An analysis of Dutch case law: what factors play a role in awarding (or not) and determining the extent of damages under the GDPR?

News

Nov 17, 2022 Source

Content

Zoeken

16 Nov 2022

wetenschappelijk

Een analyse van de Nederlandse rechtspraak: welke factoren spelen een rol bij het (al dan niet) toekennen en vaststellen van de omvang van een schadevergoeding op grond van de AVG?

VAST 2022 / W-005

16 november 2022

Sinds mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) rechtstreeks van toepassing binnen de Europese Economische Ruimte (EER), bestaande uit de Europese Unie lidstaten, Liechtenstein, Noorwegen en IJsland. Daarmee zijn wij nu ruim vier jaar verder na de komst van de AVG, maar het toekennen van een schadevergoeding wegens een inbreuk op de AVG is nog geen veelvoorkomende praktijk in Nederland. Dit terwijl regelmatig in het nieuws verschijnt dat zich weer eens een ‘datalek’ of enige andere inbreuk op de AVG heeft voorgedaan. Los van de mogelijkheid die de Autoriteit Persoonsgegevens (AP) heeft om berispingen en geldboeten op te leggen bij een inbreuk op de AVG (zie VAST 2021 / P-040), is het de vraag waarom het toekennen van een schadevergoeding door een rechter in die gevallen nog steeds in de kinderschoenen staat.

In de literatuur zijn al meerdere artikelen gewijd aan het recht op schadevergoeding onder de AVG,1 onder meer over het onderbouwen van de schade met concrete gegevens2 en het mogelijke punitieve karakter van de schadevergoeding onder de AVG.3 In deze bijdrage zal de Nederlandse rechtspraak van de afgelopen vier jaar worden geanalyseerd om te bezien welke factoren een rol kunnen spelen bij het (al dan niet) toekennen en vaststellen van de omvang van een schadevergoeding op grond van de AVG.

Eerst zal het juridisch kader uiteen worden gezet ten aanzien van het vorderen van een schadevergoeding onder de AVG (paragraaf 1), waarna uitspraken zullen worden behandeld waarin de afgelopen vier jaar een schadevergoeding op grond van de AVG werd toegekend (paragraaf 2) en vervolgens zullen enkele uitspraken worden geanalyseerd waarin de vordering tot een schadevergoeding werd afgewezen (paragraaf 3). Dit artikel zal worden afgesloten met een praktische analyse (paragraaf 4) en een conclusie (paragraaf 5).

1. Juridisch kader

Wat stelt de AVG ten aanzien van de schadevergoeding?

Met de komst van de AVG werd de Nederlandse Wet bescherming persoonsgegevens (Wbp) ingetrokken. Voorheen kende artikel 49 Wbp al een mogelijkheid tot het vorderen van een schadevergoeding wegens het in strijd handelen met de Wbp. Deze mogelijkheid is nu neergelegd in artikel 82 lid 1 AVG. Dit artikel bepaalt: ‘eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.’ Het dient dus kort gezegd te gaan om materiële of immateriële schade als gevolg van een inbreuk op de AVG.

Van een inbreuk op de AVG is bijvoorbeeld sprake bij een niet-geoorloofde, en daarmee onrechtmatige, verwerking van persoonsgegevens. In artikel 6 lid 1 AVG is bepaald dat een verwerking van persoonsgegevens alleen rechtmatig is indien aan ten minste één van de aldaar genoemde verwerkingsgrondslagen is voldaan, zoals toestemming of een gerechtvaardigd belang. Is daar niet aan voldaan, dan is sprake van een onrechtmatig handelen van de verwerkingsverantwoordelijke.4 Een voorbeeld hiervan is een financiële dienstverlener die zonder grondslag en dus onterecht persoonsgegevens van iemand registreert. Ook kan sprake zijn van een inbreuk op de AVG wanneer wordt gehandeld in strijd met de in artikel 5 AVG neergelegde beginselen of indien niet (tijdig) wordt voldaan aan enige andere verplichting die voortvloeit uit de AVG. Voorbeelden hiervan zijn de financiële dienstverlener die onnodig lang persoonsgegevens bewaart of onvoldoende passende technische en organisatorische maatregelen treft om de persoonsgegevens te beveiligen. Andere voorbeelden van inbreuken op de AVG komen aan bod bij de casussen in paragraaf 2. Onder een verwerking die inbreuk maakt op de AVG valt ook een verwerking die inbreuk maakt op de Nederlandse Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG).5

Indien dan sprake blijkt te zijn van een inbreuk op de AVG, is het de vraag welke ‘schade’ is geleden. Uit de AVG (en de Nederlandse rechtspraak)6 volgt dat het schadebegrip eenduidig uitgelegd dient te worden binnen de EER, om zo een doeltreffende naleving van de AVG te kunnen waarborgen en een gelijkwaardig niveau van bescherming te kunnen bieden.7 Uit de overwegingen van de AVG volgt ook dat het begrip ‘schade’ ruim moet worden uitgelegd in het licht van de Europese rechtspraak. Betrokkenen dienen een volledige en daadwerkelijke vergoeding van door hen geleden schade te verkrijgen.8 Bij schade onder de AVG kan worden gedacht aan: het verlies van controle over persoonsgegevens, discriminatie, reputatieschade of identiteitsfraude, waardoor mogelijk angstgevoelens, verdriet of leed kan ontstaan.9

Deze voorbeelden geven overigens nog niet aan dat deze vormen van schade ook direct kwalificeren als vergoedbare schade.10 Dat een inbreuk op persoonsgegevens kan resulteren in schade, betekent volgens vaste rechtspraak van het Hof namelijk nog niet dat een normschending per definitie tot schade leidt.11 De te vergoeden schade moet namelijk reëel en zeker zijn.12 Het doel van een schadevergoeding onder de AVG lijkt bovendien alleen het bieden van herstel of compensatie te zijn voor een onrechtmatige verwerking.13 Het schadevergoedingsrecht onder de AVG lijkt op dit moment geen punitief karakter te hebben.14 Bij een inbreuk op de AVG bestaat dan ook niet de verplichting om een schadevergoeding toe te kennen die verder gaat dan volledige vergoeding van de daadwerkelijk geleden schade.15

Hoewel dus kort gezegd uit de AVG voortvloeit dat een volledige vergoeding van de daadwerkelijke schade moet plaatsvinden en wel op een wijze die recht doet aan de doelstellingen van de AVG, is in de AVG niet bepaald op welke wijze de schade van de betrokkene moet worden vastgesteld en berekend.16

Ook het Hof van Justitie van de Europese Unie (Hof) heeft (nog) geen concrete uitleg gegeven aan het schadebegrip of over wat nu als vergoedbare schade dient te worden gekwalificeerd bij een onrechtmatige verwerking van persoonsgegevens. Wel zijn er op 21 mei 2021 door het Duitse Oberste Gerichtshof drie prejudiciële vragen gesteld aan het Hof in het kader van de schadevergoeding onder de AVG, namelijk:

‘Vereist de toekenning van een schadevergoeding overeenkomstig artikel 82 AVG naast een inbreuk op de bepalingen van de AVG ook dat de eisende partij schade heeft geleden, of volstaat reeds de inbreuk op bepalingen van de AVG als zodanig voor de toekenning van een schadevergoeding?
Bestaan er voor de berekening van de schadevergoeding naast de beginselen van doeltreffendheid en gelijkwaardigheid andere Unirechtelijke bepalingen?
Is de opvatting dat de toekenning van immateriële schade veronderstelt dat er sprake is van een effect of gevolg van de schending dat op zijn minst van enig belang is en verder gaat dan de door de inbreuk ontstane ergernis, verenigbaar met het Unierecht?’17

Deze prejudiciële vragen zijn op het moment van schrijven nog niet beantwoord door het Hof en zullen ook niet verder worden behandeld in dit artikel. De reden waarom nu juist deze vragen zijn gesteld aan het Hof, zal echter wel duidelijk worden in dit artikel. Er bestaat namelijk vandaag de dag nog veel onduidelijkheid over de toekenning en berekening van een schadevergoeding op grond van de AVG.

Bij gebrek aan Europees geharmoniseerde regelgeving is het volgens rechtspraak van het Hof op dit moment aan iedere lidstaat om regels vast te stellen voor de uitoefening van het recht op schadevergoeding, mits het gelijkwaardigheidsbeginsel en het doeltreffendheidsbeginsel uit de AVG in acht worden genomen.18

Met dit in het achterhoofd wordt in de Nederlandse rechtspraak in de meeste gevallen aangesloten bij het nationale recht bij de beantwoording van de vraag of gestelde schade op grond van de AVG voor vergoeding in aanmerking komt.19 Daarmee wordt aldus voor de uitoefening van het recht op schadevergoeding en de schadeberekening gekeken naar het nationale schadevergoedingsrecht, maar wordt wel aangehaakt bij een ruim Europees begrip van ‘schade’ en een AVG-conforme uitleg.20

Uit de literatuur en enkele Nederlandse uitspraken volgt echter dat de schadevergoeding onder de AVG ook kan worden beoordeeld door rechtstreeks artikel 82 AVG rechtstreeks toe te passen.21 Zoals hiervoor toegelicht zijn namelijk ook in de AVG zelf uitgangspunten geformuleerd voor de beoordeling van de schending, de schade en het causaal verband daartussen. Kort gezegd heeft een betrokkene op grond van artikel 82 AVG recht op een naar billijkheid vast te stellen schadevergoeding.

Van belang is in ieder geval dat bij zowel een AVG-conforme uitleg van het nationale recht, als bij het rechtstreeks toepassen van artikel 82 AVG, dient te worden gekeken naar de doelstellingen en