Organisaties die slecht met persoonsgegevens omgaan hangen sinds de invoering van de AVG hoge boetes boven het hoofd. Wat minder bekend is, is dat zij daarnaast aansprakelijk kunnen worden gesteld voor de veroorzaakte schade. Wanneer iemand nadeel ondervindt van een datalek of onrechtmatige verwerking kan de rechter diegene een schadevergoeding toekennen. In potentie is dit een zeer ingrijpend middel: bij een incident met veel slachtoffers kan de totale veroorzaakte schade snel oplopen, ook wanneer het om een klein bedrag gaat. De AVG regelt ook dat een belangenorganisatie namens een groep slachtoffers in de rechtbank kan optreden.
Terwijl de recordboetes ons ondertussen om de oren vliegen, zijn er nog erg weinig zaken geweest over een schadevergoeding onder de AVG. Wat weten we er nu over en hoe zal dit recht zich in de komende jaren ontwikkelen?
Het recht op schadevergoeding
In artikel 82 van de AVG is het recht op schadevergoeding vastgelegd. Iemand die schade heeft geleden als gevolg van een inbreuk op de AVG, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen. Naast materiële schade komt ook immateriële schade in aanmerking voor schadevergoeding. Denk hierbij bijvoorbeeld aan reputatieschade of psychische stress. Omdat het vaak lastig is om vast te stellen hoe immateriële schade gewaardeerd moet worden in geld, wordt het interessant om te zien welke richtlijnen er door heel Europa gehanteerd worden.
In de overwegingen bij de AVG wordt verduidelijkt dat het begrip “schade” ruim moet worden uitgelegd, in het licht van de rechtspraak van het Europees Hof van Justitie. Desondanks zal het van de ernst van de overtreding afhangen of de schade voor financiële vergoeding in aanmerking komt.
Weinig aanvullende richtlijnen
Naast het artikel in de AVG is er nog weinig bekend over hoe het recht op schadevergoeding toegepast gaat worden. De EDPB heeft nog geen richtsnoer gepubliceerd, zoals ze dat over andere onderwerpen wel hebben gedaan. Ook de Autoriteit Persoonsgegevens heeft over dit onderwerp nog geen nadere informatie gegeven. Dit heeft er ongetwijfeld mee te maken dat het toekennen van schadevergoedingen niet bij de toezichthouders ligt, maar bij de bevoegde rechtbank. Wat betreft de precieze toepassing van het recht zal daarom de jurisprudentie de komende tijd de belangrijkste informatiebron zijn.
Omdat er onder de Wbp ook al een recht op schadevergoeding bestond, in artikel 49 van die wet, weten we iets meer van de overwegingen van de Nederlandse rechter op grond daarvan. Uit zaken op grond van de Wbp blijkt in elk geval dat niet vaak werd overgegaan tot het toekennen van een immateriële schadevergoeding. Daar waar sprake is van een afwijzing van de vordering is dit met name gelegen in het gebrek aan bewijsbare schade.
Rechtszaken tot nu toe
In Nederland hebben we voor zover bekend de primeur gehad: de gemeente Deventer is tot een schadevergoeding veroordeeld vanwege het doorgeven van persoonsgegevens aan andere overheden van een bekende ‘Wobber’. De gemeente informeerde andere overheden over de vele Wob-verzoeken die ze had ontvangen en hoe zij hiermee omging. Dat was onrechtmatig en heeft volgens de rechter tot (immateriële) schade geleid. Deze schade werd gewaardeerd op 500 euro.
Een zoektocht naar andere zaken in Europa levert slechts één voorbeeld op: in Duitsland is geoordeeld dat, ook al is sprake van een overtreding van de AVG, niet automatisch een recht op schadevergoeding ontstaat. Het ging in deze zaak om een persoon die op 25 mei 2018 zo’n typische ‘Wij hebben je e-mailadres, mogen we dan nu toestemming om je te mailen?’e-mail ontving. Het gebruiken van het e-mailadres was onrechtmatig, maar voor schadevergoeding is meer nodig. Zo werd geoordeeld dat het slachtoffer een merkbaar nadeel moet hebben gehad. Ook moet er een objectief vast te stellen schending van persoonlijke rechten van een zeker gewicht zijn geweest.
Vooralsnog lijkt het erg rustig als het gaat om schadevergoedingen. Wel weten we dat er al heel wat claims lopen. Facebook is het mikpunt van een Franse claim door een lokale belangengroep. Ook horen we vaak bij bekendmaking van een AVG-boete ook dat er een massaclaim in gang is gezet. Wellicht zal blijken dat het recht op schadevergoeding als een zwaard van Damokles boven de hoofden van vele organisaties hangt.
