoedbare schade. Die gedachte wordt gesterkt doordat de Uniewetgever in overweging 146 AVG de opdracht geeft om schade ruim uit te leggen.

Doelstellingen AVG: controle over persoons-gegevens en handhaving

Uit de overwegingen 75 en 85 AVG volgt dat (onrechtmatige) gegevensverwerkingen kunnen resulteren in materiële of immateriële schade voor natuurlijke personen, waaronder het ‘verlies van controle over hun persoonsgegevens’. De AVG noemt het verlies van controle over persoonsgegevens als een risico waartegen de verwerkingsverantwoordelijke passende maatregelen moet nemen (overweging 75)Zie in combinatie met overweging 74 AVG. en als een risico waardoor hij de toezichthoudende autoriteit of de betrokkene op de hoogte moet brengen van een datalek (overweging 85). Deze overwegingen zijn niet bedoeld om aan te geven wat de vergoedbare schade is van artikel 82 AVG.E.F.D. Engelhard, ‘Immateriële schade als gevolg van data-inbreuken: het ondergeschoven kindje van de AVG’, NTBR 2019/30, afl. 9/10, p. 193. Vergelijk ook Court of Appeal 27 maart 2015, [2015] EWCA Civ 311, punt 72 (Vidal-Hall/Google); Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 42 (Lloyd/Google). Dit neemt niet weg dat het controleverlies als vergoedbare schade kan gelden. De controle over persoonsgegevens komt namelijk ook terug op andere plekken. De AVG stelt dat natuurlijke personen controle over hun eigen persoonsgegevens dienen te hebbenOverweging 7 AVG. en dat de betrokkene het recht moet hebben om de rechtmatigheid van de verwerking te controleren.Overweging 63 AVG. Vergelijk ook overweging 78 AVG. Controle over persoonsgegevens door de betrokkene is dus kennelijk een belangrijke doelstelling van de AVG, waardoor aan het verlies daarvan ook een waarde toekomt.Zie ook Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 46, 56 (Lloyd/Google).

De AVG zwijgt over wat controle over persoonsgegevens (en het verlies daarvan) exact omvat.Vergelijk O. Lynskey, The Foundations of EU Data Protection Law, New York: Oxford University Press 2015, p. 180. Controle veronderstelt in ieder geval geen exclusieve gebruiksbevoegdheid van de betrokkene ten aanzien van zijn persoonsgegevens, in de zin dat hij zelf bepaalt welke persoonsgegevens hij deelt en met wie hij die deelt. De betrokkene zou onder die definitie bijvoorbeeld ook de controle verliezen bij de onvrijwillige maar rechtmatige verwerking van zijn inkomensgegevens door de Belastingdienst. Een uitleg die onder ‘controle over persoonsgegevens’ verstaat dat de gegevens slechts door daartoe bevoegde partijen worden verwerkt, is plausibeler. Het verlies van controle vindt dan plaats als een onbevoegde en onvoorziene partij de persoonsgegevens verzamelt of ontvangt.Ook de Nederlandse rechtbanken hanteren het begrip ‘verlies van controle over persoonsgegevens’ (zie paragraaf 4.1). Die uitspraken hebben met elkaar gemeen dat het in het onderhavige geval telkens gaat om een onrechtmatige doorgifte aan een partij die onbevoegd was om kennis te nemen van de persoonsgegevens (zie uitgebreid paragraaf 4). Vergelijk ook Rb. Midden-Nederland 28 januari 2020, ECLI:NL:RBMNE:2020:348, r.o. 4.1 (X/CIZ). Dit is een wat beperkte uitleg van het verlies van controle, die geen recht doet aan het hoge beschermingsniveau dat de AVG nastreeft.

Er is echter nog een andere interpretatie van controle(verlies) mogelijk. De AVG formuleert allerlei beginselen met betrekking tot de rechtmatige en zorgvuldige verwerking van persoonsgegevens.P. De Hert & S. Gutwirth, ‘Data Protection in the Case Law of Strasbourg and Luxemburg: Constitutionalisation in Action’, in: S. Gutwirth e.a. (red.), Reinventing data protection?, Dordrecht: Springer Science 2009, p. 3-4. De belangrijkste zijn rechtmatigheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid of integriteit, opslagbeperking en vertrouwelijkheid.Artikel 5 lid 1 AVG. Als de verwerkingsverantwoordelijke deze beginselen naleeft, kan een betrokkene begrijpen, overzien en voorzien welke van zijn gegevens worden verwerkt, voor welke doeleinden en voor hoe lang zij worden verwerkt. Op deze manier houdt de betrokkene de ‘controle’ (of het overzicht) over zijn persoonsgegevens, zo nodig met behulp van de uitoefening van zijn rechten (bijvoorbeeld het recht op inzage, rectificatie, beperking) op grond van hoofdstuk III AVG.Vergelijk Lynskey 2015, p. 179-185. Als de verwerking buiten de grenzen van de rechtmatigheid treedt, en de betrokkene de onrechtmatige verwerking niet meer kan corrigeren door zijn rechten uit te oefenen,Voorbeelden zijn het verwijderen van gegevens waarvan de rechtmatige bewaartermijn is verstreken (artikel 17 lid 1 sub a AVG) of het corrigeren van onjuiste persoonsgegevens door de verwerkingsverantwoordelijke (artikel 16 AVG), op verzoek van de betrokkene. verliest hij de controle.

Ik sluit niet uit dat deze laatste interpretatie van controleverlies voor vergoeding in aanmerking komt. Het kunnen handhaven van transparantie, doelbinding, vertrouwelijkheid en integriteit van persoonsgegevens is immers essentieel voor een doeltreffende bescherming van persoonsgegevens.Vergelijk overweging 11 AVG. Handhaving is dan ook een belangrijke doelstelling van de AVG.Overwegingen 7, 129 en 148 AVG. Het uitgebreide arsenaal aan handhavingsmogelijkheden in hoofdstuk VIII, zoals het recht op schadevergoeding en zware bestuurlijke boetes, getuigt hier ook van. Handhaving door toezichthouders komt echter nog maar langzaam op gang.N. Vinocur, ‘“We have a huge problem”: European regulator despairs over lack of enforcement’, Politico.eu 27 december 2019. Civiele handhaving door betrokkenen of belangenorganisaties, zoals door middel van een schadeclaim, is daarom des te belangrijker.Walree 2017, p. 921; Engelhard, NTBR 2019, p. 194.

Het Hof van Justitie benadrukt dat het recht op schadevergoeding kan bijdragen aan de ‘volle werking’ van het Unierecht.HvJ EG 20 september 2001, C-453/99, ECLI:EU:C:2001:465, punt 25-27 (Courage/Crehan); HvJ EG 13 juli 2006, gevoegde zaken C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 89-91 (Manfredi); HvJ EU 6 november 2012, C-199/11, ECLI:EU:C:2012:684, punt 41-42 (Europese Gemeenschap/Otis e.a.); HvJ EU 6 juni 2013, C-536/11, ECLI:EU:C:2013:366, punt 22-23 (Donau Chemie e.a.); HvJ EU 5 juni 2014, C-557/12, ECLI:EU:C:2014:1317, punt 21-23 (Kone); HvJ EU 14 maart 2019, C-724/17, ECLI:EU:C:2019:204, punt 43-45 (Skanska); HvJ EU 12 december 2019, C-435/18, ECLI:EU:C:2019:1069, punt 22-24 (Otis e.a./Land Oberösterreich e.a.). In een aantal zaken waarin het een schending van het mededingingsrecht betrof, overweegt het Hof van Justitie dat het recht op schadevergoeding schendingen ‘minder aantrekkelijk’ maakt en kan bijdragen aan de handhaving van een ‘daadwerkelijke mededinging’. De mogelijkheid van een schadevergoeding kan op vergelijkbare wijze inbreuken op de AVG ontmoedigen en bijdragen aan de handhaving van de AVG.Truli 2018, p. 310; T.F. Walree & P.T.J. Wolters, ‘Het recht op schadevergoeding van een concurrent bij een schending van de AVG’, SEW 2020, afl. 1, p. 7. Een (te) hoge drempel voor schadevergoeding voor inbreuken op de AVG verkleint een ‘handhavingstekort’T.E. van der Linden & T.F. Walree, ‘De collectieve procedure als oplossing voor het privaatrechtelijke handhavingstekort bij een datalek?’, AV&S 2018/20, afl. 4, p. 105-113. niet. Bovendien kan dit in strijd zijn met het Unierechtelijke beginsel van ‘doeltreffendheid’.Vergelijk artikel 79 lid 1 AVG. Dit artikel geeft de betrokkene het recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of verwerker. Zie H.K. Ellingsen, ‘Effective judicial protection of individual data protection rights: Puškár’, Common Market Law Review 2018, afl. 6, p. 1882-1883. Dit beginsel vereist dat de uitoefening van regels van het Unierecht in de praktijk niet onmogelijk of uiterst moeilijk mag zijn.HvJ EG 16 december 1976, 33/76, ECLI:EU:C:1976:188, punt 5 (Rewe); HvJ EG 16 december 1976, 45/76, ECLI:EU:C:1976:191, punt 16 (Comet); HvJ EG 13 maart 2007, C-432/05, ECLI:EU:C:2007:163, punt 43 (Unibet/Justitiekanslern); HvJ EU 9 december 2010, C-568/08, ECLI:EU:C:2010:751, punt 91 (Combinatie Spijker/Provincie Drenthe); HvJ EU 5 juni 2014, C-557/12, ECLI:EU:C:2014:1317, punt 24-25 (Kone). Zie uitvoerig over het doeltreffendheidsbeginsel: T. Tridimas, The General Principles of EU Law, Oxford: Oxford University Press 2006, p. 424; Tjong Tjin Tai 2018, p. 31-36; I.V. Aronstein, ‘Wo viel Licht ist, ist starker Schatten? Het recht op een effectieve (civiele) remedie naar Unierecht’, MvV 2019, afl. 7/8, p. 235-245; Heinze 2019, p. 197-221. Een ruime interpretatie van schade draagt zo bij aan de handhaving, en dus aan de doeltreffendheid en de volle werking van de AVG.Vergelijk R. Wiekeraad, ‘Kan het Nederlands bestuurs(proces)recht voldoen aan de verwachting die artikel 82 AVG schept?’, Gemeentestem 2020, afl. 7502, p. 111-112.

In dit licht, maar ook gezien het belang van controle over persoonsgegevens en de handhaving daarvan, kan het verlies van controle over persoonsgegevens of de beperking van rechten van de betrokkeneVergelijk overwegingen 75 en 85 AVG. een vergoedbare schadepost zijn. Dit betekent dat de enkele schending van de AVG kan leiden tot een recht op schadevergoeding, ook zonder dat de inbreuk leidde tot concrete gevolgen. In dit geval moet het wel gaan om een substantiële inbreuk op de AVG, waarbij handhaving van de geschonden regel belangrijk is en bijdraagt aan de doeltreffendheid en volle werking van de AVG.Bij de beoordeling of er sprake is van een substantiële inbreuk, kan de rechter eventueel kijken naar artikel 83 lid 2 AVG. Dit artikel bepaalt dat bij het besluit of een administratieve geldboete wordt opgelegd en over de hoogte daarvan voor het concrete geval rekening wordt gehouden met een aantal gezichtspunten. Daarin worden onder meer genoemd ‘de aard, de ernst en de duur van de inbreuk’ (sub a) en ‘de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft’ (sub g). Een lichte schending van de AVG, waarbij er geen of verwaarloosbare gevolgen (zullen) optreden, leidt niet tot een recht op schadevergoeding. In dit laatste geval weegt de Unierechtelijke eis van reële en zeker geleden schade zwaarder dan het belang van controle over persoonsgegevens en de handhaving van de AVG.

De vergoedbaarheid van immateriële schade naar Nederlands recht

De Nederlandse rechter is verplicht om de volle werking van het Unierecht te verzekeren.Vergelijk HvJ EG 19 juni 1990, C-213/89, ECLI:EU:C:1990:257, punt 19 (Factortame e.a.); HvJ EG 19 november 1991, gevoegde zaken C-6/90 en C-9/90, ECLI:EU:C:1991:428, punt 42 (Francovich); HvJ EG 20 september 2001, C-453/99, ECLI:EU:C:2001:465, punt 25 (Courage/Crehan); HvJ EG 13 juli 2006, gevoegde zaken C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 89 (Manfredi). Dit brengt met zich dat hij ook het nationale recht aldus moet uitleggen, dat de doelstellingen van het relevante Unierecht worden verwezenlijkt.HvJ EG 10 april 1984, 14/83, ECLI:EU:C:1984:153, punt 26 (Von Colson en Kamann); HvJ EG 13 november 1990, C-106/89, ECLI:EU:C:1990:395, punt 8 (Marleasing/LCIA); HvJ EG 26 september 2000, C-262/97, ECLI:EU:C:2000:492, punt 39 (Engelbrecht); HvJ EG 7 januari 2004, C-60/02, ECLI:EU:C:2004:10, punt 59 (Rolex e.a.). De Uniewetgever en het Hof van Justitie hebben zich echter nauwelijks uitgelaten over de vergoedbare schade bij een onrechtmatige verwerking van persoonsgegevens. Hoewel de Nederlandse rechter het recht op schadevergoeding conform het Unierecht moet uitleggen zal hij daarom, bij gebrek aan een uitleg op Unierechtelijk niveau, mede aansluiten bij het Nederlandse recht.Vergelijk Walree 2017, p. 930; F.C. van der Jagt-Vink, ‘Schadevergoeding onder de Algemene Verordening Gegevensbescherming’, MvV 2019, afl. 7/8 p. 286-292; Engelhard, NTBR 2019, p. 192-200. Dit gebeurt ook in de uitspraken van de rechtbanken en de ABRvS (paragraaf 4). Om die reden bespreek ik daarom ook de uitgangspunten voor het vergoeden van immateriële schade onder het Nederlandse recht.

Een benadeelde heeft volgens artikel 6:106 lid 1 BW recht op vergoeding van zijn immateriële schade, indien ‘de aansprakelijke persoon het oogmerk had zodanig nadeel toe te brengen’ (sub a); ‘de benadeelde lichamelijk letsel heeft opgelopen, in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast’Het ‘lichamelijk letsel’ en schending van ‘zijn eer of goede naam’ zijn voorbeelden van de ‘persoonsaantasting’. Dit volgt uit ‘op andere wijze’ in artikel 6:106 lid 1 sub BW. Vergelijk A.J. Verheij, Onrechtmatige daad (Monografieën Privaatrecht nr. 4), Deventer: Wolters Kluwer 2019, nr. 47. (sub b) of ‘het nadeel gelegen is in aantasting van de nagedachtenis van een overledene’ (sub c). Voor een onrechtmatige verwerking van persoonsgegevens is de persoonsaantasting ‘op andere wijze’ (sub b) relevant. Een ‘persoonsaantasting op andere wijze’ bestaat uit twee categorieën. De eerste is ‘geestelijk letsel’.Daarvan is sprake als de benadeelde met concrete gegevens kan aantonen dat de normschending leidde tot psychische schade (‘een in de psychiatrie erkend ziektebeeld’), welke naar objectieve maatstaven of in rechte kan worden vastgesteld. HR 22 februari 2002, ECLI:NL:HR:2002:AD5356, NJ 2002/240, m.nt. J.B.M. Vranken (Taxibus). Zie ook HR 23 januari 1998, ECLI:NL:HR:1998:ZC2551, NJ 1998/366, r.o. 3.4 (X/Stichting Algemene FIOM); HR 19 december 2003, ECLI:NL:HR:2003:AL7053, NJ 2004/348, r.o. 5.2.3 (S.J./Staat); HR 9 mei 2003, ECLI:NL:HR:2003:AF4606, r.o. 5.2.3, NJ 2005/168, m.nt. W.D.H. Asser (Beliën/Prov. Noord-Brabant). De tweede categorie is de ‘persoonsaantasting op andere wijze zonder dat sprake is van geestelijk letsel’.E.F.D. Engelhard, ‘Ruimer baan voor smartengeld bij “persoonsaantastingen op andere wijze” zonder dat er sprake is van geestelijk letsel’, AV&S 2019/37, afl. 6, p. 205-212. Deze categorie wordt in de literatuur ook wel aangeduid als de ‘restcategorie’S.D. Lindenbergh, ‘Smartengeld wegens spanning, frustratie, ergernis en (ander) onbehagen? Over het begrip “persoonsaantasting” buiten lichamelijk en geestelijk letsel’, NTBR 2019/20, afl. 6, p. 122. of als de ernstige of bijzondere normschending.P.C. Janssen & A.S. Bloo-Kroes, ‘De jurisprudentiële ontwikkeling van immateriële schadevergoeding bij een bijzondere normschending’, MvV 2019, afl. 10, p. 368; A.J. Verheij, ‘EBI-arrest: een nieuwe koers – Hoge Raad zet in EBI-arrest nieuwe koers in met betrekking tot vergoeding van immateriële schade buiten fysiek en geestelijk letsel – maar waarom?’, NJB 2020/763, afl. 12, p. 827.

De Hoge Raad verschaft in het arrest EBI ten aanzien van die tweede categorie (meer) duidelijkheid.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162 (EBI). Zie uitgebreid over het EBI-arrest S.D. Lindenbergh, ‘Smartengeld wegens spanning, frustratie, ergernis en (ander) onbehagen? Over het begrip “persoonsaantasting” buiten lichamelijk en geestelijk letsel’, NTBR 2019/20, afl. 6, p. 122-130; P.C. Janssen & A.S. Bloo-Kroes, ‘De jurisprudentiële ontwikkeling van immateriële schadevergoeding bij een bijzondere normschending’, MvV 2019, afl. 10, p. 364-370; Engelhard, AV&S 2019, p. 205-212; Verheij 2020, p. 824-831. Hij herhaalt allereerst het standpunt dat ook zonder geestelijk letsel een persoonsaantasting kan bestaan.Zoals dat volgde uit HR 9 juli 2004, ECLI:NL:HR:2004:AO7721, NJ 2005/391, m.nt. J.B.M. Vranken (Oudejaarsrellen); HR 18 maart 2005, ECLI:NL:HR:2005:AR5213, NJ 2006/606, m.nt. J.B.M. Vranken (Wrongful life); HR 29 juni 2012, ECLI:NL:HR:2012:BW1519, NJ 2012/410 (Blauw oog). Geestelijk letsel is echter niet langer het uitgangspunt.Anders nog HR 29 juni 2012, ECLI:NL:HR:2012:BW1519, NJ 2012/410, r.o. 3.5 (Blauw oog). De Hoge Raad overweegt dat ook de aard en de ernst van de normschending en van de gevolgen daarvan voor de benadeelde kunnen meebrengen dat er sprake is van een persoonsaantasting.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, r.o. 4.2.1 (EBI); HR 29 juni 2012, ECLI:NL:HR:2012:BW1519, NJ 2012/410, r.o. 3.5 (Blauw oog). Hieruit volgt dat het niet noodzakelijk is dat het om een schending van een fundamenteel recht gaat.Janssen & Bloo-Kroes 2019, p. 366. Tegelijkertijd maakt hij duidelijk dat de enkele schending van een fundamenteel recht niet zonder meer tot een persoonsaantasting leidt.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, r.o. 4.2.2 (EBI). Ten slotte overweegt de Hoge Raad dat de aard en de ernst van de normschending kunnen meebrengen dat de relevante nadelige gevolgen daarvan voor de benadeelde zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, r.o. 4.2.1 (EBI).

Welbeschouwd volgen uit het EBI-arrest een hoofd- en een uitzonderingsregel. De hoofdregel is dat een benadeelde met concrete gegevens moet onderbouwen dat hij in zijn persoon is aangetast. Hij zal dus zowel de normschending als de gevolgen daarvan moeten aantonen. De uitzonderingsregel is dat een benadeelde geen concrete gegevens van nadelige gevolgen hoeft te overleggen in het geval de aard en de ernst van de normschending meebrengen dat die gevolgen zo voor de hand liggen, dat de aantasting kan worden aangenomen.Zie ook HR 28 mei 2019, ECLI:NL:HR:2019:793, r.o. 2.4.5 (Hennepteelt huurwoning); HR 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.7 (Aardbevingsschade Groningen); HR 15 oktober 2019, ECLI:NL:HR:2019:1465, r.o. 2.4.2 (Woninginbraak). In dit geval hoeft de eiser de persoonsaantasting slechts te onderbouwen met concrete gegevens over de aard en de ernst van de normschending.Vergelijk Janssen & Bloo-Kroes 2019, p. 366.

Ten aanzien van de hoofdregel maakt het EBI-arrest niet duidelijk welke eisen gelden voor het bewijzen van de nadelige gevolgen. In een prejudiciële beslissing van de Hoge Raad in het kader van een procedure over aardbevingsschade in Groningen blijkt ten aanzien van de hoofdregel dat niet volstaat ‘de enkele vaststelling dat de benadeelde woont in het gebied waar dikwijls aardbevingen worden gevoeld en schade wordt geleden, in combinatie met een persoonlijke verklaring van die benadeelde over zijn beleving van de invloed die de aardbevingen op hem hebben’.HR 19 juli 2019, ECLI:NL:HR:2019:1278, r.o. 2.13.5-2.13.7 (Aardbevingsschade Groningen). De Hoge Raad overweegt namelijk daaropvolgend: ‘Dat laat onverlet dat de rechter kan oordelen dat de aard en de ernst van de aansprakelijkheidvestigende gebeurtenis meebrengen dat de in dit verband relevante nadelige gevolgen daarvan voor bewoners van een bepaald gebied boven het Groningenveld zo voor de hand liggen, dat een aantasting in de persoon kan worden aangenomen (…)’. Dit is de uitzonderingsregel. Zie ook Hof Arnhem-Leeuwarden 17 december 2019, ECLI:NL:GHARL:2019:10717, r.o. 7.34 (NAM/103 eisers); Rb. Noord-Nederland 18 december 2019, ECLI:NL:RBNNE:2019:5219, r.o. 2.6-2.7. Dat anderen schade hebben geleden volstaat evenmin. Er is kennelijk meer nodig, namelijk een ‘concrete toelichting’ over de persoonlijke situatie van de benadeelde.Concl. A-G T. Hartlief 24 mei 2019, ECLI:NL:PHR:2019:561, punt 3.17, bij HR 12 juli 2019, ECLI:NL:HR:2019:1170 (Identiteitsfraude). De rechtbank Noord-Nederland besliste overigens anders over de validiteit van persoonlijke verklaringen dan de Hoge Raad in het geval van leed door aardbevingsschade. In het vonnis van de rechtbank bleek een persoonlijke verklaring wel voldoende. Rb. Noord-Nederland 1 maart 2017, ECLI:NL:RBNNE:2017:715, r.o. 4.4.8 (X/NAM). Zie uitgebreid ook Janssen & Bloo-Kroes 2019, p. 368. Vergelijk ook A.J. Verheij, M. Loth & W. van Boom, ‘“Iets van erkenning”. Vergoeding van immateriële schade in Groningen’, Schadedoormijnbouw.nl 2 december 2019, p. 18. Een concrete toelichting van immateriële schade zou kunnen bestaan uit documentatie door medisch specialisten van leed, verdriet, stress, hartkloppingen of slapeloosheid, uit bewijs van medicatie, of uit aanvullende verklaringen daarover van werkgevers of familie.Janssen & Bloo-Kroes 2019, p. 369; Engelhard, NTBR 2019, p. 199. Deze bewijsvereisten hellen evenwel weer naar het geestelijk letsel, terwijl de restcategorie juist bedoeld is voor gevallen waarin geen geestelijk letsel bestaat.Janssen & Bloo-Kroes 2019, p. 368-369. Het voorgaande zou betekenen dat een betrokkene meer moet stellen dan dat hij deel uitmaakt van een groep waarvan de persoonsgegevens zijn gelekt en waarvan leden schade hebben geleden. Ook zou het betekenen dat hij meer moet overleggen dan alleen een persoonlijke verklaring over zijn beleving die de onrechtmatige verwerking op hem heeft gehad.

Ten aanzien van de uitzonderingsregel verwijst de Hoge Raad naar de arresten Oudejaarsrellen en Wrongful life.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, r.o. 4.2.1 (EBI); HR 9 juli 2004, ECLI:NL:HR:2004:AO7721, NJ 2005/391 (Oudejaarsrellen); HR 18 maart 2005, ECLI:NL:HR:2005:AR5213, NJ 2006/606 (Wrongful life). In deze zaken ging het om een ernstige en uitzonderlijke situatie ten aanzien van de fysieke of psychische integriteit van de benadeelde. In Oudejaarsrellen betrof het ‘gevoelens van angst, onveiligheid en onzekerheid met betrekking tot het lijf en goed van de benadeelden die een aantal uren in hun woning in een zeer bedreigende situatie verkeerden, terwijl een reactie op hun verzoek om hulp en bijstand van de politie uitbleef’. In Wrongful life ging het om een ‘ernstige inbreuk op het zelfbeschikkingsrecht van de moeder waardoor zij niet ervoor heeft kunnen kiezen de geboorte van een zwaar gehandicapt kind te voorkomen’. Uit het feit dat de Hoge Raad verwijst naar die arresten volgt dat de uitzonderingsregel uitsluitend bedoeld is voor echt ernstige situaties. Het bijzondere karakter van die regel blijkt voorts uit het feit dat de Hoge Raad het verschil tussen een rechtmatig verblijf in het ‘GVM-regime’ en een onrechtmatig verblijf in het ‘EBI-regime’ niet zo ernstig acht dat de nadelige gevolgen daarvan zo voor de hand liggen, dat daardoor een persoonsaantasting kan worden aangenomen.HR 19 maart 2019, ECLI:NL:HR:2019:376, NJ 2019/162, r.o. 4.3.2 (EBI). Ook oordeelt de strafkamer van de Hoge Raad in het Woninginbraak-arrest dat toepassing van de uitzonderingsregel bij een woninginbraak niet zonder meer leidt tot het aannemen van een aantasting in de persoon.HR 15 oktober 2019, ECLI:NL:HR:2019:1465, r.o. 2.4.2 (Woninginbraak).

Samengevat, zal de betrokkene die een schadevergoeding vordert, gelet op de EBI-formule, er goed aan doen om de persoonsaantasting met concrete gegevens te onderbouwen, zowel ten aanzien van de aard en de ernst van de normschending als van de gevolgen daarvan.Engelhard, NTBR 2019, p. 198. Dit is de ‘veilige weg’ voor de betrokkene.Engelhard, AV&S 2019, p. 210. Onder de uitzonderingsregel hoeft de betrokkene slechts de aard en de ernst van de normschending met concrete gegevens aan te tonen. Die uitzonderingsregel moet echter terughoudend worden toegepast, gelet op de ernst van de casussen Oudejaarsrellen en Wrongful life. Op grond van een strikte toepassing van het EBI-arrest zouden succesvolle schadeclaims beperkt blijven tot gevallen waarin de nadelige gevolgen concreet zijn en de immateriële schade dus eenvoudig te onderbouwen is.Engelhard, NTBR 2019, p. 200.

Nederlandse rechtspraak ten aanzien van het recht op schadevergoeding bij een inbreuk op de AVG

Al vóór inwerkingtreding van de AVG was er rechtspraak waarin een betrokkene schadevergoeding kreeg wegens een onrechtmatige verwerking van zijn persoonsgegevens.Rb. Oost-Brabant 22 mei 2014, ECLI:NL:RBOBR:2014:2701, r.o. 4.6 (X/Sûreté); Rb. Utrecht 12 oktober 2009, ECLI:NL:RBUTR:2009:BJ5273 (X/Agis); Rb. Noord-Holland 28 december 2016, ECLI:NL:RBNHO:2016:10635 (X/Van Hees); ABRvS 7 juni 2017, ECLI:NL:RVS:2017:1479, r.o. 9.1 (Asieldossier); Hof Den Haag 28 november 2017, ECLI:NL:GHDHA:2017:4274 (X/SDU Uitgevers). Vergelijk ook Rb. Amsterdam 2 november 2010, ECLI:NL:RBAMS:2010:BO6456, r.o. 3.6-3.7 (X/Amsterdam). In deze zaken kreeg hij vergoeding voor immateriële schade anders dan geestelijk letsel.Zie anders Rb. Zwolle-Lelystad 4 mei 2011, ECLI:NL:RBZLY:2011:BV6594, r.o. 4.18-4.19 (X/Aegon). In deze zaak lijkt het erop dat het wel ging om geestelijk letsel. De onrechtmatige verwerking had telkens een behoorlijke impact op de persoonlijke levenssfeer van de betrokkene.Een uitzondering is Rb. Noord-Nederland 3 mei 2017, ECLI:NL:RBNNE:2017:1700, r.o. 4.10 (X/Advocatenkantoor). Hierin betrof de onrechtmatige verwerking het overtypen van WSNP-gegevens door een advocatenkantoor uit de Staatscourant, zodat de betrokkene schriftelijk een aanbod tot rechtsbijstand kon worden gedaan. De betrokkene raakt ‘door het onverwachts vinden van de brief op haar deurmat, geschrokken en geëmotioneerd’. Zie ook Walree 2018, p. 138-139.

Sinds de inwerkingtreding van de AVG, en óók na het EBI-arrest, is er gepubliceerde rechtspraak waarin een betrokkene vergoeding voor immateriële schade vordert wegens een inbreuk op de AVG. Ik bespreek eerst drie vonnissen van rechtbanken (paragraaf 4.1). Vervolgens behandel ik vier uitspraken van de ABRvS (paragraaf 4.2). In paragraaf 4.3 vergelijk ik de uitspraken van de rechtbanken met die van de ABRvS.

Rechtbanken

X/DeventerRb. Overijssel 28 mei 2019, ECLI:NL:RBOVE:2019:1827 (X/Deventer).

De betrokkene deed twee Wob-verzoeken bij de gemeente Deventer. Ambtenaren informeerden per e-mail vervolgens andere bestuursorganen over deze Wob-verzoeken en deelden ook naw-gegevens van de betrokkene. Na een inzageverzoek van de betrokkene vermeldde de gemeente niets over de doorgifte van de gegevens. De bestuursrechter van de rechtbank Overijssel bepaalde reeds in een eerdere procedure dat de gemeente onrechtmatig handelde.Rb. Overijssel 18 juli 2018, ECLI:NL:RBOVE:2018:2496, r.o. 6.2. In een nieuwe procedure (betreffende een verzoek om schadevergoeding) oordeelt de bestuursrechter dat de betrokkene als gevolg van de doorgifte in zijn persoon is aangetast wegens ‘verlies van controle over zijn persoonsgegevens’.Zie ook overweging 75 en 85 AVG waar de rechtbank naar verwijst. Hij heeft op grond van artikel 82 AVG ‘in samenhang’ met artikel 6:106 BW recht op een naar billijkheid vast te stellen schadevergoeding. De rechtbank Overijssel acht een schadevergoeding van € 500 billijk.In vergelijkbare gevallen werd een verzoek om schadevergoeding niet inhoudelijk besproken, maar doorverwezen naar de burgerlijke rechter. Rb. Rotterdam 27 mei 2019, ECLI:NL:RBROT:2019:4265 (X/Regionale Belasting Groep); Rb. Midden-Nederland 15 november 2019, ECLI:NL:RBMNE:2019:5430 (X/Gemeente Almere).

X/UWVRb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490 (X/UWV).

De betrokkene kreeg een burn-out bij haar oude werkgever. Het UWV stuurde (in plaats van haar oude werkgever) haar nieuwe werkgever een ‘attenderingsbrief’ waarin stond dat de betrokkene reeds geruime tijd ziek was en dat zij binnenkort gerechtigd was tot een WIA-uitkering. De rechtbank Amsterdam overweegt dat het UWV heeft verzuimd een controle te doen op de juistheid van de mededeling en van de geadresseerde, waardoor het UWV in strijd handelde met artikel 32 lid 2 AVG. Volgens de rechtbank is er bij de betrokkene sprake van verlies van controle over haar persoonsgegevens, omdat medische persoonsgegevens zonder haar toestemming bekend zijn geworden bij haar nieuwe werkgever. Dit verlies kan leiden tot ‘ernstige nadelige gevolgen’ voor de betrokkene.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 7 (X/UWV).

De rechtbank oordeelt dat de betrokkene recht heeft op een vergoeding van immateriële schade. De rechtbank stelt vast dat collega’s bij de nieuwe werkgever van de betrokkene op de hoogte raakten van haar ziekte tijdens haar vorige dienstverband en dat de nieuwe werkgever de brief ontving in de periode waarin beslist werd over het verlengen van haar dienstverband. Deze feiten veroorzaakten angst en stress bij de betrokkene.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 18 (4e-5e alinea) (X/UWV).

De rechtbank noemt in haar overwegingen eerst het EBI-arrest.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 17 (X/UWV). Zij zegt vervolgens dat in de AVG ‘uitgangspunten’ zijn geformuleerd voor de beoordeling van de schending, de schade en het causaal verband daartussen. Zij signaleert daarbij dat de AVG als uitgangspunt heeft dat schade ruim wordt uitgelegd (overweging 146 AVG). Dit betekent dat artikel 6:106 lid 1 BW voor zover nodig ‘verordening-conform’ dient te worden uitgelegd.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 18 (3e alinea) (X/UWV).

Een verordening-conforme uitleg van artikel 6:106 lid 1 BW brengt met zich dat de betrokkene recht heeft op schadevergoeding.Het is echter niet geheel duidelijk in hoeverre die verordening-conforme interpretatie daarvoor zorgt. De betrokkene kon de persoonsaantasting met concrete gegevens onderbouwen. Door de normschending (de brief van het UWV) ondervond de betrokkene concrete gevolgen (angst en stress). Ook conform de hoofdregel van het EBI-arrest had de betrokkene recht op een schadevergoeding. Volgens de rechtbank zorgde de schending van de AVG voor ‘reële en niet verwaarloosbare nadelen’ en trof het belangen die de AVG beschermt. Omdat alle schade moet worden vergoed en ruim moet worden uitgelegd, betekent dit dat ook geringe (reële) schade voor vergoeding in aanmerking komt. Hoewel het verlies van controle over haar persoonsgegevens betreffende haar burn-out blijvend is, zijn de gegevens alleen kenbaar geworden voor collega’s, en had dit geen gevolgen voor haar economische of maatschappelijke positie. Daarnaast waren de angst en stress van korte duur.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 18 (6e-7e alinea) (X/UWV). De rechtbank komt daarom tot een bedrag van € 250.

X/NDC MediagroepRb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247 (X/NDC Mediagroep).

De betrokkene publiceerde als journalist van de NDC Mediagroep een artikel over een verhuurder van onroerend goed op zijn weblog, op Facebook en in de krant. De verhuurder vordert onder meer verwijdering en rectificatie van het artikel. De betrokkene vordert in reconventie schadevergoeding, omdat de verhuurder in het kader van de procedure een uittreksel van de basisregistratie van de betrokkene heeft opgevraagd en dit via Facebook verstrekte aan een derde.

De rechtbank Noord-Nederland overweegt dat er sprake is van een verlies van controle over persoonsgegevens, omdat de gegevens van de betrokkene zonder toestemming aan een derde zijn verstrekt. Omdat het controleverlies tot ernstige nadelige gevolgen kan leiden, heeft de betrokkene ‘groot belang bij bescherming van zijn persoonsgegevens en controle op de rechtmatigheid van de ontvangst daarvan door derden’. Het feit dat de derde aangeeft niets met de gegevens te zullen doen, doet hier niets aan af.Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.102-4.104 (X/NDC Mediagroep).

De betrokkene zegt dat hij en zijn partner veel negatieve effecten ondervonden van het handelen van de verhuurder. De betrokkene specificeert die negatieve effecten echter niet. Hoewel de rechtbank zegt dat de betrokkene die negatieve gevolgen inzichtelijk had moeten maken, oordeelt zij dat de betrokkene op grond van artikel 82 AVG recht heeft op een naar billijkheid vast te stellen schadevergoeding. Volgens de rechtbank is er sprake van ‘een schending van een fundamenteel recht, die naar zijn aard en gelet op de ernst daarvan meebrengt dat aanspraak bestaat op vergoeding van schade’. Ook zegt zij dat alle schade moet worden vergoed en dat schade volgens de AVG ruim moet worden uitgelegd, wat volgens haar betekent ‘dat het enkele feit dat de schade niet exact gepreciseerd kan worden en mogelijk relatief gering van omvang is geen grond kan vormen om elke aanspraak daarop af te wijzen’. Ook is het volgens de rechtbank ‘aannemelijk’ dat de betrokkene negatieve effecten heeft ervaren, zoals angst en stress. Mede omdat het verlies van controle zich beperkte tot een medewerker van de verhuurder en één derde acht de rechtbank een bedrag van € 250 passend en billijk.Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.105-4.107 (X/NDC Mediagroep).

Afdeling bestuursrechtspraak van de Raad van State

Op 1 april 2020 heeft de ABRvS vier uitspraken gewezen. Hierin oordeelt zij allereerst dat als een bestuursorgaan in strijd handelt met de AVG, de bestuursrechter met toepassing van artikel 8:88 Awb bevoegd is om een verzoek om schadevergoeding op grond van artikel 82 AVG te beoordelen.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 19 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 17 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 17 (X/Harderwijk). Zij ziet ten aanzien van deze kwestie geen aanleiding om prejudiciële vragen te stellen aan het Hof van Justitie. ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 24-25 (Pieter Baan Centrum). Vervolgens beoordeelt zij in alle gevallen of de betrokkene recht heeft op schadevergoeding. Slechts eenmaal wijst zij de vordering toe.

Pieter Baan CentrumABRvS 1 april 2020, ECLI:NL:RVS:2020:898 (Pieter Baan Centrum).

In dit geval had de directeur van het Pieter Baan Centrum in het kader van een klachtprocedure stukken met medische gegevens over de betrokkene verstrekt aan een tuchtcollege. De ABRvS oordeelt dat de betrokkene recht heeft op vergoeding voor immateriële schade. Volgens de ABRvS is er sprake van schade omdat het gaat om een ‘bijzondere gevoeligheid van de aard van de persoonsgegevens’ die zonder toestemming van de betrokkene zijn verwerkt. Omdat er gevoelige gegevens zijn verstrekt, waarvoor een ‘hoger beschermingsniveau’ geldt dan voor ‘gewone persoonsgegevens’, liggen de nadelige gevolgen voor de hand. De ABRvS lette bij de hoogte van de vergoeding ‘op de omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk’ en komt zo tot een bedrag van € 500.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 36 (Pieter Baan Centrum).

Deventer/XABRvS 1 april 2020, ECLI:NL:RVS:2020:899 (Deventer/X).

In deze uitspraak vernietigt de ABRvS in hoger beroep het vonnis van de rechtbank Overijssel. Zij beslist dat de betrokkene geen aanspraak kan maken op schadevergoeding. Zij overweegt dat de betrokkene geen concrete gegevens heeft overgelegd ter onderbouwing van de door hem gestelde schade. Hij heeft niet aannemelijk gemaakt dat er sprake is van de aantasting van zijn persoon en dat de gevolgen van de inbreuk hem rechtstreeks troffen. Volgens de ABRvS had hij inzichtelijk moeten maken waarom het noemen van zijn naam en woonplaats als persoonsaantasting kwalificeert, of had hij aannemelijk moeten maken welke nadelige gevolgen zijn voortgevloeid uit het noemen van zijn naam en woonplaats.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 36-37 (Deventer/X). De ABRvS oordeelt dat dit geval niet vergelijkbaar is met de arresten Oudejaarsrellen en Wrongful life, en dat er zich dus geen situatie voordoet waarbij de nadelige gevolgen van de normschending voor de hand liggen.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 34 (Deventer/X).

X/Borsele en X/HarderwijkABRvS 1 april 2020, ECLI:NL:RVS:2020:900 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901 (X/Harderwijk).

In deze vrijwel identieke gevallen deed de betrokkene een Wob-verzoek bij de gemeenten Borsele en Harderwijk. De gemeenten deelden vervolgens de gegevens van de betrokkene op het forum van de Vereniging van Nederlandse Gemeenten. Beide betrokkenen vorderen een schadevergoeding van de gemeente wegens het ten onrechte plaatsen van hun persoonsgegevens op het forum en het niet tijdig verstrekken van een overzicht van de verwerkte persoonsgegevens op het forum.ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 28 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 28 (X/Harderwijk). De ABRvS acht het plaatsen van persoonsgegevens op het forum niet onrechtmatig, omdat dit tot doel had ‘een goede uitvoering van de Wob te verzekeren en te voorkomen dat de Wob wordt misbruikt om dwangsommen te innen bij het niet tijdig nemen van een beslissing op een verzoek. Dit doel is in overeenstemming met artikel 8, onder e, van de Wbp en artikel 6, eerste lid, onder e, van de AVG.’ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 31 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 31 (X/Harderwijk). Zie later ook Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2729, r.o. 6.4 (X/Den Bosch); Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2730, r.o. 6 (X/Gemert-Bakel); Rb. Oost-Brabant 28 april 2020, ECLI:NL:RBOBR:2020:2437, r.o. 6.3 (X/Helmond). Het te laat verstrekken van het overzicht vindt de ABRvS wel onrechtmatig. In beide gevallen heeft de betrokkene echter geen concrete gegevens ter onderbouwing van de door hem gestelde schade overgelegd. De betrokkene had aannemelijk moeten maken dat hij in zijn persoon is aangetast en dat de gevolgen van de inbreuk hem rechtstreeks troffen.ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 47-48 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 47-48 (X/Harderwijk). De ABRvS vindt niet dat er sprake is van een situatie waarin de nadelige gevolgen van de normschending voor de hand liggen.ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 45 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 45 (X/Harderwijk). Zij wijst de vordering tot schadevergoeding daarom in beide gevallen af.

Rechtbanken versus Afdeling bestuursrechtspraak van de Raad van State

De ABRvS is strenger dan de rechtbanken ten aanzien van de mate waarin de betrokkene zijn schade moet concretiseren. Daarbij valt op dat zij vasthoudt aan een strikte toepassing van het EBI-arrest. De rechtbankvonnissen daarentegen wijken door de invloed van de AVG af van een strikte toepassing van de EBI-formule.

De ABRvS onderkent dat de aanspraak op schadevergoeding in geval van handelen in strijd met de AVG rechtstreeks uit de AVG voortvloeit.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 14 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 18 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 18 (X/Harderwijk). Zij signaleert echter dat in de AVG niet is bepaald op welke wijze de immateriële schade moet worden vastgesteld en berekend. Verder merkt de ABRvS op dat het Hof van Justitie nog geen uitleg heeft gegeven ‘aan specifiek het schadebegrip of over de vergoedbare immateriële schade bij een onrechtmatige verwerking van persoonsgegevens’.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 27-28 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 21-22 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 34-35 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 34-35 (X/Harderwijk). Met verwijzing naar ManfrediHvJ EG 13 juli 2006, gevoegde zaken C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 64 (Manfredi). zegt zij dat in geval van een gebrek aan ‘communautaire regelgeving’ het nationale recht van belang is bij de uitoefening van het recht op schadevergoeding.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 27 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 21 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 34 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 34 (X/Harderwijk). Voor het beoordelen van de vergoedbare schade bij een onrechtmatige verwerking van persoonsgegevens houdt de ABRvS daarom vast aan een strikte toepassing van het EBI-arrest. Het algemene uitgangspunt van de EBI-formule dat schade moet worden onderbouwd, geldt aldus ook voor inbreuken op de AVG. Uit overweging 85 en 146 AVG kan de ABRvS niet afleiden dat een inbreuk op de AVG zonder meer tot een aantasting van de integriteit van de persoon en daarmee tot vergoedbare schade leidt.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 33 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 44 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 44 (X/Harderwijk). Zij verwijst ook naar vaste (algemene) rechtspraak van het Hof van JustitieHvJ EU 4 april 2017, C-337/15 P, ECLI:EU:C:2017:256, punt 91 (Europese Ombudsman/Staelen). waaruit volgt dat te vergoeden schade ‘reëel en zeker’ moet zijn.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 28 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 22 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 35, 44 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 35, 44 (X/Harderwijk). Voorts zegt de ABRvS dat met toepassing van de EBI-formule kan worden voldaan aan ‘de eisen van de AVG en aan de rechtspraak van het Hof van Justitie’, mits het gelijkwaardigheids- en doeltreffendheidsbeginsel en overweging 146 AVG in acht worden genomen.ABRvS 1 april 2020, ECLI:NL:RVS:2020:898, r.o. 27, 33 (Pieter Baan Centrum); ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 21, 27 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 34, 40 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 34, 40 (X/Harderwijk).

De ABRvS maakt echter niet duidelijk hoe de toepassing van het EBI-arrest ten volle recht doet aan de doelstellingen van de AVG. Volgens de ABRvS is het doel van schadevergoeding ‘het herstel van of het bieden van compensatie voor een onrechtmatige inbreuk op privacy’.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 35 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 46 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 46 (X/Harderwijk). De ABRvS legt hiermee de nadruk op het compensatoire karakter van het recht op schadevergoeding. Zij gaat ten onrechte voorbij aan het belang van controle over persoonsgegevens door de betrokkene en handhaving van de AVG, en de functie die het recht op schadevergoeding daarbij kan vervullen.Vergelijk HvJ EU 29 juli 2019, C-40/17, ECLI:EU:C:2019:629 punt 50-51 (Fashion ID/Verbraucherzentrale); Walree & Wolters SEW 2020, p. 7.

Ook lijkt de uitleg van overweging 146 AVG door de ABRvS niet in lijn met de rechtspraak van het Hof van Justitie. De ABRvS zegt dat in overweging 146 AVG staat dat de ‘daadwerkelijke en volledige’ schade moet worden vergoed, en dat de AVG dus niet verplicht om een schadevergoeding toe te kennen die verder strekt dan ‘volledige vergoeding van de daadwerkelijk geleden schade’.ABRvS 1 april 2020, ECLI:NL:RVS:2020:899, r.o. 35 (Deventer/X); ABRvS 1 april 2020, ECLI:NL:RVS:2020:900, r.o. 46 (X/Borsele); ABRvS 1 april 2020, ECLI:NL:RVS:2020:901, r.o. 46 (X/Harderwijk). Zij zegt dat overweging 146 AVG niet bepaalt dat een schadevergoeding ‘effectief’ en ‘voldoende afschrikwekkend’ moet zijn. Dit is wat kort door de bocht. Vaste rechtspraak van het Hof van Justitie, waaronder ook het arrest Camacho waar de ABRvS naar verwijst, vereist juist dat het recht op schadevergoeding een daadwerkelijke en doeltreffende rechtsbescherming moet waarborgen en dat dit recht tegenover de inbreukmaker een reële afschrikwekkende werking moet hebben.HvJ EG 10 april 1984, 14/83, ECLI:EU:C:1984:153, punt 23-24 (Von Colson en Kamann); HvJ EG 2 augustus 1993, C-271/93, ECLI:EU:C:1993:335, punt 24 (Marshall); HvJ EG 22 april 1997, C-180/95, ECLI:EU:C:1997:208, punt 25 (Draehmpaehl); HvJ EU 17 december 2015, C-407/14, ECLI:EU:C:2015:831, punt 31 (Camacho).Camacho en Manfredi sluiten de mogelijkheid van een punitieve schadevergoeding niet uit, mits daarbij het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel in acht worden genomen.HvJ EG 13 juli 2006, gevoegde zaken C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 92 (Manfredi); HvJ EU 17 december 2015, C-407/14, ECLI:EU:C:2015:831, punt 44 (Camacho). Zie ook HvJ EU 25 januari 2017, C-367/15, ECLI:EU:C:2017:36, punt 28 (OTK/SFP); R.C. Meurkens, ‘Punitive damages ter handhaving van intellectuele eigendomsrechten’, IER 2017/34, afl. 4, p. 256-264. Daarnaast is het de vraag wat de Uniewetgever met ‘daadwerkelijk’ heeft bedoeld. De Engelse, Duitse en Franse versies van overweging 146 AVG spreken respectievelijk over ‘full and effective compensation’, ‘vollständigen und wirksamen Schadenersatz’ en ‘entièrement et effectivement réparé’. Het is waarschijnlijker dat ‘daadwerkelijk’ in dit geval ‘doeltreffend’ betekent.C. Alberdingk Thijm, ‘Schadevergoeding voor schending van de AVG’, bureaubrandeis.com 10 april 2020.

Ik beweer overigens niet dat de ABRvS tot andere resultaten had moeten komen als zij ook het belang van handhaving zou hebben laten meewegen in haar oordeel. In de drie uitspraken waarin de vordering tot schadevergoeding werd afgewezen ging het telkens om een niet al te ernstige onrechtmatige gegevensverwerking in het kader van een Wob-verzoek. Om bijvoorbeeld misbruik van de AVG bij lichte inbreuken tegen te gaan, kan ik mij in de onderhavige gevallen goed voorstellen dat de ABRvS meer gewicht toekent aan de compensatoire functie dan aan de rechtshandhavende functie van het recht op schadevergoeding.

Net als in de uitspraken van de ABRvS is het in de vonnissen van de rechtbank Overijssel en de rechtbank Noord-Nederland niet direct duidelijk wat precies de nadelige gevolgen zijn voor de betrokkenen, anders dan het tamelijk abstracte verlies van controle over persoonsgegevens. Desondanks is het resultaat dat de rechtbanken immateriële schade vaststellen. Een strikte toepassing van de EBI-formule had niet tot dit resultaat geleid. Bij strikte toepassing van de hoofdregel had de betrokkene ook concrete gegevens moeten overleggen waaruit blijkt dat hem nadelige gevolgen troffen waardoor hij in zijn persoon is aangetast. De Hoge Raad reserveert de uitzonderingsregel voor écht ernstige schendingen waarbij nadelige gevolgen voor de hand liggen,Vergelijk N.M. Brouwer e.a., ‘Kroniek privacyrecht: anderhalf jaar AVG in vogelvlucht’, P&I 2020, afl. 1, p. 22. terwijl het in de vonnissen van de rechtbank Overijssel en de rechtbank Noord-Nederland niet ernstige onrechtmatige gegevensverwerkingen betreft.

Uit de uitspraken van de rechtbanken volgt dat zij artikel 6:106 lid 1 sub b BW verordening-conform uitleggen.Mogelijk past de rechtbank Noord-Nederland rechtstreeks artikel 82 AVG toe, maar dit is onzeker omdat zij ook de uitzonderingsregel van de EBI-formule (gedeeltelijk) noemt. Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.106 (X/NDC Mediagroep): ‘De rechtbank is van oordeel dat dat er sprake is van een schending van een fundamenteel recht, die naar zijn aard en gelet op de ernst daarvan meebrengt dat aanspraak bestaat op vergoeding van schade.’ Zij lijken die verordening-conforme uitleg wel op verschillende manieren toe te passen. De rechtbank Overijssel leidt uit de overwegingen van de AVG een nieuw type persoonsaantasting af, namelijk het verlies van controle over persoonsgegevens.Rb. Overijssel 28 mei 2019, ECLI:NL:RBOVE:2019:1827, r.o. 9 (X/Deventer). Het verlies van controle als zodanig is dan de vergoedbare schade. De rechtbank Noord-Nederland doet het anders en legt de EBI-formule verordening-conform uit. In dit geval brengen de aard van de AVG en de door de verordening beschermde belangen met zich dat de uitzonderingsregel wordt toegepast en dat de nadelige gevolgen kunnen worden verondersteld.Rb. Noord-Nederland 15 januari 2020, ECLI:NL:RBNNE:2020:247, r.o. 4.107 (X/NDC Mediagroep). Uit het vonnis van de rechtbank Amsterdam volgt dat zij de EBI-formule ‘voor zover nodig’ verordening-conform beoordeelt.Rb. Amsterdam 2 september 2019, ECLI:NL:RBAMS:2019:6490, r.o. 18 (3e alinea) (X/UWV).

Een verordening-conforme uitleg leidt tot een ruimhartigere toekenning van smartengeld dan het EBI-arrest lijkt te rechtvaardigen. Deze ruimhartige benadering van de rechtbanken acht ik begrijpelijker dan de uitspraken van de ABRvS, waarin zij vasthoudt aan een strikte toepassing van de EBI-formule. De AVG legt de nadruk op het belang van controle over persoonsgegevens door de betrokkene en op het belang van handhaving. Daarnaast benadrukt het Hof van Justitie de doeltreffendheid en de volle werking van bepalingen van het Unierecht. Die belangen kunnen met zich brengen dat de drempel voor het aantonen van immateriële schade lager is dan onder de EBI-formule.Vergelijk R. Rijnhout, ‘Het EBI-arrest, historisch onrecht, effectieve remedie en de AVG’, TVP 2020, afl. 1, p. 5-6. De nationale rechter heeft immers de plicht om de volle werking van het Unierecht te verzekeren en de daarin aan particulieren toegekende rechten te beschermen,HvJ EG 19 juni 1990, C-213/89, ECLI:EU:C:1990:257, punt 19 (Factortame e.a.); HvJ EG 20 september 2001, C-453/99, ECLI:EU:C:2001:465, punt 25 (Courage/Crehan); HvJ EG 13 juli 2006, gevoegde zaken C-295/04-C-298/04, ECLI:EU:C:2006:461, punt 89 (Manfredi). en het nationale recht conform de doelstellingen van het relevante Unierecht uit te leggen.HvJ EG 10 april 1984, 14/83, ECLI:EU:C:1984:153, punt 26 (Von Colson en Kamann); HvJ EG 13 november 1990, C-106/89, ECLI:EU:C:1990:395, punt 8 (Marleasing/LCIA); HvJ EG 26 september 2000, C-262/97, ECLI:EU:C:2000:492, punt 39 (Engelbrecht); HvJ EG 7 januari 2004, C-60/02, ECLI:EU:C:2004:10, punt 59 (Rolex e.a.). Een soepeler regime voor schadevergoeding op grond van recht van een hogere orde is ook niet uitzonderlijk. Ook in de ‘redelijke termijn’-jurisprudentie staat de Hoge Raad toe dat rechters op grond van artikel 6 EVRM ruimhartiger schadevergoeding toekennen dan onder het algemene Nederlandse schadevergoedingsrecht mogelijk is.HR 28 maart 2014, ECLI:NL:HR:2014:736, NJ 2014/525, r.o. 3.11 (X/Gemeente De Bilt); HR 20 juni 2014, ECLI:NL:HR:2014:1461, r.o. 2.6.2 (X/Staatssecretaris Financiën); HR 17 oktober 2014, ECLI:NL:HR:2014:2981, r.o. 2.3 (Erfgenamen A./Staatssecretaris Financiën). Hierbij is het de vraag of deze jurisprudentie moet worden gezien als een toepassing van de uitzonderingsregel of dat het gaat om een apart schadevergoedingsregime. Zie Lindenbergh 2019, p. 126.

Het is niet precies duidelijk welke methode van de verordening-conforme uitleg de juiste is, of dat de rechter toch rechtstreeks artikel 82 AVG had moeten toepassen. Die vraag is echter van secundair belang. De AVG heeft hoe dan ook invloed op de mate waarin de betrokkene nadelige gevolgen moet aantonen, of dat nu geschiedt door een verordening-conforme uitleg van artikel 6:106 BW of door het rechtstreeks toepassen van artikel 82 AVG. Beide methoden gaan immers uit van de doelstellingen en overwegingen van de AVG.

Rechtsvergelijking

Ook in andere lidstaten heeft de rechter zich uitgelaten over de vraag in hoeverre artikel 82 AVG recht geeft op schadevergoeding. Ik ben bekend met rechtspraak in Engeland, Duitsland en Oostenrijk. Deze jurisprudentie kan inzicht bieden in de mate waarin de betrokkene de nadelige gevolgen van de onrechtmatige verwerking moet concretiseren.

Engeland

In Lloyd/Google oordeelde het Engelse Court of Appeal (CoA) over de vergoedbare schade op grond van artikel 23 Dataprotectierichtlijn.Artikel 23 was de voorloper van artikel 82 AVG, en regelde het recht op schadevergoeding in de richtlijn. Het CoA vindt het nuttig om te zien hoe de AVG omgaat met het begrip ‘schade’.Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 64 (Lloyd/Google). Het betrekt in zijn oordeel ook Engelse privacygerelateerde zaken.Dit moet het ook doen op grond van het Unierechtelijke gelijkheidsbeginsel, dat stelt dat procedureregels voor vorderingen voor schendingen van het Unierecht, niet ongunstiger mogen zijn dan die voor soortgelijke nationale vorderingen. HvJ EG 16 december 1976, 33/76, ECLI:EU:C:1976:188, punt 5 (Rewe); HvJ EG 16 december 1976, 45/76, ECLI:EU:C:1976:191, punt 13 (Comet); HvJ EG 13 maart 2007, C-432/05, ECLI:EU:C:2007:163, punt 43 (Unibet/Justitiekanslern); HvJ EU 9 december 2010, C-568/08, ECLI:EU:C:2010:751, punt 91 (Combinatie Spijker/Provincie Drenthe).

In het onderhavige geval maakte Google gebruik van een omzeiling in de standaardbrowser van iPhone (Safari). Hierdoor kon het ‘browser generated information’ (BGI) van iPhone-gebruikers verzamelen, zonder hun wetenschap en toestemming. Lloyd vordert namens 4 miljoen gebruikers schadevergoeding. Hij claimt dat Google op basis van de BGI informatie kon genereren over surfgedrag, locatie, interesses, etniciteit, sociale klasse, gezondheid en financiële positie.Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 11 (Lloyd/Google). Google verkocht die informatie aan adverteerders, waardoor zij hun advertenties konden aanpassen op bepaalde typen gebruikers.

Het CoA overweegt dat controle van de betrokkene over zijn BGI een (economische) waarde vertegenwoordigt, waardoor het verlies daarvan ook een waarde heeft.Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 46, 56 (Lloyd/Google). Dit volgt uit de Engelse benadering van het schadebegrip bij privacyschendingen.Court of Appeal 17 december 2015, [2015] EWCA Civ 1291, punt 48 (Gulati/MGM). Het CoA kende hier een schadevergoeding toe wegens het ‘loss or diminution of a right to control formerly private information’. Het CoA oordeelt aldus dat een betrokkene een recht op schadevergoeding heeft bij het verlies van controle over persoonsgegevens, zelfs als hij geen economische schade of ‘distress’ heeft.Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 70-71 (Lloyd/Google). Alleen op deze manier hebben betrokkenen een ‘effective remedy’ voor inbreuken op het gegevensbeschermingsrecht.Vergelijk Court of Appeal 27 maart 2015, [2015] EWCA Civ 311, punt 78 (Google/Vidal-Hall). Het CoA onderkent dat er meer ‘remedies’ bestaan, zoals een gebods- of verbodsactie, declaratoir vonnis en/of het recht op rectificatie, wissing en beperking,Vergelijk respectievelijk artikel 16, 17 en 18 AVG. maar deze kunnen de schending zoals in het onderhavige geval niet verhelpen.

Het CoA benadrukt dat de vergoedbaarheid van het controleverlies niet afhankelijk is van de exceptionele aard van de omstandigheden, maar zegt ook dat triviale schendingen zonder concrete schade niet voor vergoeding in aanmerking komen. Naar Engels recht moet de schending immers voldoen aan de ‘threshold of seriousness’.Court of Appeal 2 oktober 2019, [2019] EWCA Civ 1599, punt 44, 54, 55, 65 (Lloyd/Google). Dit is in lijn met het Unierecht. Hoewel het Unierecht bij aansprakelijkheid tussen private partijen niet de voorwaarde stelt dat de inbreuk ‘voldoende gekwalificeerd’ is,K. Havu, ‘Horizontal Liability for Damages in EU Law – The Changing Relationship of EU and National Law’, European Law Journal, 2012, afl. 3, p. 412-413; C.H. Sieburgh, ‘EU Law and Non-Contractual Liability of the Union, Member States and Individuals’, in: A.S. Hartkamp e.a. (red.), The Influence of EU Law on National Private Law, Deventer: Kluwer 2014, p. 529. De voorwaarde dat een schending voldoende gekwalificeerd moet zijn geldt wel bij aansprakelijkheid van de Unie en lidstaten. HvJ EG 8 oktober 1996, gevoegde zaken C-178/94, C-179/94, C-188/94, C-189/94 en C-190/94, ECLI:EU:C:1996:375, punt 21-25 (Dillenkofer); HvJ EG 4 juli 2000, C-352/98 P, ECLI:EU:C:2000:361, punt 43 (Bergaderm). moet schade in beginsel wel reëel en zeker geleden zijn. Ook daar komen lichte inbreuken zonder concrete gevolgen dus niet voor vergoeding in aanmerking.

Duitsland

In Duitsland oordeelde de rechter in onderstaande vier uitspraken over de vraag of de betrokkene recht had op schadevergoeding. In alle gevallen wijst de rechter de schadevordering af.

In het eerste geval adverteerde een bedrijf via e-mail aan de betrokkene. Omdat hiervoor geen rechtmatige grondslag bestond, eist de betrokkene € 500 schadevergoeding. Het Amtsgericht Diez overweegt dat hoewel de AVG voor een schadevergoeding niet langer vereist dat er sprake is van een zware schending van het persoonlijkheidsrecht, kleine of triviale overtredingen (‘Bagatellverstoß’) zonder enig ‘merkbaar nadeel’ niet voor vergoeding in aanmerking komen.Amtsgericht Diez 7 november 2018, 8 C 130/18, openJur 2018, 2262, punt 10-11.

In een ander geval waren inkomensgegevens van de betrokkene door zijn bewindvoerder aan de huisbaas van de betrokkene verstrekt. De betrokkene vond dat hiervoor zijn toestemming nodig was en startte een procedure. In het kader van die procedure stuurde de bewindvoerder aan de advocaat van de betrokkene via een onversleutelde e-mail het bewijs van een rechtmatige bewindvoering. Daarin stonden ook persoonsgegevens van de betrokkene. De betrokkene eist een schadevergoeding, omdat door de onversleutelde e-mail mogelijk zijn persoonsgegevens bekend zijn geworden bij derden. Het Amtsgericht Bochum erkent dat dergelijk handelen in strijd kan zijn met artikel 32 AVG, maar acht het niet ‘uiteengezet of evident’ dat gegevens uit de e-mail bekend werden bij derden. De betrokkene leed daarom geen immateriële schade.Amtsgericht Bochum 11 maart 2019, 65 C 485/18, ECLI:DE:AGBO:2019:0311.65C485.18.00, punt 5.

Bij het Oberlandesgericht Dresden eist de betrokkene schadevergoeding van Facebook wegens het verwijderen van een bericht en het blokkeren van zijn account.Oberlandesgericht Dresden 11 juni 2019, 4 U 760/19, punt 1. Het Oberlandesgericht oordeelt dat het ‘louter blokkeren van zijn gegevens’ geen schade oplevert in de zin van de AVG. Het handelen van Facebook leidde slechts tot ‘immaterielle Bagatellschäden’. Triviale of beperkte schade komt niet voor vergoeding in aanmerking, omdat de kans op misbruik van het gegevensbeschermingsrecht anders aanzienlijk zou zijn.Oberlandesgericht Dresden 11 juni 2019, 4 U 760/19, punt 3b. Er is mogelijk wel sprake van vergoedbare schade bij een grootschalige en bewuste inbreuk ten behoeve van een commercieel belang. Dat is hier niet het geval. Het blokkeren van een account belemmert juist een commercieel belang, omdat de betrokkene geen gegevens meer ‘produceert’ die bijdragen aan de omzet.

In de laatste uitspraak oordeelt het Landgericht Karlsruhe dat het berekenen van een kredietscore een subjectief waardeoordeel is, dat geen schending van de AVG kan opleveren. De feiten die ten grondslag liggen aan die berekening moeten uiteraard wél juist zijn.Vergelijk D. Hallinan & F. Zuiderveen Borgesius, ‘Opinions can be incorrect (in our opinion)! On data protection law’s accuracy principle’, International Data Privacy Law 2020, afl. 10, p. 1-10. De betrokkene kon niet aantonen dat dit niet het geval was.Landgericht Karlsruhe 2 augustus 2019, 8 O 26/19, ECLI:DE:LGKARLS:2019:0802.8O26.19.0A, punt 1b. Ook kan de betrokkene verder geen immateriële schade aantonen terwijl de AVG ‘merkbare en daadwerkelijke’ schade vereist. Overigens overweegt het Landgericht dat het onrechtmatig toegankelijk maken dat leidt tot ‘Bloßstellung’ van persoonsgegevens, mogelijk wél geldt als schade in de zin van artikel 82 AVG.Landgericht Karlsruhe 2 augustus 2019, 8 O 26/19, ECLI:DE:LGKARLS:2019:0802.8O26.19.0A, punt 2.

Oostenrijk

Het Oberster Gerichtshof oordeelt dat artikel 82 AVG een ‘lex specialis’ is ten opzichte van het nationale schadevergoedingsrecht.Oberster Gerichtshof 23 mei 2019, 6 Ob 91/19d, ECLI:AT:OGH0002:2019:0060OB00091.19D.0523.000, r.o. 3.1 (Schrems/Facebook Ireland). Het OGH herhaalt dit later en benadrukt dat artikel 82 AVG de bewijslast omdraait met betrekking tot fouten, maar dat de eiser het bewijs voor het ontstaan van schade en de causaliteit volledig moet blijven leveren. Oberster Gerichtshof 27 november 2019, 6 Ob 217/19h, punt 4.2-4.3, 5.1-5.2. In een andere zaak voegt het Landesgericht Feldkirch daaraan toe dat artikel 82 AVG een ‘eigenständige deliktische Haftungsnorm’ is en het ‘Schadensbegriff nach der DSVGO (…) weit und autonom auszulegen [ist]’.Landesgericht Feldkirch 7 augustus 2019, 57 Cg 30/19b, punt 1. In dit geval had het Oostenrijkse postbedrijf in strijd met artikel 9 AVG zonder toestemming gegevens over politieke voorkeur van de betrokkene verwerkt en te koop aangeboden. Het Landesgericht Feldkirch zegt met verwijzing naar overweging 75 AVG dat schade eruit kan bestaan dat de betrokkene zijn rechten en vrijheden niet meer kan uitoefenen of wordt verhinderd controle over zijn persoonsgegevens uit te oefenen. De rechter oordeelt uiteindelijk dat het verzamelen en bewaren van (gevoelige) persoonsgegevens, zonder toestemming van de betrokkene en zonder hem over die verwerking geïnformeerd te hebben, een vergoeding voor immateriële schade rechtvaardigt. Omdat de gegevens niet zijn doorgegeven aan derden, acht de rechter een vergoeding van € 800 passend.Landesgericht Feldkirch 7 augustus 2019, 57 Cg 30/19b, punt 2.

In het hoger beroep oordeelt het Oberlandesgericht (OLG) Innsbruck anders en oordeelt het dat de betrokkene geen recht heeft op schadevergoeding. Ook volgens het OLG biedt artikel 82 AVG een ‘eigenständige Haftungsbestimmung’. Het OLG zegt echter dat de AVG de eisen voor het bewijzen van schade en causaliteit niet hebben veranderd en dat ook het Unierecht geen bepalingen bevat over de bewijslast voor het bestaan en de hoogte van de schade. Hierdoor blijven de nationale bepalingen van toepassing. Wel moet daarbij het doeltreffendheidsbeginsel in acht worden genomen.Oberlandesgericht Innsbruck 13 februari 2020, 1R 182/19b, punt 3-5.2. Het OLG zegt dat hoewel een inbreuk op de AVG tot ‘negatieve gedachten’ kan leiden, dit niet betekent dat elke inbreuk tot immateriële schade leidt. Er is een minimumniveau aan ‘persoonlijke beperking’ vereist. De betrokkene had concreet moeten maken hoe het verlies van controle over zijn persoonsgegevens leidde tot een merkbare en daadwerkelijke aantasting van zijn persoon. Dit is volgens het OLG niet in strijd met het doeltreffendheidsbeginsel.Oberlandesgericht Innsbruck 13 februari 2020, 1R 182/19b, punt 5.3-9.

Balans rechtsvergelijking

Uit de Duitse en Oostenrijkse rechtspraak volgt dat de betrokkene de nadelige gevolgen van de onrechtmatige verwerking moet aantonen, en dat triviale of beperkte schade niet hoeft te worden vergoed. Dit staat haaks op het oordeel van het Engelse Court of Appeal dat een betrokkene ook een recht op schadevergoeding kan hebben bij het verlies van controle over persoonsgegevens zonder dat de gevolgen daarvan aantoonbaar zijn. De Duitse, Oostenrijke en Engelse uitspraken laten echter ook een overeenkomst zien: lichte overtredingen zonder concrete gevolgen komen niet voor vergoeding in aanmerking.

Synthese en conclusie

In hoeverre moet de betrokkene concrete gevolgen aantonen om in aanmerking te komen voor een vergoeding van immateriële schade wegens een inbreuk op de AVG?

Uit de uitspraken van de rechtbanken volgt dat de AVG ervoor kan zorgen dat de betrokkene ook schadevergoeding krijgt als de gevolgen van de inbreuk niet (heel) concreet zijn.Vergelijk in andere zin: A.B. Menezes Cordeiro, ‘Civil Liability for Processing of Personal Data in the GDPR’, EDPL 2019, afl. 4, p. 499. Deze ruimhartige benadering verdient de voorkeur boven de strikte toepassing van de EBI-formule. De AVG vereist immers een ruime uitleg van schade in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van de AVG. Uit de AVG volgt het belang van controle over persoonsgegevens en handhaving. Om de volle werking van de AVG te verzekeren, kan dat met zich brengen dat de nationale rechter het eigen recht conform de doelstellingen van de AVG dient uit te leggen. Hierdoor kan de AVG een wezenlijke invloed hebben op de mate waarin de betrokkene de gevolgen van een onrechtmatige verwerking moet concretiseren. Een ruimhartige benadering ten aanzien van de vergoedbare schade past bij de overwegend immateriële aard van de gevolgen van schendingen van het gegevensbeschermingsrecht.Zie ook Verheij 2020, p. 830. Deze gedachte vindt aansluiting bij Lloyd/Google van het Engelse Court of Appeal, dat overwoog dat het verlies van controle voor vergoeding in aanmerking kan komen, zelfs zonder dat er sprake is van materiële schade of ‘distress’.

Dit wil niet zeggen dat elke onrechtmatige verwerking compensabel zou moeten zijn.Vergelijk P.T.J. Wolters, ‘De handhaving door de betrokkene onder de AVG’, TvC 2019, afl. 1, p. 21-22. Bij een lichte inbreuk weegt de voorwaarde dat schade reëel en zeker (geleden) is zwaarder dan het belang van controle over persoonsgegevens en handhaving van de geschonden regel. Dat laat de buitenlandse rechtspraak ten aanzien van artikel 82 AVG ook zien. De gemene deler in die uitspraken is dat lichte inbreuken zonder concrete schade niet voor vergoeding in aanmerking komen.

Mijn conclusie is dat een betrokkene voor een succesvolle schadeclaim niet altijd nadelige gevolgen hoeft aan te tonen. Wel geldt de voorwaarde dat het dan ten minste gaat om een substantiële inbreuk op de AVG, waarbij handhaving van de geschonden regel door middel van het recht op schadevergoeding belangrijk is en bijdraagt aan de doeltreffendheid en volle werking van de AVG.

Uiteindelijk zal het Hof van Justitie duidelijkheid moeten verschaffen over de mate waarin de betrokkene nadelige gevolgen van een onrechtmatige verwerking moet concretiseren. Zolang een oordeel van het Hof van Justitie uitblijft, zullen de verschillen in de binnen- en buitenlandse rechtspraak blijven bestaan.