1.3 Schade door oneigenlijk gebruik van persoonsgegevens

Datacenters stromen vol met persoonsgegevens, omdat organisaties ervan uitgaan dat die gegevens in de toekomst nog wel eens van waarde kunnen zijn. Gegevens kunnen bijvoorbeeld worden (her)gebruikt voor productinnovatie of klantanalyse, óf worden verkocht aan databrokers. Hierbij ligt oneigenlijk (her)gebruik1 op de loer: de ongeïnformeerde verwerking van persoonsgegevens voor andere doeleinden dan waarvoor de gegevens oorspronkelijk zijn verzameld en waarover de betrokkene is geïnformeerd.2 Oneigenlijk gebruik kan op talloze wijzen geschieden.3 Een Amerikaanse tv-fabrikant verzamelde bijvoorbeeld kijkgegevens en locatiegegevens en verkocht deze aan adverteerders, zonder de gebruikers daarover te informeren.4 Facebook gebruikte persoonsgegevens voor gerichte advertenties zonder daarover de benodigde informatie te geven aan haar gebruikers.5

Het doelbindingsprincipe (artikel 5 lid 1 sub b AVG) stelt grenzen aan het oneigenlijk gebruik van persoonsgegevens, zodat de betrokkene een redelijke verwachting over de verwerking kan vormen en zodoende kan oordelen over de voorzienbare gevaren.6 Niet altijd is evident wat de schade is voor de betrokkene bij oneigenlijk gebruik.7 Stel dat een bank klantgegevens, in strijd met haar privacybeleid, doorverkoopt aan een adverteerder. Hoewel het oneigenlijk gebruik zorgt voor een schending van het doelbindingsprincipe, zal het doorverkopen van de persoonsgegevens van de betrokkene ten hoogste leiden tot irritatie of ergernis. Daarnaast zijn gevoelens subjectief en vrijblijvend: terwijl de ene betrokkene de onrechtmatige verkoop van zijn persoongegevens beschouwt als een inbreuk op zijn privacy, haalt de ander er zijn schouders bij op.8 Bovendien kan ongevraagde reclame eenvoudig worden beperkt met behulp van spamfilters, het bel-me-niet-register of het Postfilter. Dergelijke triviale gevoelens bieden dan ook onvoldoende grond voor smartengeld.9

Uit een uitspraak van de Rechtbank Noord-Holland volgt dat onder bijkomende omstandigheden wel ruimte is voor immateriële schadevergoeding bij oneigenlijk gebruik van persoonsgegevens. Een advocatenkantoor had gegevens uit het WSNP-register overgenomen en vervolgens een aanbod tot rechtsbijstand aan de betrokkene gedaan. De rechtbank veroordeelde het kantoor tot betaling van 100 euro, omdat de betrokkene ‘door het onverwachts vinden van de brief op haar deurmat, geschrokken en geëmotioneerd’ was.10 De verwachtingen van de betrokkene, de gevoeligheid van de verwerking en de hoedanigheid van de verwerkingsverantwoordelijke lijken in deze uitspraak bijkomende omstandigheden die compensatie van de immateriële schade legitimeren.

Bij oneigenlijk gebruik kan de betrokkene ook een beroep doen op ‘integriteitsschade’. Giessen beschrijft integriteitsschade als de inbreuk op een fundamenteel recht, die geen vermogensschade aanricht en te gering is om te gelden als ‘geestelijk letsel’, maar wel de integriteit van de persoon aantast.11 De immateriële schade bestaat dan niet uit concreet leed, maar uit de rechtsinbreuk als zodanig, welke dan kwalificeert als een ‘aantasting in de persoon’ in de zin van artikel 6:106 lid 1 sub b BW.12 De Hoge Raad hanteert hiervoor een streng criterium. Alleen ernstige schendingen van fundamentele rechten komen voor vergoeding in aanmerking.13

De bescherming van persoonsgegevens is als grondrecht gewaarborgd (artikel 8 Handvest EU)14 en heeft horizontale directe werking.15 Voor een schending van het recht is niet vereist dat het gaat om gevoelige gegevens of dat de betrokkene op enige wijze wordt gehinderd.16 Wel moet de betrokkene stellen dat de schending (het oneigenlijk gebruik) een ‘aantasting van zijn persoon’ oplevert. Gezien de hoge drempel die de Hoge Raad stelt aan integriteitsschade, is het onwaarschijnlijk dat triviale gevoelens als gevolg van het oneigenlijke gebruik van persoonsgegevens, zonder bijkomende omstandigheden, voor vergoeding in aanmerking komen. De vraag rijst dan onder welke bijkomende omstandigheden integriteitsschade bestaat. Ook in dit kader kunnen de verwachtingen van de betrokkene, de gevoelige aard van de verwerking en de hoedanigheid van de verwerkingsverantwoordelijke bijkomende omstandigheden zijn die ervoor zorgen dat de integriteitsschade moet worden vergoed. Denk bijvoorbeeld aan een ziekenhuis dat medische gegevens verkoopt aan een verzekeraar, een opsporingsinstantie die strafrechtelijke gegevens deelt met ongeautoriseerde derden of een gemeente die gevoelige persoonsgegevens deelt in het kader van een aanbesteding.17

Ten slotte kan de betrokkene een beroep doen op afdracht van de behaalde winst (artikel 6:104 BW) ten aanzien van het oneigenlijk gebruik van zijn persoonsgegevens. Sieburgh stelt dat persoonlijkheidsrechten op vergelijkbare wijze moeten worden beschermd als zaken.18 Persoonlijkheidsrechten omvatten onder meer het recht op de bescherming van persoonsgegevens.19 De bezitter van dit persoonlijkheidsrecht, in dit geval de betrokkene, is exclusief bevoegd tot het uitoefenen van zijn recht, waardoor de vruchten van dat recht hem toekomen. Als de vruchten (de winst) vervolgens toevallen aan de verwerkingsverantwoordelijke die het persoonlijkheidsrecht schendt, dan moeten die vruchten worden afgegeven.20Artikel 6:104 BW vereist niet dat de benadeelde concreet nadeel aantoont. Wel moet hij de aanwezigheid van enige (im)materiële schade aannemelijk maken.21 De betrokkene kan bijvoorbeeld stellen dat door de onrechtmatige doorgifte van zijn persoonsgegevens de marktwaarde van zijn persoonsgegevens is afgenomen. Zijn persoonsgegevens zijn per slot van rekening nu minder schaars dan voorheen.22 Daarnaast kan de betrokkene betogen dat hij kosten heeft gemaakt bij het verzet tegen het oneigenlijk gebruik van zijn persoonsgegevens. De betrokkene hoeft geen winst aan te tonen. De verwerkingsverantwoordelijke wordt geacht verantwoording af te leggen over de winst die hij mogelijk heeft gemaakt door het oneigenlijk gebruik van de persoonsgegevens. Winst is immers zichtbaar voor diegene die hem gemaakt heeft.23 Als de verwerkingsverantwoordelijke nalaat om de winstcijfers te overleggen, kan de rechter de gevolgtrekking maken die hij geraden acht (artikel 21 jo. 22 Rv) en overgaan op een schatting van de behaalde winst.24