6.2.3 Doelstellingen AVG: controle over persoonsgegevens en handhaving

Uit de overwegingen 75 en 85 AVG volgt dat (onrechtmatige) gegevensverwerkingen kunnen resulteren in materiële of immateriële schade voor natuurlijke personen, waaronder het ‘verlies van controle over hun persoonsgegevens’. De AVG noemt het verlies van controle over persoonsgegevens als een risico waartegen de verwerkingsverantwoordelijke passende maatregelen moet nemen (overweging 75)1 en als een risico waardoor hij de toezichthoudende autoriteit of de betrokkene op de hoogte moet brengen van een datalek (overweging 85). Deze overwegingen zijn niet bedoeld om aan te geven wat de vergoedbare schade is van artikel 82 AVG.2 Dit neemt niet weg dat het controleverlies als vergoedbare schade kan gelden. De controle over persoonsgegevens komt namelijk ook terug op andere plekken. De AVG stelt dat natuurlijke personen controle over hun eigen persoonsgegevens dienen te hebben3 en dat de betrokkene het recht moet hebben om de rechtmatigheid van de verwerking te controleren.4 Controle over persoonsgegevens door de betrokkene is dus kennelijk een belangrijke doelstelling van de AVG, waardoor aan het verlies daarvan ook een waarde toekomt.5

De AVG zwijgt over wat controle over persoonsgegevens (en het verlies daarvan) exact omvat.6 Controle veronderstelt in ieder geval geen exclusieve gebruiksbevoegdheid van de betrokkene ten aanzien van zijn persoonsgegevens, in de zin dat hij zelf bepaalt welke persoonsgegevens hij deelt en met wie hij die deelt. De betrokkene zou onder die definitie bijvoorbeeld ook de controle verliezen bij de onvrijwillige maar rechtmatige verwerking van zijn inkomensgegevens door de Belastingdienst. Een uitleg die onder ‘controle over persoonsgegevens’ verstaat dat de gegevens slechts door daartoe bevoegde partijen worden verwerkt, is plausibeler. Het verlies van controle vindt dan plaats als een onbevoegde en onvoorziene partij de persoonsgegevens verzamelt of ontvangt.7 Dit is een wat beperkte uitleg van het verlies van controle, die geen recht doet aan het hoge beschermingsniveau dat de AVG nastreeft.

Er is echter nog een andere interpretatie van controle(verlies) mogelijk. De AVG formuleert allerlei beginselen met betrekking tot de rechtmatige en zorgvuldige verwerking van persoonsgegevens.8 De belangrijkste zijn rechtmatigheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid of integriteit, opslagbeperking en vertrouwelijkheid.9 Als de verwerkingsverantwoordelijke deze beginselen naleeft, kan een betrokkene begrijpen, overzien en voorzien welke van zijn gegevens worden verwerkt, voor welke doeleinden en voor hoe lang zij worden verwerkt. Op deze manier houdt de betrokkene de ‘controle’ (of het overzicht) over zijn persoonsgegevens, zo nodig met behulp van de uitoefening van zijn rechten (bijvoorbeeld het recht op inzage, rectificatie, beperking) op grond van hoofdstuk III AVG.10 Als de verwerking buiten de grenzen van de rechtmatigheid treedt, en de betrokkene de onrechtmatige verwerking niet meer kan corrigeren door zijn rechten uit te oefenen,11 verliest hij de controle.

Ik sluit niet uit dat deze laatste interpretatie van controleverlies voor vergoeding in aanmerking komt. Het kunnen handhaven van transparantie, doelbinding, vertrouwelijkheid en integriteit van persoonsgegevens is immers essentieel voor een doeltreffende bescherming van persoonsgegevens.12 Handhaving is dan ook een belangrijke doelstelling van de AVG.13 Het uitgebreide arsenaal aan handhavingsmogelijkheden in hoofdstuk VIII, zoals het recht op schadevergoeding en zware bestuurlijke boetes, getuigt hier ook van. Handhaving door toezichthouders komt echter nog maar langzaam op gang.14 Civiele handhaving door betrokkenen of belangenorganisaties, zoals door middel van een schadeclaim, is daarom des te belangrijker.15

Het Hof van Justitie benadrukt dat het recht op schadevergoeding kan bijdragen aan de ‘volle werking’ van het Unierecht.16 In een aantal zaken waarin het een schending van het mededingingsrecht betrof, overweegt het Hof van Justitie dat het recht op schadevergoeding schendingen ‘minder aantrekkelijk’ maakt en kan bijdragen aan de handhaving van een ‘daadwerkelijke mededinging’. De mogelijkheid van een schadevergoeding kan op vergelijkbare wijze inbreuken op de AVG ontmoedigen en bijdragen aan de handhaving van de AVG.17 Een (te) hoge drempel voor schadevergoeding voor inbreuken op de AVG verkleint een ‘handhavingstekort’18 niet. Bovendien kan dit in strijd zijn met het Unierechtelijke beginsel van ‘doeltreffendheid’.19 Dit beginsel vereist dat de uitoefening van regels van het Unierecht in de praktijk niet onmogelijk of uiterst moeilijk mag zijn.20 Een ruime interpretatie van schade draagt zo bij aan de handhaving, en dus aan de doeltreffendheid en de volle werking van de AVG.21

In dit licht, maar ook gezien het belang van controle over persoonsgegevens en de handhaving daarvan, kan het verlies van controle over persoonsgegevens of de beperking van rechten van de betrokkene22 een vergoedbare schadepost zijn. Dit betekent dat de enkele schending van de AVG kan leiden tot een recht op schadevergoeding, ook zonder dat de inbreuk leidde tot concrete gevolgen. In dit geval moet het wel gaan om een substantiële inbreuk op de AVG, waarbij handhaving van de geschonden regel belangrijk is en bijdraagt aan de doeltreffendheid en volle werking van de AVG.23 Een lichte schending van de AVG, waarbij er geen of verwaarloosbare gevolgen (zullen) optreden, leidt niet tot een recht op schadevergoeding. In dit laatste geval weegt de Unierechtelijke eis van reële en zeker geleden schade zwaarder dan het belang van controle over persoonsgegevens en de handhaving van de AVG.