3.4.1 Vermogensschade

Vermogensschade (zoals het mislopen van een lucratieve opdracht of prijsdiscriminatie) valt in deze casus niet uit te sluiten, maar is moeilijk te bewijzen. Daarnaast heeft het weinig nut om bedragen te noemen: eventuele materiële schade zal per betrokkene verschillen.

In potentie zijn er wel andere materiële schadeposten die, mits zij door de rechter worden erkend, voor elke getroffen Facebookgebruiker grotendeels hetzelfde zijn. Deze schade hangt samen met de monetaire waarde van (een verzameling) persoonsgegevens. Maar hoe schat men die waarde? Volgens een rapport van de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO) is die schatting lastig en is er geen algemeen geaccepteerde waarderingsmethode.1 Voor enige richting noemt het rapport toch zes methoden. Ik bespreek drie methoden die voor de Facebookgebruiker interessant zijn:

Deze drie methoden kunnen richtinggevend zijn bij drie vorderingen tot schadevergoeding:

Wat kan de betrokkene claimen indien hij stelt dat de marktwaarde van zijn persoonsgegevens is verwaterd? Erg weinig, zo lijkt het. De marktwaarde van een verzameling persoonsgegevens bedraagt namelijk meestal niet meer dan 1 dollar.6 Die waarde kan afnemen naarmate de beschikbaarheid van die persoonsgegevens toeneemt. Ervan uitgaande dat de betrokkene zijn gegevens zelf te gelde kan maken, dan blijft zijn vermogensschade gering. Waarschijnlijk gaat het om eurocenten. Dergelijke strooischade kan in de toekomst mogelijk worden verhaald via een collectieve schadevergoedingsactie,7 maar voor zo een laag bedrag is dit een onwaarschijnlijk scenario.

Een aannemelijk waardeverlies van persoonsgegevens kan echter wel de deur openzetten voor een afdracht van winst op grond van artikel 6:104 BW. De Facebookgebruiker hoeft zogezegd geen concreet nadeel aan te tonen, maar hoeft slechts aannemelijk te maken dat hij enige vorm van schade heeft geleden.

De rechter zou voor de begroting van de winstafdracht kunnen kijken naar de jaarrekeningen van Facebook van de afgelopen jaren.8 Daarbij kan de gemiddelde omzet per gebruiker (average revenue per user; ARPU) een handige indicator zijn. De rechter kan dan voor het bepalen van de winst het wereldwijde winstpercentage9 van dat jaar over het Europese ARPU van datzelfde jaar toepassen.

In 2017 bedroeg de ARPU voor de Europese markt: 5.42 dollar (Q1), 6.28 dollar (Q2), 6,85 dollar (Q3) en 8.86 dollar (Q4). Over 2017 bedraagt de ARPU in totaal dan 27.41 dollar. De wereldwijde omzet over 2017 bedroeg 40,653 miljard dollar, de wereldwijde winst bedroeg 15,934 miljard dollar (een winstpercentage van 39,20%). De winst per Europese gebruiker over 2017 is dan (27,41 x 0,392 =) 10,74 dollar. Als dezelfde formule wordt toegepast over de voorgaande jaren dan is de winst per Europese gebruiker 7,17 dollar10 (2016), 2,95 dollar11 (2015), 2,74 dollar12 (2014) en 1,53 dollar13 (2013).

Deze bedragen kunnen eventueel door de rechter worden opgeteld, mits hij oordeelt dat de onrechtmatige verwerking zich over een langere periode uitstrekte. In het onderhavige schandaal is dat waarschijnlijk ook het geval, aangezien de persoonlijkheidsquiz operationeel was in de periode 2013 - 2015, en Kogan ten minste in de periode van juni 2014 tot en met april 2015 standaard toegang had tot de gegevens van vrienden van de quizdeelnemers.

Evenwel vloeit de winst per Europese gebruiker uiteraard ook voort uit de verkoop van advertentieruimte aan andere partijen. De winst die Facebook behaalde aan CA is slechts een fractie van de totale winst. De Nederlandse Facebookgebruiker kan dus slechts aanspraak maken op een zeer gering bedrag. Daartegenover staat dat de rechter in aanmerking kan nemen dat de ‘open’ API Facebook mogelijk meer winst heeft opgeleverd dan het behaalde aan CA. Hoewel de rechter de winst kan schatten op grond van artikel 6:97 BW, ligt het meer voor de hand dat hij rekening houdt met de winstbedragen zoals hierboven genoemd.

Indien geen andere verwerkingsgrondslag14 bestaat voor een ‘verwerkingsverantwoordelijke’,15 kan toestemming van de betrokkene ervoor zorgen dat de verwerking van persoonsgegevens rechtmatig wordt.16 Dit was ook het geval in de onderhavige casus: de heimelijk verzamelde gegevens mochten slechts worden verwerkt op basis van toestemming van de Facebookgebruiker. In dit geval verschaft het gegevensbeschermingsrecht een zekere exclusiviteit aan de Facebookgebruiker ten aanzien van zijn persoonsgegevens. Toestemming van de betrokkene werkt dan als een soort licentie, waarmee de verwerkingsverantwoordelijke persoonsgegevens rechtmatig kan verwerken.17

Voor het gebruik van een auteursrechtelijk beschermd werk mag een rechthebbende meer vragen dan gebruikelijk is in de markt. Hij moet dan wel aantonen dat hij daadwerkelijk deze hogere prijs rekende aan partijen die zijn werk willen exploiteren.18 Een Facebookgebruiker vroeg echter niet eerder geld aan Facebook voor het gebruik zijn persoonsgegevens. De Facebookgebruiker wordt immers ‘betaald’ door middel van toegang tot de dienst en alle bijbehorende functionaliteiten. Een rechter zal daarom moeten uitgaan van een gemiddelde prijs voor een licentie. Er is uiteenlopend onderzoek gedaan naar het bedrag dat een betrokkene verlangt voor het gebruik van zijn persoonsgegevens. In chronologische volgorde:

De bedragen variëren van 0,25 dollar tot 75,80 dollar. Daarbij moet worden benadrukt dat er verschillende typen persoonsgegevens (zoals NAW-gegevens, rijgedrag of locatiegegevens) werden onderzocht. Indien de rechter een schadevergoeding toekent op basis van de onrechtmatige exploitatie van persoonsgegevens, zou het in het licht van deze onderzoeken logisch zijn als de rechter aansluiting zoekt bij bovenstaande bedragen.