Bijna een jaar geleden zorgde een Nederlander voor een primeur op het gebied van de Europese privacywet: voor de eerste keer werd door een rechter schadevergoeding op basis van de Algemene verordening gegevensbescherming (AVG) toegekend. Helaas voor de betrokken persoon was daarmee het laatste woord nog niet gezegd. In hoger beroep is vorige week de uitspraak tegen de gemeente Deventer vernietigd. Wat was er ook alweer aan de hand en wat zegt de uitspraak in hoger beroep over de toepassing van dit recht op schadevergoeding?
Oorspronkelijke uitspraak
De oorspronkelijke zaak was aangespannen door een notoire ‘wobber’, dus iemand die veelvuldig Wob-verzoeken indient. Deze raakte met de gemeente Deventer in de clinch na een inzageverzoek en een daaropvolgende bezwaarprocedure. De gemeente bleek de naam en de woonplaats van de man te hebben gedeeld met andere gemeenten die met soortgelijke Wob-verzoeken te maken hadden.
De rechtbank oordeelde dat het handelen van de gemeente voor de man tot ‘verlies van de controle over zijn persoonsgegevens’ leidde. Zonder nadere toelichting oordeelde de rechtbank dat ter compensatie een schadevergoeding van 500 euro billijk was op grond van artikel 82 van de AVG, in samenhang met artikel 6:106 van het Burgerlijk Wetboek. Zoals de advocaat van de man naderhand stelde leek hiermee het toegewezen krijgen van schadevergoeding een stuk eenvoudiger te worden dan onder de Wet bescherming persoonsgegevens (Wbp). “De drempel was heel hoog, omdat er echt sterk bewijs nodig was. De huidige AVG zegt dat het verlies van controle over je persoonsgegevens en de verspreiding daarvan op zichzelf al schade is. Dat hebben wij betoogd en dat is makkelijker aan te tonen”, aldus de advocaat.
Uitspraak
Zoals uit de uitspraak in hoger beroep blijkt is het ook weer niet zó makkelijk. In haar uitspraak van 1 april ging de Afdeling bestuursrechtspraak van de Raad van State niet mee in de eenvoudige redenering van de rechtbank. De schadevergoeding wordt alsnog niet toegekend omdat de man in de woorden van de Afdeling “… niet inzichtelijk [heeft] gemaakt waarom het noemen van zijn naam en woonplaats in de mededeling dat hij twee, niet-gespecificeerde, Wob-verzoeken heeft ingediend als reactie op een verzoek van een andere gemeente, als aantasting van de persoon kan worden gekwalificeerd. Ook heeft hij niet aannemelijk gemaakt welke nadelige gevolgen voor hem zijn voortgevloeid uit het noemen van zijn naam en woonplaats. De enkele stelling van [de man] dat het noemen van zijn naam stigmatiserend werkt, is onvoldoende.”
Met andere woorden: nee, verlies van controle over je persoonsgegevens door een overtreding van de AVG betekent niet automatisch dat er schade is ontstaan waarvoor de wederpartij dient op te draaien. Het opleggen van schadevergoeding is ook geen boete waar je dan als ontvanger toevallig een gelukje mee hebt. Je moet nog steeds aantonen, zoals onder het Burgerlijk Wetboek vereist wordt, waar jouw schade dan precies uit bestaat. De AVG geeft dus weliswaar de voorzet voor het eisen van schadevergoeding, je moet hem er nog wel inkoppen.
Zoals gezegd was de oorspronkelijke uitspraak, in mei 2019, voor zover bekend een primeur. Sindsdien is ook het UWV na een datalek tot een (kleine) schadevergoeding veroordeeld, een uitspraak die nog wel overeind staat. De schadevergoedingen vallen, vergeleken met de boetes die ons om de oren vliegen, nog altijd in het niet. Het blijft afwachten hoe dit ingewikkelde leerstuk zich de komende jaren in heel Europa zal ontwikkelen.
